Перейти к содержанию
20 лет клубу! Куда отправится Kaspersky Club? Нажми, чтобы узнать локацию! ;)

обнаружен шифровальщик hola-veglass@x-mail.pro

Анастасия Жилинская

Автор Анастасия Жилинская
в Помощь в борьбе с шифровальщиками-вымогателями

 Поделиться

Рекомендуемые сообщения

Анастасия Жилинская

Анастасия Жилинская

Опубликовано
Опубликовано (изменено)

Добрый день!

Шифровальщик создает файлы вида: email-hola-veglass@x-mail.pro в блокноте readme. KVRT ничего не нашел. Пострадали фотошоп, конвертор изображений, корел, тотал коммандер и др.

 

Файл протоколов прикреплен.

 

Спасибо!

Изменено пользователем Анастасия Жилинская
regist

regist

Опубликовано
Опубликовано

 

 


Файл протоколов прикреплен.
кнопку загрузить наверно забыли нажать.
Анастасия Жилинская

Анастасия Жилинская

Опубликовано
  • Автор
Опубликовано

 

Файл протоколов прикреплен.

кнопку загрузить наверно забыли нажать.

 

 

Да, прошу прощения. Теперь загружено

CollectionLog-2018.09.07-11.33.zip

regist

regist

Опубликовано
Опубликовано

1) Насчёт рассшифровки создайте запрос  в тех. поддержку др. Веба.

 

2)  - Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

3) WinZip 20.5 - деинсталируйте.

 

4) Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Анастасия Жилинская

Анастасия Жилинская

Опубликовано
  • Автор
Опубликовано

1) Насчёт рассшифровки создайте запрос  в тех. поддержку др. Веба.

 

2)  - Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

 

3) WinZip 20.5 - деинсталируйте.

 

4) Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

 

1. Другого сайта? Посоветуйте, пожалуйста, куда именно? Увы, не разбираюсь в этом...

 

2. Выполнено. https://virusinfo.info/virusdetector/report.php?md5=B31AC373DDB96A908B3E089DD950B5BF

 

3. Выполнено.

 

4. Выполнено. Файлы прикреплены

Addition.txt

FRST.txt

regist

regist

Опубликовано
Опубликовано

1) У вас лицензия антивируса на др. Веба? Тогда вам сюда https://support.drweb.ru/new/free_unlocker/for_decode/

3) WinZip 20.5 деинсталировали и взамен поставили WinZip 22.5. Можно узнать зачем? У вас же стоит WinRAR 5.50.

 

4)

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Start::
CreateRestorePoint:
HKU\S-1-5-21-2647868642-904909952-1226490215-1000\...\MountPoints2: {c34b16f2-3d56-11e8-aba1-902b34b2d3a8} - F:\HiSuiteDownLoader.exe
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Гость\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Гость\Downloads\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Гость\Documents\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Гость\Desktop\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Гость\AppData\Roaming\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Гость\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Гость\AppData\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Гость\AppData\LocalLow\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Гость\AppData\Local\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Public\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Public\Downloads\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\PCGrodno\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\PCGrodno\Documents\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\PCGrodno\AppData\Roaming\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\PCGrodno\AppData\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\PCGrodno\AppData\LocalLow\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\PCGrodno\AppData\Local\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Default\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Default\Downloads\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Default\Documents\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Default\Desktop\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Default\AppData\Roaming\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Default\AppData\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Default\AppData\LocalLow\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Default\AppData\Local\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Default User\Downloads\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Default User\Documents\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Default User\Desktop\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Default User\AppData\Roaming\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Default User\AppData\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Default User\AppData\LocalLow\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Default User\AppData\Local\README.txt
2018-09-05 10:56 - 2018-09-05 10:56 - 000000124 _____ C:\Users\Все пользователи\README.txt
2018-09-05 10:56 - 2018-09-05 10:56 - 000000124 _____ C:\ProgramData\README.txt
2018-09-05 10:56 - 2018-09-05 10:56 - 000000124 _____ C:\Program Files\README.txt
2018-09-05 10:54 - 2018-09-05 10:54 - 000000124 _____ C:\Program Files\Common Files\README.txt
2018-09-05 10:53 - 2018-09-05 10:53 - 000000124 _____ C:\Users\README.txt
2018-09-05 10:56 - 2018-09-05 10:56 - 000000124 _____ () C:\Program Files\README.txt
2018-09-05 10:54 - 2018-09-05 10:54 - 000000124 _____ () C:\Program Files\Common Files\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ () C:\Users\PCGrodno\AppData\Roaming\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ () C:\Users\PCGrodno\AppData\Roaming\Microsoft\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ () C:\Users\PCGrodno\AppData\Local\README.txt
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически.
Анастасия Жилинская

