Перейти к содержанию
20 лет клубу! Куда отправится Kaspersky Club? Нажми, чтобы узнать локацию! ;)

Шифровальщик был на удаленной машине

2borg81
 Поделиться

Рекомендуемые сообщения

2borg81

2borg81

Опубликовано
Опубликовано

Здравствуйте! Прошу о помощи!

У меня такая же проблема. Сам шифровальщик был на удаленной машине, но зашифровал файлы на моем компе в папке с открытым сетевым доступом.

В файле REDME.TXT просят связаться через blackdragon43@yahoo.com

 

Сообщение от модератора thyrex
Перенесено из темы https://forum.kasperskyclub.ru/index.php?showtopic=62721

Образцы файлов.zip

FRST.zip

thyrex

thyrex

Опубликовано
Опубликовано

Сам шифровальщик убили на удаленной машине?

 

SpyHunter 5 удалите через Установку программ.

 

1. Выделите следующий код:

Start::
CreateRestorePoint:
Task: {24698CC2-17AF-4314-9E5E-892371EA7559} - System32\Tasks\ParetoLogic Update Version3 => C:\Program Files (x86)\Common Files\ParetoLogic\UUS3\Pareto_Update3.exe [1987216 2017-11-23] (Paretologic Inc. -> ) <==== ATTENTION
Task: {C4031392-BD5D-4B63-914F-EA7AD4407E04} - System32\Tasks\ParetoLogic Update Version3 Startup Task => C:\Program Files (x86)\Common Files\ParetoLogic\UUS3\Pareto_Update3.exe [1987216 2017-11-23] (Paretologic Inc. -> ) <==== ATTENTION
Task: C:\WINDOWS\Tasks\ParetoLogic Registration3.job => rundll32.exe  C:\Program Files (x86)\Common Files\ParetoLogic\UUS3\UUS3.dll <==== ATTENTION
Task: C:\WINDOWS\Tasks\ParetoLogic Update Version3 Startup Task.job => C:\Program Files (x86)\Common Files\ParetoLogic\UUS3\Pareto_Update3.exe <==== ATTENTION
Task: C:\WINDOWS\Tasks\ParetoLogic Update Version3.job => C:\Program Files (x86)\Common Files\ParetoLogic\UUS3\Pareto_Update3.exe <==== ATTENTION
2019-05-03 11:34 - 2019-05-03 11:34 - 000000000 ____D C:\Program Files (x86)\ParetoLogic
2019-05-03 11:33 - 2019-05-03 11:33 - 000069432 _____ (EnigmaSoft Limited) C:\WINDOWS\system32\Drivers\EnigmaFileMonDriver.sys
2019-05-03 11:33 - 2019-05-03 11:33 - 000000000 ____D C:\Users\Все пользователи\EnigmaSoft Limited
2019-05-03 11:33 - 2019-05-03 11:33 - 000000000 ____D C:\sh5ldr
2019-05-03 11:33 - 2019-05-03 11:33 - 000000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\EnigmaSoft
2019-05-03 11:33 - 2019-05-03 11:33 - 000000000 ____D C:\ProgramData\EnigmaSoft Limited
2019-05-03 11:32 - 2019-05-03 11:32 - 000000000 ____D C:\Program Files\EnigmaSoft
2019-05-03 11:24 - 2019-05-03 11:24 - 007020848 _____ (EnigmaSoft Limited) C:\Users\novopashin_ea.LIC-YAMAL\Downloads\SpyHunter-Installer.exe
2019-05-03 02:14 - 2019-05-03 02:14 - 000000071 _____ C:\Users\README.txt
2019-05-03 02:14 - 2019-05-03 02:14 - 000000071 _____ C:\Users\Public\README.txt
2019-05-03 02:14 - 2019-05-03 02:14 - 000000071 _____ C:\Users\Public\Downloads\README.txt
2019-05-03 02:14 - 2019-05-03 02:14 - 000000071 _____ C:\Users\Public\Documents\README.txt
2019-05-03 02:14 - 2019-05-03 02:14 - 000000071 _____ C:\Users\Public\Desktop\README.txt
2019-05-03 02:14 - 2019-05-03 02:14 - 000000071 _____ C:\Users\novopashin_ea.LIC-YAMAL\README.txt
2019-05-03 02:14 - 2019-05-03 02:14 - 000000071 _____ C:\Users\novopashin_ea.LIC-YAMAL\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2019-05-03 02:13 - 2019-05-03 02:13 - 000000071 _____ C:\Users\novopashin_ea.LIC-YAMAL\Downloads\README.txt
2019-05-03 02:13 - 2019-05-03 02:13 - 000000071 _____ C:\Users\novopashin_ea.LIC-YAMAL\Documents\README.txt
