Перейти к содержанию

newsantaclaus@aol.com шифровальщик

iceberg31
 Поделиться

Рекомендуемые сообщения

iceberg31 Постоялец

iceberg31

Опубликовано
Опубликовано (изменено)

Зашифровались все данные с разрешением .[newsantaclaus@aol.com].santa

all your data has been locked us
You want to return?
write email newsantaclaus@aol.comтся.

 

Стоит лицензионная версия

Kaspersky Small Office Security

 

Ни чего не защитило, прошу помощи

Изменено пользователем iceberg31
Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано (изменено)

Здравствуйте!

Стоит лицензионная версия Kaspersky Small Office Security

можете тогда взять и и сразу создать запрос в тех. поддержку и заодно у них узнать почему он пропустил. Тем более у вас там кроме шифратора и другие вирусы. И раз антвирус поставили только этим летом, то стоило сразу ставить актуальную версию, а не прошлогодню или позапрошлогоднюю.
 
Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa', '');
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '');
 QuarantineFile('C:\Users\buh2\AppData\Roaming\Info.hta', '');
 QuarantineFile('C:\Users\krutko\Desktop\shutdown-r.cmd', '');
 QuarantineFile('C:\Windows\Inf\axperflib\0010\0011\000A\0010\mms.exe', '');
 QuarantineFile('C:\Windows\Inf\axperflib\0010\0011\000E\0015\mms.exe', '');
 QuarantineFile('C:\Windows\Inf\NETLIBRARIESTIP\000D\1049\5.0\1049\5.0\mms.exe', '');
 QuarantineFile('C:\Windows\Inf\NETLIBRARIESTIP\000D\1049\5.0\SQL\lsm.exe', '');
 QuarantineFile('C:\Windows\System32\Info.hta', '');
 QuarantineFile('D:\UCS\restart_egais.bat', '');
 QuarantineFileF('c:\windows\inf\axperflib', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFileF('c:\windows\inf\netlibrariestip', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa', '64');
 DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '64');
 DeleteFile('C:\Users\buh2\AppData\Roaming\Info.hta', '64');
 DeleteFile('C:\Windows\Inf\axperflib\0010\0011\000A\0010\mms.exe', '64');
 DeleteFile('C:\Windows\Inf\axperflib\0010\0011\000E\0015\mms.exe', '64');
 DeleteFile('C:\Windows\Inf\NETLIBRARIESTIP\000D\1049\5.0\1049\5.0\mms.exe', '64');
 DeleteFile('C:\Windows\Inf\NETLIBRARIESTIP\000D\1049\5.0\SQL\lsm.exe', '64');
 DeleteFile('C:\Windows\System32\Info.hta', '64');
 DeleteService('spoolsrvrs');
 DeleteService('wcvvses');
 DeleteService('werlsfks');
 DeleteService('wscsvs');
 DeleteFileMask('c:\windows\inf\axperflib', '*', true);
 DeleteFileMask('c:\windows\inf\netlibrariestip', '*', true);
 DeleteDirectory('c:\windows\inf\axperflib');
 DeleteDirectory('c:\windows\inf\netlibrariestip');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'C:\Users\buh2\AppData\Roaming\Info.hta', '64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'C:\Windows\System32\Info.hta', '64');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
end.

После выполнения скрипта компьютер перезагрузится.

 - Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)
 
Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Изменено пользователем regist
Ссылка на комментарий
Поделиться на другие сайты
iceberg31 Постоялец

iceberg31

Опубликовано
  • Автор
Опубликовано (изменено)

Прикладываю файлы

удалено

тут файл quarantine

CollectionLog-2018.12.10-11.49.zip

Изменено пользователем regist
карантин
Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано

@iceberg31, не первый раз уже лечите систему от шифратора. Пора бы уже знать, что карантин в теме выкладывать запрещено!

Отправьте его куда просили и сообщите ответ.

Ссылка на комментарий
Поделиться на другие сайты
iceberg31 Постоялец

iceberg31

Опубликовано
  • Автор
Опубликовано (изменено)

Благодарим за обращение в Антивирусную Лабораторию

Присланные вами файлы были проверены в автоматическом режиме.

В ходе проверки в автоматическом режиме не удалось распаковать архив. Пожалуйста, пришлите нам пароль, которым защищен ваш архив или создайте новый архив с паролем "infected" (без кавычек).
quarantine.zip

 

 

 

но при выполнения скипта я никакой пароль не устанавливал

Изменено пользователем iceberg31
Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано

@iceberg31, вот вы сами себе противоречите, то

 

 


Новый вирус [KLAN-9246706433]
то

 

 


не удалось распаковать архив.

лучше тогда отправьте с помощьюэтой формы или (если размер архива превышает 10 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения. Там сам гляну.

Ссылка на комментарий
Поделиться на другие сайты
iceberg31 Постоялец

iceberg31

Опубликовано
  • Автор
Опубликовано

Если я правильно понял из соседних тем, лаборатория Касперского не в силах расшифровать файлы этого шифратора. Ждать дешифратора нет смысла?

Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано

@iceberg31, и как же вы сделали такой вывод если никто из людей, который пишет в соседних темах не имеет никакого отношения в лаболатории Касперского и как следствие не знает, что она может, а что нет.

Ссылка на комментарий
Поделиться на другие сайты
iceberg31 Постоялец

iceberg31

Опубликовано
  • Автор
Опубликовано

@iceberg31, и как же вы сделали такой вывод если никто из людей, который пишет в соседних темах не имеет никакого отношения в лаболатории Касперского и как следствие не знает, что она может, а что нет.