Анастасия Жилинская

Опубликовано
  • Автор
Опубликовано

 

1) У вас лицензия антивируса на др. Веба? Тогда вам сюда https://support.drweb.ru/new/free_unlocker/for_decode/

3) WinZip 20.5 деинсталировали и взамен поставили WinZip 22.5. Можно узнать зачем? У вас же стоит WinRAR 5.50.

 

4)

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
HKU\S-1-5-21-2647868642-904909952-1226490215-1000\...\MountPoints2: {c34b16f2-3d56-11e8-aba1-902b34b2d3a8} - F:\HiSuiteDownLoader.exe
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Гость\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Гость\Downloads\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Гость\Documents\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Гость\Desktop\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Гость\AppData\Roaming\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Гость\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Гость\AppData\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Гость\AppData\LocalLow\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Гость\AppData\Local\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Public\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Public\Downloads\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\PCGrodno\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\PCGrodno\Documents\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\PCGrodno\AppData\Roaming\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\PCGrodno\AppData\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\PCGrodno\AppData\LocalLow\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\PCGrodno\AppData\Local\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Default\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Default\Downloads\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Default\Documents\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Default\Desktop\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Default\AppData\Roaming\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Default\AppData\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Default\AppData\LocalLow\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Default\AppData\Local\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Default User\Downloads\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Default User\Documents\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Default User\Desktop\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Default User\AppData\Roaming\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Default User\AppData\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Default User\AppData\LocalLow\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ C:\Users\Default User\AppData\Local\README.txt
2018-09-05 10:56 - 2018-09-05 10:56 - 000000124 _____ C:\Users\Все пользователи\README.txt
2018-09-05 10:56 - 2018-09-05 10:56 - 000000124 _____ C:\ProgramData\README.txt
2018-09-05 10:56 - 2018-09-05 10:56 - 000000124 _____ C:\Program Files\README.txt
2018-09-05 10:54 - 2018-09-05 10:54 - 000000124 _____ C:\Program Files\Common Files\README.txt
2018-09-05 10:53 - 2018-09-05 10:53 - 000000124 _____ C:\Users\README.txt
2018-09-05 10:56 - 2018-09-05 10:56 - 000000124 _____ () C:\Program Files\README.txt
2018-09-05 10:54 - 2018-09-05 10:54 - 000000124 _____ () C:\Program Files\Common Files\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ () C:\Users\PCGrodno\AppData\Roaming\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ () C:\Users\PCGrodno\AppData\Roaming\Microsoft\README.txt
2018-09-05 10:57 - 2018-09-05 10:57 - 000000124 _____ () C:\Users\PCGrodno\AppData\Local\README.txt
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

 

 

1. Да, все верно, спасибо, сделаем.

 

3. Эта версия теперь тоже удалена. 

 

4. Прикреплено.

Fixlog.txt

regist

regist

Опубликовано
Опубликовано

Оверквотингом заниматься не надо. Для быстрого ответа есть форма внизу.

 

Насчёт рассшифровки потом если не сложно сообщите результат.

 

+

Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Выполните рекомендации после лечения.
 

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • andrew1966
      По почте пришел вирус, который зашифровал файлы
      Автор andrew1966
      Здравствуйте уважаемые консультанты!
       
      Наш сотрудник по неопытности открыл письмо с вирусом. В результате работы вируса зашифровались файлы документов на компьютере и на сетевом устройстве (сервере), к которому он был в это время подключен. Имена файлов стали иметь вид: email-Seven_Legion2@aol.com.ver-CL 1.0.0.0.id-VWWXYZABBBCDEEFFGGHIJJKKLLMNOOOPQQRS-21.09.2015 9@23@348638788.randomname-ADEFHIJJJKLMNNNOPQRRRSTUUVWWXX.ZAA.cbf
       
      Вирус изменил картинку рабочего стола с указанием адреса эл. почты (Seven_Legion2@aol.com).
       
