Перейти к содержанию
19 лет клубу! Встречаемся в офисе «Лаборатории Касперского»

Шифровальшик Trojan-Ransom.Win32.Agent

рсн
 Поделиться

Рекомендуемые сообщения

рсн

рсн

Опубликовано
Опубликовано

Поймали на сервер шифровальщик. в техподдержке определили как Trojan-Ransom.Win32.Agent.

Помогите удалить записи с ним ( сервер отключили от сети), тк надо переустанавливать программы.

шифровальшик с требованием выплатить для расшифровки бит-коин в размере 0,4 на адрес

frenkmoddy@tuta.io. На сервере и локалках стоит лицензионный Касперский

файлы имеют расширение rapid. зашифровало как документы там и другие типы файлов.

Прогнал FRST сканирование. 

 

FRST.txt

Addition.txt

Ссылка на комментарий
Поделиться на другие сайты
Sandor

Sandor

Опубликовано
Опубликовано

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteRepair(9);
end.
Пожалуйста, перезагрузите компьютер вручную.

 

 

Смените пароль на RDP.

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Прикрепите к следующему сообщению свежий CollectionLog.

Ссылка на комментарий
Поделиться на другие сайты
Sandor

Sandor

Опубликовано
Опубликовано

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
IFEO\Utilman.exe: [Debugger] cmd.exe
2018-01-23 22:48 - 2018-01-23 22:48 - 000000112 _____ C:\Users\Public\How Recovery Files.txt
2018-01-23 22:48 - 2018-01-23 22:48 - 000000112 _____ C:\Users\Public\Downloads\How Recovery Files.txt
2018-01-23 22:48 - 2018-01-23 22:48 - 000000112 _____ C:\Users\Public\Documents\How Recovery Files.txt
2018-01-23 22:48 - 2018-01-23 22:48 - 000000112 _____ C:\Users\Public\Desktop\How Recovery Files.txt
2018-01-23 22:48 - 2018-01-23 22:48 - 000000112 _____ C:\Users\KlScSvc\How Recovery Files.txt
2018-01-23 22:48 - 2018-01-23 22:48 - 000000112 _____ C:\Users\KlScSvc\Documents\How Recovery Files.txt
2018-01-23 22:48 - 2018-01-23 22:48 - 000000112 _____ C:\Users\KL-AK-5CCF2EAEF1A144\How Recovery Files.txt
2018-01-23 22:48 - 2018-01-23 22:48 - 000000112 _____ C:\Users\KL-AK-5CCF2EAEF1A144\Documents\How Recovery Files.txt
2018-01-23 22:48 - 2018-01-23 22:48 - 000000112 _____ C:\Users\KL-AK-5CCF2EAEF1A144\AppData\Local\Temp\How Recovery Files.txt
2018-01-23 22:48 - 2018-01-23 22:48 - 000000112 _____ C:\Users\KL-AK-0\How Recovery Files.txt
2018-01-23 22:48 - 2018-01-23 22:48 - 000000112 _____ C:\Users\KL-AK-0\Documents\How Recovery Files.txt
2018-01-23 22:48 - 2018-01-23 22:48 - 000000112 _____ C:\Users\How Recovery Files.txt
2018-01-23 22:48 - 2018-01-23 22:48 - 000000112 _____ C:\Users\Default\How Recovery Files.txt
2018-01-23 22:48 - 2018-01-23 22:48 - 000000112 _____ C:\Users\Default\Documents\How Recovery Files.txt
2018-01-23 22:48 - 2018-01-23 22:48 - 000000112 _____ C:\Users\Default User\Documents\How Recovery Files.txt
2018-01-23 22:48 - 2018-01-23 22:48 - 000000112 _____ C:\Users\baurinaayu\How Recovery Files.txt
2018-01-23 22:48 - 2018-01-23 22:48 - 000000112 _____ C:\Users\baurinaayu\Downloads\How Recovery Files.txt
2018-01-23 22:48 - 2018-01-23 22:48 - 000000112 _____ C:\Users\baurinaayu\Documents\How Recovery Files.txt
2018-01-23 22:48 - 2018-01-23 22:48 - 000000112 _____ C:\Users\baurinaayu\Desktop\How Recovery Files.txt
2018-01-23 22:47 - 2018-01-23 22:47 - 000000112 _____ C:\Users\sbis\Documents\How Recovery Files.txt
2018-01-23 22:47 - 2018-01-23 22:47 - 000000112 _____ C:\Users\sbis\Desktop\How Recovery Files.txt
2018-01-23 22:47 - 2018-01-23 22:47 - 000000112 _____ C:\Users\sbis\AppData\Local\Temp\How Recovery Files.txt
2018-01-23 22:46 - 2018-01-23 22:47 - 000000112 _____ C:\Users\Администратор\Downloads\How Recovery Files.txt
2018-01-23 22:46 - 2018-01-23 22:47 - 000000112 _____ C:\Users\Администратор\AppData\Local\Temp\How Recovery Files.txt
2018-01-23 22:46 - 2018-01-23 22:47 - 000000112 _____ C:\Users\tadmin\Downloads\How Recovery Files.txt
2018-01-23 22:46 - 2018-01-23 22:46 - 000000112 _____ C:\Users\Администратор\How Recovery Files.txt
2018-01-23 22:46 - 2018-01-23 22:46 - 000000112 _____ C:\Users\Администратор\Documents\How Recovery Files.txt