 тогда буду ждать от вас ответ. спасибо.

Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Windows\Inf\axperflib\0010\0011\000A\0010\mms.exe', '');
 QuarantineFile('C:\Windows\Inf\axperflib\0010\0011\000E\0015\mms.exe', '');
 QuarantineFile('C:\Windows\Inf\NETLIBRARIESTIP\000D\1049\5.0\1049\5.0\mms.exe', '');
 QuarantineFile('C:\Windows\Inf\NETLIBRARIESTIP\000D\1049\5.0\SQL\lsm.exe', '');
 QuarantineFileF('c:\windows\inf\axperflib', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFileF('c:\windows\inf\netlibrariestip', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 DeleteFile('C:\Windows\Inf\axperflib\0010\0011\000A\0010\mms.exe', '64');
 DeleteFile('C:\Windows\Inf\axperflib\0010\0011\000E\0015\mms.exe', '64');
 DeleteFile('C:\Windows\Inf\NETLIBRARIESTIP\000D\1049\5.0\1049\5.0\mms.exe', '64');
 DeleteFile('C:\Windows\Inf\NETLIBRARIESTIP\000D\1049\5.0\SQL\lsm.exe', '64');
 DeleteService('spoolsrvrs');
 DeleteService('wcvvses');
 DeleteService('werlsfks');
 DeleteService('wscsvs');
 DeleteFileMask('c:\windows\inf\axperflib', '*', true);
 DeleteFileMask('c:\windows\inf\netlibrariestip', '*', true);
 DeleteDirectory('c:\windows\inf\axperflib');
 DeleteDirectory('c:\windows\inf\netlibrariestip');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
end.

После выполнения скрипта компьютер перезагрузится.

 - Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)

 

"Пофиксите" в HijackThis:

R3 - HKU\S-1-5-80-1184457765-4068085190-3456807688-2200952327-3769537534: Default URLSearchHook is missing
O4 - Startup other users: C:\Users\admin_kassir\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\aspnet.ICEBERG31\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\buh2\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta
O4 - Startup other users: C:\Users\buh2\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\buruyanova_ev\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\grankina\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\grankina_ov\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\horoshilova_gs\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\kruchkova_vv\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\krutko\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\kudinov_ma\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\markov\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\melehina_lv\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\obolonskaya_ii\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\operator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\osipchuk_ia\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\remote\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\soft\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\sutina\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\sysadmin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\sysoev\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\администратор.ICEBERG31\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
 
Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • kocks33
      шифровальщик JFZRZNDDZ
      Автор kocks33
      Добрый день!
      На сервер проник шифровальщик. Зашифровал весь диск D, снял лицензию с сервера
      Можно ли как то расшифровать файлы. Помогите пожалуйста.


    • Беляш
      Шифровальщик KOZANOSTRA
      Автор Беляш
      Добрый день.
      не восстановил   белый лист для RDP  на роутере.
      Сегодня 2025.06.18 получил наказание.  Какие то архивы есть. Помогут они или нет можно  понять только после обеззараживания.
      Пострадало  две машины и  файловое хранилище
      Помогите пожалуйста с восстановлением.  
      файлы работы   frst  и  шифровальщика  во вложении.
       
      С уважением, Урянский Виктор
       
      primery.zip frst.zip
    • Павел Ф.
      Шифровальщик KOZANOSTRA
      Автор Павел Ф.
      Виртуальную машину с открытым извне не стандартным рдп портом зашифровал вирус KOZANOSTRA. Был установлен антивирус kaspersku Endpoint Securitu. 
      Помогите с расшифровкой. Система под переустановку, нужны файлы и базы
    • valkovaleksandr
      Шифровальщик cyberfear
      Автор valkovaleksandr
      Добрый день! Просьба помочь с  Шифровальщик cyberfear.
      Вот такая фигня вылазит при открытии текстовиков:
      Hello my dear friend (Do not scan the files with antivirus in any case. In case of data loss, the consequences are yours)
      Your data is encrypted
      Your personal ID: *****sJm4WtmxxeX8*datastore@cyberfear.com
      Unfortunately for you, a major IT security weakness left you open to attack, your files have been encrypted
      The only method of recovering files is to purchase decrypt tool and unique key for you.
      If you want to recover your files, write us to this e-mail: datastore@cyberfear.com
      In case of no answer in 24 hours write us to this backup e-mail: back2up@swismail.com
      Check your e-mail "Spam" or "Junk" folder if you don't get answer more than 6 hours.
      Contact us soon, because those who don't have their data leaked in our press release blog and the price they'll have to pay will go up significantly.
      Attention!
      Do not rename encrypted files. 
      Do not try to decrypt your data using third party software - it may cause permanent data loss. 
      We are always ready to cooperate and find the best way to solve your problem. 
      The faster you write - the more favorable conditions will be for you. 
      Our company values its reputation. We give all guarantees of your files decryption.
      FRST.txt Addition.txt README_SOLVETHIS.txt Привет.docx Текстовый документ.txt
       
      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.
    • Caine
      Шифровальщик KOZANOSTRA
      Автор Caine
      Добрый день.  
      Поймал шифровальщика KOZANOSTRA. На ПК был открыт RDP.  Прошу помощи в расшифровке данных
×
×
  • Создать...