2019-05-03 02:13 - 2019-05-03 02:13 - 000000071 _____ C:\Users\novopashin_ea.LIC-YAMAL\Desktop\README.txt
2019-05-03 02:12 - 2019-05-03 02:12 - 000000071 _____ C:\Users\novopashin_ea.LIC-YAMAL\AppData\Roaming\README.txt
2019-05-03 02:12 - 2019-05-03 02:12 - 000000071 _____ C:\Users\novopashin_ea.LIC-YAMAL\AppData\README.txt
2019-05-03 02:07 - 2019-05-03 02:07 - 000000071 _____ C:\Users\novopashin_ea.LIC-YAMAL\AppData\LocalLow\README.txt
2019-05-03 01:57 - 2019-05-03 01:57 - 000000071 _____ C:\Users\novopashin_ea\README.txt
2019-05-03 01:57 - 2019-05-03 01:57 - 000000071 _____ C:\Users\novopashin_ea\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2019-05-03 01:57 - 2019-05-03 01:57 - 000000071 _____ C:\Users\novopashin_ea.LIC-YAMAL\AppData\Local\README.txt
2019-05-03 01:56 - 2019-05-03 01:56 - 000000071 _____ C:\Users\novopashin_ea\Downloads\README.txt
2019-05-03 01:56 - 2019-05-03 01:56 - 000000071 _____ C:\Users\novopashin_ea\Documents\README.txt
2019-05-03 01:56 - 2019-05-03 01:56 - 000000071 _____ C:\Users\novopashin_ea\Desktop\README.txt
2019-05-03 01:56 - 2019-05-03 01:56 - 000000071 _____ C:\Users\novopashin_ea\AppData\Roaming\README.txt
2019-05-03 01:56 - 2019-05-03 01:56 - 000000071 _____ C:\Users\novopashin_ea\AppData\README.txt
2019-05-03 01:56 - 2019-05-03 01:56 - 000000071 _____ C:\Users\novopashin_ea\AppData\LocalLow\README.txt
2019-05-03 01:55 - 2019-05-03 01:55 - 000000071 _____ C:\Users\novopashin_ea\AppData\Local\README.txt
2019-05-03 01:55 - 2019-05-03 01:55 - 000000071 _____ C:\Users\Default\README.txt
2019-05-03 01:55 - 2019-05-03 01:55 - 000000071 _____ C:\Users\Default\Downloads\README.txt
2019-05-03 01:55 - 2019-05-03 01:55 - 000000071 _____ C:\Users\Default\Documents\README.txt
2019-05-03 01:55 - 2019-05-03 01:55 - 000000071 _____ C:\Users\Default\Desktop\README.txt
2019-05-03 01:55 - 2019-05-03 01:55 - 000000071 _____ C:\Users\Default\AppData\Roaming\README.txt
2019-05-03 01:55 - 2019-05-03 01:55 - 000000071 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2019-05-03 01:55 - 2019-05-03 01:55 - 000000071 _____ C:\Users\Default\AppData\README.txt
2019-05-03 01:55 - 2019-05-03 01:55 - 000000071 _____ C:\Users\Default\AppData\Local\README.txt
2019-05-03 01:55 - 2019-05-03 01:55 - 000000071 _____ C:\Users\Default User\Downloads\README.txt
2019-05-03 01:55 - 2019-05-03 01:55 - 000000071 _____ C:\Users\Default User\Documents\README.txt
2019-05-03 01:55 - 2019-05-03 01:55 - 000000071 _____ C:\Users\Default User\Desktop\README.txt
2019-05-03 01:55 - 2019-05-03 01:55 - 000000071 _____ C:\Users\Default User\AppData\Roaming\README.txt
2019-05-03 01:55 - 2019-05-03 01:55 - 000000071 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2019-05-03 01:55 - 2019-05-03 01:55 - 000000071 _____ C:\Users\Default User\AppData\README.txt
2019-05-03 01:55 - 2019-05-03 01:55 - 000000071 _____ C:\Users\Default User\AppData\Local\README.txt
AlternateDataStreams: C:\ProgramData\Reprise:wupeogjxldtlfudivq`qsp`27hfm [0]
AlternateDataStreams: C:\ProgramData\TEMP:76650B61 [103]
AlternateDataStreams: C:\ProgramData\TEMP:F6C0CA66 [114]
AlternateDataStreams: C:\Users\Все пользователи\Reprise:wupeogjxldtlfudivq`qsp`27hfm [0]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:76650B61 [103]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:F6C0CA66 [114]
Reboot:
End::
2. Скопируйте выделенный текст (правая кнопка мыши – Копировать).

