Перейти к содержанию

Вирус-шифровальщик zeman@tutanota.de

Monmak25
 Поделиться

Рекомендуемые сообщения

Monmak25

Monmak25

Опубликовано
Опубликовано

Всем доброго времени суток!

Являюсь приходящим админом в одной организации.

От них неожиданно поступил звонок со словами "Всё пропало" (в обоих смыслах).

 

Запустил FRST и KVRT - результаты сканирования и проверки собрал в архив.

KVRT обнаружил в папке "C;\11" два вируса в двух файлах:

HEUR:Trojan-Ransom.Win32.Generic - в уже зашифрованном файле "zeman@tutanota.de_..."

HEUR:Trojan.Win32.Generic - в файле "systemA.exe"

Файл "DontSleep.exe" также присутствовал в папке, но KVRT не нашел в нем вируса.

 

AutoLogger не создает log-файлы из-за подключения через RDP.

 

Возможно ли подобрать ключ без этих лог-файлов?

 

Также добавил в архив зашифрованный и тот же незашифрованный файл и How decrypt files.hta.

 

 

Прошу помощи с расшифровкой.

406.rar

regist

regist

Опубликовано
Опубликовано

 

 


AutoLogger не создает log-файлы из-за подключения через RDP.
причину знаете, так что собирайте логи как положено.
Monmak25

Monmak25

Опубликовано
  • Автор
Опубликовано

Провел сканирование AutoLogger'ом.

Логи в приложенном архиве.

 

Подскажите, какие ещё файлы нужны.

 

Заранее спасибо.

406 AutoLogger.rar

Sandor

Sandor

Опубликовано
Опубликовано

Отчеты перепаковывать не нужно, если нет для этого указания.

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteRepair(9);
RebootWindows(false);
end.
Компьютер перезагрузится.

 

 

 

 

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Monmak25

Monmak25

Опубликовано
  • Автор
Опубликовано

Еще раз здравствуйте.

 

Антивирус отключил, скрипт выполнил, сканирование провел.

 

Что дальше?

Addition.txt

FRST.txt

regist

regist

Опубликовано
Опубликовано

1)  - Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.
 

2) Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

Start::
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Restriction <==== ATTENTION
Startup: C:\Users\Надежда\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HOW DECRIPT FILES.hta [2018-05-29] ()
FF Plugin-x32: @tools.google.com/Google Update;version=3 -> C:\Program Files (x86)\Google\Update\1.3.33.17\npGoogleUpdate3.dll [No File]
FF Plugin-x32: @tools.google.com/Google Update;version=9 -> C:\Program Files (x86)\Google\Update\1.3.33.17\npGoogleUpdate3.dll [No File]
2018-05-29 06:21 - 2018-05-29 06:21 - 000009046 _____ C:\Windows\SysWOW64\HOW DECRIPT FILES.hta
2018-05-29 06:21 - 2018-05-29 06:21 - 000009046 _____ C:\Windows\SysWOW64\Drivers\HOW DECRIPT FILES.hta
2018-05-29 06:18 - 2018-05-29 06:18 - 000009046 _____ C:\Windows\HOW DECRIPT FILES.hta
2018-05-29 06:18 - 2018-05-29 06:18 - 000009046 _____ C:\Users\Надежда\Documents\HOW DECRIPT FILES.hta
2018-05-29 06:17 - 2018-05-29 06:17 - 000009046 _____ C:\Users\Надежда\HOW DECRIPT FILES.hta
2018-05-29 06:17 - 2018-05-29 06:17 - 000009046 _____ C:\Users\Надежда\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\HOW DECRIPT FILES.hta
2018-05-29 06:17 - 2018-05-29 06:17 - 000009046 _____ C:\Users\Надежда\AppData\Roaming\Microsoft\Windows\Start Menu\HOW DECRIPT FILES.hta
2018-05-29 06:17 - 2018-05-29 06:17 - 000009046 _____ C:\Users\Надежда\AppData\Roaming\HOW DECRIPT FILES.hta
2018-05-29 06:17 - 2018-05-29 06:17 - 000009046 _____ C:\Users\Надежда\AppData\LocalLow\HOW DECRIPT FILES.hta
2018-05-29 06:17 - 2018-05-29 06:17 - 000009046 _____ C:\Users\Надежда\AppData\Local\HOW DECRIPT FILES.hta
2018-05-29 06:17 - 2018-05-29 06:17 - 000009046 _____ C:\Users\Надежда\AppData\HOW DECRIPT FILES.hta
2018-05-29 06:17 - 2018-05-29 06:17 - 000009046 _____ C:\Users\Лариса Николаевна\HOW DECRIPT FILES.hta
2018-05-29 06:17 - 2018-05-29 06:17 - 000009046 _____ C:\Users\Лариса Николаевна\Documents\HOW DECRIPT FILES.hta
2018-05-29 06:17 - 2018-05-29 06:17 - 000009046 _____ C:\Users\Лариса Николаевна\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\HOW DECRIPT FILES.hta
2018-05-29 06:17 - 2018-05-29 06:17 - 000009046 _____ C:\Users\Лариса Николаевна\AppData\Roaming\Microsoft\Windows\Start Menu\HOW DECRIPT FILES.hta
2018-05-29 06:17 - 2018-05-29 06:17 - 000009046 _____ C:\Users\Лариса Николаевна\AppData\Roaming\HOW DECRIPT FILES.hta
2018-05-29 06:17 - 2018-05-29 06:17 - 000009046 _____ C:\Users\Лариса Николаевна\AppData\LocalLow\HOW DECRIPT FILES.hta
2018-05-29 06:17 - 2018-05-29 06:17 - 000009046 _____ C:\Users\Лариса Николаевна\AppData\Local\HOW DECRIPT FILES.hta
2018-05-29 06:17 - 2018-05-29 06:17 - 000009046 _____ C:\Users\Лариса Николаевна\AppData\HOW DECRIPT FILES.hta
2018-05-29 06:17 - 2018-05-29 06:17 - 000009046 _____ C:\Users\Гость\HOW DECRIPT FILES.hta
2018-05-29 06:17 - 2018-05-29 06:17 - 000009046 _____ C:\Users\Гость\Documents\HOW DECRIPT FILES.hta
2018-05-29 06:17 - 2018-05-29 06:17 - 000009046 _____ C:\Users\Гость\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\HOW DECRIPT FILES.hta
2018-05-29 06:17 - 2018-05-29 06:17 - 000009046 _____ C:\Users\Гость\AppData\Roaming\Microsoft\Windows\Start Menu\HOW DECRIPT FILES.hta
2018-05-29 06:17 - 2018-05-29 06:17 - 000009046 _____ C:\Users\Гость\AppData\Roaming\HOW DECRIPT FILES.hta