2018-01-23 22:46 - 2018-01-23 22:46 - 000000112 _____ C:\Users\Администратор\Desktop\How Recovery Files.txt
2018-01-23 22:46 - 2018-01-23 22:46 - 000000112 _____ C:\Users\Администратор.DOMAIN\Desktop\How Recovery Files.txt
2018-01-23 22:46 - 2018-01-23 22:46 - 000000112 _____ C:\Users\Администратор.DOMAIN\AppData\Local\Temp\How Recovery Files.txt
2018-01-23 22:46 - 2018-01-23 22:46 - 000000112 _____ C:\Users\tadmin\How Recovery Files.txt
2018-01-23 22:46 - 2018-01-23 22:46 - 000000112 _____ C:\Users\tadmin\Documents\How Recovery Files.txt
2018-01-23 22:46 - 2018-01-23 22:46 - 000000112 _____ C:\Users\tadmin\Desktop\How Recovery Files.txt
2018-01-23 22:46 - 2018-01-23 22:46 - 000000112 _____ C:\Users\tadmin\AppData\Roaming\How Recovery Files.txt
2018-01-23 22:46 - 2018-01-23 22:46 - 000000112 _____ C:\Users\sbis\How Recovery Files.txt
2018-01-23 22:46 - 2018-01-23 22:46 - 000000112 _____ C:\Users\sbis\Downloads\How Recovery Files.txt
2018-01-23 22:45 - 2018-01-23 22:45 - 000000112 _____ C:\Users\Администратор.DOMAIN\How Recovery Files.txt
2018-01-23 22:45 - 2018-01-23 22:45 - 000000112 _____ C:\Users\Администратор.DOMAIN\Downloads\How Recovery Files.txt
2018-01-23 22:45 - 2018-01-23 22:45 - 000000112 _____ C:\Users\Администратор.DOMAIN\Documents\How Recovery Files.txt
2018-01-23 22:42 - 2018-01-23 22:44 - 000000112 _____ C:\Program Files\How Recovery Files.txt
2018-01-23 22:42 - 2018-01-23 22:44 - 000000112 _____ C:\Program Files (x86)\How Recovery Files.txt
2018-01-23 22:34 - 2018-01-23 22:34 - 000000112 _____ C:\Users\сбис\How Recovery Files.txt
2018-01-23 22:34 - 2018-01-23 22:34 - 000000112 _____ C:\Users\сбис\Downloads\How Recovery Files.txt
2018-01-23 22:34 - 2018-01-23 22:34 - 000000112 _____ C:\Users\сбис\Documents\How Recovery Files.txt
2018-01-23 22:34 - 2018-01-23 22:34 - 000000112 _____ C:\Users\сбис\Desktop\How Recovery Files.txt
2018-01-23 22:34 - 2018-01-23 22:34 - 000000112 _____ C:\Users\консультант\How Recovery Files.txt
2018-01-23 22:34 - 2018-01-23 22:34 - 000000112 _____ C:\Users\консультант\Downloads\How Recovery Files.txt
2018-01-23 22:34 - 2018-01-23 22:34 - 000000112 _____ C:\Users\консультант\Documents\How Recovery Files.txt
2018-01-23 22:34 - 2018-01-23 22:34 - 000000112 _____ C:\Users\консультант\Desktop\How Recovery Files.txt
2018-01-23 22:34 - 2018-01-23 22:34 - 000000112 _____ C:\Users\консультант\AppData\Local\Temp\How Recovery Files.txt
2018-01-23 22:34 - 2018-01-23 22:34 - 000000112 _____ C:\Users\к3\How Recovery Files.txt
2018-01-23 22:34 - 2018-01-23 22:34 - 000000112 _____ C:\Users\к3\Downloads\How Recovery Files.txt
2018-01-23 22:34 - 2018-01-23 22:34 - 000000112 _____ C:\Users\к3\Documents\How Recovery Files.txt
2018-01-23 22:34 - 2018-01-23 22:34 - 000000112 _____ C:\Users\к3\Desktop\How Recovery Files.txt
2018-01-23 22:34 - 2018-01-23 22:34 - 000000112 _____ C:\Users\к2\How Recovery Files.txt
2018-01-23 22:34 - 2018-01-23 22:34 - 000000112 _____ C:\Users\к2\Downloads\How Recovery Files.txt
2018-01-23 22:34 - 2018-01-23 22:34 - 000000112 _____ C:\Users\к2\Documents\How Recovery Files.txt
2018-01-23 22:34 - 2018-01-23 22:34 - 000000112 _____ C:\Users\к2\Desktop\How Recovery Files.txt
2018-01-23 22:34 - 2018-01-23 22:34 - 000000112 _____ C:\Users\к1\How Recovery Files.txt
2018-01-23 22:34 - 2018-01-23 22:34 - 000000112 _____ C:\Users\к1\Downloads\How Recovery Files.txt
2018-01-23 22:34 - 2018-01-23 22:34 - 000000112 _____ C:\Users\к1\Documents\How Recovery Files.txt
2018-01-23 22:34 - 2018-01-23 22:34 - 000000112 _____ C:\Users\к1\Desktop\How Recovery Files.txt
2018-01-23 22:34 - 2018-01-23 22:34 - 000000112 _____ C:\Users\к1\AppData\Local\Temp\How Recovery Files.txt
2018-01-23 22:34 - 2018-01-23 22:34 - 000000112 _____ C:\Users\Все пользователи\How Recovery Files.txt
2018-01-23 22:34 - 2018-01-23 22:34 - 000000112 _____ C:\Users\tadmin\AppData\Roaming\recovery.txt
2018-01-23 22:34 - 2018-01-23 22:34 - 000000112 _____ C:\ProgramData\How Recovery Files.txt
2018-01-23 22:34 - 2018-01-23 22:34 - 000000112 _____ C:\How Recovery Files.txt
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Перезагрузите компьютер вручную.

