Перейти к содержанию

Шифровальщик helps@tutanota.com 28.05.18

ivavasi
 Share

Рекомендуемые сообщения

ivavasi Новичок

ivavasi

Опубликовано
Опубликовано
Вирус шифровал с удаленного компьютера по RDP

Зашифровал файлы  на сервере  в сетевых папках которые были доступны данному пользователю

Доступа к зараженному компьютеру не имею.

Пользователя заблокировал.

 

Прикрепляю архив с логами и второй с парой зашифрованных файлов и readme.hta

 

Возможно ли расшифровать файлы.

 

С Уважением Иван.

 

 

CollectionLog-2018.05.28-14.12.zip

Шифровальщик helps@tutanota.com.zip

Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано (изменено)

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantineEx(true);
 TerminateProcessByName('c:\program files\rohos\agent.exe');
 QuarantineFile('C:\Users\Default\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer.lnk', '');
 QuarantineFile('C:\Users\Default\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk', '');
 QuarantineFile('C:\Users\ivan\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk', '');
 QuarantineFile('C:\Users\ivan\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer.lnk', '');
 QuarantineFile('C:\Users\ivan\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk', '');
 QuarantineFile('C:\Users\ivan\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk', '');
 QuarantineFile('C:\Users\ivan\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Opera.lnk', '');
 QuarantineFile('C:\Users\ivan\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Google Chrome.lnk', '');
 QuarantineFile('C:\Program Files\OahiAhLMPlKqC\mBpOVwV.dll', '');
 QuarantineFile('c:\program files\rohos\agent.exe', '');
 QuarantineFile('C:\Program Files\YtuAskU2\5FklwCv.dll', '');
 QuarantineFileF('C:\Program Files\YtuAskU2\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 DeleteFile('C:\Program Files\YtuAskU2\5FklwCv.dll', '32');
 DeleteFile('C:\WINDOWS\Tasks\GoogleUpdateTaskUserS-1-5-21-3946516268-528880393-1113913511-1000Core.job', '');
 ExecuteFile('schtasks.exe', '/delete /TN "5A8163FE-2D41-4CE5-AD54-7FE95B266373" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "A0EECDFC-B485-47CA-8AE4-6DB2B0B2691F2" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "ComDev" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "RjugMwUzTsQQHAQNApl2" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Scheduled Update for Ask Toolbar" /F', 0, 15000, true);
 DeleteFileMask('C:\Program Files\YtuAskU2\', '*', true);
 DeleteDirectory('C:\Program Files\YtuAskU2\');
 ExpRegKey('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run','StartupApproved.txt');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:


begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

 - Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Файл StartupApproved.txt папки с AVZ упакуйте прикрепите к своему следующему сообщению.

 

"Пофиксите" в HijackThis:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Search Bar] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5
R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Search Page] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5
R0 - HKCU\Software\Microsoft\Internet Explorer\Search: [Default_Search_URL] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5
R0 - HKLM\Software\Microsoft\Internet Explorer\Main: [Default_Search_URL] = http://www.mystartsearch.com/web/?type=ds&ts=1414581878&from=smt&uid=WDCXWD10EZEX-00KUWA0_WD-WMC1S130811208112&q={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Main: [Search Page] = http://www.mystartsearch.com/web/?type=ds&ts=1414581878&from=smt&uid=WDCXWD10EZEX-00KUWA0_WD-WMC1S130811208112&q={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main: [SearchAssistant] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5qZxmRH8HYONrF&q={searchTerms}
R4 - SearchScopes: HKLM\Software\Microsoft\Internet Explorer\SearchScopes\ielnksrch [URL] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5qZxmRH8HYONrF&q={searchTerms} - Search the web

- Перетащите лог Check_Browsers_LNK.log Перетащите лог Check_Browsers_LNK.log из папки AutoLogger\CheckBrowsersLNK на утилиту ClearLNK. Отчёт о работе прикрепите.

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

 

 

  • Скачайте AdwCleaner и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[s00].txt.
  • Прикрепите отчет к своему следующему сообщению.
Изменено пользователем regist
Ссылка на комментарий
Поделиться на другие сайты
ivavasi Новичок

ivavasi

Опубликовано
  • Автор
Опубликовано

Ответ от newvirus@kaspersky.com

KLAN-8136129847

Присланные вами файлы были проверены в автоматическом режиме.

В антивирусных базах информация по присланным вами файлам отсутствует:
Internet Explorer.lnk
Google Chrome.lnk
Google Chrome_0.lnk
Internet Explorer_0.lnk
Launch Internet Explorer Browser.lnk
Google Chrome_1.lnk
Opera.lnk
Google Chrome_2.lnk
agent.exe

Файлы переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.

StartupApproved.zip

Ссылка на комментарий
Поделиться на другие сайты
ivavasi Новичок

ivavasi

Опубликовано
  • Автор
Опубликовано

Пофиксить в HijackThis

не получается этих строк у меня нет

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Search Bar] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5
R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Search Page] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5
R0 - HKCU\Software\Microsoft\Internet Explorer\Search: [Default_Search_URL] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5
R0 - HKLM\Software\Microsoft\Internet Explorer\Main: [Default_Search_URL] = http://www.mystartsearch.com/web/?type=ds&ts=1414581878&from=smt&uid=WDCXWD10EZEX-00KUWA0_WD-WMC1S130811208112&q={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Main: [Search Page] = http://www.mystartsearch.com/web/?type=ds&ts=1414581878&from=smt&uid=WDCXWD10EZEX-00KUWA0_WD-WMC1S130811208112&q={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main: [SearchAssistant] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5qZxmRH8HYONrF&q={searchTerms}
R4 - SearchScopes: HKLM\Software\Microsoft\Internet Explorer\SearchScopes\ielnksrch [URL] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5qZxmRH8HYONrF&q={searchTerms} - Search the web

 

Есть много других при установке галок против них ни каких сообщений нет лога не нахожу.