2018-05-29 06:17 - 2018-05-29 06:17 - 000009046 _____ C:\Users\Гость\AppData\LocalLow\HOW DECRIPT FILES.hta
2018-05-29 06:17 - 2018-05-29 06:17 - 000009046 _____ C:\Users\Гость\AppData\Local\HOW DECRIPT FILES.hta
2018-05-29 06:17 - 2018-05-29 06:17 - 000009046 _____ C:\Users\Гость\AppData\HOW DECRIPT FILES.hta
2018-05-29 06:17 - 2018-05-29 06:17 - 000009046 _____ C:\Users\Администратор\Documents\HOW DECRIPT FILES.hta
2018-05-29 06:17 - 2018-05-29 06:17 - 000009046 _____ C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\HOW DECRIPT FILES.hta
2018-05-29 06:17 - 2018-05-29 06:17 - 000009046 _____ C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\HOW DECRIPT FILES.hta
2018-05-29 06:17 - 2018-05-29 06:17 - 000009046 _____ C:\Users\Администратор\AppData\Roaming\HOW DECRIPT FILES.hta
2018-05-29 06:17 - 2018-05-29 06:17 - 000009046 _____ C:\Users\Администратор\AppData\LocalLow\HOW DECRIPT FILES.hta
2018-05-29 06:16 - 2018-05-29 06:16 - 000009046 _____ C:\Users\Администратор\HOW DECRIPT FILES.hta
2018-05-29 06:16 - 2018-05-29 06:16 - 000009046 _____ C:\Users\Администратор\AppData\Local\HOW DECRIPT FILES.hta
2018-05-29 06:16 - 2018-05-29 06:16 - 000009046 _____ C:\Users\Администратор\AppData\HOW DECRIPT FILES.hta
2018-05-29 06:16 - 2018-05-29 06:16 - 000009046 _____ C:\Users\Public\HOW DECRIPT FILES.hta
2018-05-29 06:16 - 2018-05-29 06:16 - 000009046 _____ C:\Users\Public\Documents\HOW DECRIPT FILES.hta
2018-05-29 06:16 - 2018-05-29 06:16 - 000009046 _____ C:\Users\Default\HOW DECRIPT FILES.hta
2018-05-29 06:16 - 2018-05-29 06:16 - 000009046 _____ C:\Users\Default\Documents\HOW DECRIPT FILES.hta
2018-05-29 06:16 - 2018-05-29 06:16 - 000009046 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\HOW DECRIPT FILES.hta
2018-05-29 06:16 - 2018-05-29 06:16 - 000009046 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\HOW DECRIPT FILES.hta
2018-05-29 06:16 - 2018-05-29 06:16 - 000009046 _____ C:\Users\Default\AppData\Roaming\HOW DECRIPT FILES.hta
2018-05-29 06:16 - 2018-05-29 06:16 - 000009046 _____ C:\Users\Default\AppData\Local\HOW DECRIPT FILES.hta
2018-05-29 06:16 - 2018-05-29 06:16 - 000009046 _____ C:\Users\Default\AppData\HOW DECRIPT FILES.hta
2018-05-29 06:16 - 2018-05-29 06:16 - 000009046 _____ C:\Users\Default User\Documents\HOW DECRIPT FILES.hta
2018-05-29 06:16 - 2018-05-29 06:16 - 000009046 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\HOW DECRIPT FILES.hta
2018-05-29 06:16 - 2018-05-29 06:16 - 000009046 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\HOW DECRIPT FILES.hta
2018-05-29 06:16 - 2018-05-29 06:16 - 000009046 _____ C:\Users\Default User\AppData\Roaming\HOW DECRIPT FILES.hta
2018-05-29 06:16 - 2018-05-29 06:16 - 000009046 _____ C:\Users\Default User\AppData\Local\HOW DECRIPT FILES.hta
2018-05-29 06:16 - 2018-05-29 06:16 - 000009046 _____ C:\Users\Default User\AppData\HOW DECRIPT FILES.hta
2018-05-29 06:16 - 2018-05-29 06:16 - 000009046 _____ C:\Users\Console\HOW DECRIPT FILES.hta
2018-05-29 06:16 - 2018-05-29 06:16 - 000009046 _____ C:\Users\Console\Documents\HOW DECRIPT FILES.hta
2018-05-29 06:16 - 2018-05-29 06:16 - 000009046 _____ C:\Users\Console\Desktop\HOW DECRIPT FILES.hta
2018-05-29 06:16 - 2018-05-29 06:16 - 000009046 _____ C:\Users\Console\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\HOW DECRIPT FILES.hta
2018-05-29 06:16 - 2018-05-29 06:16 - 000009046 _____ C:\Users\Console\AppData\Roaming\Microsoft\Windows\Start Menu\HOW DECRIPT FILES.hta
