шифровальщик scarabey

[max0r]

Добрый день! Был заражен компьютер шифровальщиком scarabey. Высылаю лог программы RSIT 

 

CollectionLog-01.22.2018-2.rar

CollectionLog-01.22.2018-2.rar

[Sandor]

Здравствуйте!

 

Порядок оформления запроса о помощи

 

Без специального указания ничего перепаковывать не нужно.

 

Текстовый файл "Инструкция по расшифровке.TXT" (или подобный) вместе с парой зашифрованных документов упакуйте в архив и тоже прикрепите к следующему сообщению.

[max0r]

Высылаю архив, посмотрите пожалуйста

[Sandor]

Кнопку "Загрузить" не нажали вероятно.

[max0r]

да тут меня во время прикрепления ошарашили, у друга ребенок будет))

Инструкция по расшифровке.rar

[Sandor]

Читаем Правила вместе:

 

Запустите файл AutoLogger.exe и следуйте выводимым рекомендациям. Дождитесь окончания работы автоматического сборщика логов. В папке AutoLogger, расположенной там же, куда Вы ранее распаковали архив, будет находиться zip-архив с собранными логами - CollectionLog-yyyy.mm.dd-hh.mm.zip, где yyyy.mm.dd-hh.mm - дата и время запуска сканирования. Например: CollectionLog-2014.07.14-21.04.zip

[max0r]

Готово

CollectionLog-2018.01.22-15.58.zip

[Sandor]

К сожалению, расшифровки пока нет.

 

Логи FRST - Windows Server 2012, а CollectionLog - Windows 7 (Ultimate)

 

С разных компьютеров?

[max0r]

В одной сети, разные компьютеры

[Sandor]

Одна тема - один компьютер.

 

На том же, с которого CollectionLog, соберите логи FRST:

 

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[max0r]

Отчет 

unifi.rar

[Sandor]

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CreateRestorePoint:
  HKLM-x32\...\RunOnce: [{87C5A6C7-FD39-43F2-A683-EA04F5C1DF5E}] => cmd.exe /C start /D "C:\Users\admin\AppData\Local\Temp" /B {87C5A6C7-FD39-43F2-A683-EA04F5C1DF5E}.cmd
  2018-01-15 16:39 - 2018-01-15 17:48 - 000003676 _____ C:\Users\test\Desktop\Инструкция по расшифровке.TXT
  2018-01-15 16:39 - 2018-01-15 16:39 - 000003853 _____ C:\Users\test\Desktop\Инструкция по расшифровке.TXT.scarab
  2018-01-15 16:39 - 2018-01-15 16:39 - 000003676 _____ C:\Users\test\Downloads\Инструкция по расшифровке.TXT
  2018-01-15 16:39 - 2018-01-15 16:39 - 000003676 _____ C:\Users\test\Documents\Инструкция по расшифровке.TXT
  2018-01-15 16:38 - 2018-01-15 17:48 - 000003676 _____ C:\Users\test\Инструкция по расшифровке.TXT
  2018-01-15 16:38 - 2018-01-15 16:38 - 000003853 _____ C:\Users\test\Инструкция по расшифровке.TXT.scarab
  2018-01-15 16:38 - 2018-01-15 16:38 - 000003676 _____ C:\Users\rdp\Инструкция по расшифровке.TXT
  2018-01-15 16:38 - 2018-01-15 16:38 - 000003676 _____ C:\Users\rdp\Downloads\Инструкция по расшифровке.TXT
  2018-01-15 16:38 - 2018-01-15 16:38 - 000003676 _____ C:\Users\rdp\Documents\Инструкция по расшифровке.TXT
  2018-01-15 16:38 - 2018-01-15 16:38 - 000003676 _____ C:\Users\rdp\Desktop\Инструкция по расшифровке.TXT
  2018-01-15 16:38 - 2018-01-15 16:38 - 000003676 _____ C:\Users\Public\Инструкция по расшифровке.TXT
  2018-01-15 16:38 - 2018-01-15 16:38 - 000003676 _____ C:\Users\Public\Downloads\Инструкция по расшифровке.TXT
  2018-01-15 16:38 - 2018-01-15 16:38 - 000003676 _____ C:\Users\Public\Documents\Инструкция по расшифровке.TXT
  2018-01-15 16:37 - 2018-01-15 16:37 - 000003853 _____ C:\Users\pp\Инструкция по расшифровке.TXT.scarab
  2018-01-15 16:37 - 2018-01-15 16:37 - 000003676 _____ C:\Users\pp\Инструкция по расшифровке.TXT
  2018-01-15 16:37 - 2018-01-15 16:37 - 000003676 _____ C:\Users\pp\Downloads\Инструкция по расшифровке.TXT
  2018-01-15 16:37 - 2018-01-15 16:37 - 000003676 _____ C:\Users\pp\Documents\Инструкция по расшифровке.TXT
  2018-01-15 16:37 - 2018-01-15 16:37 - 000003676 _____ C:\Users\pp\Desktop\Инструкция по расшифровке.TXT
  2018-01-15 16:34 - 2018-01-15 16:34 - 000003853 _____ C:\Users\admin\Инструкция по расшифровке.TXT.scarab
  2018-01-15 16:34 - 2018-01-15 16:34 - 000003676 _____ C:\Users\admin\Инструкция по расшифровке.TXT
  2018-01-15 16:34 - 2018-01-15 16:34 - 000003676 _____ C:\Users\admin\Downloads\Инструкция по расшифровке.TXT
  2018-01-15 16:34 - 2018-01-15 16:34 - 000003676 _____ C:\Users\admin\Documents\Инструкция по расшифровке.TXT
  2018-01-15 16:34 - 2018-01-15 16:34 - 000003676 _____ C:\Users\admin\Desktop\Инструкция по расшифровке.TXT
  2018-01-15 16:33 - 2018-01-15 16:33 - 000003676 _____ C:\Users\Инструкция по расшифровке.TXT
  2018-01-15 16:32 - 2018-01-15 16:32 - 000003676 _____ C:\Инструкция по расшифровке.TXT
  2018-01-15 16:19 - 2018-01-15 16:19 - 000000000 ____D C:\Windows\HhSm
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

[max0r]

готово

Fixlog.txt

[Sandor]

На этом (на текущем ПК) все. Если нужно проверить другой, соберите стандартные логи и создайте отдельную тему.

 

Здесь проверьте уязвимые места:

Выполните скрипт в AVZ при наличии доступа в интернет:

 

var
LogPath : string;
ScriptPath : string;
begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';
  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить.

В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

 

Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления (если таковые будут).

Перезагрузите компьютер.

Снова выполните этот скрипт и убедитесь, что уязвимости устранены.