Перейти к содержанию

Шифровальщик id-5C6490C0.[bitpandacom@qq.com].combo

Viktor100500
 Поделиться

Рекомендуемые сообщения

Viktor100500

Viktor100500

Опубликовано
Опубликовано (изменено)

Добрый день!

В одно прекрасное утро обнаружилось, что на нескольких ПК в компании зашифрованы почти все файлы.

Программы работают, шифрование дальше programsfiles не пошло видимо.

Банальная смена расширений результата не дало. Полегло много полезной информации.

Интернет дал понять что это новый вид(уровень) шифровальщика.

Файлы /примеры заражённых файлов прикрепил

Также инфа из программы Farbar Revocery Scan Tool

Просьба посодействовать в решении.

зашифрованый файл.7z

FRST.7z

Изменено пользователем Viktor100500
Sandor

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

новый вид(уровень) шифровальщика

Нет, не новый. Это Dharma (.cezar Family) и расшифровки нет.

 

Если нужна помощь в очистке следов, выполните Порядок оформления запроса о помощи.

(Нужен CollectionLog, собранный с помощью Автологера).

Viktor100500

Viktor100500

Опубликовано
  • Автор
Опубликовано

Здравствуйте!

 

новый вид(уровень) шифровальщика

Нет, не новый. Это Dharma (.cezar Family) и расшифровки нет.

 

Если нужна помощь в очистке следов, выполните Порядок оформления запроса о помощи.

(Нужен CollectionLog, собранный с помощью Автологера).

 

Грустно.

Сделал как написано.

1. Проверил 

2. Собрал лог

3. Прикрепил

CollectionLog-2018.08.14-14.08.zip

Sandor

Sandor

Опубликовано
Опубликовано (изменено)

Смените пароль на RDP. Проверьте уязвимые места:

Выполните скрипт в AVZ при наличии доступа в интернет:

 

var
LogPath : string;
ScriptPath : string;
begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';
  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить.

В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

 

Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления (если таковые будут).

Перезагрузите компьютер.

Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

+

Дополнительно, пожалуйста:

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ClearQuarantineEx(true);
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Microsoft R Server\Machine-Learning-Admin-Util.lnk', '');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью формы отправки карантина или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

Изменено пользователем Sandor
  • Спасибо (+1) 1
Viktor100500

Viktor100500

Опубликовано
  • Автор
Опубликовано (изменено)
...

Выполнил скрипт, первый раз ничего не нашёл (Часто используемые уязвимости не обнаружены), перезагрузился, повторил, также всё чисто.

Значит либо самоудалился, либо откуда-то с другого места распространяет.

Второй скрипт выполнил, отправил архив через форму отправки карантина.

 

 

Среди 50пк аналогичная активность выявлена на 3х, буду с ними также проверяться.

Спасибо за советы/ответы

 

 

UPD.

 

Нашёл виновника. Повторяю логи. Может что подскажет.

 

upd2

 

Нашёл в автозапуске собственно файл. могу сюда скинуть если надо

CollectionLog-2018.08.14-18.10.zip

FRST.zip

Изменено пользователем Viktor100500
Sandor

Sandor

Опубликовано
Опубликовано

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '');
 QuarantineFile('C:\Users\admin\AppData\Roaming\Info.hta', '');
 QuarantineFile('C:\Users\v.alekseev\AppData\Roaming\1taskp.exe', '');
 QuarantineFile('C:\Users\v.alekseev\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\1taskp.exe', '');
 QuarantineFile('C:\Windows\System32\1taskp.exe', '');
 QuarantineFile('C:\Windows\System32\Info.hta', '');
 DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '64');
 DeleteFile('C:\Users\admin\AppData\Roaming\Info.hta', '64');
 DeleteFile('C:\Users\v.alekseev\AppData\Roaming\1taskp.exe', '32');
 DeleteFile('C:\Users\v.alekseev\AppData\Roaming\1taskp.exe', '64');
 DeleteFile('C:\Users\v.alekseev\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\1taskp.exe', '');
 DeleteFile('C:\Users\v.alekseev\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\1taskp.exe', '64');
 DeleteFile('C:\Windows\System32\1taskp.exe', '64');
 DeleteFile('C:\Windows\System32\Info.hta', '64');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', '1taskp.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', '1taskp.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'C:\Users\admin\AppData\Roaming\Info.hta');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'C:\Windows\System32\Info.hta');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
end.
Пожалуйста, перезагрузите компьютер вручную.