      Компьютер был отключен от локальной сети, проверен утилитами CureIt и Kaspersky Virus Removal Tool 2015. Найденные вирусы удалены.
       
      Автолог выполнялся также на компьютере отключенном от сети, т.к. не было уверенности что утилиты удалили все вирусы.
       
      Прикрепляю коллекцию логов и картинку рабочего стола.
       
      Помогите разшифровать файлы!
      Заранее СПАСИБО.
       
      Андрей.
       
      CollectionLog-2015.09.21-14.58.zip

    • Егор Орлов
      Файлы зашифрованы email-hontekilla@aol.com.ver-CL 1.1.0.0.id-YZZAABBCCDDEEEEFFGGHHIIJJJJKLLMMNNNN-17.09.2015 18@05@164038342.randomname-JKLLMMMNNOOPPQ
      Автор Егор Орлов
      Помогите, пожалуйста, с дешифрацией файлов.
      Ребенок скачал и запустил на компьютере файл с вирусом flashplayer.exe
      Часть файлов была зашифрована с названием C:\Users\Egor\Downloads\email-hontekilla@aol.com.ver-CL 1.1.0.0.id-YZZAABBCCDDEEEEFFGGHHIIJJJJKLLMMNNNN-17.09.2015 18@05@164038342.randomname-JKLLMMMNNOOPPQQQRRSSTTUUVVVVWW.XYY.cbf
      Логи прилагаю.
      Addition.txt
      FRST.txt
    • den_kz
      Зашифрованы файлы на компьютере oduvansh@aol.com.ver-CL 1.0.0.0
      Автор den_kz
      Получил письмо типа от налоговой. запустил с виду вордовский файл и получил все вайлы на компе зашифроваными. 
      название файлов типа: email-oduvansh@aol.com.ver-CL 1.0.0.0.id-HIJKLMMMNOOPQQQRRSTTUVVVWWXYYZZZABCC-21.09.2015 9@29@145199768.randomname-UVWXYZZZABBCDDDEFFGHHIIIJKKLMM.MNO
       
      проверил комп антивирусом касперский интернет секьюрити, то что нашел - удалил или вылечил, но ситуация не изменилась. подозреваю файл docs.exe, который находился в программ файлс и был удален. прикрепляю файл который пришел по почте и был распакован и запущен.
      Так же прикрепляю лог программы AutoLogger.
       
      возможна ли дешифрация файлов?
      CollectionLog-2015.09.21-17.10.zip
    • DartKane
      Вирус шифратор (.cbf)
      Автор DartKane
      Юрис словил вирус (или скрипт). который зшифровал все документы и картинки (хорошо, что в сеть не полез, а то убил бы её).
      Как обычно, ничего не запускали, никуда не ходили. Оно само БАХ! и зашифровалось...
      Просит отправить любойй файл на почту seven_legion2@aol.com
      Все файлы миеют такое имя: 
      email-Seven_Legion2@aol.com.ver-CL 1.0.0.0.id-IKKLLMNNOOPPPQQRSSTTTTUUVWWXXYYYZZAA-18.09.2015 11@58@07645392.randomname-PRSTTUUVVWXXYYYYZZAABBCCCCDDEE.FGH.cbf
       
      Тут примерно об этом же писали, но чувствую - ключ всегда меняется.
       
      CollectionLog-2015.09.19-19.09.zip
    • baddiw
      файлы зашифровались с расширением CBF
      Автор baddiw
      файлы переименованы в email-seven_legion@india.com .ver-CL 1.0.0.0.id-MNOQQSTUVWXYZABCDDEFGIIJKLMMNOPRRSTU-16.09.2015 18@06@287370553.randomname-FIJLMNPQQRTUVVWYZZABDEEFGIIJKL.MNO 
      можно ли их расшифровать? лог прилагаю
      CollectionLog-2015.09.17-16.58.zip
×
×
  • Создать...