Перейти к содержанию

Рекомендуемые сообщения

Прошу помощи!

 

Зашифрованы файлы, расширение arena.

 

Пробовал некоторые расшифровщики, не получилось(то ли лыжи не едут..)

 

Файл вымогателя FILES ENCRYPTED.txt

 

all your data has been locked us
You want to return?
write email decrypt2010btc@cock.li or bestbitforch@airmail.cc
 
Собрал логи по инструкции.
 
Также прикрепил образец зараженного файла.

CollectionLog-2017.09.17-15.07.zip

chromeinstall-7u67.exe.id-444503AA.decrypt2010btc@cock.li.arena.zip

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

С рассшифровкой помочь не сможем, только вирусы дочистить.

 

1)

C:\WINDOWS\system32\calluxxprovider.vbs
C:\WINDOWS\system32\sildailycollector.vbs

Эти файлы вам знакомо?

 

2)
- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

 

3) Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-444503AA.[decrypt2010btc@cock.li].arena', '');
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '');
 QuarantineFile('C:\WINDOWS\system32\calluxxprovider.vbs', '');
 QuarantineFile('C:\WINDOWS\system32\sildailycollector.vbs', '');
 DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '32');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(9);
 ExecuteWizard('SCU', 2, 3, true);
end.

4) После выполнения скрипта перезагрузите компьютер вручную.

5)
 - Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)
 
6) Сделайте полный образ автозапуска uVS, только программу скачайте отсюда.

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

1) Нет

2) http://virusinfo.info/virusdetector/report.php?md5=DBBD1A91D8DD4B88785354A8A27FA332

3) ОК

4) ОК

5) [KLAN-6823301678]

Thank you for contacting Kaspersky Lab
 
The files have been scanned in automatic mode.
 
No information about the specified files can be found in the antivirus databases:
desktop.ini.id-444503AA.[decrypt2010btc@cock.li].arena
Info.hta
 
We will thoroughly analyze the files you sent. If the result of the analysis is different from this automatic scan result, you will be notified via email.
 
This is an automatically generated message. Please do not reply to it.
 
Anti-Virus Lab, Kaspersky Lab HQ
 
"39A/3 Leningradskoe Shosse, Moscow, 125212, Russia
Tel./Fax: + 7 (495) 797 8700

6) Приложил

 

 

"С рассшифровкой помочь не сможем, только вирусы дочистить."

Невозможно расшифровать или как?

OWNEROR-TDMB6O9_2017-09-17_17-51-17.7z

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

 

 


Невозможно расшифровать или как?
да, невозможно.

1)

  1. Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
  2. Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
  3. Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
    ;uVS v4.0.10 [http://dsrt.dyndns.org]
    ;Target OS: NTv6.3
    v400c
    BREG
    ;---------command-block---------
    bl B75FDF275292E1909F5AF7B811A6E32D 13934
    zoo %SystemDrive%\USERS\RDP\APPDATA\ROAMING\INFO.HTA
    delall %SystemDrive%\USERS\RDP\APPDATA\ROAMING\INFO.HTA
    zoo %Sys32%\INFO.HTA
    delall %Sys32%\INFO.HTA
    apply
    
    czoo
    restart
  4. В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
  5. Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. Прошу учесть, что компьютер может быть перезагружен.
  6. После выполнения скрипта зайдите в папку, где распакована утилита uVS найдите архив, имя которого соответствует дате и времени запуска скрипта с префиксом ZOO_ (например: ZOO_2013-06-30_22-04-27.7z)

    Если архив отсутствует, то
    с паролем
    virus
    .

  7. Полученный архив отправьте с помощью этой формы или (если размер архива превышает 8 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.
  8. Подробнее читайте в этом руководстве.


 

2) Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Включите восстановление системы и создайте точку восстановления.

