Перейти к содержанию
20 лет клубу! Куда отправится Kaspersky Club? Нажми, чтобы узнать локацию! ;)

Шифровальщик email-hola

rtksupport
 Поделиться

Рекомендуемые сообщения

rtksupport

rtksupport

Опубликовано
Опубликовано (изменено)

Приветствую.

 

На рабочем компьютере все файлы зашифровались в email-hola@all-ransomware.info.ver-CL 1.5.1.0.id-2856791055-516610167048898086178949.fname-сводная детализация Апрель.xls

 

KVRT ничего не нашел.

 

Помогите устранить остатки вируса. Прикладываю логи и readme файл от вымогателей.

 

CollectionLog-2018.07.18-14.02.zip

README.txt

Изменено пользователем rtksupport
Sandor

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

Через Панель управления - Удаление программ - удалите нежелательное ПО:

MediaGet

Unity Web Player

Zaxar Games Browser 4

Кнопка "Яндекс" на панели задач

Служба автоматического обновления программ

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Users\k.chernobrov\AppData\Roaming\Microsoft\msi.exe', '');
 QuarantineFile('C:\Users\K3824~1.CHE\AppData\Local\Temp\{2DCC0A96-63AB-4F4E-B6E3-E23D18A97B3A}\{8D39B522-C2F9-4B9F-B761-46D056F5DACC}.tmp', '');
 QuarantineFile('C:\Users\K3824~1.CHE\AppData\Local\Temp\{2DCC0A96-63AB-4F4E-B6E3-E23D18A97B3A}\{B2D44C06-007F-447E-B973-81A636345F1A}.tmp', '');
 QuarantineFile('C:\Users\K3824~1.CHE\AppData\Local\Temp\PSWAEIMPTX.exe', '');
 ExecuteFile('schtasks.exe', '/delete /TN "MSI" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "VssDataRestore" /F', 0, 15000, true);
 DeleteFile('C:\Users\k.chernobrov\AppData\Roaming\Microsoft\msi.exe', '64');
 DeleteFile('C:\Users\K3824~1.CHE\AppData\Local\Temp\{2DCC0A96-63AB-4F4E-B6E3-E23D18A97B3A}\{8D39B522-C2F9-4B9F-B761-46D056F5DACC}.tmp', '');
 DeleteFile('C:\Users\K3824~1.CHE\AppData\Local\Temp\{2DCC0A96-63AB-4F4E-B6E3-E23D18A97B3A}\{B2D44C06-007F-447E-B973-81A636345F1A}.tmp', '');
 DeleteFile('C:\Users\K3824~1.CHE\AppData\Local\Temp\PSWAEIMPTX.exe', '32');
 DeleteFile('C:\Users\K3824~1.CHE\AppData\Local\Temp\PSWAEIMPTX.exe', '64');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', '2856791055');
ExecuteSysClean;
RebootWindows(true);
end.
Компьютер перезагрузится.

 

После перезагрузки, выполните такой скрипт:

 

begin
DeleteFile(GetAVZDirectory+'quarantine.7z');
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pvirus quarantine ./Quarantine/', 1, 0, true);
end.
Файл quarantine.7z из папки с распакованной утилитой AVZ отправьте с помощью формы отправки карантина или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Прикрепите к следующему сообщению свежий CollectionLog.

rtksupport

rtksupport

Опубликовано
  • Автор
Опубликовано

После выполнения последнего скрипта, в диалоге avz4 

 

Удаление файла: C:\Users\k.chernobrov\Downloads\avz4\avz4\quarantine.7z
>>>Для удаления файла C:\Users\k.chernobrov\Downloads\avz4\avz4\quarantine.7z необходима перезагрузка
Запуск приложения C:\Users\k.chernobrov\Downloads\avz4\avz4\7za.exe a -mx9 -pvirus quarantine ./Quarantine/
 
В папке Quarantine появилась папка 2018-07-18, но файлов там нет
Sandor

Sandor

Опубликовано
Опубликовано

Значит ничего не попало в карантин. Продолжайте.

Sandor

Sandor

Опубликовано
Опубликовано
  • Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
  • Запустите его (необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[sxx].txt (где x - любая цифра).
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.
rtksupport

rtksupport

Опубликовано
  • Автор
Опубликовано (изменено)

Отчет.

