Перейти к содержанию

Шифровальщик helps@tutanota.com 28.05.18

ivavasi
 Поделиться

Рекомендуемые сообщения

ivavasi

ivavasi

Опубликовано
Опубликовано
Вирус шифровал с удаленного компьютера по RDP

Зашифровал файлы  на сервере  в сетевых папках которые были доступны данному пользователю

Доступа к зараженному компьютеру не имею.

Пользователя заблокировал.

 

Прикрепляю архив с логами и второй с парой зашифрованных файлов и readme.hta

 

Возможно ли расшифровать файлы.

 

С Уважением Иван.

 

 

CollectionLog-2018.05.28-14.12.zip

Шифровальщик helps@tutanota.com.zip

regist

regist

Опубликовано
Опубликовано (изменено)

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantineEx(true);
 TerminateProcessByName('c:\program files\rohos\agent.exe');
 QuarantineFile('C:\Users\Default\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer.lnk', '');
 QuarantineFile('C:\Users\Default\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk', '');
 QuarantineFile('C:\Users\ivan\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk', '');
 QuarantineFile('C:\Users\ivan\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer.lnk', '');
 QuarantineFile('C:\Users\ivan\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk', '');
 QuarantineFile('C:\Users\ivan\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk', '');
 QuarantineFile('C:\Users\ivan\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Opera.lnk', '');
 QuarantineFile('C:\Users\ivan\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Google Chrome.lnk', '');
 QuarantineFile('C:\Program Files\OahiAhLMPlKqC\mBpOVwV.dll', '');
 QuarantineFile('c:\program files\rohos\agent.exe', '');
 QuarantineFile('C:\Program Files\YtuAskU2\5FklwCv.dll', '');
 QuarantineFileF('C:\Program Files\YtuAskU2\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 DeleteFile('C:\Program Files\YtuAskU2\5FklwCv.dll', '32');
 DeleteFile('C:\WINDOWS\Tasks\GoogleUpdateTaskUserS-1-5-21-3946516268-528880393-1113913511-1000Core.job', '');
 ExecuteFile('schtasks.exe', '/delete /TN "5A8163FE-2D41-4CE5-AD54-7FE95B266373" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "A0EECDFC-B485-47CA-8AE4-6DB2B0B2691F2" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "ComDev" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "RjugMwUzTsQQHAQNApl2" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Scheduled Update for Ask Toolbar" /F', 0, 15000, true);
 DeleteFileMask('C:\Program Files\YtuAskU2\', '*', true);
 DeleteDirectory('C:\Program Files\YtuAskU2\');
 ExpRegKey('HKLM','SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run','StartupApproved.txt');
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:


begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

 - Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Файл StartupApproved.txt папки с AVZ упакуйте прикрепите к своему следующему сообщению.

 

"Пофиксите" в HijackThis:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Search Bar] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5
R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Search Page] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5
R0 - HKCU\Software\Microsoft\Internet Explorer\Search: [Default_Search_URL] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5
R0 - HKLM\Software\Microsoft\Internet Explorer\Main: [Default_Search_URL] = http://www.mystartsearch.com/web/?type=ds&ts=1414581878&from=smt&uid=WDCXWD10EZEX-00KUWA0_WD-WMC1S130811208112&q={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Main: [Search Page] = http://www.mystartsearch.com/web/?type=ds&ts=1414581878&from=smt&uid=WDCXWD10EZEX-00KUWA0_WD-WMC1S130811208112&q={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main: [SearchAssistant] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5qZxmRH8HYONrF&q={searchTerms}
R4 - SearchScopes: HKLM\Software\Microsoft\Internet Explorer\SearchScopes\ielnksrch [URL] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5qZxmRH8HYONrF&q={searchTerms} - Search the web

- Перетащите лог Check_Browsers_LNK.log Перетащите лог Check_Browsers_LNK.log из папки AutoLogger\CheckBrowsersLNK на утилиту ClearLNK. Отчёт о работе прикрепите.

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

 

 

  • Скачайте AdwCleaner и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[s00].txt.
  • Прикрепите отчет к своему следующему сообщению.
Изменено пользователем regist
ivavasi

ivavasi

Опубликовано
  • Автор
Опубликовано

Ответ от newvirus@kaspersky.com

KLAN-8136129847

Присланные вами файлы были проверены в автоматическом режиме.