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
     
    Start::
    CreateRestorePoint:
    VirusTotal: C:\Users\syss\AppData\Roaming\MicrosoftHostHelper\Winlogin.exe; C:\WINDOWS\system32\calluxxprovider.vbs; C:\WINDOWS\system32\sildailycollector.vbs
    Folder: C:\Users\syss\AppData\Roaming\MicrosoftHostHelper
    Task: {10293EF4-0642-4D57-999E-ACACBDD5F1A8} - System32\Tasks\zadanie => C:\Users\syss\AppData\Roaming\MicrosoftHostHelper\Winlogin.exe
    Task: {22F8933B-6077-471D-A4C3-56C7647164AD} - System32\Tasks\Microsoft\Windows\Server Manager\CleanupOldPerfLogs => %systemroot%\system32\cscript.exe /B /nologo %systemroot%\system32\calluxxprovider.vbs $(Arg0) $(Arg1) $(Arg2)
    Task: {E17CE1E2-2876-42D3-B6F5-40A269D1D3C4} - System32\Tasks\Microsoft\Windows\Software Inventory Logging\Daily Collector => %systemroot%\system32\cscript.exe %systemroot%\system32\sildailycollector.vbs
    FirewallRules: [SCW-Allow-Inbound-Access-To-ScsHost-TCP-RPC] => (Allow) %systemroot%\system32\scshost.exe
    HKLM\...\Run: [360Safetray] => [X]
    HKLM\...\Run: [ QQPCTray] => [X]
    HKLM\...\Run: [RavTRAY] => [X]
    HKLM\...\Run: [RISTRAY] => [X]
    HKLM\...\Run: [kxesc] => [X]
    HKLM\...\Run: [KVMON] => [X]
    HKLM\...\Run: [ShStatEXE] => [X]
    HKLM\...\Run: [McAfeeUpdaterUI] => [X]
    HKLM\...\Run: [KVXP] => [X]
    HKLM\...\Run: [shell] => [X]
    End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Перезагрузите компьютер вручную.

Изменено пользователем regist

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Нет вкладки "Защита системы" в свойствах компьютера, это нормально?


Не получается включить восстановление системы

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Не знаю, для 10-ки может и нормально (негде проверить). Вот тут инструкция как включить восстановление системы.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

На компьютере Windows Server 2012 R2 Standart. Точек восстановления там нет, а архивирование на единственный том не делается.... 

Насколько плохо не создать архив?

 

Спасибо за помощь и терпение :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Восстановление системы в любом случае советую включить и держать включённым. Будь оно включено до этого сейчас может быть часть файлов вытащили бы из резервных копий. Вот и думайте насколько плохо это.

Если нет возможности, то выполняйте так скрипт.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Включите восстановление системы и создайте точку восстановления.

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

     

    Start::
    CreateRestorePoint:
    VirusTotal: C:\Users\syss\AppData\Roaming\MicrosoftHostHelper\Winlogin.exe; C:\WINDOWS\system32\calluxxprovider.vbs; C:\WINDOWS\system32\sildailycollector.vbs
    Folder: C:\Users\syss\AppData\Roaming\MicrosoftHostHelper
    Task: {10293EF4-0642-4D57-999E-ACACBDD5F1A8} - System32\Tasks\zadanie => C:\Users\syss\AppData\Roaming\MicrosoftHostHelper\Winlogin.exe
    Task: {22F8933B-6077-471D-A4C3-56C7647164AD} - System32\Tasks\Microsoft\Windows\Server Manager\CleanupOldPerfLogs => %systemroot%\system32\cscript.exe /B /nologo %systemroot%\system32\calluxxprovider.vbs $(Arg0) $(Arg1) $(Arg2)
    Task: {E17CE1E2-2876-42D3-B6F5-40A269D1D3C4} - System32\Tasks\Microsoft\Windows\Software Inventory Logging\Daily Collector => %systemroot%\system32\cscript.exe %systemroot%\system32\sildailycollector.vbs
    FirewallRules: [SCW-Allow-Inbound-Access-To-ScsHost-TCP-RPC] => (Allow) %systemroot%\system32\scshost.exe
    HKLM\...\Run: [360Safetray] => [X]
    HKLM\...\Run: [ QQPCTray] => [X]
    HKLM\...\Run: [RavTRAY] => [X]
    HKLM\...\Run: [RISTRAY] => [X]
    HKLM\...\Run: [kxesc] => [X]
    HKLM\...\Run: [KVMON] => [X]
    HKLM\...\Run: [ShStatEXE] => [X]
    HKLM\...\Run: [McAfeeUpdaterUI] => [X]
    HKLM\...\Run: [KVXP] => [X]
    HKLM\...\Run: [shell] => [X]
    End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Перезагрузите компьютер вручную.