2018-05-29 06:16 - 2018-05-29 06:16 - 000009046 _____ C:\Users\Console\AppData\Roaming\HOW DECRIPT FILES.hta
2018-05-29 06:16 - 2018-05-29 06:16 - 000009046 _____ C:\Users\Console\AppData\LocalLow\HOW DECRIPT FILES.hta
2018-05-29 06:16 - 2018-05-29 06:16 - 000009046 _____ C:\Users\Console\AppData\Local\HOW DECRIPT FILES.hta
2018-05-29 06:16 - 2018-05-29 06:16 - 000009046 _____ C:\Users\Console\AppData\HOW DECRIPT FILES.hta
2018-05-29 06:15 - 2018-05-29 06:15 - 000009046 _____ C:\Users\Admin\Documents\HOW DECRIPT FILES.hta
2018-05-29 06:15 - 2018-05-29 06:15 - 000009046 _____ C:\Users\Admin\Desktop\HOW DECRIPT FILES.hta
2018-05-29 06:15 - 2018-05-29 06:15 - 000009046 _____ C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\HOW DECRIPT FILES.hta
2018-05-29 06:15 - 2018-05-29 06:15 - 000009046 _____ C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\HOW DECRIPT FILES.hta
2018-05-29 06:15 - 2018-05-29 06:15 - 000009046 _____ C:\Users\Admin\AppData\Roaming\HOW DECRIPT FILES.hta
2018-05-29 06:15 - 2018-05-29 06:15 - 000009046 _____ C:\Users\Admin\AppData\LocalLow\HOW DECRIPT FILES.hta
2018-05-29 06:10 - 2018-05-29 06:10 - 000009046 _____ C:\Users\Все пользователи\HOW DECRIPT FILES.hta
2018-05-29 06:10 - 2018-05-29 06:10 - 000009046 _____ C:\Users\HOW DECRIPT FILES.hta
2018-05-29 06:10 - 2018-05-29 06:10 - 000009046 _____ C:\Users\Admin\HOW DECRIPT FILES.hta
2018-05-29 06:10 - 2018-05-29 06:10 - 000009046 _____ C:\Users\Admin\AppData\Local\HOW DECRIPT FILES.hta
2018-05-29 06:10 - 2018-05-29 06:10 - 000009046 _____ C:\Users\Admin\AppData\HOW DECRIPT FILES.hta
2018-05-29 06:10 - 2018-05-29 06:10 - 000009046 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Programs\HOW DECRIPT FILES.hta
2018-05-29 06:10 - 2018-05-29 06:10 - 000009046 _____ C:\ProgramData\Microsoft\Windows\Start Menu\HOW DECRIPT FILES.hta
2018-05-29 06:10 - 2018-05-29 06:10 - 000009046 _____ C:\ProgramData\HOW DECRIPT FILES.hta
2018-05-29 06:07 - 2018-05-29 06:07 - 000009046 _____ C:\Program Files\Common Files\HOW DECRIPT FILES.hta
2018-05-29 06:07 - 2018-05-29 06:07 - 000009046 _____ C:\Program Files (x86)\HOW DECRIPT FILES.hta
2018-05-29 06:06 - 2018-05-29 06:06 - 000009046 _____ C:\Users\Надежда\Desktop\HOW DECRIPT FILES.hta
2018-05-29 06:06 - 2018-05-29 06:06 - 000009046 _____ C:\Program Files\HOW DECRIPT FILES.hta
2018-05-29 06:06 - 2018-05-29 06:06 - 000009046 _____ C:\HOW DECRIPT FILES.hta
2018-05-29 06:06 - 2018-05-29 06:06 - 000009046 _____ () C:\Program Files\HOW DECRIPT FILES.hta
2018-05-29 06:07 - 2018-05-29 06:07 - 000009046 _____ () C:\Program Files (x86)\HOW DECRIPT FILES.hta
2018-05-29 06:07 - 2018-05-29 06:07 - 000009046 _____ () C:\Program Files\Common Files\HOW DECRIPT FILES.hta
2018-05-29 06:07 - 2018-05-29 06:07 - 000009046 _____ () C:\Program Files (x86)\Common Files\HOW DECRIPT FILES.hta
2018-05-29 06:15 - 2018-05-29 06:15 - 000009046 _____ () C:\Users\Admin\AppData\Roaming\HOW DECRIPT FILES.hta
2018-05-29 06:15 - 2018-05-29 06:15 - 000009046 _____ () C:\Users\Admin\AppData\Roaming\Microsoft\HOW DECRIPT FILES.hta
2018-05-29 06:10 - 2018-05-29 06:10 - 000009046 _____ () C:\Users\Admin\AppData\Local\HOW DECRIPT FILES.hta
EmptyTemp:
Reboot:
End::
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!
Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