В антивирусных базах информация по присланным вами файлам отсутствует:
Internet Explorer.lnk
Google Chrome.lnk
Google Chrome_0.lnk
Internet Explorer_0.lnk
Launch Internet Explorer Browser.lnk
Google Chrome_1.lnk
Opera.lnk
Google Chrome_2.lnk
agent.exe

Файлы переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.

StartupApproved.zip

ivavasi

ivavasi

Опубликовано
  • Автор
Опубликовано

Пофиксить в HijackThis

не получается этих строк у меня нет

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Search Bar] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5
R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Search Page] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5
R0 - HKCU\Software\Microsoft\Internet Explorer\Search: [Default_Search_URL] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5
R0 - HKLM\Software\Microsoft\Internet Explorer\Main: [Default_Search_URL] = http://www.mystartsearch.com/web/?type=ds&ts=1414581878&from=smt&uid=WDCXWD10EZEX-00KUWA0_WD-WMC1S130811208112&q={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Main: [Search Page] = http://www.mystartsearch.com/web/?type=ds&ts=1414581878&from=smt&uid=WDCXWD10EZEX-00KUWA0_WD-WMC1S130811208112&q={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main: [SearchAssistant] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5qZxmRH8HYONrF&q={searchTerms}
R4 - SearchScopes: HKLM\Software\Microsoft\Internet Explorer\SearchScopes\ielnksrch [URL] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIPcoSf2TGNKmBMhWGXvqWwz3NioVqk1NxpWj3fi6_MAUhY46Wd6O90Ih7l8R8xW-zFTf-I_lh5Uwe4wLFdSSwHxzHRoxga0E1DmoeIQIPoMNjB2WI25NMawOL7Nt66xAbE694VcQ3GUtYodo2olRcF3eJn_jFxZ9x3v5zS5qZxmRH8HYONrF&q={searchTerms} - Search the web

 

Есть много других при установке галок против них ни каких сообщений нет лога не нахожу.

 

Может потому, что вирус точно не с этого компьютера

Я в начале писал что комп зашифровавший не в этой локальной сети а удален.


Вот лог 

hijackthis.zip

Sandor

Sandor

Опубликовано
Опубликовано

Утилиту следует запускать ту, которая находится в папке Autologger.

regist

regist

Опубликовано
Опубликовано

@ivavasi,

у меня посте клибельно

это ссылка на инструкцию и там чётко написано

 

Утилита HijackThis находится в папке ..\AutoLogger\HiJackThis, т.е. там, откуда Вы запускали автоматический сборщик логов.

regist

regist

Опубликовано
Опубликовано

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Program Files\jtPeraHZWlxuYtVRBkR\IaKeQde.dll', '');
 QuarantineFile('C:\Program Files\Ziwecultkorus\ZwcHsttsk.exe', '');
 DeleteFile('C:\Program Files\jtPeraHZWlxuYtVRBkR\IaKeQde.dll', '32');
 DeleteFile('C:\Program Files\Ziwecultkorus\ZwcHsttsk.exe', '32');
 ExecuteFile('schtasks.exe', '/delete /TN "{57B1394B-BBDC-4939-84B1-624002E78D53}" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "{725F1BAE-6FA0-4A0B-A401-FC1EDAAFE8C2}" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\SMB\UninstallSMB1ClientTask" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\SMB\UninstallSMB1ServerTask" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "VHDezYAiMmhSpjSVJ2" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Ziwecultkorus Host" /F', 0, 15000, true);
 ExecuteRepair(3);
 ExecuteRepair(4);
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:
begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

 - Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)

 

- Перетащите лог Check_Browsers_LNK.log Перетащите лог Check_Browsers_LNK.log из папки AutoLogger\CheckBrowsersLNK на утилиту ClearLNK. Отчёт о работе прикрепите.

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.
 

 

  • Скачайте AdwCleaner и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[s00].txt.
  • Прикрепите отчет к своему следующему сообщению.

ivavasi

ivavasi

Опубликовано
  • Автор
Опубликовано (изменено)

Результаты работы AVZ dbhec [KLAN-8149793834]

Благодарим за обращение в Антивирусную Лабораторию
Присланные вами файлы были проверены в автоматическом режиме.
В антивирусных базах информация по присланным вами файлам отсутствует:
quarantine.zip
Файлы переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.
Это сообщение сформировано автоматической системой обработки писем. Пожалуйста, не отвечайте на него.
Антивирусная Лаборатория, Kaspersky Lab HQ

ClearLNK-2018.05.31_09.17.14.log

Изменено пользователем regist
убрал адрес почты
Sandor

Sandor

Опубликовано
Опубликовано

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Это не сделали. А также повторный CollectionLog и отчет AdwCleaner.
ivavasi

ivavasi

Опубликовано
  • Автор
Опубликовано (изменено)

Работа  AdwCleaner.
 