 

Может потому, что вирус точно не с этого компьютера

Я в начале писал что комп зашифровавший не в этой локальной сети а удален.


Вот лог 

hijackthis.zip

Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано

@ivavasi,

у меня посте клибельно

это ссылка на инструкцию и там чётко написано

 

Утилита HijackThis находится в папке ..\AutoLogger\HiJackThis, т.е. там, откуда Вы запускали автоматический сборщик логов.

Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Program Files\jtPeraHZWlxuYtVRBkR\IaKeQde.dll', '');
 QuarantineFile('C:\Program Files\Ziwecultkorus\ZwcHsttsk.exe', '');
 DeleteFile('C:\Program Files\jtPeraHZWlxuYtVRBkR\IaKeQde.dll', '32');
 DeleteFile('C:\Program Files\Ziwecultkorus\ZwcHsttsk.exe', '32');
 ExecuteFile('schtasks.exe', '/delete /TN "{57B1394B-BBDC-4939-84B1-624002E78D53}" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "{725F1BAE-6FA0-4A0B-A401-FC1EDAAFE8C2}" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\SMB\UninstallSMB1ClientTask" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\SMB\UninstallSMB1ServerTask" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "VHDezYAiMmhSpjSVJ2" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Ziwecultkorus Host" /F', 0, 15000, true);
 ExecuteRepair(3);
 ExecuteRepair(4);
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:
begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

 - Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)

 

- Перетащите лог Check_Browsers_LNK.log Перетащите лог Check_Browsers_LNK.log из папки AutoLogger\CheckBrowsersLNK на утилиту ClearLNK. Отчёт о работе прикрепите.

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.
 

 

  • Скачайте AdwCleaner и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[s00].txt.
  • Прикрепите отчет к своему следующему сообщению.

Ссылка на комментарий
Поделиться на другие сайты
ivavasi Новичок

ivavasi

Опубликовано
  • Автор
Опубликовано (изменено)

Результаты работы AVZ dbhec [KLAN-8149793834]

Благодарим за обращение в Антивирусную Лабораторию
Присланные вами файлы были проверены в автоматическом режиме.
В антивирусных базах информация по присланным вами файлам отсутствует:
quarantine.zip
Файлы переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.
Это сообщение сформировано автоматической системой обработки писем. Пожалуйста, не отвечайте на него.
Антивирусная Лаборатория, Kaspersky Lab HQ

ClearLNK-2018.05.31_09.17.14.log

Изменено пользователем regist
убрал адрес почты
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Это не сделали. А также повторный CollectionLog и отчет AdwCleaner.
Ссылка на комментарий
Поделиться на другие сайты
ivavasi Новичок

ivavasi

Опубликовано
  • Автор
Опубликовано (изменено)

Работа  AdwCleaner.
 

Результаты проверки онлайн-сервисом VirusDetector » 
Обсуждение результатов проверки »


Повторный CollectionLog
это какой программой делается

AdwCleanerS00.txt

Изменено пользователем regist
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • WL787878
      Шифровальщик
      От WL787878
      Key2030_Help.txt
      Здравствуйте. Возможно ли получить помощь в расшифровке файлов? Логи прилагаю.
      Addition.txt FRST.txt
    • Aleksandr63
      Шифровальщик just
      От Aleksandr63
      Здравствуйте! зашифровало всё
      Новая папка.7z FRST.txt
    • Irina4832
      Шифровальщик
      От Irina4832
      Помогите! Все файлы зашифровали, онлай определители типа шифровщика его не находят
      qbpBqR1L6.README.txt
    • kokc1979
      Шифровальщик ooo4ps bitlocker
      От kokc1979
      Подхватил заразу. Вчера всё работало. Сегодня вечером обнаружилась проблема с шифровалкой. Ни какое ПО в этот промежуток ремени не устанавливалось. Ни чего не скачивалось.
      Log.rar 3File.rar
    • Saul
      Шифровальщик. Расширение aiLuw2ie
      От Saul
      Добрый день!
      Вот такое поймали, зашифрованы все файлы на сетевой шаре.
      Есть способы для расшифровки?
       
      Все ваши файлы были зашифрованы!
          Все ваши файлы были зашифрованы из -за проблемы безопасности с вашим ПК.
          Если вы хотите их восстановить
          Установите программу для общения https://tox.chat/clients.html
      https://github.com/uTox/uTox/releases/
      https://github.com/uTox/uTox/releases/download/v0.18.1/utox_x86_64.exe
      и добавьте нас
       
      2C6D0C2F49F19EAE34A558AC646E5C75230928DA64B46DBD6087B036ED651146575435EFEFFC
      ВНИМАНИЕ!
          !!!Не трогайте зашифрованные файлы.!!!
          !!!Не пытайтесь расшифровать ваши данные, используя стороннее программное обеспечение, это может вызвать потерю данных.!!!
      1.zip
×
×
  • Создать...