 

Требуется очистка всего, чего нашла утилита?

AdwCleanerS00.txt

Изменено пользователем rtksupport
Sandor

Sandor

Опубликовано
Опубликовано

Да, только действуйте так:

  • Запустите повторно AdwCleaner (by Malwarebytes) (программу необходимо запускать через правую кн. мыши от имени администратора).
  • В меню Настройки включите дополнительно в разделе Базовые действия:
    • Сбросить политики IE
    • Сбросить политики Chrome
  • В меню Панель управления нажмите Сканировать.
  • По окончании нажмите кнопку Очистить и восстановить и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[Cxx].txt (где x - любая цифра).
  • Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

regist

regist

Опубликовано
Опубликовано

 

 


В папке Quarantine появилась папка 2018-07-18, но файлов там нет
разумеется их там не будет. Надо использовать ..\AutoLogger\AVZ

И скрипт лечения тоже надо выполнять в том, AVZ который с Автологером идёт. От этого результат лечения может зависеть :(.

  • Согласен 1
Sandor

Sandor

Опубликовано
Опубликовано

AVZ скачивал отдельно с сайта z-oleg

Не нужно было. В инструкциях сказано где ее брать.

 

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

regist

regist

Опубликовано
Опубликовано (изменено)

Я AVZ скачивал отдельно с сайта z-oleg

напрасно.

1) Если качаете отдельно, то обязательно надо вручную обновлять базы.

2) Там более старая версия (у нас используется AVZ 5).

Каждый из этих пунктов может влиять на выполнения скрипта.

3) Рядом с тем файлом нет других утилит используемых нами, как следствие у вас не отработал скрипт архивации карантина.

Изменено пользователем regist
rtksupport

rtksupport

Опубликовано
  • Автор
Опубликовано

 

Я AVZ скачивал отдельно с сайта z-oleg

напрасно.

1) Если качаете отдельно, то обязательно надо вручную обновлять базы.

2) Там более старая версия (у нас используется AVZ 5).

Каждый из этих пунктов может влиять на выполнения скрипта.

3) Рядом с тем файлом нет других утилит используемых нами, как следствие у вас не отработал скрипт архивации карантина.

 

Отдельно запускать те же самые скрипты в этом теперь?

Базы я обновлял.

Прикрепил

Addition.txt

FRST.txt

Sandor

Sandor

Опубликовано
Опубликовано

Отдельно запускать те же самые скрипты в этом теперь?

