Перейти к содержанию

Шифровальщик helps@tutanota.com 28.05.18

ivavasi
 Share

Рекомендуемые сообщения

ivavasi Новичок

ivavasi

Опубликовано
Опубликовано
Вирус шифровал с удаленного компьютера по RDP

Зашифровал файлы  на сервере  в сетевых папках которые были доступны данному пользователю

Доступа к зараженному компьютеру не имею.

Пользователя заблокировал.

 

Прикрепляю архив с логами и второй с парой зашифрованных файлов и readme.hta

 

Возможно ли расшифровать файлы.

 

С Уважением Иван.

 

 

CollectionLog-2018.05.28-14.12.zip

Шифровальщик helps@tutanota.com.zip

Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано (изменено)

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantineEx(true);
 TerminateProcessByName('c:\program files\rohos\agent.exe');
 QuarantineFile('C:\Users\Default\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer.lnk', '');
 QuarantineFile('C:\Users\Default\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk', '');
 QuarantineFile('C:\Users\ivan\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk', '');
 QuarantineFile('C:\Users\ivan\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer.lnk', '');
 QuarantineFile('C:\Users\ivan\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk', '');
 QuarantineFile('C:\Users\ivan\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk', '');
 QuarantineFile('C:\Users\ivan\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Opera.lnk', '');
 QuarantineFile('C:\Users\ivan\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Google Chrome.lnk', '');
 QuarantineFile('C:\Program Files\OahiAhLMPlKqC\mBpOVwV.dll', '');
 QuarantineFile('c:\program files\rohos\agent.exe', '');
 QuarantineFile('C:\Program Files\YtuAskU2\5FklwCv.dll', '');
 QuarantineFileF('C:\Program Files\YtuAskU2\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 DeleteFile('C:\Program Files\YtuAskU2\5FklwCv.dll', '32');
 DeleteFile('C:\WINDOWS\Tasks\GoogleUpdateTaskUserS-1-5-21-3946516268-528880393-1113913511-1000Core.job', '');
 ExecuteFile('schtasks.exe', '/delete /TN "5A8163FE-2D41-4CE5-AD54-7FE95B266373" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "A0EECDFC-B485-47CA-8AE4-6DB2B0B2691F2" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "ComDev" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "RjugMwUzTsQQHAQNApl2" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Scheduled Update for Ask Toolbar" /F', 0, 15000, true);
 DeleteFileMask('C:\Program Files\YtuAskU2\', '*', true);
 DeleteDirectory('C:\Program Files\YtuAskU2\');
 ExpRegKey('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run','StartupApproved.txt');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:


begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

 - Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Файл StartupApproved.txt папки с AVZ упакуйте прикрепите к своему следующему сообщению.

 

"Пофиксите" в HijackThis:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Search Bar] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5
R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Search Page] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5
R0 - HKCU\Software\Microsoft\Internet Explorer\Search: [Default_Search_URL] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5
R0 - HKLM\Software\Microsoft\Internet Explorer\Main: [Default_Search_URL] = http://www.mystartsearch.com/web/?type=ds&ts=1414581878&from=smt&uid=WDCXWD10EZEX-00KUWA0_WD-WMC1S130811208112&q={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Main: [Search Page] = http://www.mystartsearch.com/web/?type=ds&ts=1414581878&from=smt&uid=WDCXWD10EZEX-00KUWA0_WD-WMC1S130811208112&q={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main: [SearchAssistant] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5qZxmRH8HYONrF&q={searchTerms}
R4 - SearchScopes: HKLM\Software\Microsoft\Internet Explorer\SearchScopes\ielnksrch [URL] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5qZxmRH8HYONrF&q={searchTerms} - Search the web

- Перетащите лог Check_Browsers_LNK.log Перетащите лог Check_Browsers_LNK.log из папки AutoLogger\CheckBrowsersLNK на утилиту ClearLNK. Отчёт о работе прикрепите.

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

 

 

  • Скачайте AdwCleaner и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[s00].txt.
  • Прикрепите отчет к своему следующему сообщению.
Изменено пользователем regist
Ссылка на комментарий
Поделиться на другие сайты
ivavasi Новичок

ivavasi

Опубликовано
  • Автор
Опубликовано

Ответ от newvirus@kaspersky.com

KLAN-8136129847

Присланные вами файлы были проверены в автоматическом режиме.

В антивирусных базах информация по присланным вами файлам отсутствует:
Internet Explorer.lnk
Google Chrome.lnk
Google Chrome_0.lnk
Internet Explorer_0.lnk
Launch Internet Explorer Browser.lnk
Google Chrome_1.lnk
Opera.lnk
Google Chrome_2.lnk
agent.exe

Файлы переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.

StartupApproved.zip

Ссылка на комментарий
Поделиться на другие сайты
ivavasi Новичок

ivavasi

Опубликовано
  • Автор
Опубликовано

Пофиксить в HijackThis

не получается этих строк у меня нет

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Search Bar] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5
R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Search Page] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5
R0 - HKCU\Software\Microsoft\Internet Explorer\Search: [Default_Search_URL] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5
R0 - HKLM\Software\Microsoft\Internet Explorer\Main: [Default_Search_URL] = http://www.mystartsearch.com/web/?type=ds&ts=1414581878&from=smt&uid=WDCXWD10EZEX-00KUWA0_WD-WMC1S130811208112&q={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Main: [Search Page] = http://www.mystartsearch.com/web/?type=ds&ts=1414581878&from=smt&uid=WDCXWD10EZEX-00KUWA0_WD-WMC1S130811208112&q={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main: [SearchAssistant] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5qZxmRH8HYONrF&q={searchTerms}
R4 - SearchScopes: HKLM\Software\Microsoft\Internet Explorer\SearchScopes\ielnksrch [URL] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5qZxmRH8HYONrF&q={searchTerms} - Search the web

 

Есть много других при установке галок против них ни каких сообщений нет лога не нахожу.