 

 

 

 

Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN).

 

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Прикрепите к следующему сообщению свежий CollectionLog.

 

 

могу сюда скинуть если надо

Сюда не надо. Можете отправить на https://newvirus.kaspersky.ru/
Sandor

Sandor

Опубликовано
Опубликовано

Свежие логи FRST соберите на этой системе.

Viktor100500

Viktor100500

Опубликовано
  • Автор
Опубликовано (изменено)

 

 

Благодарим за обращение в Антивирусную Лабораторию

 

Присланные вами файлы и ссылки были проверены в автоматическом режиме

 

В антивирусных базах информация по присланным вами файлам отсутствует:

Info.hta

Info_0.hta

Info_1.hta

 

В следующих файлах обнаружен вредоносный код:

1taskp.exe - Trojan-Ransom.Win32.Crusis.to

1taskp_0.exe - Trojan-Ransom.Win32.Crusis.to

1taskp_1.exe - Trojan-Ransom.Win32.Crusis.to

 

В антивирусных базах информация по присланным вами ссылкам отсутствует:

https://forum.kasperskyclub.ru/index.php?showtopic=60173&p=893007

 

Файлы и ссылки переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте. 

[KLAN-8557797420]

Свежие логи FRST соберите на этой системе.

 

Прикрепил

FRST150818.7z

Изменено пользователем Viktor100500
Sandor

Sandor

Опубликовано
Опубликовано

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
HKLM\...\Run: [1taskp.exe] => C:\Windows\System32\1taskp.exe
HKLM\...\Run: [C:\Windows\System32\Info.hta] => mshta.exe "C:\Windows\System32\Info.hta"
HKLM\...\Run: [C:\Users\admin\AppData\Roaming\Info.hta] => mshta.exe "C:\Users\admin\AppData\Roaming\Info.hta"
Startup: C:\Users\admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta [2018-08-14] ()
2018-08-13 23:29 - 2018-08-14 09:15 - 000000170 _____ C:\Users\admin\Desktop\FILES ENCRYPTED.txt
2018-08-13 23:29 - 2018-08-14 09:15 - 000000170 _____ C:\FILES ENCRYPTED.txt
2018-08-13 23:29 - 2018-08-13 23:29 - 000000170 _____ C:\Users\Public\Desktop\FILES ENCRYPTED.txt
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Перезагрузите компьютер вручную.

 

Подробнее читайте в этом руководстве.

Viktor100500

Viktor100500

Опубликовано
  • Автор
Опубликовано

 

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
HKLM\...\Run: [1taskp.exe] => C:\Windows\System32\1taskp.exe
HKLM\...\Run: [C:\Windows\System32\Info.hta] => mshta.exe "C:\Windows\System32\Info.hta"
HKLM\...\Run: [C:\Users\admin\AppData\Roaming\Info.hta] => mshta.exe "C:\Users\admin\AppData\Roaming\Info.hta"
Startup: C:\Users\admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta [2018-08-14] ()
2018-08-13 23:29 - 2018-08-14 09:15 - 000000170 _____ C:\Users\admin\Desktop\FILES ENCRYPTED.txt
2018-08-13 23:29 - 2018-08-14 09:15 - 000000170 _____ C:\FILES ENCRYPTED.txt
2018-08-13 23:29 - 2018-08-13 23:29 - 000000170 _____ C:\Users\Public\Desktop\FILES ENCRYPTED.txt
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Перезагрузите компьютер вручную.

