Перейти к содержанию

Шифровальщик Trojan.Ransom.Win32.Crusis.to

KasperGleb
 Поделиться

Рекомендуемые сообщения

KasperGleb

KasperGleb

Опубликовано
Опубликовано (изменено)

Добрый день!

 

Поймали шифровальщик Trojan.Ransom.Win32.Crusis.to, повредились файлы на локальном диске C: и также на подключенной сетевой "шаре". На зараженной машине прошёлся утилитой Kaspersky Virus Remove Tool, удалил ей все файлы с трояном, затем запустил AutoLogger (лог прилагаю). Также прилагаю на всякий случай исполняемый файл с трояном, который нашла утилита Kaspersky Virus Remove Tool [удалено].

CollectionLog-2018.06.08-12.58.zip

Изменено пользователем Sandor
Убрал ссылку на вирус
Sandor

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

Расшифровки для этого типа вымогателя нет.

 

Для очистки следов и мусора дополнительн:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

KasperGleb

KasperGleb

Опубликовано
  • Автор
Опубликовано

Скажите, можно ли как-то из логов понять происходждение данной заразы на этом компьютере? RDP это был или открытое вложение из почты?

Addition.txt

FRST.txt

Sandor

Sandor

Опубликовано
Опубликовано

происходждение данной заразы на этом компьютере?

Дата и время - 2018-06-07 15:39

 

RDP это был или открытое вложение из почты?

Оба варианта возможны. Поэтому пароль на RDP меняйте на сложный.

 

Судя по логу, поработали два вымогателя.

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
HKLM\...\Run: [C:\Windows\System32\Info.hta] => C:\Windows\System32\Info.hta [13921 2018-06-08] ()
HKLM\...\Run: [C:\Users\User\AppData\Roaming\Info.hta] => C:\Users\User\AppData\Roaming\Info.hta [13921 2018-06-08] ()
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta [2018-06-08] ()
Startup: C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta [2018-06-08] ()
2018-06-07 15:39 - 2018-06-08 12:31 - 000013921 _____ C:\Windows\system32\Info.hta
2018-06-07 15:39 - 2018-06-08 12:31 - 000013921 _____ C:\Users\User\AppData\Roaming\Info.hta
2018-06-07 15:39 - 2018-06-08 12:31 - 000000170 _____ C:\Users\User\Desktop\FILES ENCRYPTED.txt
2018-06-07 15:39 - 2018-06-08 12:31 - 000000170 _____ C:\Users\Public\Desktop\FILES ENCRYPTED.txt
2018-06-07 15:39 - 2018-06-08 12:31 - 000000170 _____ C:\FILES ENCRYPTED.txt
zip: c:\frst\quarantine
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

 

Файл Дата_Время.zip с рабочего стола тоже прикрепите.

 

Подробнее читайте в этом руководстве.

Sandor

Sandor

Опубликовано
Опубликовано

Проверьте уязвимые места:

  • Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.
Sandor

Sandor

Опубликовано
Опубликовано

------------------------------- [ Windows ] -------------------------------

Internet Explorer 11.0.9600.18230 Внимание! Скачать обновления

^Онлайн установка. Последняя версия доступна при включенном обновлении Windows через интернет.^

Контроль учётных записей пользователя отключен (Уровень 1)

^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^

Автоматическое обновление отключено (-1)