 

Может потому, что вирус точно не с этого компьютера

Я в начале писал что комп зашифровавший не в этой локальной сети а удален.


Вот лог 

hijackthis.zip

Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано

@ivavasi,

у меня посте клибельно

это ссылка на инструкцию и там чётко написано

 

Утилита HijackThis находится в папке ..\AutoLogger\HiJackThis, т.е. там, откуда Вы запускали автоматический сборщик логов.

Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Program Files\jtPeraHZWlxuYtVRBkR\IaKeQde.dll', '');
 QuarantineFile('C:\Program Files\Ziwecultkorus\ZwcHsttsk.exe', '');
 DeleteFile('C:\Program Files\jtPeraHZWlxuYtVRBkR\IaKeQde.dll', '32');
 DeleteFile('C:\Program Files\Ziwecultkorus\ZwcHsttsk.exe', '32');
 ExecuteFile('schtasks.exe', '/delete /TN "{57B1394B-BBDC-4939-84B1-624002E78D53}" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "{725F1BAE-6FA0-4A0B-A401-FC1EDAAFE8C2}" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\SMB\UninstallSMB1ClientTask" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\SMB\UninstallSMB1ServerTask" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "VHDezYAiMmhSpjSVJ2" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Ziwecultkorus Host" /F', 0, 15000, true);
 ExecuteRepair(3);
 ExecuteRepair(4);
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:
begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

 - Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)

 

- Перетащите лог Check_Browsers_LNK.log Перетащите лог Check_Browsers_LNK.log из папки AutoLogger\CheckBrowsersLNK на утилиту ClearLNK. Отчёт о работе прикрепите.

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.
 

 

  • Скачайте AdwCleaner и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[s00].txt.
  • Прикрепите отчет к своему следующему сообщению.

Ссылка на комментарий
Поделиться на другие сайты
ivavasi Новичок

ivavasi

Опубликовано
  • Автор
Опубликовано (изменено)

Результаты работы AVZ dbhec [KLAN-8149793834]

Благодарим за обращение в Антивирусную Лабораторию
Присланные вами файлы были проверены в автоматическом режиме.
В антивирусных базах информация по присланным вами файлам отсутствует:
quarantine.zip
Файлы переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.
Это сообщение сформировано автоматической системой обработки писем. Пожалуйста, не отвечайте на него.
Антивирусная Лаборатория, Kaspersky Lab HQ

ClearLNK-2018.05.31_09.17.14.log

Изменено пользователем regist
убрал адрес почты
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Это не сделали. А также повторный CollectionLog и отчет AdwCleaner.
Ссылка на комментарий
Поделиться на другие сайты
ivavasi Новичок

ivavasi

Опубликовано
  • Автор
Опубликовано (изменено)

Работа  AdwCleaner.
 

Результаты проверки онлайн-сервисом VirusDetector » 
Обсуждение результатов проверки »


Повторный CollectionLog
это какой программой делается

AdwCleanerS00.txt

Изменено пользователем regist
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • Александр94
      Шифровальщик
      От Александр94
      Поймаи шифровальщик один в один как в теме  
       
      csb.log.[MJ-UE8059316472](decodehop@gmail.com ).rar csb.log.[MJ-UE8059316472](decodehop@gmail.com ).rar FRST.txt Addition.txt
    • WhySpice
      Шифровальщик cyberfear
      От WhySpice
      Утром снесло домашний сервер с открытым вне RDP. Зашифровало абсолютно все, все мои рабочие проекты, python скрипты, виртуалки vmware/virtualbox

      Зашифрованный файл: https://cloud.mail.ru/public/qDiR/yEN8ogSZJ
      Addition_06-01-2025 15.06.34.txt FRST_06-01-2025 15.01.14.txt
      README.txt
    • sater123
      Вирус шифровальщик
      От sater123
      Добрый день. Зашифровались файлы размером более 8 мегабайт (их почта datastore@cyberfear.com). Помогите пожалуйста.
      Зашифрованные файлы не могу прикрепить, так как их размер более 5Мб.
      FRST.txt Addition.txt
    • BOBO
      Шифровальщик WantToCry
      От BOBO
      Попросили создать новую тему не знаю почему ту закрыли вот создаю. Меня тоже взломали 25 числа hdd весит на роутере, smb открыт был. Покапалься в файлах были несколько оригинальных файлов и вроде шифрование AES в режиме ECB. Встал вопрос можно ли найти ключ шифрования если например нашел зашифрованный блок пробелов 16 байт. 
    • FineGad
      Шифровальщик WantToCry
      От FineGad
      26.12.24 На файловом сервере (комп с Debian) в расшареных каталогах заметил текстовый файл !want_to_cry.txt 
      Просканировал все каталоги доступные по сети (SMB) зашифрованные файлы с расширением .want_to_cry по времени создания файлов видно что шифровальщик проработал примерно с 24.12.24 20:05  по 25.12.24 03:05 после чего сервер "завис". Сейчас шифровщик не активен (новые шифрованные файлы не появляются). Доступа к сети извне нет, кроме SSH с ключом шифрования. В сети кроме моего во время активности были еще 2 компьютера под управление Windows.
       
      !want_to_cry.txt
×
×
  • Создать...