Перейти к содержанию

Шифровальщик helps@tutanota.com 28.05.18

ivavasi
 Поделиться

Рекомендуемые сообщения

ivavasi

ivavasi

Опубликовано
Опубликовано
Вирус шифровал с удаленного компьютера по RDP

Зашифровал файлы  на сервере  в сетевых папках которые были доступны данному пользователю

Доступа к зараженному компьютеру не имею.

Пользователя заблокировал.

 

Прикрепляю архив с логами и второй с парой зашифрованных файлов и readme.hta

 

Возможно ли расшифровать файлы.

 

С Уважением Иван.

 

 

CollectionLog-2018.05.28-14.12.zip

Шифровальщик helps@tutanota.com.zip

regist

regist

Опубликовано
Опубликовано (изменено)

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantineEx(true);
 TerminateProcessByName('c:\program files\rohos\agent.exe');
 QuarantineFile('C:\Users\Default\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer.lnk', '');
 QuarantineFile('C:\Users\Default\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk', '');
 QuarantineFile('C:\Users\ivan\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk', '');
 QuarantineFile('C:\Users\ivan\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer.lnk', '');
 QuarantineFile('C:\Users\ivan\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk', '');
 QuarantineFile('C:\Users\ivan\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk', '');
 QuarantineFile('C:\Users\ivan\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Opera.lnk', '');
 QuarantineFile('C:\Users\ivan\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Google Chrome.lnk', '');
 QuarantineFile('C:\Program Files\OahiAhLMPlKqC\mBpOVwV.dll', '');
 QuarantineFile('c:\program files\rohos\agent.exe', '');
 QuarantineFile('C:\Program Files\YtuAskU2\5FklwCv.dll', '');
 QuarantineFileF('C:\Program Files\YtuAskU2\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 DeleteFile('C:\Program Files\YtuAskU2\5FklwCv.dll', '32');
 DeleteFile('C:\WINDOWS\Tasks\GoogleUpdateTaskUserS-1-5-21-3946516268-528880393-1113913511-1000Core.job', '');
 ExecuteFile('schtasks.exe', '/delete /TN "5A8163FE-2D41-4CE5-AD54-7FE95B266373" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "A0EECDFC-B485-47CA-8AE4-6DB2B0B2691F2" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "ComDev" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "RjugMwUzTsQQHAQNApl2" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Scheduled Update for Ask Toolbar" /F', 0, 15000, true);
 DeleteFileMask('C:\Program Files\YtuAskU2\', '*', true);
 DeleteDirectory('C:\Program Files\YtuAskU2\');
 ExpRegKey('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run','StartupApproved.txt');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:


begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

 - Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Файл StartupApproved.txt папки с AVZ упакуйте прикрепите к своему следующему сообщению.

 

"Пофиксите" в HijackThis:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Search Bar] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5
R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Search Page] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5
R0 - HKCU\Software\Microsoft\Internet Explorer\Search: [Default_Search_URL] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5
R0 - HKLM\Software\Microsoft\Internet Explorer\Main: [Default_Search_URL] = http://www.mystartsearch.com/web/?type=ds&ts=1414581878&from=smt&uid=WDCXWD10EZEX-00KUWA0_WD-WMC1S130811208112&q={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Main: [Search Page] = http://www.mystartsearch.com/web/?type=ds&ts=1414581878&from=smt&uid=WDCXWD10EZEX-00KUWA0_WD-WMC1S130811208112&q={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main: [SearchAssistant] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5qZxmRH8HYONrF&q={searchTerms}
R4 - SearchScopes: HKLM\Software\Microsoft\Internet Explorer\SearchScopes\ielnksrch [URL] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5qZxmRH8HYONrF&q={searchTerms} - Search the web

- Перетащите лог Check_Browsers_LNK.log Перетащите лог Check_Browsers_LNK.log из папки AutoLogger\CheckBrowsersLNK на утилиту ClearLNK. Отчёт о работе прикрепите.

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

 

 

  • Скачайте AdwCleaner и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[s00].txt.
  • Прикрепите отчет к своему следующему сообщению.
Изменено пользователем regist
ivavasi

ivavasi

Опубликовано
  • Автор
Опубликовано

Ответ от newvirus@kaspersky.com

KLAN-8136129847

Присланные вами файлы были проверены в автоматическом режиме.

В антивирусных базах информация по присланным вами файлам отсутствует:
Internet Explorer.lnk
Google Chrome.lnk
Google Chrome_0.lnk
Internet Explorer_0.lnk
Launch Internet Explorer Browser.lnk
Google Chrome_1.lnk
Opera.lnk
Google Chrome_2.lnk
agent.exe

Файлы переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.

