Перейти к содержанию

WnCry на сервере

mcko
 Поделиться

Рекомендуемые сообщения

mcko

mcko

Опубликовано
Опубликовано

Заразился старый файловый сервер и через смонтированные сетевые диски заразился соседний файловый сервер. Предположительно из под администраторской учетной записи. Прикладываю лог и образцы зашифрованных данных с предполагаемого источника заражения.

Посодействуйте, пожалуйста, в расшифровке и удалении угрозы.

Files.zip

CollectionLog-2017.11.28-10.06.zip

Sandor

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 TerminateProcessByName('c:\windows\hhsm\svhosts.exe');
 StopService('AdobeFlashPlayerHash');
 QuarantineFile('C:\Users\rykov\AppData\Roaming\guide.exe', '');
 QuarantineFile('C:\Users\rykov\Как расшифровать данные.TXT', '');
 QuarantineFile('c:\windows\hhsm\svhosts.exe', '');
 DeleteFile('C:\Users\rykov\AppData\Roaming\guide.exe', '32');
 DeleteFile('C:\Users\rykov\Как расшифровать данные.TXT', '32');
 DeleteFile('c:\windows\hhsm\svhosts.exe', '32');
 DeleteService('AdobeFlashPlayerHash');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', '{083B6F1B-0E70-B2F8-6920-02F7A10E7046}');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\RunOnce', '{083B6F1B-0E70-B2F8-6920-02F7A10E7046}');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(20);
end.
Пожалуйста, перезагрузите компьютер вручную.

 

 

 

 

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

 

Поищите пару - зашифрованный и его не зашифрованный оригинал (ищите такой в резервных копиях, на других ПК, в почте и т.п.)

Упакуйте в архив и тоже прикрепите к следующему сообщению.

Sandor

Sandor

Опубликовано
Опубликовано

Полученный ответ сообщите здесь (с указанием номера KLAN)

И желательно с пояснениями по файлам.

 

Далее:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

 

(В предыдущем сообщении я поторопился, виноват :))

mcko

mcko

Опубликовано
  • Автор
Опубликовано

Итак FRST отработал, результаты прилагаю в одноименном архиве.

Вот что пришло с newvirus@kaspersky.com:

 

"[KLAN-7234075495]

В антивирусных базах информация по присланным вами файлам отсутствует:
Как расшифровать данные.TXT

В следующих файлах обнаружен вредоносный код:
svhosts.exe - HEUR:Trojan.Win32.Blouiroet.gen

Файлы переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте."


Не совсем понял, какие пояснения по файлам требуются.

Sandor

Sandor

Опубликовано
Опубликовано

Вы их уже процитировали, спасибо.

 

Теперь жду

отчеты FRST.txt, Addition.txt, Shortcut.txt

mcko

mcko

Опубликовано
  • Автор
Опубликовано (изменено)

Вы их уже процитировали, спасибо.

 

Теперь жду

отчеты FRST.txt, Addition.txt, Shortcut.txt

Мне казалось я прикладывал их в архиве FRST.zip

Изменено пользователем mcko
Sandor

Sandor

Опубликовано
Опубликовано

Возможно не нажали кнопку "Загрузить"

Sandor

Sandor

Опубликовано
Опубликовано

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
2017-11-27 15:32 - 2017-11-28 11:32 - 000000000 ____D C:\Program Files\Reimage
2017-11-27 15:30 - 2017-11-27 11:31 - 000605424 _____ (Reimage) C:\ReimageRepair.exe
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Администратор\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Администратор\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\userdata\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\userdata\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\rykov\Downloads\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Public\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\mcko\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\mcko.MCKO\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\mcko.MCKO\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\mamaev\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\mamaev\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\KlScSvc\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\KlScSvc\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\KlScSvc.S-PS\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\KlScSvc.S-PS\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\KL-AK-EF6B276D476A83\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\KL-AK-EF6B276D476A83\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\KL-AK-D1972BC75CC16C\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\KL-AK-D1972BC75CC16C\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\kav\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\kav\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Default\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Default\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Default User\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Classic .NET AppPool\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Classic .NET AppPool\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\chenin\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\chenin\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Administrator\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Administrator\Downloads\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Administrator\Desktop\Как расшифровать данные.TXT
2017-11-27 06:04 - 2017-11-27 06:04 - 000006238 _____ C:\Как расшифровать данные.TXT
2017-11-27 06:03 - 2017-11-28 11:22 - 000000000 ____D C:\Windows\HhSm
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Перезагрузите компьютер вручную.