 

Готово

Fixlog.txt

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Start::
    CreateRestorePoint:
    2017-09-16 03:49 - 2017-09-16 03:49 - 000001278 _____ () C:\Users\syss\AppData\Roaming\MicrosoftHostHelper\hidconall.exe.id-444503AA.[decrypt2010btc@cock.li].arena
    2017-07-24 18:17 - 2017-09-16 03:49 - 003622160 _____ () C:\Users\syss\AppData\Roaming\MicrosoftHostHelper\RuntimeBrokers.exe.id-444503AA.[decrypt2010btc@cock.li].arena
    2017-09-16 03:49 - 2017-09-16 03:49 - 000599292 _____ () C:\Users\syss\AppData\Roaming\MicrosoftHostHelper\Winlogin.exe.id-444503AA.[decrypt2010btc@cock.li].arena
    End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически.

  1. Вставьте диск, с которого устанавливали Windows (либо другой но с той же локализацией и тем же сервис паком (SP) что установлен у вас.
    • Если у вас windows Vista или windows 7 откройте меню "Пуск" ("Start") и в строке поиска введите "cmd". На результатах поиска нажмите правой клавишей мыши и выберите пункт "Запуск от имени администратора".
    • Если у вас windows XP откройте меню Пуск (Start) -> Выполнить (Run)


  [*]Введите sfc /scannow и нажмите Энтер. [*]Система восстановит недостающие или изменённые системные файлы, для этого может потребоваться перезагрузка. [*]После того как закончится проверка в командной строке введите команду:

findstr /c:"[SR]" %windir%\Logs\CBS\CBS.log>%SYSTEMDRIVE%\sfcdetails.txt
[*]После выполнения вышеописанных операций в корне системного диска (тот диск,на котором установлена операционная система-как правило диск С) найдите файл sfcdetails.txt, прикрепите его к следующему сообщению.




 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Компьютер автоматически не перезагрузился, это нормально?

 

Ищем диск windows

 

Скажите, а эти все эти действия нужны для восстановления системы?

 

Это как-то сможет помочь расшифровать файлы?


Как называется этот шифровальщик?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Это как-то сможет помочь расшифровать файлы?

Вам ясно написали, что с расшифровкой помочь невозможно. Это одна из новых версий шифратора CrySis. Расшифровка предыдущих версий пояаилась только после слива ключей самими злоумышленниками.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

проблема та же.

Имеет смысл ждать слива ключей или все снести и установить в чистую?

было установлено - Windows server 2008 + Kaspersky Endpoint Security 10

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.


  • Похожий контент

    • От Ярослав Галянин
      Прошу помощи. поймал вирус шифровальщик со следующим расширением
      "id-46848650.[decrypt@europe.com].EUR"
      Поиски в интернете ничего не дали. дешифровальщикаа нет
    • От ofstd
      Добрый день. Прогулялась по сети вот такая гадость. Сообщений о выкупе и подобных файлов не обнаружено. 
      Прикладываю образцы и результаты сканирования. 
      Даже не получилось понять что именно это за штука.
       
      Извиняюсь за размеры образцов, тяжело найти маленькие файлы.

      образцы:
      https://cloud.mail.ru/public/vPpi/3LVdq1uVJ
      Addition.txt FRST.txt
    • От Rollerteh
      Добрый день!
      Помогите расшифровать файлы Caley.
      Предыстория: Сам файл вируса(?) good.exe как-то попал в систему 31.07 и ждал своего часа.
      16.09 в 19:05 видимо кто-то подключился, создал учетную запись update от которой велась "работа".
      Сам good.exe предположительно был запущен в 00:30 17-го и работал как минимум до 8:23, зашифровав все что можно.
      Файла с требованием выкупа нет. Предоставлены тестовые файлы из ms sql сервера.
      Система не переставлялась. Good.exe отключен из автозапуска, FRST снимал данные с "рабочей" системы.
      Файл шифровальшика good.exe есть, упакован в архив.
      caley.zip
      Addition.txt
    • От RedviKING
      Добрый день!
      Поймали шифровальщик на удаленном рабочем компе. Поражена оказалась только папка с общим доступом. Прикладываю зашифрованный и оригинальный файл, логи и записку
      Addition.txt FRST.txt 111.rar ВЕРНУТЬ ВАШИ ФАЙЛЫ.txt
    • От Yar
      Помогите дешифровать файлы! Пострадало очень много документов на рабочем компе.
      Вопросы.docx бирки на противогаз.doc ВЕРНУТЬ ВАШИ ФАЙЛЫ.txt RECOVER YOUR FILES.txt
×
×
  • Создать...