 

Подробнее читайте в этом руководстве.

 

Fixlog.txt

Sandor

Sandor

Опубликовано
Опубликовано

К сожалению, расшифровки этого типа вымогателя нет. Но попробуйте:

При наличии лицензии на любой из продуктов Касперского создайте запрос на расшифровку.

  • 3 недели спустя...
Roman79

Roman79

Опубликовано
Опубликовано (изменено)

Поймали тоже самое, заплатили, ключи у этой штуки похоже, динамические, нам прислали декриптор, который собрал ключи из наших зашифрованных файлов и после этого к этим ключам прислали фай ответа. Может кому-нибудь поможет, прикладываю декриптор, набор наших ключей и ответы к ним.

9CN03T_decrypt.rar

Изменено пользователем Roman79
Sandor

Sandor

Опубликовано
Опубликовано

Может кому-нибудь поможет

Нет, не поможет.
Hendehog

Hendehog

Опубликовано
Опубликовано

[#10171]

Здравствуйте.

 

У вас не достаточно прав для загрузки данного прикрепленного файла.

Почему скачать не могу?

 

Не поможет потому-что все файлы индивидуально шифруются?

Гость
Эта тема закрыта для публикации ответов.
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Quester1337
      Подозрение на вирус(ратник или стиллер)
      Автор Quester1337
      После скачки файла из интернета с проверенного ресурса было много срабатываний антивируса, однако я разрешил софту работать, вроде бы ничего странного не случалось, теперь я его удалил и хотел бы удостовериться, что его не осталось, т.к. в дз видел процесс повершелл который грузит цп(17-30%). Логи прилагаю.
      CollectionLog-2026.01.16-15.50.zip
    • pro100danya
      Угроза DPC:PowerShell.AVKill.10
      Автор pro100danya
      перестал работать запрет ,скачал фикс с ютуба после перезапуска пк удалился хром,скачал dr web и
      постоянно поврежденны файлы hosts и Chromiumconfig и недавно 200+ раз др веб отклонил DPC:PowerShell.AVKill.10
      я решил закинуть в вирус тотал ехешник и там было куча вирусов.
      пожалуйста помогите мне удалить вирус я не понимаю как его удалить но dr web постоянно детектит все его действия но АВ мне надо выключить для установки различных программ но я боюсь за свой пк
      также не хочу просто чтоб у меня был вирус на пк
    • Romchik45
      вирус закрывает антивирус
      Автор Romchik45
      1. Удалил антивирус 360 security.
      2. Захожу в антивирус винды (чтобы восстановить нужный мне файл) -журнал защиты и хочу восстановить один файл, в итоге там появляется непонятный файл и антивирус сам закрывается.
      3. Провел полное сканирование с помощью dr web cureit и обнаружились угрозы, переместились в карантин.
      После этого всего всеравно антивирус закрывается как на видео.
      Прилагаю еще скриншот с двумя непонятными программами которые установлены на пк.
      у меня виндовс 10 на пк
      https://www.youtube.com/watch?v=j5aPu8TweZI

      CollectionLog-2026.01.14-20.08.zip Архив ZIP - WinRAR.zip
    • KolanK
      Вирус Robotdemo
      Автор KolanK
      На пк сидит майнер Robotdemo. Антивирусы его не находят, только через Advance system care получается его снести на некоторое время. Спустя несколько дней (бывает даже раньше) он появляется снова.  В папке ProgramData он тоже не отображается.


      CollectionLog-2026.01.13-19.23.zip
    • Beshan
      После kms auto появляется самовосстанавливающаяся папка с trojan (czyuzabpfprl и ztbhbqffszlu)
      Автор Beshan
      Добрый день, пытался активировать виндовс через kms auto, после чего начали появляться самовосстанавливающиеся папки с файлом внутри, которые антивирус бесконечно теперь удаляет. Прикрепляю логи с Farbar Recovery Scan Tool. Спасибо
      Addition.zip FRST.zip
×
×
  • Создать...