StartupApproved.zip

ivavasi

ivavasi

Опубликовано
  • Автор
Опубликовано

Пофиксить в HijackThis

не получается этих строк у меня нет

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Search Bar] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5
R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Search Page] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5
R0 - HKCU\Software\Microsoft\Internet Explorer\Search: [Default_Search_URL] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5
R0 - HKLM\Software\Microsoft\Internet Explorer\Main: [Default_Search_URL] = http://www.mystartsearch.com/web/?type=ds&ts=1414581878&from=smt&uid=WDCXWD10EZEX-00KUWA0_WD-WMC1S130811208112&q={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Main: [Search Page] = http://www.mystartsearch.com/web/?type=ds&ts=1414581878&from=smt&uid=WDCXWD10EZEX-00KUWA0_WD-WMC1S130811208112&q={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main: [SearchAssistant] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5qZxmRH8HYONrF&q={searchTerms}
R4 - SearchScopes: HKLM\Software\Microsoft\Internet Explorer\SearchScopes\ielnksrch [URL] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5qZxmRH8HYONrF&q={searchTerms} - Search the web

 

Есть много других при установке галок против них ни каких сообщений нет лога не нахожу.

 

Может потому, что вирус точно не с этого компьютера

Я в начале писал что комп зашифровавший не в этой локальной сети а удален.


Вот лог 

hijackthis.zip

Sandor

Sandor

Опубликовано
Опубликовано

Утилиту следует запускать ту, которая находится в папке Autologger.

regist

regist

Опубликовано
Опубликовано

@ivavasi,

у меня посте клибельно

это ссылка на инструкцию и там чётко написано

 

Утилита HijackThis находится в папке ..\AutoLogger\HiJackThis, т.е. там, откуда Вы запускали автоматический сборщик логов.

regist

regist

Опубликовано
Опубликовано

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Program Files\jtPeraHZWlxuYtVRBkR\IaKeQde.dll', '');
 QuarantineFile('C:\Program Files\Ziwecultkorus\ZwcHsttsk.exe', '');
 DeleteFile('C:\Program Files\jtPeraHZWlxuYtVRBkR\IaKeQde.dll', '32');
 DeleteFile('C:\Program Files\Ziwecultkorus\ZwcHsttsk.exe', '32');
 ExecuteFile('schtasks.exe', '/delete /TN "{57B1394B-BBDC-4939-84B1-624002E78D53}" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "{725F1BAE-6FA0-4A0B-A401-FC1EDAAFE8C2}" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\SMB\UninstallSMB1ClientTask" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\SMB\UninstallSMB1ServerTask" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "VHDezYAiMmhSpjSVJ2" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Ziwecultkorus Host" /F', 0, 15000, true);
 ExecuteRepair(3);
 ExecuteRepair(4);
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:
begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

 - Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)

 

- Перетащите лог Check_Browsers_LNK.log Перетащите лог Check_Browsers_LNK.log из папки AutoLogger\CheckBrowsersLNK на утилиту ClearLNK. Отчёт о работе прикрепите.

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.
 

 

  • Скачайте AdwCleaner и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[s00].txt.
  • Прикрепите отчет к своему следующему сообщению.

ivavasi

ivavasi

Опубликовано
  • Автор
Опубликовано (изменено)

Результаты работы AVZ dbhec [KLAN-8149793834]

Благодарим за обращение в Антивирусную Лабораторию
Присланные вами файлы были проверены в автоматическом режиме.
В антивирусных базах информация по присланным вами файлам отсутствует:
quarantine.zip
Файлы переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.
Это сообщение сформировано автоматической системой обработки писем. Пожалуйста, не отвечайте на него.
Антивирусная Лаборатория, Kaspersky Lab HQ

ClearLNK-2018.05.31_09.17.14.log

Изменено пользователем regist
убрал адрес почты
Sandor

Sandor

Опубликовано
Опубликовано

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Это не сделали. А также повторный CollectionLog и отчет AdwCleaner.
ivavasi

ivavasi

Опубликовано
  • Автор
Опубликовано (изменено)

Работа  AdwCleaner.
 

Результаты проверки онлайн-сервисом VirusDetector » 
Обсуждение результатов проверки »


Повторный CollectionLog
это какой программой делается

AdwCleanerS00.txt

Изменено пользователем regist
Sandor

Sandor

Опубликовано
Опубликовано

это какой программой делается

Autologger

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем
×
×
  • Создать...