Перейти к содержанию

Шифровальщик (.deryptme)

selfless
 Поделиться

Рекомендуемые сообщения

selfless Новичок

selfless

Опубликовано
Опубликовано (изменено)

Помогите почистить.

Полные логи не получаются из-за активного шифровальщика.

CollectionLog-2017.11.29-16.16.zip

Изменено пользователем selfless
Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 TerminateProcessByName('c:\users\Яковлева ЮВ\appdata\roaming\27_204.exe');
 QuarantineFile('c:\users\Яковлева ЮВ\appdata\roaming\27_204.exe','');
 DeleteFile('c:\users\Яковлева ЮВ\appdata\roaming\27_204.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','BrowserUpdateCheck');
 DeleteFile('C:\Program Files\Ticno\Multibar\multibar.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\multibar.exe','command');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-22892\s222h10.exe','32');
 DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-121921\inetb123.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
  • Обратите внимание: будет выполнена перезагрузка компьютера.
Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN).

 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger, прикрепите к следующему сообщению НОВЫЕ логи.

Ссылка на комментарий
Поделиться на другие сайты
selfless Новичок

selfless

Опубликовано
  • Автор
Опубликовано

KLAN-7241194987

 

Thank you for contacting Kaspersky Lab

The files have been scanned in automatic mode.

Malicious code has been detected in the following files:
27_204.exe - Trojan-Ransom.Win32.Purgen.aba

We will thoroughly analyze the files you sent. If the result of the analysis is different from this automatic scan result, you will be notified via email.

This is an automatically generated message. Please do not reply to it.

Anti-Virus Lab, Kaspersky Lab HQ

CollectionLog-2017.11.30-08.51.zip

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Скачайте ClearLNK и сохраните архив с утилитой на Рабочем столе.

1. Распакуйте архив с утилитой в отдельную папку.

2. Перенесите Check_Browsers_LNK.log из папки Autologger на ClearLNK как показано на рисунке

move.gif

3. Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.

4. Прикрепите этот отчет к своему следующему сообщению.

 

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3munStB.png

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Это GlobeImposter2. C расшифровкой помощь не сможем.

 

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
CHR HKLM\...\Chrome\Extension: [cncgohepihcekklokhbhiblhfcmipbdh] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [flliilndjeohchalpbbcdekjklbdgfkk] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [gehngeifmelphpllncobkmimphfkckne] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [iifchhfnnmpdbibifmljnfjhpififfog] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [jggbjbmnfmipgcanidamjfpechdeekoi] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [odijcgafkhpobjlnfdgiacpdenpmbgme] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [pmpoaahleccaibbhfjfimigepmfmmbbk] - hxxps://clients2.google.com/service/update2/crx
2017-11-27 15:41 - 2017-11-27 15:41 - 000004362 _____ C:\Program Files\how_to_back_files.html
2017-11-27 15:40 - 2017-11-27 15:40 - 000004362 _____ C:\Users\Public\how_to_back_files.html
2017-11-27 15:40 - 2017-11-27 15:40 - 000004362 _____ C:\Users\Public\Downloads\how_to_back_files.html
2017-11-27 15:40 - 2017-11-27 15:40 - 000004362 _____ C:\Users\Public\Documents\how_to_back_files.html
2017-11-27 15:40 - 2017-11-27 15:40 - 000004362 _____ C:\Users\Public\Desktop\how_to_back_files.html
2017-11-27 15:40 - 2017-11-27 15:40 - 000004362 _____ C:\Users\LanitOOS\how_to_back_files.html
2017-11-27 15:40 - 2017-11-27 15:40 - 000004362 _____ C:\Users\LanitOOS\Desktop\how_to_back_files.html
2017-11-27 15:40 - 2017-11-27 15:40 - 000004362 _____ C:\Users\Default\how_to_back_files.html
2017-11-27 15:37 - 2017-11-27 15:37 - 000004362 _____ C:\Users\Все пользователи\how_to_back_files.html
2017-11-27 15:37 - 2017-11-27 15:37 - 000004362 _____ C:\ProgramData\how_to_back_files.html
2017-11-27 15:29 - 2017-11-27 15:29 - 000004362 _____ C:\Users\Яковлев ДВ\AppData\Local\how_to_back_files.html
2017-11-27 15:26 - 2017-11-27 15:26 - 000004362 _____ C:\Users\Яковлев ДВ\Documents\how_to_back_files.html
2017-11-27 15:26 - 2017-11-27 15:26 - 000004362 _____ C:\Users\Яковлев ДВ\Desktop\how_to_back_files.html
2017-11-27 15:25 - 2017-11-27 15:25 - 000004362 _____ C:\Users\Яковлев ДВ\how_to_back_files.html
2017-11-27 15:25 - 2017-11-27 15:25 - 000004362 _____ C:\Users\Яковлев ДВ\Downloads\how_to_back_files.html
2017-11-27 15:00 - 2017-11-27 16:31 - 003128087 _____ C:\Users\Яковлева ЮВ\Downloads\школы декабрь.zip.deryptme
2017-11-27 14:37 - 2017-11-27 14:37 - 000004362 _____ C:\Users\Яковлева ЮВ\AppData\Local\how_to_back_files.html
2017-11-27 14:30 - 2017-11-27 14:30 - 000004362 _____ C:\Users\Яковлева ЮВ\AppData\Roaming\how_to_back_files.html
2017-11-27 14:20 - 2017-11-27 14:20 - 000004362 _____ C:\Users\Яковлева ЮВ\Documents\how_to_back_files.html
2017-11-27 14:20 - 2017-11-27 14:20 - 000004362 _____ C:\Users\Яковлева ЮВ\Desktop\how_to_back_files.html
2017-11-27 14:05 - 2017-11-27 14:05 - 000004362 _____ C:\Users\Яковлева ЮВ\how_to_back_files.html
2017-11-27 14:05 - 2017-11-27 14:05 - 000004362 _____ C:\Users\Яковлева ЮВ\Downloads\how_to_back_files.html
2017-11-27 14:05 - 2017-11-27 14:05 - 000004362 _____ C:\Users\how_to_back_files.html
CustomCLSID: HKU\S-1-5-21-2607099960-1532724781-2793934958-1000_Classes\CLSID\{C27CCE32-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-2607099960-1532724781-2793934958-1000_Classes\CLSID\{C27CCE33-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-2607099960-1532724781-2793934958-1000_Classes\CLSID\{C27CCE34-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-2607099960-1532724781-2793934958-1000_Classes\CLSID\{C27CCE35-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-2607099960-1532724781-2793934958-1000_Classes\CLSID\{C27CCE36-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-2607099960-1532724781-2793934958-1000_Classes\CLSID\{C27CCE37-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-2607099960-1532724781-2793934958-1000_Classes\CLSID\{C27CCE38-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-2607099960-1532724781-2793934958-1000_Classes\CLSID\{C27CCE39-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-2607099960-1532724781-2793934958-1000_Classes\CLSID\{C27CCE3A-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-2607099960-1532724781-2793934958-1000_Classes\CLSID\{C27CCE3B-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-2607099960-1532724781-2793934958-1000_Classes\CLSID\{C27CCE3C-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-2607099960-1532724781-2793934958-1000_Classes\CLSID\{C27CCE3D-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-2607099960-1532724781-2793934958-1000_Classes\CLSID\{C27CCE3E-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-2607099960-1532724781-2793934958-1000_Classes\CLSID\{C27CCE3F-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-2607099960-1532724781-2793934958-1000_Classes\CLSID\{C27CCE40-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-2607099960-1532724781-2793934958-1000_Classes\CLSID\{C27CCE41-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-2607099960-1532724781-2793934958-1000_Classes\CLSID\{C27CCE42-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
Reboot:
2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

