Перейти к содержанию

Рекомендуемые сообщения

поймали письмо счастья. после чего все файлы зашифровались с расширением crypted000007

AutoLogger.rar

CollectionLog-2017.12.12-18.04.zip

Ссылка на сообщение
Поделиться на другие сайты

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantineEx(true);
 TerminateProcessByName('c:\documents and settings\all users\application data\csrss\csrss.exe');
 TerminateProcessByName('c:\documents and settings\all users\application data\drivers\csrss.exe');
 TerminateProcessByName('c:\documents and settings\all users\application data\windows\csrss.exe');
 StopService('4F9788F23BB93138');
 StopService('4F97B72A2EE9A3B8');
 StopService('66A8061F0');
 StopService('C42908A');
 QuarantineFile('c:\documents and settings\all users\application data\csrss\csrss.exe', '');
 QuarantineFile('c:\documents and settings\all users\application data\drivers\csrss.exe', '');
 QuarantineFile('c:\documents and settings\all users\application data\windows\csrss.exe', '');
 QuarantineFile('C:\WINDOWS\Temp\66A8061F0.sys', '');
 QuarantineFile('C:\WINDOWS\TEMP\785C3B3.sys', '');
 QuarantineFile('C:\WINDOWS\TEMP\8906D15.sys', '');
 QuarantineFile('C:\WINDOWS\TEMP\C42908A.sys', '');
 QuarantineFileF('c:\documents and settings\all users\application data\csrss\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('c:\documents and settings\all users\application data\drivers\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 DeleteFile('c:\documents and settings\all users\application data\csrss\csrss.exe', '32');
 DeleteFile('c:\documents and settings\all users\application data\drivers\csrss.exe', '32');
 DeleteFile('c:\documents and settings\all users\application data\windows\csrss.exe', '32');
 DeleteFile('C:\WINDOWS\Temp\66A8061F0.sys', '32');
 DeleteFile('C:\WINDOWS\TEMP\785C3B3.sys', '32');
 DeleteFile('C:\WINDOWS\TEMP\8906D15.sys', '32');
 DeleteFile('C:\WINDOWS\TEMP\C42908A.sys', '32');
 DeleteService('4F9788F23BB93138');
 DeleteService('4F97B72A2EE9A3B8');
 DeleteService('66A8061F0');
 DeleteService('C42908A');
 DeleteFileMask('c:\documents and settings\all users\application data\csrss\', '*', true);
 DeleteFileMask('c:\documents and settings\all users\application data\drivers\', '*', true);
 DeleteDirectory('c:\documents and settings\all users\application data\csrss\');
 DeleteDirectory('c:\documents and settings\all users\application data\drivers\');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Client Server Runtime Subsystem');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'CSRSS');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'NetworkSubsystem');
BC_ImportALL;
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:


begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

 - Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)

 

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Java 7 Update 25 [20130806]-->MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83217025FF}

это устаревшая версия JAVA, деинсталируйте её.

Кнопка "Яндекс" на панели задач [2016/09/12 15:57:13]-->C:\Documents and Settings\User\Local Settings\Application Data\Yandex\YaPin\YandexWorking.exe --uninstall --nopinned
Элементы Яндекса 8.4 для Internet Explorer [20140923]-->MsiExec.exe /X{B9C3392F-76A5-4130-B60B-4D9C0B03E6C8}

если не используете, то тоже деинсталируйте.

 
Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.
 

Изменено пользователем regist
Ссылка на сообщение
Поделиться на другие сайты

KLAN-7328846478


Благодарим за обращение в Антивирусную Лабораторию

Присланные вами файлы были проверены в автоматическом режиме.

В следующих файлах обнаружен вредоносный код:
csrss.exe - Trojan.Win32.Agent.nevnwq
csrss_0.exe - Trojan.Win32.Agent.nezeod
csrss_1.exe - Trojan-Ransom.Win32.Shade.olu

Файлы переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.

Это сообщение сформировано автоматической системой обработки писем. Пожалуйста, не отвечайте на него.

Антивирусная Лаборатория, Kaspersky Lab HQ

"Ленинградское шоссе 39A/3, Москва, 125212, Russia
Телефон/Факс: + 7 (495) 797 8700 
http://www.kaspersky.com https://www.securelist.com"

CollectionLog-2017.12.13-08.37.zip

Ссылка на сообщение
Поделиться на другие сайты

1)

 

 - Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.
 

жду ссылку на отчёт.

