Перейти к содержанию

newsantaclaus@aol.com шифровальщик

iceberg31
 Поделиться

Рекомендуемые сообщения

iceberg31 Постоялец

iceberg31

Опубликовано
Опубликовано (изменено)

Зашифровались все данные с разрешением .[newsantaclaus@aol.com].santa

all your data has been locked us
You want to return?
write email newsantaclaus@aol.comтся.

 

Стоит лицензионная версия

Kaspersky Small Office Security

 

Ни чего не защитило, прошу помощи

Изменено пользователем iceberg31
Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано (изменено)

Здравствуйте!

Стоит лицензионная версия Kaspersky Small Office Security

можете тогда взять и и сразу создать запрос в тех. поддержку и заодно у них узнать почему он пропустил. Тем более у вас там кроме шифратора и другие вирусы. И раз антвирус поставили только этим летом, то стоило сразу ставить актуальную версию, а не прошлогодню или позапрошлогоднюю.
 
Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa', '');
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '');
 QuarantineFile('C:\Users\buh2\AppData\Roaming\Info.hta', '');
 QuarantineFile('C:\Users\krutko\Desktop\shutdown-r.cmd', '');
 QuarantineFile('C:\Windows\Inf\axperflib\0010\0011\000A\0010\mms.exe', '');
 QuarantineFile('C:\Windows\Inf\axperflib\0010\0011\000E\0015\mms.exe', '');
 QuarantineFile('C:\Windows\Inf\NETLIBRARIESTIP\000D\1049\5.0\1049\5.0\mms.exe', '');
 QuarantineFile('C:\Windows\Inf\NETLIBRARIESTIP\000D\1049\5.0\SQL\lsm.exe', '');
 QuarantineFile('C:\Windows\System32\Info.hta', '');
 QuarantineFile('D:\UCS\restart_egais.bat', '');
 QuarantineFileF('c:\windows\inf\axperflib', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFileF('c:\windows\inf\netlibrariestip', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa', '64');
 DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '64');
 DeleteFile('C:\Users\buh2\AppData\Roaming\Info.hta', '64');
 DeleteFile('C:\Windows\Inf\axperflib\0010\0011\000A\0010\mms.exe', '64');
 DeleteFile('C:\Windows\Inf\axperflib\0010\0011\000E\0015\mms.exe', '64');
 DeleteFile('C:\Windows\Inf\NETLIBRARIESTIP\000D\1049\5.0\1049\5.0\mms.exe', '64');
 DeleteFile('C:\Windows\Inf\NETLIBRARIESTIP\000D\1049\5.0\SQL\lsm.exe', '64');
 DeleteFile('C:\Windows\System32\Info.hta', '64');
 DeleteService('spoolsrvrs');
 DeleteService('wcvvses');
 DeleteService('werlsfks');
 DeleteService('wscsvs');
 DeleteFileMask('c:\windows\inf\axperflib', '*', true);
 DeleteFileMask('c:\windows\inf\netlibrariestip', '*', true);
 DeleteDirectory('c:\windows\inf\axperflib');
 DeleteDirectory('c:\windows\inf\netlibrariestip');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'C:\Users\buh2\AppData\Roaming\Info.hta', '64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'C:\Windows\System32\Info.hta', '64');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
end.

После выполнения скрипта компьютер перезагрузится.

 - Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)
 
Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Изменено пользователем regist
Ссылка на комментарий
Поделиться на другие сайты
iceberg31 Постоялец

iceberg31

Опубликовано
  • Автор
Опубликовано (изменено)

Прикладываю файлы

удалено

тут файл quarantine

CollectionLog-2018.12.10-11.49.zip

Изменено пользователем regist
карантин
Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано

@iceberg31, не первый раз уже лечите систему от шифратора. Пора бы уже знать, что карантин в теме выкладывать запрещено!

Отправьте его куда просили и сообщите ответ.

Ссылка на комментарий
Поделиться на другие сайты
iceberg31 Постоялец

iceberg31

Опубликовано
  • Автор
Опубликовано (изменено)

Благодарим за обращение в Антивирусную Лабораторию

Присланные вами файлы были проверены в автоматическом режиме.

В ходе проверки в автоматическом режиме не удалось распаковать архив. Пожалуйста, пришлите нам пароль, которым защищен ваш архив или создайте новый архив с паролем "infected" (без кавычек).
quarantine.zip

 

 

 

но при выполнения скипта я никакой пароль не устанавливал

Изменено пользователем iceberg31
Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано

@iceberg31, вот вы сами себе противоречите, то

 

 


Новый вирус [KLAN-9246706433]
то

 

 


не удалось распаковать архив.

лучше тогда отправьте с помощьюэтой формы или (если размер архива превышает 10 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения. Там сам гляну.

Ссылка на комментарий
Поделиться на другие сайты
iceberg31 Постоялец

iceberg31

Опубликовано
  • Автор
Опубликовано

Если я правильно понял из соседних тем, лаборатория Касперского не в силах расшифровать файлы этого шифратора. Ждать дешифратора нет смысла?

Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано

@iceberg31, и как же вы сделали такой вывод если никто из людей, который пишет в соседних темах не имеет никакого отношения в лаболатории Касперского и как следствие не знает, что она может, а что нет.

Ссылка на комментарий
Поделиться на другие сайты
iceberg31 Постоялец

iceberg31

Опубликовано
  • Автор
Опубликовано

@iceberg31, и как же вы сделали такой вывод если никто из людей, который пишет в соседних темах не имеет никакого отношения в лаболатории Касперского и как следствие не знает, что она может, а что нет.