 

Подробнее читайте в этом руководстве.

mcko

mcko

Опубликовано
  • Автор
Опубликовано

 

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
2017-11-27 15:32 - 2017-11-28 11:32 - 000000000 ____D C:\Program Files\Reimage
2017-11-27 15:30 - 2017-11-27 11:31 - 000605424 _____ (Reimage) C:\ReimageRepair.exe
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Администратор\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Администратор\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\userdata\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\userdata\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\rykov\Downloads\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Public\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\mcko\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\mcko.MCKO\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\mcko.MCKO\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\mamaev\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\mamaev\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\KlScSvc\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\KlScSvc\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\KlScSvc.S-PS\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\KlScSvc.S-PS\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\KL-AK-EF6B276D476A83\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\KL-AK-EF6B276D476A83\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\KL-AK-D1972BC75CC16C\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\KL-AK-D1972BC75CC16C\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\kav\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\kav\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Default\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Default\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Default User\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Classic .NET AppPool\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Classic .NET AppPool\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\chenin\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\chenin\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Administrator\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Administrator\Downloads\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Administrator\Desktop\Как расшифровать данные.TXT
2017-11-27 06:04 - 2017-11-27 06:04 - 000006238 _____ C:\Как расшифровать данные.TXT
2017-11-27 06:03 - 2017-11-28 11:22 - 000000000 ____D C:\Windows\HhSm
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Перезагрузите компьютер вручную.

 

Подробнее читайте в этом руководстве.

 

Код выполнять в AVZ?

Sandor

Sandor

Опубликовано
Опубликовано

Нет:

Скопируйте выделенный текст (правой кнопкой - Копировать). Запустите FRST (FRST64) от имени администратора. Нажмите Fix один раз (!) и подождите.

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • StVladislav
      wncry восстановление
      Автор StVladislav
      Принесли ноут, из объяснения  "лежал несколько лет, включили там вирус" при запуске увидел окно wana decrypt0r 2.0.
      Что делал:
      - В командной строке от имени администратора "netsh advfirewall firewall addrule dir=in action= blockprotocol=tcp localport=445 name="Block_TCP-445"
      - Убрал галку в автозагрузке.
      - В безопасном режиме удалил скрытую папку в programdata.
      - Почистил папку TEMP.
      - Просканировал с помощью cureit, нашел два файлика и удалил.
      - Просканировал RansomRecovery, не помогло.
      - ShadowExplorer файлов восстановления нет.
       
      Итого имеем множество зашифрованных файлов wncry.
       
      CollectionLog-2018.11.03-15.27.zip
    • dimaflash
      файлы .wncry
      Автор dimaflash
      Здравствуйте. Больше года назад, в мае попал под атаку вируса WannaCry. Вирус поел все мои файлы и папки на рабочем столе. После этого я пропатчил операционку(лицензионная вин7 про х64), расшифровку с заражёнными файлами решил отложить на потом.
       
      Собственно, прошу помощи с расшифровкой. Вирус атаковал рабочий стол и на нём же остановил свою деятельность. С тех пор никаким атакам комп более не подвергался, винда и антивирь регулярно обновляются. 
       
      CollectionLog-2018.11.10-22.01.zip
    • JediMan
      Файлы зашифрованы WannaCry
      Автор JediMan
      Вчера заметил что к некоторым файлам присвоилось разрешение .WNCRY и они не запускаются, попробывал стереть это разрешение, но файлы все равно не работают( Даже не знаю что теперь делать, дескриптор найти не могу. А также у меня теперь зашифрованы файлы по разработке игры, с которыми я занимаюсь больше 2 месяцев. Надеюсь тут мне кто-то поможет. Также были зашифрованы фотографии из моего детства, которых нету больше нигде
      @Please_Read_Me@.txt
    • set2010
      Шифровальщик *.wncry
      Автор set2010
      Добрый день, та же проблема... помогите!!! пожалуйста!!! 

      Архив с логами
       
       

      Сообщение от модератора thyrex Перенесено из темы https://forum.kasperskyclub.ru/index.php?showtopic=57641 files.zip
    • edikn
      Зашифрованные файлы .wncry
      Автор edikn
      Добрый день! В прошлом году вирус зашифровал файлы с расширением .wncry. Посмотрите пожалуйста может сейчас уже возможно что-нибудь сделать. Спасибо.
      CollectionLog-2018.02.28-15.49.zip
×
×
  • Создать...