3. Запустите Farbar Recovery Scan Tool.

4. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

  • Обратите внимание: будет выполнена перезагрузка компьютера.
2borg81

2borg81

Опубликовано
  • Автор
Опубликовано

Да, на удаленной машине шифровальщик убили и восстановили данные из бэкапа.

 

SpyHunter удалил.

 

Вроде все сделал по инструкции.

Прикрепляю файл.

Fixlog.txt

thyrex

thyrex

Опубликовано
Опубликовано

Все эти файлы прекрасно расшифровываются тем ключом, который я Вам высылал.

2borg81

2borg81

Опубликовано
  • Автор
Опубликовано

А что тогда я делаю не так?


Все хорошо. Действительно дешифрируются. Это уже проблемы с компом, что он не может сохранять файлы в некоторых папках.

thyrex

thyrex

Опубликовано
Опубликовано

Окончательный результат расшифровки не забудьте сообщить.

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Александр Гранов
      Все файлы на компьютере зашифрованы Seven_Legion2@aol.com.ver-CL 1.0.0.0.id
      Автор Александр Гранов
      Добрый день!
      Открыли почту от судебных приставов и все файлы (офисные, pdf) переименовались в:    
      email-Seven_Legion2@aol.com.ver-CL 1.0.0.0.id-LZHWGLZEJNIDLFQBZUFQOJUPNHSDCWHSQBMH-11.09.2015 11@06@114879741.randomname-RQSJJEITOZKVKUWHSTUVGHIKVWXYJK.DXS.cbf
      1. Компьютер проверили с помощью KVRT.
      2. Логи собрали с помощью AutoLogger
      3. Результат во вложение, и зашифрованный файл.
      Сохранить сам шифратор не получилось, хозяин компьютера пытался сразу все удалить думая что это исправит ситуацию.
      CollectionLog-2015.09.11-16.45.zip
      file_cbf.zip
    • gaponvit
      Вирус шифровальщик
      Автор gaponvit
      Получили почтой договор заархивированный, после разархивации все файлы с текстовой информацией и не только  стали называться "email seven Legion2@...и соответственно невозможно открыть.
      Помогите!
      CollectionLog-2015.09.15-15.13.zip
    • Andy58
      Поймал шифровальщика
      Автор Andy58
      теперь все нужные файлы имеют название "email-Seven_Legion2@aol.com.ver-CL 1.0.0.0.id-RVZDGJNQUXAEHKORVYBFILOSVYCGILOQTWZD-10.09.2015 4@02@334670505.randomname-AEHKOSVYBFILOSVYBFILPSVYCFILPS.WYC" или подобное.
      CollectionLog-2015.09.14-11.53.zip
    • S-e-r-s-h
      Все документы на компьютере зашифровались (.cbf)
      Автор S-e-r-s-h
      Добрый день. Хватанули троян, который зашифровал все документы таким образом: email-load180@aol.com.ver-CL 1.0.0.0.id-SBJKZCVMEGNQHJLOSVXZEGIMPSVXCEGJNQTU-02.09.2015 8@18@454361717.randomname-CNOCKUQNTOEVIVKQBSIWJZUKAQVPET.MGZ.cbf
      После заражения воспользовались восстановлением системы на предыдущий дату и проверили Kaspersky Virus Removal Tool 2015, а после, продленным Small Office Security. Вроде ничего не нашел.  Очень нужна ваша помощь. Как убедиться, что источника заразы больше нет и как расшифровать документы? CollectionLog-2015.09.07-11.35.zip
    • sidor
      поймали шифровальщика
      Автор sidor
      Здравствуйте!
      Все как обычно, пришло письмо, якобы от налоговой, дальше открытие архива, без сохранения и проверки антивирусом.
      Результат-все файлы  MSO зашифрованы - названия начинаются с seven_legion@aol.com
      Что сделал:
      1. Прошелся по диску kav_rescue_10.
       по классификации каспера выявлено Win32.VBKryjetor.wes  в program files и в корневике системы.
      2. Удалил из автозагрузки окошко с предупреждением.
      3. Собрал логи.

         CollectionLog-2015.09.04-14.27
      Посмотрите, пожалуйста, может где еще дыры или зверье сидит?
       
      По поводу расшифровки: пробовал rectordecryptor и xoristdecryptor, не помогло.
      Может у кого есть дешифратор для моего случая? Плзз. А то девчонкам этим несчастным неделю на складе ревизию проводить....
       
      CollectionLog-2015.09.04-14.27.zip
×
×
  • Создать...