------------------------------- [ HotFix ] --------------------------------

HotFix KB3145739 Внимание! Скачать обновления

HotFix KB3146963 Внимание! Скачать обновления

HotFix KB3156013 Внимание! Скачать обновления

HotFix KB3156016 Внимание! Скачать обновления

HotFix KB3156019 Внимание! Скачать обновления

HotFix KB3155178 Внимание! Скачать обновления

HotFix KB3153171 Внимание! Скачать обновления

HotFix KB3170455 Внимание! Скачать обновления

HotFix KB3178034 Внимание! Скачать обновления

HotFix KB3185911 Внимание! Скачать обновления

HotFix KB3184122 Внимание! Скачать обновления

HotFix KB3192391 Внимание! Скачать обновления

HotFix KB3197867 Внимание! Скачать обновления

HotFix KB3205394 Внимание! Скачать обновления

HotFix KB4012212 Внимание! Скачать обновления

HotFix KB4019263 Внимание! Скачать обновления

HotFix KB4022722 Внимание! Скачать обновления

HotFix KB4015546 Внимание! Скачать обновления

HotFix KB4025337 Внимание! Скачать обновления

HotFix KB4034679 Внимание! Скачать обновления

HotFix KB4041678 Внимание! Скачать обновления

HotFix KB4056894 Внимание! Скачать обновления

HotFix KB4056897 Внимание! Скачать обновления

HotFix KB4074587 Внимание! Скачать обновления

HotFix KB4103712 Внимание! Скачать обновления

--------------------------- [ OtherUtilities ] ----------------------------

Microsoft Silverlight v.5.1.10411.0 Внимание! Скачать обновления

---------------------------- [ ProxyAndVPNs ] -----------------------------

OpenVPN 2.4.5-I601 v.2.4.5-I601 Внимание! Скачать обновления

 

 

Закрывайте уязвимости. Подумайте об установке антивируса.

 

Рекомендации после удаления вредоносного ПО

KasperGleb

KasperGleb

Опубликовано
  • Автор
Опубликовано

Понятно, похоже, что обновления всё-таки бывают и полезные.

 

Спасибо за содействие!

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • MSBishop
      Новое Расширение: Dharma шифровальщика: .onion
      Автор MSBishop
      Поймали шифровальщик. 
      Со страху пользователь грохнул систему и переустановил ОС поэтому ни логов и прочей информации собрать не удалось, остались только зашифрованные фалы
      Имена фалов изменились по шаблону: config.sys.id -66813FE4.[felix_dies@aol.com].onion
      Идентификация в ID Ransomware: Dharma (.onion)
       
      Для прочих dharma шифровальщиков есть дешифраторы.
      Есть ли шанс что для этого расширения будет дешифратор?
    • Александр Панев
      Вирус шифровальщик 3048664056@qq.com
      Автор Александр Панев
      Знакомые поймали вирус-шифровальщик. Просит написать на адрес 3048664056@qq.com
      Файлы зашифрованы с расширением .wallet
       
      1. Сперва PC полечил в ручную, удалил из автозагрузки и компьютера файл с вирусом.
      2. Проверил утилитой от касперского, вирусов больше не нашлось.
      3. При проверки файла с вирусом находит вирус: Trojan-Ransom.Win32.Crusis.xg
       
      В приложении:
      1. файл с вирусом (пароль 123)
      2. Зашифрованный файл
      3. Логи
       

      Строгое предупреждение от модератора "Mark D. Pearlstone" Не публикуйте вредоносные ссылки и файлы на форуме. csrs.exe.id-FC475758.3048664056@qq.com.zip
      CollectionLog-2017.04.26-16.26.zip
      Data recovery FILLs .txt
    • Виталий88
      Trojan-Ransom.Win32.Rakhni decryption tool
      Автор Виталий88
      добрый день, сегодня пришел на работу и не смог открыть не один документ. Все файлы имеют расширение id-.[shadowblacksea@qq.com].wallet. В диспетчере задач висит и даже не скрывается Trojan-Ransom.Win32.Rakhni decryption tool. Можно ли как то восстановить зашифрованные файлы и убить эту заразу? Dr.web как и касперский угроз не нашли
        CollectionLog-2017.04.25-13.53.zip
    • alexander.zas
      Расшифровка Trojan-Ransom.Win32.Crusis
      Автор alexander.zas
      Добрый день.
      Помогите расшифровать Trojan-Ransom.Win32.Crusis, файлы с именем [OriginalName]id-0A7E562E.[3048664056@qq.com].wallet 
    • merlin_hal
      id-70FAE858.[3048664056@qq.com] WALLET
      Автор merlin_hal
      Практически все файлы были зашифрованы и теперь имеют вид: *.docx.id-70FAE858.[3048664056@qq.com] Затронут как пакет MSOffice, так и *.jpg, *.pdf и т.п. Так же на локальном диске был создан файл с содержанием: 
      Your documents, photos, databases, save games and other important data has been encrypted. Data recovery requires decoder. To obtain decoder, please contact me by email: 3048664056@qq.com or patrik.swize@gmx.de or through the service https://bitmsg.me, and send me a message to the address: BM-2cWpwwPT9bqLv7D1VMSFUNJZgQ1mKBRgxK Компьютер в домене и был затронут частично сетевой диск CollectionLog-2017.04.12-14.06.zip
×
×
  • Создать...