Перейти к содержанию

Шифровальщик Tizer77234 Tizer78224

grimturs
 Поделиться

Рекомендуемые сообщения

grimturs

grimturs

Опубликовано
Опубликовано (изменено)

Добры день.
В ночь с 30.04.2018 на 01.05.2018 на одном из серверов произошла шифровка всех рабочих фалов, включая исполняемые. Откуда взялся не понятно, все компы чистые. При локальной авторизации обнаружил, что последняя авторизация была под учёткой admin, которую никто не использовал (возможно была создана трояном), не исключаю диверсию изнутри. Пароли все изменил. на рабочем столе учётки admin были найдены пакетные файлы Windows (bat), которые указывали на папку с вирусом. Логов нет, понимание куда копать тоже пропало.

В каждой папке инструкция от злодея:

"Hi friend...
    :)
For instructions on how to recovery the files, write to me:
 
Tizer78224@gmx.de
Tizer78224@india.com
Tizer77234@protonmail.com
 
In the letter, indicate your personal ID (see the file format).
If you have not received an answer, write to me again."
 

Прошу оказать содействие в дешифровке файлов.

CollectionLog-2018.05.04-12.50.zip

Изменено пользователем grimturs
SQ

SQ

Опубликовано
Опубликовано

Здравствуйте,



AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
 QuarantineFile('C:\Users\admin\Music\Mozilla Firefox\start_notepad.bat', '');
 QuarantineFile('C:\Users\admin\Music\Mozilla Firefox\svhosts.exe', '');
 QuarantineFileF('C:\Users\admin\Music\Mozilla Firefox', '*.exe,*.dll,*.sys', false,'', 0, 0);
 DeleteFile('C:\Users\admin\Music\Mozilla Firefox\start_notepad.bat', '32');
 DeleteFile('C:\Users\admin\Music\Mozilla Firefox\svhosts.exe', '32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\BatNotepad','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SystemCrp','command');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.

После выполнения скрипта перезагрузите сервер вручную.

После перезагрузки:
- Выполните в AVZ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com.
1. В заголовке письма напишите "Запрос на исследование вредоносного файла".
2. В письме напишите "Выполняется запрос хэлпера".
3. Прикрепите файл карантина и нажмите "Отправить"
4. Полученный ответ сообщите здесь (с указанием номера KLAN)

SQ

SQ

Опубликовано
Опубликовано

Сообщите результат.

- Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
    B92LqRQ.png
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.



 

SQ

SQ

Опубликовано
Опубликовано

Сообщите результат.

А где результат отправки карантина, ответное письмо?

  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CreateRestorePoint:
File: C:\Windows\SysWOW64\srvany.exe
File: C:\Windows\KMService.exe
FF HKLM\...\Thunderbird\Extensions: [eplgTb@eset.com] - C:\Program Files\ESET\ESET File Security\Mozilla Thunderbird => not found
File: C:\Windows\System32\slanAccel.exe
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Администратор\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Администратор\Downloads\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Администратор\Documents\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Public\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Public\Downloads\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Public\Documents\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KlScSvcD0FAB33758A5A\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KlScSvcD0FAB33758A5A\Downloads\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KlScSvcD0FAB33758A5A\Documents\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KlScSvcD0FAB33758A5A\Desktop\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KlScSvcD0FAB33758A5A\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KL-AK-90C199E76DEB0D\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KL-AK-90C199E76DEB0D\Downloads\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KL-AK-90C199E76DEB0D\Documents\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KL-AK-90C199E76DEB0D\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp\Downloads\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp\Documents\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp.MGT\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp.MGT\Downloads\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp.MGT\Documents\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp.MGT\Desktop\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp.MGT\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Default\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Default\Downloads\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Default\Documents\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Default User\Downloads\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Default User\Documents\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Default User\Desktop\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\admin\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\admin\Downloads\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\admin\Documents\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\admin\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\ProgramData\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\ProgramData\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\How_return_files.txt
Filder: C:\Users\admin\AppData\Roaming\Process Hacker 2
MSCONFIG\startupreg: BatNotepad => "C:\Users\admin\Music\Mozilla Firefox\start_notepad.bat"
MSCONFIG\startupreg: SystemCrp => "C:\Users\admin\Music\Mozilla Firefox\svhosts.exe"
Folder: C:\Users\admin\Music\Mozilla Firefox
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
  • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что сервер возможен будет перезагружен.
SQ

SQ

Опубликовано
Опубликовано

Могли бы следующий файл архивировать в zip с паролем virus:
 

C:\Users\admin\Music\Mozilla Firefox\config.cfg

 и отправить мне личным сообщением.

SQ

SQ

Опубликовано
Опубликовано

Я Вам ответил в личном сообщение. Сообщите пожалуйста у Вас есть купленная лицензий антивируса Касперского?

grimturs

grimturs

Опубликовано
  • Автор
Опубликовано

Повторно отправил Вам файл. 
Купленной лицензии у нас нет.

SQ

SQ

Опубликовано
Опубликовано

С расшифровкой не поможем. Однако я могу попробовать создать запрос за Вас, для этого мне необходимо все содержимое каталога в архиве zip с паролем virus:
 

C:\Users\admin\Music\Mozilla Firefox

Также полученный карантин утилитой AVZ:
 

quarantine.zip

И 2-3 зашифрованных файлов (не содержащие некакие конфиденциальные данные).

Все эти данные отправьте пожалуйста в личным сообщение как ссылку для скачивания.

P.S. Главное необходимо понимать, что не каких гарантий предоставить не могу, что удачно удастся расшифровать файлы.

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Ser25
      Шифровальщик
      Автор Ser25
      Взломали пароль и зашифровали удаленный комп. Пока ничего не предпринимал
      20250507.7z
    • Пользователь 1551
      Шифровальщик
      Автор Пользователь 1551
      Добрый день! У нас аналогичная ситуация? Удалось расшифровать?
       
      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.
    • Thunderer
      Шифровальщик
      Автор Thunderer
      Зашифровали файлы на компьютере и все общие папки 
      Подключились к компьютеру по RDP 
      В архиве логи frst, зашифрованный и расшифрованный файлы
      -Файлы.zip
    • Сергей_00
      шифровальщик
      Автор Сергей_00
      Добрый день!
      Сегодня шифровальщик зашифровал большую часть нужных файлов, благо выключили компьютер из розетки...
      В результате остались файлы в папке запуска подозрительного файла   svhostss.exe, а именно в папке c:\users\пользователь\BD3FDDDF-6CAF-3EBC-D9CF-C8DF72D8F78A\svhostss.exe
      следующие файлы:
      Everything.db
      Everything32.dll
      Everything64.dll
      session.tmp
      svhostss.exe
       
      быть может есть возможность дешифровать данные? 
    • bygi13
      Шифровальщик
      Автор bygi13
      Вирус шифровальщик
×
×
  • Создать...