Перейти к содержанию

Шифровальщик Tizer77234 Tizer78224

grimturs
 Поделиться

Рекомендуемые сообщения

grimturs

grimturs

Опубликовано
Опубликовано (изменено)

Добры день.
В ночь с 30.04.2018 на 01.05.2018 на одном из серверов произошла шифровка всех рабочих фалов, включая исполняемые. Откуда взялся не понятно, все компы чистые. При локальной авторизации обнаружил, что последняя авторизация была под учёткой admin, которую никто не использовал (возможно была создана трояном), не исключаю диверсию изнутри. Пароли все изменил. на рабочем столе учётки admin были найдены пакетные файлы Windows (bat), которые указывали на папку с вирусом. Логов нет, понимание куда копать тоже пропало.

В каждой папке инструкция от злодея:

"Hi friend...
    :)
For instructions on how to recovery the files, write to me:
 
Tizer78224@gmx.de
Tizer78224@india.com
Tizer77234@protonmail.com
 
In the letter, indicate your personal ID (see the file format).
If you have not received an answer, write to me again."
 

Прошу оказать содействие в дешифровке файлов.

CollectionLog-2018.05.04-12.50.zip

Изменено пользователем grimturs
SQ

SQ

Опубликовано
Опубликовано

Здравствуйте,



AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
 QuarantineFile('C:\Users\admin\Music\Mozilla Firefox\start_notepad.bat', '');
 QuarantineFile('C:\Users\admin\Music\Mozilla Firefox\svhosts.exe', '');
 QuarantineFileF('C:\Users\admin\Music\Mozilla Firefox', '*.exe,*.dll,*.sys', false,'', 0, 0);
 DeleteFile('C:\Users\admin\Music\Mozilla Firefox\start_notepad.bat', '32');
 DeleteFile('C:\Users\admin\Music\Mozilla Firefox\svhosts.exe', '32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\BatNotepad','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SystemCrp','command');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.

После выполнения скрипта перезагрузите сервер вручную.

После перезагрузки:
- Выполните в AVZ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com.
1. В заголовке письма напишите "Запрос на исследование вредоносного файла".
2. В письме напишите "Выполняется запрос хэлпера".
3. Прикрепите файл карантина и нажмите "Отправить"
4. Полученный ответ сообщите здесь (с указанием номера KLAN)

SQ

SQ

Опубликовано
Опубликовано

Сообщите результат.

- Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
    B92LqRQ.png
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.



 

SQ

SQ

Опубликовано
Опубликовано

Сообщите результат.

А где результат отправки карантина, ответное письмо?

  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CreateRestorePoint:
File: C:\Windows\SysWOW64\srvany.exe
File: C:\Windows\KMService.exe
FF HKLM\...\Thunderbird\Extensions: [eplgTb@eset.com] - C:\Program Files\ESET\ESET File Security\Mozilla Thunderbird => not found
File: C:\Windows\System32\slanAccel.exe
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Администратор\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Администратор\Downloads\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Администратор\Documents\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Public\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Public\Downloads\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Public\Documents\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KlScSvcD0FAB33758A5A\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KlScSvcD0FAB33758A5A\Downloads\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KlScSvcD0FAB33758A5A\Documents\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KlScSvcD0FAB33758A5A\Desktop\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KlScSvcD0FAB33758A5A\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KL-AK-90C199E76DEB0D\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KL-AK-90C199E76DEB0D\Downloads\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KL-AK-90C199E76DEB0D\Documents\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KL-AK-90C199E76DEB0D\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp\Downloads\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp\Documents\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp.MGT\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp.MGT\Downloads\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp.MGT\Documents\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp.MGT\Desktop\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp.MGT\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Default\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Default\Downloads\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Default\Documents\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Default User\Downloads\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Default User\Documents\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Default User\Desktop\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\admin\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\admin\Downloads\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\admin\Documents\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\admin\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\ProgramData\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\ProgramData\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\How_return_files.txt
Filder: C:\Users\admin\AppData\Roaming\Process Hacker 2
MSCONFIG\startupreg: BatNotepad => "C:\Users\admin\Music\Mozilla Firefox\start_notepad.bat"
MSCONFIG\startupreg: SystemCrp => "C:\Users\admin\Music\Mozilla Firefox\svhosts.exe"
Folder: C:\Users\admin\Music\Mozilla Firefox
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
  • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что сервер возможен будет перезагружен.
SQ

SQ

Опубликовано
Опубликовано

Могли бы следующий файл архивировать в zip с паролем virus:
 

C:\Users\admin\Music\Mozilla Firefox\config.cfg

 и отправить мне личным сообщением.

SQ

SQ

Опубликовано
Опубликовано

Я Вам ответил в личном сообщение. Сообщите пожалуйста у Вас есть купленная лицензий антивируса Касперского?

grimturs

grimturs

Опубликовано
  • Автор
Опубликовано

Повторно отправил Вам файл. 
Купленной лицензии у нас нет.

SQ

SQ

Опубликовано
Опубликовано

С расшифровкой не поможем. Однако я могу попробовать создать запрос за Вас, для этого мне необходимо все содержимое каталога в архиве zip с паролем virus:
 

C:\Users\admin\Music\Mozilla Firefox

Также полученный карантин утилитой AVZ:
 

quarantine.zip

И 2-3 зашифрованных файлов (не содержащие некакие конфиденциальные данные).

Все эти данные отправьте пожалуйста в личным сообщение как ссылку для скачивания.

P.S. Главное необходимо понимать, что не каких гарантий предоставить не могу, что удачно удастся расшифровать файлы.

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • JefferyWA
      Шифровальщик - vendetta553@gmx.de
      Автор JefferyWA
      Здравствуйте, возникла такая проблема, после проведения мониторинга системы вызванным недавним паданием сервера был найден вирус-шифровальщик (кажется это RSAUtil - vendetta553@gmx.de), дата создания файлов how_return_files, датируется аж 07.12.2017, полагаю что живет он там уже давно, как этого не заметили ума не приложу. 
      Распространение вируса почему то не произошло, но сервер является главным на нем стоят виртуальные сервера и вот на них уже много важной информации.

      Надеюсь на совет, и помощь квал.специалистов.

      З.Ы. Прилагаю скрин сообщения шифровальщика.
    • sergey.sofin
      Вирус шифровальщик RSAUtil
      Автор sergey.sofin
      Здравствуйте!
      На рабочем компьютере подхватили вирус шифровальщик RSAUtil в начале мая. Проверили Kaspersky Removal Tool.
      есть папка с файлами вируса и config.cfg. Прикладываю архив  с логами Autologger.
      CollectionLog-2017.05.11-07.53.zip
    • Алексей Радченков
      Вирус шифровальщик RSAUtil Virus
      Автор Алексей Радченков
      Добрый день.
      Наш компьютер словил RSAUtil Virus шифровальщик, при этом у нас стоит Касперский с постоянным обновлением базы данных, который его пропустил, как теперь нам расшифровать данные?
      Форма файл приложил
      Реестр договоров ДОХОДЫ_2016 .xls - Ярлык.lnk.helppme@india.com.ID68550433.zip
×
×
  • Создать...