 

3) У вас там два разных шифратора отработали. Со вторым никак помочь не сможем.

Monmak25

Monmak25

Опубликовано
  • Автор
Опубликовано

Ещё раз здравствуйте.

 

Ваш расшифровшик не захотел работать на данном компьютере.

 

Скриншот прикреплен.

 

Какие есть варианты?

post-49983-0-48344600-1528216188_thumb.jpg

thyrex

thyrex

Опубликовано
Опубликовано

Не захотел работать на Windows 7? Весьма странно. Запускали по правой кнопке мыши от имени Администратора?

Monmak25

Monmak25

Опубликовано
  • Автор
Опубликовано

Да, именно так. И от "Администатора", и от текущего пользователя - результат тот же.

 

Снимать HDD и лечить на другом компьютере или есть более гуманные методы?

thyrex

thyrex

Опубликовано
Опубликовано

И окно с ошибкой просто пустое?

Monmak25

Monmak25

Опубликовано
  • Автор
Опубликовано

Да, пустое. При запуске на долю секунды мелькают границы окна программы, но потом опять ошибка.

Перезагрузка не помогла.

thyrex

thyrex

Опубликовано
Опубликовано

Какая версия .NET Framework установлена? 

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Vich
      имена файлов зашифрованны something_ne@india.com_(id)
      Автор Vich
      после выходных на рабочем компьютере, который остался включенным увидел что имена файлов приобрели вид:
       
      something_ne@india.com_73657475702E696E69
       
      на рабочем столе и в каждой папке присутствует файл:
       
      HOW DECRIPT FILES.hta
       
      Прочтя соседнюю тему воспользовался утилитой FRST64.
       
      В прикрепленном addition, frst
       
      Окажите помощь, в расшифровке.....
      ransom.7z
    • vinny_b
      Шифровальщик-вымогатель биткоинов (something_ne@india.com)
      Автор vinny_b
      Товарищ на работе словил вышеуказанного зловреда.
      Просят 0,7 биткоинов: требования:
       
       
      Штатным Kaspersky Small Office был обнаружен и помещен в карантин единственный зашифрованный файл в папке "C:\Confused\folder". (архив virus.zip, пароль "virus").
      CollectionLog-2017.02.28-03.38.zip
    • xander21
      Файлы зашифрованы uncrypte@india.com
      Автор xander21
      К сожалению, не получается расшифровать. Программа пропускает файлы. Вот лог:
      41EC4F072318644D3074FF skipped
      [-] File: C:\Users\Alexander\Desktop\scrot\DeleteProcess_new\uncrypte@india.com_6D94D9F33AF40A8098EAC9AC0A30FE57A3E0D6EB17DFFEB9DF109F303AF17858 skipped
      [-] File: C:\Users\Alexander\Desktop\scrot\DeleteProcess_new\uncrypte@india.com_8AF2E4BF1FFA56424B652F903338539EB8A6C0604C6259BCB1493EE77A493EB2 skipped
      [-] File: C:\Users\Alexander\Desktop\scrot\DeleteProcess_new\uncrypte@india.com_C21DC898EF12E9196792FA977AB7DE74 skipped
      [-] File: C:\Users\Alexander\Desktop\scrot\DeleteProcess_new\uncrypte@india.com_EEC76F7A1D7184C287D23999B88E19527E8419C66FBDFD2DCD858A145D909E26 skipped
       
      Successfully decrypted 0 files!
       
      Skipped 5 files
       

      Сообщение от модератора thyrex Выделено из темы https://forum.kasperskyclub.ru/index.php?showtopic=54305
    • elec3on
      Шифровальщик heineken@tuta.io...
      Автор elec3on
      Добрый день!
      Найден шифровальщик 
      зашифровал файлы под именем heineken@tuta.io_D0B2D0B5D0B4D0BED0BCD0BED181D182D18C2E786C73
      после @tuta.io значения разные.
      Определить Шифровальщик не получается, в связи с чем невозможно определить существует ли дешифровщик к нему.
      Нужна помощь! 
      CollectionLog-2018.06.09-10.28.zip
    • Monmak25
      Вирус-шифровальщик excaliburarthur@protonmail.com
      Автор Monmak25
      Всем доброго времени суток!
       
      Не успел я расшифровать файлы от вируса zeman@tutanota.de (естественно, с помощью специалистов этого форума), как тут же не успел защитить их от нового шифровальщика (кто-то открыл какое-то письмо).
       
      Второй email в сообщении: symbyosis@protonmail.com.
       
      Проверил KVRT - чисто.
      Запустил FRST и Autologger - собрал нужные логи.
       
      Также в корне расшаренной папки на другом компьютере среди зашифрованных файлов нашел файл формата .key, которого раньше не было. Правда, ни в какой кодировке он у меня не принял читабельный вид.
       
      Кроме этого, в приложенном архиве зашифрованный файл и readme.txt с PID.
       
       
      Прошу помощи с расшифровкой.
      406.rar
×
×
  • Создать...