 тогда буду ждать от вас ответ. спасибо.

Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Windows\Inf\axperflib\0010\0011\000A\0010\mms.exe', '');
 QuarantineFile('C:\Windows\Inf\axperflib\0010\0011\000E\0015\mms.exe', '');
 QuarantineFile('C:\Windows\Inf\NETLIBRARIESTIP\000D\1049\5.0\1049\5.0\mms.exe', '');
 QuarantineFile('C:\Windows\Inf\NETLIBRARIESTIP\000D\1049\5.0\SQL\lsm.exe', '');
 QuarantineFileF('c:\windows\inf\axperflib', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFileF('c:\windows\inf\netlibrariestip', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 DeleteFile('C:\Windows\Inf\axperflib\0010\0011\000A\0010\mms.exe', '64');
 DeleteFile('C:\Windows\Inf\axperflib\0010\0011\000E\0015\mms.exe', '64');
 DeleteFile('C:\Windows\Inf\NETLIBRARIESTIP\000D\1049\5.0\1049\5.0\mms.exe', '64');
 DeleteFile('C:\Windows\Inf\NETLIBRARIESTIP\000D\1049\5.0\SQL\lsm.exe', '64');
 DeleteService('spoolsrvrs');
 DeleteService('wcvvses');
 DeleteService('werlsfks');
 DeleteService('wscsvs');
 DeleteFileMask('c:\windows\inf\axperflib', '*', true);
 DeleteFileMask('c:\windows\inf\netlibrariestip', '*', true);
 DeleteDirectory('c:\windows\inf\axperflib');
 DeleteDirectory('c:\windows\inf\netlibrariestip');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
end.

После выполнения скрипта компьютер перезагрузится.

 - Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KLAN)

 

"Пофиксите" в HijackThis:

R3 - HKU\S-1-5-80-1184457765-4068085190-3456807688-2200952327-3769537534: Default URLSearchHook is missing
O4 - Startup other users: C:\Users\admin_kassir\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\aspnet.ICEBERG31\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\buh2\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta
O4 - Startup other users: C:\Users\buh2\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\buruyanova_ev\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\grankina\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\grankina_ov\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\horoshilova_gs\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\kruchkova_vv\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\krutko\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\kudinov_ma\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\markov\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\melehina_lv\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\obolonskaya_ii\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\operator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\osipchuk_ia\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\remote\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\soft\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\sutina\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\sysadmin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\sysoev\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
O4 - Startup other users: C:\Users\администратор.ICEBERG31\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini.id-F49C7D1D.[newsantaclaus@aol.com].santa
 
Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • ratava
      KOZANOSTRA шифровальщик
      Автор ratava
      Поймал шифровальщика, судя по подобным темам файлы расшифровать не получится, хотелось бы удалить его из системы и обойтись без переустановки, если такое возможно
      FRST.txt Addition.txt Shortcut.txt Desktop.zip
    • alexlaev
      Поймали шифровальщик
      Автор alexlaev
      Доброго бодрого, придя на работу в понедельник пришло осознание того что на сервере происходит что-то неладное, появились файлы с расширением .[nullhex@2mail.co].0C8D0E91
      Ничего не поняв, начал искать что могло произойти, один из компьютеров был подвержен атаке, в ночь с пятницы на субботу по местному времени в 3:30 утра 28.06.2025 было совершено подключение по RDP к данному компьютеру. После анализа действий программы Clipdiary (благо была установлена на компьютере) было выявлено что злоумышленник владеет всей информацией о паролях от сервера, пользователей, список пользователей в сети, и начал свою атаку глубже. Этот компьютер имел админку к серверу, поэтому злоумышленник без труда добрался до него и начал шифровать данные как и на двух других компьютерах. По итогу то ли то что злоумышленнику стало скучно, то ли из-за того что компьютер завис в этот момент (на часах было 10:03 29.06.2025 (я смотрел на время на экране уже на следующий день в понедельник 30.06.2025 в 11:30, поэтому обратил внимание сразу что время не совпадает и комп заблокирован и завис)) у злоумышленника доступ к серверу пропал, потому как по RDP только из локалки можно к нему цепляться. Файлы незначительные повреждены, но уже восстановлены из бэкапа(благо делается каждый день)
      А вот с компьютерами меньше повезло, три компа полностью зашифрованы. Прилагаю файлы и проверку в программе указанной в теме правил.
      vse tut.rar
    • kocks33
      шифровальщик JFZRZNDDZ
      Автор kocks33
      Добрый день!
      На сервер проник шифровальщик. Зашифровал весь диск D, снял лицензию с сервера
      Можно ли как то расшифровать файлы. Помогите пожалуйста.


    • Беляш
      Шифровальщик KOZANOSTRA
      Автор Беляш
      Добрый день.
      не восстановил   белый лист для RDP  на роутере.
      Сегодня 2025.06.18 получил наказание.  Какие то архивы есть. Помогут они или нет можно  понять только после обеззараживания.
      Пострадало  две машины и  файловое хранилище
      Помогите пожалуйста с восстановлением.  
      файлы работы   frst  и  шифровальщика  во вложении.
       
      С уважением, Урянский Виктор
       
      primery.zip frst.zip
    • Павел Ф.
      Шифровальщик KOZANOSTRA
      Автор Павел Ф.
      Виртуальную машину с открытым извне не стандартным рдп портом зашифровал вирус KOZANOSTRA. Был установлен антивирус kaspersku Endpoint Securitu. 
      Помогите с расшифровкой. Система под переустановку, нужны файлы и базы
×
×
  • Создать...