Перейти к содержанию

Поймали шифровальщик NetTool.Win32.TorJok.bxn

Sergey_Ts
 Поделиться

Рекомендуемые сообщения

Sergey_Ts

Sergey_Ts

Опубликовано
Опубликовано

Добрый день.

Поймали шифровальщик, который зашифровал почти все документы на ПК :( Предварительно всё началось после того, как пользователь открыл письмо с вложением от неизвестного отправителя.

Сканирование KVRT  - 7 троянов, скрин прилагаю,  сервер касперского зафиксировал лечение в памяти трояна MEM:Trojan.Win32.SEPEH.gen. 

 

Сканирование сборщиком логов - результат во вложении. Есть возможность прислать Вам зашифрованые файлы.

 

Какие наши дальнейшие действия по устранению заразы и реально ли будет расшифровать файлы?

 

P.S. Сканирование логером делалось на другом ПК, к которому подключен жесткий диск и в опциях указано, что надо проверять диски D и E.  Если надо было запускать на зараженной машине - то сделаем без проблем, просто пока боимся ее запускать, как бы ещё больше не навредить. 

post-53849-0-40683300-1554986379_thumb.jpg

post-53849-0-14507300-1554986385_thumb.jpg

CollectionLog-2019.04.11-15.10.zip

Sandor

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

Если надо было запускать на зараженной машине - то сделаем без проблем

Да, логи нужны с заражённого компьютера.
Sergey_Ts

Sergey_Ts

Опубликовано
  • Автор
Опубликовано

Здравствуйте!

 

Если надо было запускать на зараженной машине - то сделаем без проблем

Да, логи нужны с заражённого компьютера.

 

Держите

CollectionLog-2019.04.11-16.45.zip

Sandor

Sandor

Опубликовано
Опубликовано

"Пофиксите" в HijackThis:

O4 - HKU\S-1-5-21-1832290666-448453393-2010421412-2066\..\Run: [Client Server Runtime Subsystem] = C:\ProgramData\Windows\csrss.exe  (file missing) (User 'unknown: S-1-5-21-1832290666-448453393-2010421412-2066')
Дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.

Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Sergey_Ts

Sergey_Ts

Опубликовано
  • Автор
Опубликовано

"Пофиксите" в HijackThis:

O4 - HKU\S-1-5-21-1832290666-448453393-2010421412-2066\..\Run: [Client Server Runtime Subsystem] = C:\ProgramData\Windows\csrss.exe  (file missing) (User 'unknown: S-1-5-21-1832290666-448453393-2010421412-2066')
Дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.

Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Сделано

Addition.txt

FRST.txt

Sandor

Sandor

Опубликовано
Опубликовано

Вымогатель Shade, расшифровки нет. Будет только очистка следов.

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
2019-04-09 13:06 - 2019-04-11 12:15 - 000000000 __SHD C:\ProgramData\Windows
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

Sergey_Ts

Sergey_Ts

Опубликовано
  • Автор
Опубликовано

Вымогатель Shade, расшифровки нет. Будет только очистка следов.

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
2019-04-09 13:06 - 2019-04-11 12:15 - 000000000 __SHD C:\ProgramData\Windows
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

 

Fixlog.txt

Sandor

Sandor

Опубликовано
Опубликовано

Проверьте уязвимые места:

  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.
Sergey_Ts

Sergey_Ts

Опубликовано
  • Автор
Опубликовано

Проверьте уязвимые места:

  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.

 

Сделали.

Подскажите такой момент: какой механизм распространения этого вируса? Вот у нас на зараженном компьютере был подключен сетевой диск, которым пользуются еще несколько человек. На этом диске зашифровалась половина документов. Компьютеры пользователей проверили - вирусов нет. Есть опасность того, что вирус пошел гулять по сети как червь, или он заражает только ПК, на котором открыли письмо с заразным вложением, а далее только шифрование всех документов на всех доступных дисках?

Спасибо

secur.txt

Sandor

Sandor

Опубликовано
Опубликовано

заражает только ПК, на котором открыли письмо с заразным вложением, а далее только шифрование всех документов на всех доступных дисках?

Именно так.

 

------------------------------- [ Windows ] -------------------------------

Internet Explorer 11.0.9600.19236 Внимание! Скачать обновления

^Онлайн установка. Последняя версия доступна при включенном обновлении Windows через интернет.^

--------------------------- [ AdobeProduction ] ---------------------------

Adobe Reader XI (11.0.23) - Russian v.11.0.23 Данная программа больше не поддерживается разработчиком. Рекомендуется деинсталлировать ее, скачать и установить Adobe Acrobat Reader DC.

