malyshok.d 0 Опубликовано 17 января, 2019 Share Опубликовано 17 января, 2019 (изменено) Здравствуйте, на компьютере (сервере) активировался вирус-шифровальщик id-7A40A1B8.[youneedfiles@india.com].adobe. Видимо через почту. Зашифровало всё, даже файлы винды. Большинство из них. Стояло резервное копирование на другой диск, но и архивы так же зацепило. Файл с самим вирусом нашел (exe.exe) сидел в StartUp и Sysytem32. После удаления в безопасном режиме перестал активироваться сам и всплывающие окна с требованием! \ Прикрепляю файл логов сделанный с помощью программы AutoLogger-test CollectionLog-2019.01.17-09.59.zip Изменено 17 января, 2019 пользователем malyshok.d Ссылка на сообщение Поделиться на другие сайты
Sandor 1 296 Опубликовано 17 января, 2019 Share Опубликовано 17 января, 2019 Здравствуйте! Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО. Выполните скрипт в AVZ (Файл - Выполнить скрипт): begin ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); ClearQuarantineEx(true); QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\exe.exe', ''); QuarantineFile('C:\Windows\System32\Info.hta', ''); DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\exe.exe', '64'); DeleteFile('C:\Windows\System32\Info.hta', '64'); DeleteService('DCgE'); DeleteService('edPO'); DeleteService('gJNe'); DeleteService('IeRB'); DeleteService('iGoT'); DeleteService('ndME'); DeleteService('SveB'); DeleteService('XTVH'); RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'C:\Windows\System32\Info.hta', 'x64'); CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip'); ExecuteSysClean; end. Пожалуйста, перезагрузите компьютер вручную. Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com Полученный ответ сообщите здесь (с указанием номера KLAN). "Пофиксите" в HijackThis (некоторых строк может не быть): O4 - Global User Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\exe.exe -> (PE EXE) O4 - HKLM\..\Run: [C:\Windows\System32\Info.hta] = C:\Windows\system32\mshta.exe "C:\Windows\System32\Info.hta" O4 - HKLM\..\Run: [exe.exe] = C:\Windows\System32\exe.exe (file missing) O4 - Startup other users: C:\Users\oracle\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\exe.exe -> (PE EXE) O7 - TroubleShooting: (EV) HKCU\..\Environment: [TEMP] = C:\Windows\system32\config\systemprofile\AppData\Local\Temp (folder missing) O7 - TroubleShooting: (EV) HKCU\..\Environment: [TMP] = C:\Windows\system32\config\systemprofile\AppData\Local\Temp (folder missing) O7 - TroubleShooting: (EV) HKU\.DEFAULT\..\Environment: [TEMP] = C:\Windows\system32\config\systemprofile\AppData\Local\Temp (folder missing) O7 - TroubleShooting: (EV) HKU\.DEFAULT\..\Environment: [TMP] = C:\Windows\system32\config\systemprofile\AppData\Local\Temp (folder missing) O7 - TroubleShooting: (EV) HKU\S-1-5-19\..\Environment: [TEMP] = C:\Windows\system32\config\systemprofile\AppData\Local\Temp (folder missing) O7 - TroubleShooting: (EV) HKU\S-1-5-19\..\Environment: [TMP] = C:\Windows\system32\config\systemprofile\AppData\Local\Temp (folder missing) O7 - TroubleShooting: (EV) HKU\S-1-5-20\..\Environment: [TEMP] = C:\Windows\system32\config\systemprofile\AppData\Local\Temp (folder missing) O7 - TroubleShooting: (EV) HKU\S-1-5-20\..\Environment: [TMP] = C:\Windows\system32\config\systemprofile\AppData\Local\Temp (folder missing) Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.Прикрепите к следующему сообщению свежий CollectionLog. Ссылка на сообщение Поделиться на другие сайты
malyshok.d 0 Опубликовано 17 января, 2019 Автор Share Опубликовано 17 января, 2019 Здравствуйте! Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО. Выполните скрипт в AVZ (Файл - Выполнить скрипт): begin ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); ClearQuarantineEx(true); QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\exe.exe', ''); QuarantineFile('C:\Windows\System32\Info.hta', ''); DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\exe.exe', '64'); DeleteFile('C:\Windows\System32\Info.hta', '64'); DeleteService('DCgE'); DeleteService('edPO'); DeleteService('gJNe'); DeleteService('IeRB'); DeleteService('iGoT'); DeleteService('ndME'); DeleteService('SveB'); DeleteService('XTVH'); RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'C:\Windows\System32\Info.hta', 'x64'); CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip'); ExecuteSysClean; end. Пожалуйста, перезагрузите компьютер вручную. Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com Полученный ответ сообщите здесь (с указанием номера KLAN). "Пофиксите" в HijackThis (некоторых строк может не быть): O4 - Global User Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\exe.exe -> (PE EXE) O4 - HKLM\..\Run: [C:\Windows\System32\Info.hta] = C:\Windows\system32\mshta.exe "C:\Windows\System32\Info.hta" O4 - HKLM\..\Run: [exe.exe] = C:\Windows\System32\exe.exe (file missing) O4 - Startup other users: C:\Users\oracle\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\exe.exe -> (PE EXE) O7 - TroubleShooting: (EV) HKCU\..\Environment: [TEMP] = C:\Windows\system32\config\systemprofile\AppData\Local\Temp (folder missing) O7 - TroubleShooting: (EV) HKCU\..\Environment: [TMP] = C:\Windows\system32\config\systemprofile\AppData\Local\Temp (folder missing) O7 - TroubleShooting: (EV) HKU\.DEFAULT\..\Environment: [TEMP] = C:\Windows\system32\config\systemprofile\AppData\Local\Temp (folder missing) O7 - TroubleShooting: (EV) HKU\.DEFAULT\..\Environment: [TMP] = C:\Windows\system32\config\systemprofile\AppData\Local\Temp (folder missing) O7 - TroubleShooting: (EV) HKU\S-1-5-19\..\Environment: [TEMP] = C:\Windows\system32\config\systemprofile\AppData\Local\Temp (folder missing) O7 - TroubleShooting: (EV) HKU\S-1-5-19\..\Environment: [TMP] = C:\Windows\system32\config\systemprofile\AppData\Local\Temp (folder missing) O7 - TroubleShooting: (EV) HKU\S-1-5-20\..\Environment: [TEMP] = C:\Windows\system32\config\systemprofile\AppData\Local\Temp (folder missing) O7 - TroubleShooting: (EV) HKU\S-1-5-20\..\Environment: [TMP] = C:\Windows\system32\config\systemprofile\AppData\Local\Temp (folder missing) Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.Прикрепите к следующему сообщению свежий CollectionLog. Спасибо сейчас сделаю... Ссылка на сообщение Поделиться на другие сайты
Sandor 1 296 Опубликовано 17 января, 2019 Share Опубликовано 17 января, 2019 Не цитируйте всё предыдущее сообщение, пожалуйста. Используйте форму быстрого ответа внизу. Ссылка на сообщение Поделиться на другие сайты
Рекомендуемые сообщения
Пожалуйста, войдите, чтобы комментировать
Вы сможете оставить комментарий после входа в
Войти