 

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
Sandor

Sandor

Опубликовано
Опубликовано

"Пофиксите" в HijackThis:

O26 - IFEO: HKLM\..\Utilman.exe: [Debugger] = C:\Windows\system32\cmd.exe
Перезагрузите систему и соберите еще один CollectionLog.
Ссылка на комментарий
Поделиться на другие сайты
Sandor

Sandor

Опубликовано
Опубликовано

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 TerminateProcessByName('c:\windows\msapss\bin\msapp.exe');
 StopService('WinMediaService');
 QuarantineFile('c:\windows\msapss\bin\msapp.exe', '');
 DeleteFile('c:\windows\msapss\bin\msapp.exe', '32');
 DeleteService('WinMediaService');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(9);
end.
Пожалуйста, перезагрузите компьютер вручную.

 

 

 

 

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

 

Повторите еще раз логи по правилам. Для повторной диагностики запустите снова Autologger.

Прикрепите к следующему сообщению свежий CollectionLog.

Ссылка на комментарий
Поделиться на другие сайты
рсн

рсн

Опубликовано
  • Автор
Опубликовано

перегрузил, файл отправил.

[KLAN-7609269540]

Присланные вами файлы были проверены в автоматическом режиме.

В антивирусных базах информация по присланным вами файлам отсутствует:
msapp.exe
Файлы переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.

свежие логи

CollectionLog-2018.02.06-14.11.zip

Ссылка на комментарий
Поделиться на другие сайты
Sandor

Sandor

Опубликовано
Опубликовано

Виноват, сразу пропустил. Теперь дыра закрыта.

 

Выполните скрипт в AVZ при наличии доступа в интернет:

 

var
LogPath : string;
ScriptPath : string;
begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';
  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить.

