ransom.shade crypted000007

[Юлия Чудайкина]

Поймали вирус с письма, все файлы зашифрованы.

Компьютер был подключен к серверу (нужно ли бояться заражения на других компьютерах сети и сервере? Как предотвратить? От сети отключили спустя 15 минут после обнаружения заражения).

сразу прогнала FarBar Recovery 

CollectionLog-2017.09.27-21.43.zip

Shortcut.txt

Addition.txt

FRST.txt

[regist]

Здравствуйте!

 

C рассшифровкой помочь не сможем, только вирус вычистим (он до сих пор активен).

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 TerminateProcessByName('c:\programdata\csrss\csrss.exe');
 TerminateProcessByName('c:\programdata\drivers\csrss.exe');
 TerminateProcessByName('c:\programdata\windows\csrss.exe');
 QuarantineFile('C:\PROGRA~3\SysWOW64\uH9tU9H.cmd', '');
 QuarantineFile('c:\programdata\csrss\csrss.exe', '');
 QuarantineFile('c:\programdata\drivers\csrss.exe', '');
 QuarantineFile('c:\programdata\windows\csrss.exe', '');
 QuarantineFileF('c:\programdata\csrss\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('c:\programdata\drivers\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 DeleteFile('C:\PROGRA~3\SysWOW64\uH9tU9H.cmd', '32');
 DeleteFile('c:\programdata\csrss\csrss.exe', '32');
 DeleteFile('c:\programdata\drivers\csrss.exe', '32');
 DeleteFile('c:\programdata\windows\csrss.exe', '32');
 DeleteFileMask('c:\programdata\csrss\', '*', true);
 DeleteFileMask('c:\programdata\drivers\', '*', true);
 DeleteDirectory('c:\programdata\csrss\');
 DeleteDirectory('c:\programdata\drivers\');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Command Line Support');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Client Server Runtime Subsystem');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'CSRSS');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'NetworkSubsystem');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:

 - Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)
 
Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. Для повторной диагностики запустите снова Autologger.

[Юлия Чудайкина]

Спасибо большое! Прилагаю ответ и заново сделанный лог.

подскажите пожалуйста, как и чем пройтись по серверу и локальному компьютеру? Сделала проверку обычным касперским, достаточно ли этого?

Re: crypted000007 [KLAN-6887263892]

Благодарим за обращение в Антивирусную Лабораторию

Присланные вами файлы были проверены в автоматическом режиме.

В антивирусных базах информация по присланным вами файлам отсутствует:
uH9tU9H.cmd

В следующих файлах обнаружен вредоносный код:
csrss.exe - Trojan-Ransom.Win32.Shade.oar

Файлы переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.

Это сообщение сформировано автоматической системой обработки писем. Пожалуйста, не отвечайте на него.

Антивирусная Лаборатория, Kaspersky Lab HQ

 

 

CollectionLog-2017.09.28-15.21.zip

Изменено 28 сентября, 2017 пользователем Юлия Чудайкина

[regist]

1) По серверу создайте отдельную тему выполнив правила раздела.

 

2)

1. Вставьте диск, с которого устанавливали Windows (либо другой но с той же локализацией и тем же сервис паком (SP) что установлен у вас.
2. • Если у вас windows Vista или windows 7 откройте меню "Пуск" ("Start") и в строке поиска введите "cmd". На результатах поиска нажмите правой клавишей мыши и выберите пункт "Запуск от имени администратора".
   • Если у вас windows XP откройте меню Пуск (Start) -> Выполнить (Run)
     

  [*]Введите sfc /scannow и нажмите Энтер. [*]Система восстановит недостающие или изменённые системные файлы, для этого может потребоваться перезагрузка. [*]После того как закончится проверка в командной строке введите команду:

findstr /c:"[SR]" %windir%\Logs\CBS\CBS.log>%SYSTEMDRIVE%\sfcdetails.txt

[*]После выполнения вышеописанных операций в корне системного диска (тот диск,на котором установлена операционная система-как правило диск С) найдите файл sfcdetails.txt, прикрепите его к следующему сообщению.

 

3) папку C:\FRST удалите.

4) Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
 

[Юлия Чудайкина]

Во вложении все необходимые логи

sfcdetails.txt

FRST.txt

Shortcut.txt

Addition.txt

[regist]

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  CreateRestorePoint:
  HKU\S-1-5-21-71858097-4178273776-462272816-1001\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://ovgorskiy.ru/
  FF Plugin: @microsoft.com/GENUINE -> disabled [No File]
  FF Plugin-x32: @microsoft.com/GENUINE -> disabled [No File]
  2017-09-27 14:14 - 2017-09-27 14:14 - 000004154 _____ C:\Users\Public\Desktop\README9.txt
  2017-09-27 14:14 - 2017-09-27 14:14 - 000004154 _____ C:\Users\Public\Desktop\README8.txt
  2017-09-27 14:14 - 2017-09-27 14:14 - 000004154 _____ C:\Users\Public\Desktop\README7.txt
  2017-09-27 14:14 - 2017-09-27 14:14 - 000004154 _____ C:\Users\Public\Desktop\README6.txt
  2017-09-27 14:14 - 2017-09-27 14:14 - 000004154 _____ C:\Users\Public\Desktop\README5.txt
  2017-09-27 14:14 - 2017-09-27 14:14 - 000004154 _____ C:\Users\Public\Desktop\README4.txt
  2017-09-27 14:14 - 2017-09-27 14:14 - 000004154 _____ C:\Users\Public\Desktop\README3.txt
  2017-09-27 14:14 - 2017-09-27 14:14 - 000004154 _____ C:\Users\Public\Desktop\README2.txt
  2017-09-27 14:14 - 2017-09-27 14:14 - 000004154 _____ C:\Users\Public\Desktop\README10.txt
  2017-09-27 14:14 - 2017-09-27 14:14 - 000004154 _____ C:\Users\Public\Desktop\README1.txt
  2017-09-27 14:14 - 2017-09-27 14:14 - 000004154 _____ C:\Users\DVN\Desktop\README9.txt
  2017-09-27 14:14 - 2017-09-27 14:14 - 000004154 _____ C:\Users\DVN\Desktop\README8.txt
  2017-09-27 14:14 - 2017-09-27 14:14 - 000004154 _____ C:\Users\DVN\Desktop\README7.txt
  2017-09-27 14:14 - 2017-09-27 14:14 - 000004154 _____ C:\Users\DVN\Desktop\README6.txt
  2017-09-27 14:14 - 2017-09-27 14:14 - 000004154 _____ C:\Users\DVN\Desktop\README5.txt
  2017-09-27 14:14 - 2017-09-27 14:14 - 000004154 _____ C:\Users\DVN\Desktop\README4.txt
  2017-09-27 14:14 - 2017-09-27 14:14 - 000004154 _____ C:\Users\DVN\Desktop\README3.txt
  2017-09-27 14:14 - 2017-09-27 14:14 - 000004154 _____ C:\Users\DVN\Desktop\README2.txt
  2017-09-27 14:14 - 2017-09-27 14:14 - 000004154 _____ C:\Users\DVN\Desktop\README10.txt
  2017-09-27 14:14 - 2017-09-27 14:14 - 000004154 _____ C:\Users\DVN\Desktop\README1.txt
  2017-09-27 14:07 - 2017-09-27 14:07 - 000004154 _____ C:\README9.txt
  2017-09-27 14:07 - 2017-09-27 14:07 - 000004154 _____ C:\README8.txt
  2017-09-27 14:07 - 2017-09-27 14:07 - 000004154 _____ C:\README7.txt
  2017-09-27 14:07 - 2017-09-27 14:07 - 000004154 _____ C:\README6.txt
  2017-09-27 14:07 - 2017-09-27 14:07 - 000004154 _____ C:\README5.txt
  2017-09-27 14:07 - 2017-09-27 14:07 - 000004154 _____ C:\README4.txt
  2017-09-27 14:07 - 2017-09-27 14:07 - 000004154 _____ C:\README3.txt
  2017-09-27 14:07 - 2017-09-27 14:07 - 000004154 _____ C:\README2.txt
  2017-09-27 14:07 - 2017-09-27 14:07 - 000004154 _____ C:\README10.txt
  2017-09-27 14:06 - 2017-09-28 15:05 - 000000000 __SHD C:\ProgramData\Windows
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

 

[Юлия Чудайкина]

вложено

Fixlog.txt

[regist]

Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Выполните рекомендации после лечения.
 

[Юлия Чудайкина]

Скрипт выполнен без ошибок!

Спасибо большое за помощь