Перейти к содержанию
19 лет клубу! Встречаемся в офисе «Лаборатории Касперского»

Harmahelp73@gmx.de or Harmahelp73@protonmail.com шифровальщик

igissut
 Поделиться

Рекомендуемые сообщения

igissut Новичок

igissut

Опубликовано
Опубликовано (изменено)

Остался на сервере исполнительный файл который шифрует помогите с этим бедствием.

Изменено пользователем Sandor
Удалил вредонос
Ссылка на комментарий
Поделиться на другие сайты
igissut Новичок

igissut

Опубликовано
  • Автор
Опубликовано

Здравствуйте.

Порядок оформления запроса о помощи

Логи прикрепите к следующему сообщению в этой теме.

какие логи нужны скажите поточнее 

FRST.txt

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

какие логи нужны скажите поточнее

Пройдите по предложенной ссылке и внимательно прочтите. Что будет непонятно, спрашивайте.
Ссылка на комментарий
Поделиться на другие сайты
igissut Новичок

igissut

Опубликовано
  • Автор
Опубликовано

 

какие логи нужны скажите поточнее

Пройдите по предложенной ссылке и внимательно прочтите. Что будет непонятно, спрашивайте.

 

CollectionLog-2019.08.06-11.45.zip

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\E5M99S_payload.exe', '');
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '');
 QuarantineFile('C:\Users\AdminDC\AppData\Roaming\E5M99S_payload.exe', '');
 QuarantineFile('C:\Users\AdminDC\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\E5M99S_payload.exe', '');
 QuarantineFile('C:\Users\office\AppData\Roaming\E5M99S_payload.exe', '');
 QuarantineFile('C:\Users\office\AppData\Roaming\Info.hta', '');
 QuarantineFile('C:\Users\office\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\E5M99S_payload.exe', '');
 QuarantineFile('C:\Users\office\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '');
 QuarantineFile('C:\Windows\System32\E5M99S_payload.exe', '');
 QuarantineFile('C:\Windows\System32\Info.hta', '');
 DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\E5M99S_payload.exe', '64');
 DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '64');
 DeleteFile('C:\Users\AdminDC\AppData\Roaming\E5M99S_payload.exe', '32');
 DeleteFile('C:\Users\AdminDC\AppData\Roaming\E5M99S_payload.exe', '64');
 DeleteFile('C:\Users\AdminDC\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\E5M99S_payload.exe', '64');
 DeleteFile('C:\Users\office\AppData\Roaming\E5M99S_payload.exe', '32');
 DeleteFile('C:\Users\office\AppData\Roaming\E5M99S_payload.exe', '64');
 DeleteFile('C:\Users\office\AppData\Roaming\Info.hta', '64');
 DeleteFile('C:\Users\office\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\E5M99S_payload.exe', '64');
 DeleteFile('C:\Users\office\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '64');
 DeleteFile('C:\Windows\System32\E5M99S_payload.exe', '64');
 DeleteFile('C:\Windows\System32\Info.hta', '64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'C:\Users\office\AppData\Roaming\Info.hta', '64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'C:\Windows\System32\Info.hta', '64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'E5M99S_payload.exe', '64');
 RegKeyParamDel('HKEY_USERS', 'S-1-5-21-301913164-3692602781-3845028161-1183\Software\Microsoft\Windows\CurrentVersion\Run', 'E5M99S_payload.exe', '32');
 RegKeyParamDel('HKEY_USERS', 'S-1-5-21-301913164-3692602781-3845028161-1183\Software\Microsoft\Windows\CurrentVersion\Run', 'E5M99S_payload.exe', '64');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
end.
Компьютер перезагрузится.

 

 

Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KL-).

 

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Прикрепите к следующему сообщению свежий CollectionLog.

