Перейти к содержанию

Шифровальщик bentleysali@india.com


Рекомендуемые сообщения

Зашифрованы данные на файловом сервере Win 2008 R2 . Антивируса на этой машине нет.
Файлы имеют вид - "C:\file_name.file_extension.{bentleysali@india.com}XX".
Сообщение от злоумышленников лежит в файле "how_to_back_files.html", в каждой папке(файл прикрепил).
Журналы ОС очищены.
 
 

Логи FRST

FRST.rar

how_to_back_files.rar

Изменено пользователем Anagramma
Ссылка на сообщение
Поделиться на другие сайты

Запуск утилиты wget в Планировщике заданий сами прописали?

 

Выполните скрипт в AVZ

begin
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
SetServiceStart('MailRuCloud', 4);
 DeleteService('MailRuCloud');
 TerminateProcessByName('C:\MailRuCloud\nssm.exe');
 QuarantineFile('C:\MailRuCloud\nssm.exe','');
 DeleteFile('C:\MailRuCloud\nssm.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.
  • Обратите внимание: перезагрузку компьютера нужно выполнить вручную.
Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN).

 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger, прикрепите к следующему сообщению НОВЫЕ логи.

Ссылка на сообщение
Поделиться на другие сайты

Спасибо за ответ, но судя по всему nssm это программа для создания службы из обычного GUI приложения https://nssm.cc/. Он запускал облако мэйла как службу.

Действительно нужно послать этот файл для анализа? wget, да сами создавали.

Ссылка на сообщение
Поделиться на другие сайты

Это GlobeImposter2 с высокой долей вероятности. Расшифровки нет.

 

C:\Users\Администратор\Documents\svchost.exe заархивируйте с паролем virus, выложите на dropmefiles.com и пришлите ссылку мне в личные сообщения.

Ссылка на сообщение
Поделиться на другие сайты

svchost.exe запаковал( вирус, да похоже. )

[скачал, удалил]

Из под учетки Администратор локального шифровщик похоже и работал

 

 

эх, жаль

Изменено пользователем thyrex
Ссылка на сообщение
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
×
×
  • Создать...