Шифровальщик helps@tutanota.com

[filya75]

Здравствуйте! 

Как и у предыдущих пользователей через rdp запустился вирус шифратор. 

Есть ли возможность расшифровать файлы?

tutanova.zip

CollectionLog-2018.05.26-22.59.zip

[regist]

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Users\2714-1\Desktop\Документы.lnk', '');
 QuarantineFile('C:\Users\Administrator\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\OFM0Z24F\ads[1].js', '');
 QuarantineFile('C:\Users\ot-1\Desktop\Документы.lnk', '');
 DeleteFile('C:\Users\Administrator\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\OFM0Z24F\ads[1].js', '32');
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
ExecuteSysClean;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

- Файл quarantine.zip из папки AVZ пришлите на почту , укажите  в письме ссылку на тему, в которой просили прислать файлы.

 

"Пофиксите" в HijackThis:

O4 - MSConfig\startupreg: Adobe Reader Speed Launcher [command] = C:\Program Files (x86)\Adobe\Reader 10.0\Reader\Reader_sl.exe  (file missing) (HKLM) (2014/02/22)
O22 - Task: (disabled) GoogleUpdateTaskUserS-1-5-21-1413479190-2418524925-3626140162-1184Core - C:\Users\TEMP\AppData\Local\Google\Update\GoogleUpdate.exe /c (file missing)
O22 - Task: (disabled) GoogleUpdateTaskUserS-1-5-21-1413479190-2418524925-3626140162-1184UA - C:\Users\TEMP\AppData\Local\Google\Update\GoogleUpdate.exe /ua /installsource scheduler (file missing)
O23 - Service S2: aspnet_host Service - (aspnet_host) - C:\Windows\smss.exe (file missing)
O26 - IFEO: HKLM\..\osk.exe: [Debugger] = C:\windows\oask.exe (file missing)

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Изменено 26 мая, 2018 пользователем regist

[filya75]

Новые логи

CollectionLog-2018.05.27-02.44.zip

[regist]

Где карантин?

[filya75]

Где карантин?

 

Вчера отправил по электронке + зазипованный шифровальщик. Карантин выкладываю.

 

Строгое предупреждение от модератора Mark D. Pearlstone

Вас не просили выкладывать карантин на форум.

[regist]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

[filya75]

Прикрепляю

frst.zip

[regist]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

Start::
CreateRestorePoint:
VirusTotal: C:\Users\ek\Documents\smsssA.exe
Startup: C:\Users\ek\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\README.hta [2018-05-25] ()
CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
2018-05-25 11:08 - 2018-05-25 10:35 - 172740504 _____ C:\Users\Public\s3w4uejx.exe
2018-05-25 07:15 - 2018-05-25 07:15 - 000009026 _____ C:\Users\Public\README.hta
2018-05-25 07:15 - 2018-05-25 07:15 - 000009026 _____ C:\Users\Public\Documents\README.hta
2018-05-25 07:15 - 2018-05-25 07:15 - 000009026 _____ C:\Users\ek\README.hta
2018-05-25 07:15 - 2018-05-25 07:15 - 000009026 _____ C:\Users\ek\Documents\README.hta
2018-05-25 07:15 - 2018-05-25 07:15 - 000009026 _____ C:\Users\ek\AppData\Roaming\README.hta
2018-05-25 07:15 - 2018-05-25 07:15 - 000009026 _____ C:\Users\ek\AppData\Roaming\Microsoft\Windows\Start Menu\README.hta
2018-05-25 07:15 - 2018-05-25 07:15 - 000009026 _____ C:\Users\ek\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\README.hta
2018-05-25 07:15 - 2018-05-25 07:15 - 000009026 _____ C:\Users\ek\AppData\README.hta
2018-05-25 07:15 - 2018-05-25 07:15 - 000009026 _____ C:\Users\ek\AppData\LocalLow\README.hta
2018-05-25 07:15 - 2018-05-25 07:15 - 000009026 _____ C:\Users\ek\AppData\Local\Temp\README.hta
2018-05-25 07:14 - 2018-05-25 07:14 - 000009026 _____ C:\ProgramData\README.hta
2018-05-25 06:54 - 2018-05-25 06:54 - 000009026 _____ C:\Users\ek\Desktop\README.hta
Reboot:
End::

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!
Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

[filya75]

Доброе утро!

 

Прикрепляю fixlog

Fixlog.zip

[regist]

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Users\ek\Documents\smsssA.exe', '');
 DeleteFile('C:\Users\ek\Documents\smsssA.exe');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
end.

После выполнения скрипта компьютер перезагрузится.

 - Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)
 

[filya75]

[KLAN-8135941587]

 

Thank you for contacting Kaspersky Lab

The files have been scanned in automatic mode.

No information about the specified files can be found in the antivirus databases:
smsssA.exe

We will thoroughly analyze the files you sent. If the result of the analysis is different from this automatic scan result, you will be notified via email.

This is an automatically generated message. Please do not reply to it.

Anti-Virus Lab, Kaspersky Lab HQ

[regist]

@filya75, проверьте ЛС.

[filya75]

Добрый вечер!

 

Практически ничего не расшифровал

 

Decrypted 795 files

Skipped 19687 files

[regist]

Папку C:\FRST\Quarantine - заархивируйте и скиньте мне в ЛС.

А также пример файла, который не смогло рассшифровать.

+ все файлы README.hta которые найдёте, включая с других пострадавших машин в сети пришлите.

[filya75]

Отправил