Результаты проверки онлайн-сервисом VirusDetector » 
Обсуждение результатов проверки »


Повторный CollectionLog
это какой программой делается

AdwCleanerS00.txt

Изменено пользователем regist
Sandor

Sandor

Опубликовано
Опубликовано

это какой программой делается

Autologger

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Vich
      имена файлов зашифрованны something_ne@india.com_(id)
      Автор Vich
      после выходных на рабочем компьютере, который остался включенным увидел что имена файлов приобрели вид:
       
      something_ne@india.com_73657475702E696E69
       
      на рабочем столе и в каждой папке присутствует файл:
       
      HOW DECRIPT FILES.hta
       
      Прочтя соседнюю тему воспользовался утилитой FRST64.
       
      В прикрепленном addition, frst
       
      Окажите помощь, в расшифровке.....
      ransom.7z
    • vinny_b
      Шифровальщик-вымогатель биткоинов (something_ne@india.com)
      Автор vinny_b
      Товарищ на работе словил вышеуказанного зловреда.
      Просят 0,7 биткоинов: требования:
       
       
      Штатным Kaspersky Small Office был обнаружен и помещен в карантин единственный зашифрованный файл в папке "C:\Confused\folder". (архив virus.zip, пароль "virus").
      CollectionLog-2017.02.28-03.38.zip
    • xander21
      Файлы зашифрованы uncrypte@india.com
      Автор xander21
      К сожалению, не получается расшифровать. Программа пропускает файлы. Вот лог:
      41EC4F072318644D3074FF skipped
      [-] File: C:\Users\Alexander\Desktop\scrot\DeleteProcess_new\uncrypte@india.com_6D94D9F33AF40A8098EAC9AC0A30FE57A3E0D6EB17DFFEB9DF109F303AF17858 skipped
      [-] File: C:\Users\Alexander\Desktop\scrot\DeleteProcess_new\uncrypte@india.com_8AF2E4BF1FFA56424B652F903338539EB8A6C0604C6259BCB1493EE77A493EB2 skipped
      [-] File: C:\Users\Alexander\Desktop\scrot\DeleteProcess_new\uncrypte@india.com_C21DC898EF12E9196792FA977AB7DE74 skipped
      [-] File: C:\Users\Alexander\Desktop\scrot\DeleteProcess_new\uncrypte@india.com_EEC76F7A1D7184C287D23999B88E19527E8419C66FBDFD2DCD858A145D909E26 skipped
       
      Successfully decrypted 0 files!
       
      Skipped 5 files
       

      Сообщение от модератора thyrex Выделено из темы https://forum.kasperskyclub.ru/index.php?showtopic=54305
    • elec3on
      Шифровальщик heineken@tuta.io...
      Автор elec3on
      Добрый день!
      Найден шифровальщик 
      зашифровал файлы под именем heineken@tuta.io_D0B2D0B5D0B4D0BED0BCD0BED181D182D18C2E786C73
      после @tuta.io значения разные.
      Определить Шифровальщик не получается, в связи с чем невозможно определить существует ли дешифровщик к нему.
      Нужна помощь! 
      CollectionLog-2018.06.09-10.28.zip
    • Monmak25
      Вирус-шифровальщик excaliburarthur@protonmail.com
      Автор Monmak25
      Всем доброго времени суток!
       
      Не успел я расшифровать файлы от вируса zeman@tutanota.de (естественно, с помощью специалистов этого форума), как тут же не успел защитить их от нового шифровальщика (кто-то открыл какое-то письмо).
       
      Второй email в сообщении: symbyosis@protonmail.com.
       
      Проверил KVRT - чисто.
      Запустил FRST и Autologger - собрал нужные логи.
       
      Также в корне расшаренной папки на другом компьютере среди зашифрованных файлов нашел файл формата .key, которого раньше не было. Правда, ни в какой кодировке он у меня не принял читабельный вид.
       
      Кроме этого, в приложенном архиве зашифрованный файл и readme.txt с PID.
       
       
      Прошу помощи с расшифровкой.
      406.rar
×
×
  • Создать...