 

2)

AusLogics BoostSpeed 5.1.1.0 [2012/09/13 17:00:23]-->C:\Program Files\AusLogics\AusLogics BoostSpeed\Uninstall.exe

Это нежелательная программа, деинсталируйте её.

 

3) Какой антивирус у вас сейчас стоит? Вижу хвосты и от McAfee и от Kaspersky Anti-Virus 15. Но в установленных не вижу ни одного.

Удалите хвосты от обоих по этой инструкции Чистка системы после некорректного удаления антивируса.

Затем установите актуальную версию антивируса.

 

4) "Пофиксите" в HijackThis (некоторые строки могут отсутствовать):

O2 - HKLM\..\BHO: (no name) - {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} - (no file)
O2 - HKLM\..\BHO: (no name) - {d9f16d8b-81b5-4667-af4d-25365bbf7fc9} - (no file)
O3 - HKCU\..\Toolbar: (no name) - {710EB7A1-45ED-11D0-924A-0020AFC7AC4D} - (no file)
O3 - HKU\.DEFAULT\..\Toolbar: (no name) - {710EB7A1-45ED-11D0-924A-0020AFC7AC4D} - (no file)
O3 - HKU\S-1-5-19\..\Toolbar: (no name) - {710EB7A1-45ED-11D0-924A-0020AFC7AC4D} - (no file)
O3 - HKU\S-1-5-20\..\Toolbar: (no name) - {710EB7A1-45ED-11D0-924A-0020AFC7AC4D} - (no file)
O4 - HKCU\..\RunOnce: [ClearTemp] del C:\windows\Temp\yupdate.exe-{39481A57-6D70-4803-8FCD-C205703C7E83} (file missing)
O4 - HKCU\..\RunOnce: [Suicide] C:\Documents and Settings\User\Local Settings\Application Data\Yandex\Updater\show-dlg.exe.bcp --del (file missing)

 

5) Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Ссылка на сообщение
Поделиться на другие сайты
  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Start::
    CreateRestorePoint:
    GroupPolicy: Restriction ? <==== ATTENTION
    GroupPolicy\User: Restriction ? <==== ATTENTION
    CHR HKU\S-1-5-21-2025429265-1715567821-1801674531-1004\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
    HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <==== ATTENTION
    CHR HKLM\...\Chrome\Extension: [hcncjpganfocbfoenaemagjjopkkindp] - <no Path/update_url>
    2017-12-08 12:49 - 2017-12-08 12:49 - 003148854 _____ C:\Documents and Settings\User\Application Data\4E2064304E206430.bmp
    2017-12-08 12:43 - 2017-12-08 12:43 - 000004178 _____ C:\Documents and Settings\User\Рабочий стол\README9.txt
    2017-12-08 12:43 - 2017-12-08 12:43 - 000004178 _____ C:\Documents and Settings\User\Рабочий стол\README8.txt
    2017-12-08 12:43 - 2017-12-08 12:43 - 000004178 _____ C:\Documents and Settings\User\Рабочий стол\README7.txt
    2017-12-08 12:43 - 2017-12-08 12:43 - 000004178 _____ C:\Documents and Settings\User\Рабочий стол\README6.txt
    2017-12-08 12:43 - 2017-12-08 12:43 - 000004178 _____ C:\Documents and Settings\User\Рабочий стол\README5.txt
    2017-12-08 12:43 - 2017-12-08 12:43 - 000004178 _____ C:\Documents and Settings\User\Рабочий стол\README4.txt
    2017-12-08 12:43 - 2017-12-08 12:43 - 000004178 _____ C:\Documents and Settings\User\Рабочий стол\README3.txt
    2017-12-08 12:43 - 2017-12-08 12:43 - 000004178 _____ C:\Documents and Settings\User\Рабочий стол\README2.txt
    2017-12-08 12:43 - 2017-12-08 12:43 - 000004178 _____ C:\Documents and Settings\User\Рабочий стол\README1.txt
    2017-12-08 12:43 - 2017-12-08 12:43 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README9.txt
    2017-12-08 12:43 - 2017-12-08 12:43 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README8.txt
    2017-12-08 12:43 - 2017-12-08 12:43 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README7.txt
    2017-12-08 12:43 - 2017-12-08 12:43 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README6.txt
    2017-12-08 12:43 - 2017-12-08 12:43 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README5.txt
    2017-12-08 12:43 - 2017-12-08 12:43 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README4.txt
    2017-12-08 12:43 - 2017-12-08 12:43 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README3.txt
    2017-12-08 12:43 - 2017-12-08 12:43 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README2.txt
    2017-12-08 12:43 - 2017-12-08 12:43 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README10.txt
    2017-12-08 12:43 - 2017-12-08 12:43 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README1.txt
    2017-12-08 08:21 - 2017-12-08 08:21 - 000004178 _____ C:\README9.txt
    2017-12-08 08:21 - 2017-12-08 08:21 - 000004178 _____ C:\README8.txt
    2017-12-08 08:21 - 2017-12-08 08:21 - 000004178 _____ C:\README7.txt
    2017-12-08 08:21 - 2017-12-08 08:21 - 000004178 _____ C:\README6.txt
    2017-12-08 08:21 - 2017-12-08 08:21 - 000004178 _____ C:\README5.txt
    2017-12-08 08:21 - 2017-12-08 08:21 - 000004178 _____ C:\README4.txt
    2017-12-08 08:21 - 2017-12-08 08:21 - 000004178 _____ C:\README3.txt
    2017-12-08 08:21 - 2017-12-08 08:21 - 000004178 _____ C:\README2.txt
    2017-12-08 08:21 - 2017-12-08 08:21 - 000004178 _____ C:\README10.txt
    Reboot:
    End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически.

