Шифровальщик Trojan.Ransom.Win32.Crusis.to

[KasperGleb]

Добрый день!

 

Поймали шифровальщик Trojan.Ransom.Win32.Crusis.to, повредились файлы на локальном диске C: и также на подключенной сетевой "шаре". На зараженной машине прошёлся утилитой Kaspersky Virus Remove Tool, удалил ей все файлы с трояном, затем запустил AutoLogger (лог прилагаю). Также прилагаю на всякий случай исполняемый файл с трояном, который нашла утилита Kaspersky Virus Remove Tool [удалено].

CollectionLog-2018.06.08-12.58.zip

Изменено 8 июня, 2018 пользователем Sandor
Убрал ссылку на вирус

[Sandor]

Здравствуйте!

 

Расшифровки для этого типа вымогателя нет.

 

Для очистки следов и мусора дополнительн:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[KasperGleb]

Скажите, можно ли как-то из логов понять происходждение данной заразы на этом компьютере? RDP это был или открытое вложение из почты?

Addition.txt

FRST.txt

[Sandor]

происходждение данной заразы на этом компьютере?

Дата и время - 2018-06-07 15:39

 

RDP это был или открытое вложение из почты?

Оба варианта возможны. Поэтому пароль на RDP меняйте на сложный.

 

Судя по логу, поработали два вымогателя.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CreateRestorePoint:
  HKLM\...\Run: [C:\Windows\System32\Info.hta] => C:\Windows\System32\Info.hta [13921 2018-06-08] ()
  HKLM\...\Run: [C:\Users\User\AppData\Roaming\Info.hta] => C:\Users\User\AppData\Roaming\Info.hta [13921 2018-06-08] ()
  Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta [2018-06-08] ()
  Startup: C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta [2018-06-08] ()
  2018-06-07 15:39 - 2018-06-08 12:31 - 000013921 _____ C:\Windows\system32\Info.hta
  2018-06-07 15:39 - 2018-06-08 12:31 - 000013921 _____ C:\Users\User\AppData\Roaming\Info.hta
  2018-06-07 15:39 - 2018-06-08 12:31 - 000000170 _____ C:\Users\User\Desktop\FILES ENCRYPTED.txt
  2018-06-07 15:39 - 2018-06-08 12:31 - 000000170 _____ C:\Users\Public\Desktop\FILES ENCRYPTED.txt
  2018-06-07 15:39 - 2018-06-08 12:31 - 000000170 _____ C:\FILES ENCRYPTED.txt
  zip: c:\frst\quarantine
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

 

Файл Дата_Время.zip с рабочего стола тоже прикрепите.

 

Подробнее читайте в этом руководстве.

[KasperGleb]

Прилагаю

Fixlog.txt

08.06.2018_14.25.46.zip

[Sandor]

Проверьте уязвимые места:

• Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[KasperGleb]

Сделано

SecurityCheck.txt

[Sandor]

------------------------------- [ Windows ] -------------------------------

Internet Explorer 11.0.9600.18230 Внимание! Скачать обновления

^Онлайн установка. Последняя версия доступна при включенном обновлении Windows через интернет.^

Контроль учётных записей пользователя отключен (Уровень 1)

^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^

Автоматическое обновление отключено (-1)

------------------------------- [ HotFix ] --------------------------------

HotFix KB3145739 Внимание! Скачать обновления

HotFix KB3146963 Внимание! Скачать обновления

HotFix KB3156013 Внимание! Скачать обновления

HotFix KB3156016 Внимание! Скачать обновления

HotFix KB3156019 Внимание! Скачать обновления

HotFix KB3155178 Внимание! Скачать обновления

HotFix KB3153171 Внимание! Скачать обновления

HotFix KB3170455 Внимание! Скачать обновления

HotFix KB3178034 Внимание! Скачать обновления

HotFix KB3185911 Внимание! Скачать обновления

HotFix KB3184122 Внимание! Скачать обновления

HotFix KB3192391 Внимание! Скачать обновления

HotFix KB3197867 Внимание! Скачать обновления

HotFix KB3205394 Внимание! Скачать обновления

HotFix KB4012212 Внимание! Скачать обновления

HotFix KB4019263 Внимание! Скачать обновления

HotFix KB4022722 Внимание! Скачать обновления

HotFix KB4015546 Внимание! Скачать обновления

HotFix KB4025337 Внимание! Скачать обновления

HotFix KB4034679 Внимание! Скачать обновления

HotFix KB4041678 Внимание! Скачать обновления

HotFix KB4056894 Внимание! Скачать обновления

HotFix KB4056897 Внимание! Скачать обновления

HotFix KB4074587 Внимание! Скачать обновления

HotFix KB4103712 Внимание! Скачать обновления

--------------------------- [ OtherUtilities ] ----------------------------

Microsoft Silverlight v.5.1.10411.0 Внимание! Скачать обновления

---------------------------- [ ProxyAndVPNs ] -----------------------------

OpenVPN 2.4.5-I601 v.2.4.5-I601 Внимание! Скачать обновления

 

 

Закрывайте уязвимости. Подумайте об установке антивируса.

 

Рекомендации после удаления вредоносного ПО

[KasperGleb]

Понятно, похоже, что обновления всё-таки бывают и полезные.

 

Спасибо за содействие!