Уже не нужно.
  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
GroupPolicy: Restriction ? <==== ATTENTION
GroupPolicy\User: Restriction ? <==== ATTENTION
FF SearchPlugin: C:\Users\k.chernobrov\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\searchplugins\README.txt [2018-07-18]
S2 UbarCalloutDriver; \??\C:\Program Files\UBar\UbarDriver.sys [X] <==== ATTENTION
2018-07-18 12:50 - 2018-07-18 12:50 - 000000127 _____ C:\Users\README.txt
2018-07-18 12:50 - 2018-07-18 12:50 - 000000127 _____ C:\Users\Public\README.txt
2018-07-18 12:50 - 2018-07-18 12:50 - 000000127 _____ C:\Users\Public\Downloads\README.txt
2018-07-18 12:50 - 2018-07-18 12:50 - 000000127 _____ C:\Users\k.chernobrov\README.txt
2018-07-18 12:50 - 2018-07-18 12:50 - 000000127 _____ C:\Users\k.chernobrov\Downloads\README.txt
2018-07-18 12:50 - 2018-07-18 12:50 - 000000127 _____ C:\Users\k.chernobrov\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2018-07-18 12:50 - 2018-07-18 12:50 - 000000127 _____ C:\README.txt
2018-07-18 12:49 - 2018-07-18 12:50 - 000001359 _____ C:\Users\k.chernobrov\Desktop\email-hola@all-ransomware.info.ver-CL 1.5.1.0.id-2856791055-516610167048898086178949.fname-README.txt.doubleoffset
2018-07-18 12:49 - 2018-07-18 12:50 - 000000127 _____ C:\Users\k.chernobrov\Desktop\README.txt
2018-07-18 12:49 - 2018-07-18 12:49 - 000000127 _____ C:\Users\k.chernobrov\Documents\README.txt
2018-07-18 12:49 - 2018-07-18 12:49 - 000000127 _____ C:\Users\k.chernobrov\AppData\Roaming\README.txt
2018-07-18 12:49 - 2018-07-18 12:49 - 000000127 _____ C:\Users\k.chernobrov\AppData\README.txt
2018-07-18 12:48 - 2018-07-18 12:48 - 000000127 _____ C:\Users\k.chernobrov\AppData\LocalLow\README.txt
2018-07-18 12:41 - 2018-07-18 12:50 - 000001359 _____ C:\Users\Public\Documents\email-hola@all-ransomware.info.ver-CL 1.5.1.0.id-2856791055-516610167048898086178949.fname-README.txt.doubleoffset
2018-07-18 12:41 - 2018-07-18 12:50 - 000001359 _____ C:\Users\Public\Desktop\email-hola@all-ransomware.info.ver-CL 1.5.1.0.id-2856791055-516610167048898086178949.fname-README.txt.doubleoffset
2018-07-18 12:41 - 2018-07-18 12:50 - 000000127 _____ C:\Users\Public\Documents\README.txt
2018-07-18 12:41 - 2018-07-18 12:50 - 000000127 _____ C:\Users\Public\Desktop\README.txt
2018-07-18 12:41 - 2018-07-18 12:41 - 000000127 _____ C:\Users\k.chernobrov\AppData\Local\README.txt
2018-07-18 12:41 - 2018-07-18 12:41 - 000000127 _____ C:\Users\k.chernobrov\AppData\Local\Apps\README.txt
2018-07-18 12:41 - 2018-07-18 12:41 - 000000127 _____ C:\Users\Default\README.txt
2018-07-18 12:41 - 2018-07-18 12:41 - 000000127 _____ C:\Users\Default\Downloads\README.txt
2018-07-18 12:41 - 2018-07-18 12:41 - 000000127 _____ C:\Users\Default\Documents\README.txt
2018-07-18 12:41 - 2018-07-18 12:41 - 000000127 _____ C:\Users\Default\Desktop\README.txt
2018-07-18 12:41 - 2018-07-18 12:41 - 000000127 _____ C:\Users\Default\AppData\Roaming\README.txt
2018-07-18 12:41 - 2018-07-18 12:41 - 000000127 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2018-07-18 12:41 - 2018-07-18 12:41 - 000000127 _____ C:\Users\Default\AppData\README.txt
2018-07-18 12:41 - 2018-07-18 12:41 - 000000127 _____ C:\Users\Default\AppData\Local\README.txt
2018-07-18 12:41 - 2018-07-18 12:41 - 000000127 _____ C:\Users\Default User\Downloads\README.txt
2018-07-18 12:41 - 2018-07-18 12:41 - 000000127 _____ C:\Users\Default User\Documents\README.txt
2018-07-18 12:41 - 2018-07-18 12:41 - 000000127 _____ C:\Users\Default User\Desktop\README.txt
2018-07-18 12:41 - 2018-07-18 12:41 - 000000127 _____ C:\Users\Default User\AppData\Roaming\README.txt
2018-07-18 12:41 - 2018-07-18 12:41 - 000000127 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2018-07-18 12:41 - 2018-07-18 12:41 - 000000127 _____ C:\Users\Default User\AppData\README.txt
2018-07-18 12:41 - 2018-07-18 12:41 - 000000127 _____ C:\Users\Default User\AppData\Local\README.txt
2018-07-18 12:41 - 2018-07-18 12:41 - 000000127 _____ C:\ProgramData\Microsoft\Windows\Start Menu\README.txt
2018-07-18 12:40 - 2018-07-18 12:41 - 000001359 _____ C:\Users\Все пользователи\README.txt
2018-07-18 12:40 - 2018-07-18 12:41 - 000001359 _____ C:\ProgramData\README.txt
2018-07-18 12:39 - 2018-07-18 12:39 - 000000127 _____ C:\Program Files (x86)\README.txt
2018-07-18 12:29 - 2018-07-18 12:29 - 000000127 _____ C:\Program Files\README.txt
2018-07-18 12:27 - 2018-07-18 12:27 - 000000127 _____ C:\Program Files\Common Files\README.txt
Task: {92D92ED2-3E83-4A7A-922F-83C472E72E00} - System32\Tasks\MSI => C:\Users\k.chernobrov\AppData\Roaming\Microsoft\msi.exe <==== ATTENTION
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