 
Ссылка на сообщение
Поделиться на другие сайты

При наличии лицензии на любой из продуктов Касперского создайте запрос на расшифровку.
Но шансов очень мало.

 

+

Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Выполните рекомендации после лечения.
 
Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • От inaf
      Приветствую.
      Поймали шифровальщик, помогите расшифровать файлы
      Addition.txt
      FRST.txt
      YOUR FILES ARE ENCRYPTED.TXT
      душевая (6).docx
    • От asushnik
      День добрый! На компьютере был установлен платный антивирус Касперский Ендпоинт Секьюрити, но однако это не спасло от заражения. Шифровальщик просит отправить код на почту pilotpilot088@gmail.com, если возможно помогите расшифровать. Утилита adwcleaner показала что вирус pup.adware.heuristic с запланированной задачей и ключем в реестре.
      CollectionLog-2018.12.14-12.02.zip
    • От asushnik
      День добрый! На компьютере был установлен платный антивирус Касперский Ендпоинт Секьюрити, но однако это не спасло от заражения. Шифровальщик просит отправить код на почту pilotpilot088@gmail.com, если возможно помогите расшифровать. Утилита adwcleaner показала что вирус pup.adware.heuristic с запланированной задачей и ключем в реестре
    • От Alfred
      Здравствуйте!
      На почтовый ящик пришло письмо с зловредным ПО, по неосторожности было запущен этот зловредный скрипт. В результате все файлы на компьютере оказались зашифрованы, а также изменены их имена, а расширения изменились на ".crypted000007". Прилагаю файл протоколов логов. А так, еще имеется письмо со зловредным скриптом, если хотите могу отослать вам. Прошу помочь. Спасибо.
       
      С уважением, Алексей.
      CollectionLog-2018.11.30-15.52.zip
    • От ArtMaster7
      Вaшu файлы были зaшифрoвaны. Чmобы рaсшuфpоваmь их, Baм нeoбходимo оmправиmь kод: C98032928182E5D917B4|0 на элekтрoнный aдреc GraceseYoumans1983@gmail.com . Дaлее вы полyчиme вce необхoдuмые инсmрукции. Пoпытки рaсшифpoвaть самостoяmельнo нe привeдym нu k чeмy, крoме бeзвозвpатной пomеpи инфоpмaции. Еслu вы всё же xотиmе noпытатьcя, то пpедварuтeльно сдeлaйme pезepвные konuu файлов, uначе в cлучае их uзмeнeнuя paсшифpовka cтaнет невoзмoжной нu прu каkих услoвuях. Если вы нe пoлyчuли отвеma пo вышeyкaзанномy адpeсy в течение 48 часов (u тoлько в этом cлучае!), восnользуйтесь фоpмой обрaтнoй связи. Этo можно cделaть двyмя споcобaмu: 1) Скачайтe и усmaнoвumе Tor Browser no ccылкe: https://www.torproject.org/download/download-easy.html.en В адpecной cтpokе Tor Browser-a ввeдume aдpес: http://cryptsen7fo43rr6.onion/ u нажмиme Enter. 3arpyзитcя сmрaнuцa c фopмoй обрaтнoй cвязu. 2) B любoм браyзере nеpейдиmе nо oднoмy uз aдресoв: http://cryptsen7fo43rr6.onion.to/ http://cryptsen7fo43rr6.onion.cab/  
      Скажите, есть надежда или бессмысленно??? 
      CollectionLog-2016.09.21-13.36.zip
×
×
  • Создать...