  • Обратите внимание: будет выполнена перезагрузка компьютера.
  • Спасибо (+1) 1
Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Попробовать можно, но скорее всего результат будет отрицательным.

 

В любом случае, каким бы он ни был, сообщите, пожалуйста.

Ссылка на комментарий
Поделиться на другие сайты
  • 5 месяцев спустя...
selfless Новичок

selfless

Опубликовано
  • Автор
Опубликовано

Попробовать можно, но скорее всего результат будет отрицательным.

 

В любом случае, каким бы он ни был, сообщите, пожалуйста.

 

Спустя пять месяцев ответили, что расшифровка на текущий момент невозможна, но они продолжат работы по расшифровке.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Павел Ф.
      Шифровальщик KOZANOSTRA
      Автор Павел Ф.
      Виртуальную машину с открытым извне не стандартным рдп портом зашифровал вирус KOZANOSTRA. Был установлен антивирус kaspersku Endpoint Securitu. 
      Помогите с расшифровкой. Система под переустановку, нужны файлы и базы
    • valkovaleksandr
      Шифровальщик cyberfear
      Автор valkovaleksandr
      Добрый день! Просьба помочь с  Шифровальщик cyberfear.
      Вот такая фигня вылазит при открытии текстовиков:
      Hello my dear friend (Do not scan the files with antivirus in any case. In case of data loss, the consequences are yours)
      Your data is encrypted
      Your personal ID: *****sJm4WtmxxeX8*datastore@cyberfear.com
      Unfortunately for you, a major IT security weakness left you open to attack, your files have been encrypted
      The only method of recovering files is to purchase decrypt tool and unique key for you.
      If you want to recover your files, write us to this e-mail: datastore@cyberfear.com
      In case of no answer in 24 hours write us to this backup e-mail: back2up@swismail.com
      Check your e-mail "Spam" or "Junk" folder if you don't get answer more than 6 hours.
      Contact us soon, because those who don't have their data leaked in our press release blog and the price they'll have to pay will go up significantly.
      Attention!
      Do not rename encrypted files. 
      Do not try to decrypt your data using third party software - it may cause permanent data loss. 
      We are always ready to cooperate and find the best way to solve your problem. 
      The faster you write - the more favorable conditions will be for you. 
      Our company values its reputation. We give all guarantees of your files decryption.
      FRST.txt Addition.txt README_SOLVETHIS.txt Привет.docx Текстовый документ.txt
       
      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.
    • Caine
      Шифровальщик KOZANOSTRA
      Автор Caine
      Добрый день.  
      Поймал шифровальщика KOZANOSTRA. На ПК был открыт RDP.  Прошу помощи в расшифровке данных
    • AlexYarm
      Вирус-шифровальщик Hardbit4
      Автор AlexYarm
      Зашифровались файлы. Расширение файлов hardbit4. Прилагаю необходимые архивы. Прошу помочь с расшифровкой.
      Hardbit4Virus.zip
    • vasia15
      вирус похож на шифровальщик
      Автор vasia15
      вирус блокирует возможность скачать антивирус,все программы заполняет кракозябрами,установить нет возможности.прошу помощи.сам не справляюсь.
×
×
  • Создать...