В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

 

Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления (если таковые будут).

Перезагрузите компьютер.

Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

 

Создайте запрос на расшифровку.

Ссылка на комментарий
Поделиться на другие сайты
рсн

рсн

Опубликовано
  • Автор
Опубликовано

спасибо..все сделал. последний вопрос.

имеющиеся файлы с расширением .rapid  (шифрованные) просто тупо удалять теперь?? сам сервер работает, а вот проги теперь переставлять..ээх.

:ura:

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Kdademon
      Помогите в расшифровке файлов после вируса шифровальщика Trojan-Ransom.Win32.Mimic.gen
      Автор Kdademon
      02.072025 обнаружили что на 2 компа (Windows 7) попал вирус шифровальщик 
      подключились предположительно по RDP
      зашифровали все базы 1с, бэкапы, архивы, документы
      файл с обращением от вымогателей нашли
      Kaspersky Virus Removal Tool нашел вируc HEUR:Trojan-Ransom.Win32.Mimic.gen

      Подскажите порядок действий по лечению этих компов и возможна ли дешифровка?
      Как можно обезопасится от подобного?
      Поможет ли установка Kaspersky на все компьютеры сети?

      Во вложении архив с примерами зашифрованных файлов из папки php
      Файлы постарался выбрать стандартные, общеизвестные может поможет в дешифровке
      Также приложил скрин с проверкой от Kaspersky Virus Removal Tool

      php.rar
    • OLEGGih
      [РЕШЕНО] conhost trojan multi agent gen
      Автор OLEGGih
      Здравствуйте. Антивирус ругается на conhost trojan multi agent gen. При лечении с перезагрузкой удалить не может. Установлен Kaspersky Free. Помогите пожалуйста
      CollectionLog-2025.03.11-15.09.zip
    • gulyeza
      [РЕШЕНО] Скачал и запустил Trojan
      Автор gulyeza
      Здравствуйте, вчера умудрился попостятся на троян. Если рассказывать кратко, качал зип архив с UploadHeaven, но начались перебросы по ссылкам и по итогу скачался exe файл. Сразу закинуть его в проверку ума не хватило, да и повода сомневается не было, очень много в свое время оттуда качал, вот и подумал, может у них обновление какое то, что распаковщик теперь такой. Но стоило только открыть, сразу антивирус начал всю систему грузить, начал пытаться закрывать, но только через диспетчер смог. Так же в диспетчере появились 3 новые процесса, 1 из которых не запомнил, а остальные 2 были: reason cybersecurite и reason cybersecurite vpn. Начал через параметры их удалять, так то даже получилось. Затем зашел в виндоус дефендер, он как то странно тупил, подгружался постоянно, через пару секунд вообще выключился. Ну я и нажал снова включить, как я понял, это и была главная ошибка, потому что высветилось окно подтверждения с изменением файлов (стандартное когда запускаешь антивирусник) я и нажал на "Да". На первый взгляд вообще ничего не поменялось, подумал что пора винду сносить. Все переустановил, правда не с внешнего накопителя, а локально, с этого же ноута. И есть подозрения, что особо красок не поменяло, потому что при заходе в дефендер пишет, мол "Ваш системный администратор ограничил доступ", пытался это выключить по гайдам на сайте майкрасофта, ничего не сработало. Подумал надо и биос сбросить, зашел потыкался, не особо понял поменялось ли вообще что то.
      Прикладываю скан того exe с вирус тотала:
      Так же файл с логами:CollectionLog-2025.06.22-19.56.zip
      Еще, после сбора логов, эта надпись "Ваш системный администратор ограничил доступ" в дефендере пропала, не знаю хорошо это или плохо.
      Заранее Спасибо за ответ, надеюсь проблема решаема.
      upd: после сброса винды, запускал скан доктор веба, ничего не нашел
    • HacBau
      trojan agent vbs не получается удалить
      Автор HacBau
      Здравствуйте!
      Откуда появился вирус - понятия не имею, но после его удаления вручную или с помощью программ, файлы создаются заново, и так раз за разом.
      Напрягает периодическое обновление страниц, ютуба, вотс апа ( на компьютере ), как будто при нагрузке на сеть как то реагирует.
    • nikolai.ilyin
      Ransom.Win32.Generic
      Автор nikolai.ilyin
      Зашифровали всю сеть 
      virus.7z Addition.txt
×
×
  • Создать...