rtksupport

rtksupport

Опубликовано
  • Автор
Опубликовано

Kaspersky Free нашел 2 exe файла, обнаружил. Trojan.MSIL.Kryptik.wtb


Прикрепляю

Fixlog.txt

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • S-e-r-s-h
      Все документы на компьютере зашифровались (.cbf)
      Автор S-e-r-s-h
      Добрый день. Хватанули троян, который зашифровал все документы таким образом: email-load180@aol.com.ver-CL 1.0.0.0.id-SBJKZCVMEGNQHJLOSVXZEGIMPSVXCEGJNQTU-02.09.2015 8@18@454361717.randomname-CNOCKUQNTOEVIVKQBSIWJZUKAQVPET.MGZ.cbf
      После заражения воспользовались восстановлением системы на предыдущий дату и проверили Kaspersky Virus Removal Tool 2015, а после, продленным Small Office Security. Вроде ничего не нашел.  Очень нужна ваша помощь. Как убедиться, что источника заразы больше нет и как расшифровать документы? CollectionLog-2015.09.07-11.35.zip
    • sidor
      поймали шифровальщика
      Автор sidor
      Здравствуйте!
      Все как обычно, пришло письмо, якобы от налоговой, дальше открытие архива, без сохранения и проверки антивирусом.
      Результат-все файлы  MSO зашифрованы - названия начинаются с seven_legion@aol.com
      Что сделал:
      1. Прошелся по диску kav_rescue_10.
       по классификации каспера выявлено Win32.VBKryjetor.wes  в program files и в корневике системы.
      2. Удалил из автозагрузки окошко с предупреждением.
      3. Собрал логи.

         CollectionLog-2015.09.04-14.27
      Посмотрите, пожалуйста, может где еще дыры или зверье сидит?
       
      По поводу расшифровки: пробовал rectordecryptor и xoristdecryptor, не помогло.
      Может у кого есть дешифратор для моего случая? Плзз. А то девчонкам этим несчастным неделю на складе ревизию проводить....
       
      CollectionLog-2015.09.04-14.27.zip
    • Елена К
      Зашифрованы файлы
      Автор Елена К
      Получила письмо на почту, открыла прикрепленный файл, через пару часов на рабочем столе надпись "Твои файлы зашифрованы, отправь файл на почту Seven_legion2@aol.com ...."  Все файлы текстовые, все фото зашифрованы. Можно расшифровать фото?

      Прочитала предыдущее сообщение, сделала как там было написано, прикрепляю файлы. Очень надеюсь на помощь.
      CollectionLog-2015.09.05-22.02.zip
      Addition_05-09-2015_22-36-03.txt
      FRST_05-09-2015_22-36-03.txt
    • Klu4nik
      *.cbf файлы :(
      Автор Klu4nik
      Здравствуйте!
       
      Пользователь запустил файл из прикрепленного к письму с мэйл.ру архива wordpad.rar. Kaspersky WS не среагировал. Прошло шифрование, фото документы (много, важное), обои сменились на требование. После перезагрузки, KWS-ом автоматически был обнаружен троян: "Удалено троянская программа Trojan.Win32.Inject.vgcj C:\Program Files\explore.exe 27.08.2015 12:35:13".
       
      Спасибо за ваше время и желание помочь!
        CollectionLog-2015.08.27-13.23.zip
    • Арсен Омаров
      Вирус-шифровальщик
      Автор Арсен Омаров
      Всем привет! Прошу Вашей помощи! Сегодня к моей сестре на почту пришло письмо по работе! Она открыла и запустила файл который..в общем во вложении прикрепляю фото рабочего стола на котором сообщение:
       Твои файлы зашифрованы, если хочешь все вернуть, отправь 1 зашифрованный файл на эту почту
      и т.д.
       
      так же высылаю логи..


      CollectionLog-2015.08.24-14.29.zip
×
×
  • Создать...