---------------------------- [ UnwantedApps ] -----------------------------

HaoZip 5.9.6.10833 v.5.9.6.10833 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.

 

 

Рекомендации после удаления вредоносного ПО

Sergey_Ts

Sergey_Ts

Опубликовано
  • Автор
Опубликовано

 

заражает только ПК, на котором открыли письмо с заразным вложением, а далее только шифрование всех документов на всех доступных дисках?

Именно так.

 

------------------------------- [ Windows ] -------------------------------

Internet Explorer 11.0.9600.19236 Внимание! Скачать обновления

^Онлайн установка. Последняя версия доступна при включенном обновлении Windows через интернет.^

--------------------------- [ AdobeProduction ] ---------------------------

Adobe Reader XI (11.0.23) - Russian v.11.0.23 Данная программа больше не поддерживается разработчиком. Рекомендуется деинсталлировать ее, скачать и установить Adobe Acrobat Reader DC.

---------------------------- [ UnwantedApps ] -----------------------------

HaoZip 5.9.6.10833 v.5.9.6.10833 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.

 

 

Рекомендации после удаления вредоносного ПО

 

Принято, спасибо :)

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Светлана123
      Вирус шифровальщик
      Автор Светлана123
      Прошу помочь в расшифровке файлов
      CollectionLog-2017.05.13-11.47.zip
    • metrolog_181
      Зашифровал все crypted000007
      Автор metrolog_181
      Добрый день! Нарвался на вирус скачав письмо с почты. Вирус зашифровал все фото, видео, музыку, текстовые документы
      CollectionLog-2017.05.02-10.06.zip
    • 500razlamer
      ShadeDecryptor оказался бесполезен
      Автор 500razlamer
      Зашифрованные файлы, видео, аудио и изображения) с расширением .xtbl лежат уже давно. Файл README1.txt также был сохранен. К сожалению, ShadeDecryptor оказался бесполезен, т.к. не смог найти ключ для расшифровки. Чем-то можно помочь?
       
      11:40:01.0742 0x0444  Trojan-Ransom.Win32.Shade decryptor tool 1.1.0.2 Jun  8 2016 16:43:09
      ...
      11:40:02.0102 0x0444  ============================================================
      11:40:02.0149 0x0444  Initialize success
      11:40:59.0383 0x1778  Using ID 7A9AF0405A282593E45E from the ransom note: D:\backRender\README1.txt
      11:41:11.0037 0x1778  No keys found for the file: D:\backRender\MediaTemp\Pinnacle\materials\music\po2VeceO5L3dB58-DhbxSQ==.xtbl
      11:41:16.0723 0x1778  Cannot initialize decryptor on the file: D:\backRender\MediaTemp\Pinnacle\materials\music\po2VeceO5L3dB58-DhbxSQ==.xtbl
       
      ------------------------------------------------------------------------------
      Логи, требуемые правилами создания запроса, прилагаются.
      CollectionLog-2017.05.11-10.00.zip
    • AndreyRTN2
      Зашифрованы файлы на ПК
      Автор AndreyRTN2
      Доброго времени суток.
       
      Сегодня при загрузке компьютера было обнаружены зашифрованные файлы с расширением
      "различные символы".NO_MORE_RANSOM множеством файлов README и черным экраном с оповещением о заражении.
      Kaspersky Endpoint Security 10 обнаружил trojan-ransom.win32.shade
       
      Заражение произошло при клике по ссылке в почте якобы от сбербанка.
       
      Прошу помочь в решении проблемы
       
       
      Addition.txt
      FRST.txt
    • Max0n
      шифровальщик no_more_ransom
      Автор Max0n
      Добрый день !
       
      Пришло письмо с адреса ignatov.s@sberbank.ru с ссылкой http://www.sberbank.ru/downloads/individual/170-2017-05/id465865gte1703623465... (фактический переход на http://luxceram.ru/smartoptimizer/cache/schet_sber.html). По ссылке скачался архив Documents.zip в нем был файл ....xls.js 
      После запуска файла вирус начал переименовывать файлы по следующему образцу: 
      XZNlDpV-eR0OoJs5+nLELydHtSzvsQha21etC6sjeRzVzqAlDdD0onmpinoeHaSt.7CE2FFF06AF5177487E9.no_more_ransom
       
      Процесс был прерван, но часть файлов вирус успел переименовать. 
      Компьютер был проверен KVRT (уничтожено 10 угроз) и после KAV (ничего не обнаружено).  
       
      Во вложении архив с зашифрованными файлами и логи проверки AutoLogger
       
      Возможно ли восстановить зашифрованные файлы ? 
      CollectionLog-2017.05.12-12.42.zip
      зашифрованные файлы.zip
×
×
  • Создать...