  • Спасибо (+1) 1
Ссылка на комментарий
Поделиться на другие сайты
igissut Новичок

igissut

Опубликовано
  • Автор
Опубликовано

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\E5M99S_payload.exe', '');
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '');
 QuarantineFile('C:\Users\AdminDC\AppData\Roaming\E5M99S_payload.exe', '');
 QuarantineFile('C:\Users\AdminDC\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\E5M99S_payload.exe', '');
 QuarantineFile('C:\Users\office\AppData\Roaming\E5M99S_payload.exe', '');
 QuarantineFile('C:\Users\office\AppData\Roaming\Info.hta', '');
 QuarantineFile('C:\Users\office\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\E5M99S_payload.exe', '');
 QuarantineFile('C:\Users\office\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '');
 QuarantineFile('C:\Windows\System32\E5M99S_payload.exe', '');
 QuarantineFile('C:\Windows\System32\Info.hta', '');
 DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\E5M99S_payload.exe', '64');
 DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '64');
 DeleteFile('C:\Users\AdminDC\AppData\Roaming\E5M99S_payload.exe', '32');
 DeleteFile('C:\Users\AdminDC\AppData\Roaming\E5M99S_payload.exe', '64');
 DeleteFile('C:\Users\AdminDC\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\E5M99S_payload.exe', '64');
 DeleteFile('C:\Users\office\AppData\Roaming\E5M99S_payload.exe', '32');
 DeleteFile('C:\Users\office\AppData\Roaming\E5M99S_payload.exe', '64');
 DeleteFile('C:\Users\office\AppData\Roaming\Info.hta', '64');
 DeleteFile('C:\Users\office\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\E5M99S_payload.exe', '64');
 DeleteFile('C:\Users\office\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '64');
 DeleteFile('C:\Windows\System32\E5M99S_payload.exe', '64');
 DeleteFile('C:\Windows\System32\Info.hta', '64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'C:\Users\office\AppData\Roaming\Info.hta', '64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'C:\Windows\System32\Info.hta', '64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'E5M99S_payload.exe', '64');
 RegKeyParamDel('HKEY_USERS', 'S-1-5-21-301913164-3692602781-3845028161-1183\Software\Microsoft\Windows\CurrentVersion\Run', 'E5M99S_payload.exe', '32');
 RegKeyParamDel('HKEY_USERS', 'S-1-5-21-301913164-3692602781-3845028161-1183\Software\Microsoft\Windows\CurrentVersion\Run', 'E5M99S_payload.exe', '64');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
end.
Компьютер перезагрузится.

 

 

Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KL-).

 

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Прикрепите к следующему сообщению свежий CollectionLog.

 

 

KLAN-10772302243

CollectionLog-2019.08.06-13.34.zip

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

1. Не цитируйте полностью предыдущее сообщение. Используйте форму быстрого ответа внизу.

2. Номер KL вы сообщили, а ответ нет.

3. Дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.

Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

 

Уточню, расшифровки этой версии вымогателя нет. Мы удалили активную угрозу и дочищаем хвосты.

Ссылка на комментарий
Поделиться на другие сайты
igissut Новичок

igissut

Опубликовано
  • Автор
Опубликовано

Благодарим за обращение в Антивирусную Лабораторию

Присланные вами файлы и ссылки были проверены в автоматическом режиме

В следующих файлах обнаружен вредоносный код:
E5M99S_payload.exe - Trojan-Ransom.Win32.Crusis.to
E5M99S_payload_0.exe - Trojan-Ransom.Win32.Crusis.to
E5M99S_payload_1.exe - Trojan-Ransom.Win32.Crusis.to
E5M99S_payload_2.exe - Trojan-Ransom.Win32.Crusis.to
E5M99S_payload_3.exe - Trojan-Ransom.Win32.Crusis.to
E5M99S_payload_4.exe - Trojan-Ransom.Win32.Crusis.to

В антивирусных базах информация по присланным вами файлам отсутствует:
Info.hta
Info_0.hta
Info_1.hta
Info_2.hta

В антивирусных базах информация по присланным вами ссылкам отсутствует:
www[.]urupinsk-kran.ru

Файлы и ссылки переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.
    
Это сообщение сформировано автоматической системой обработки писем. Пожалуйста, не отвечайте на него.

Антивирусная Лаборатория, Kaspersky Lab HQ

FRST.txt

Addition.txt

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Файлы

C:\Users\office\Desktop\FILES ENCRYPTED.txt

C:\FILES ENCRYPTED.txt

удалите вручную.

 

Проверьте уязвимые места:

Выполните скрипт в AVZ при наличии доступа в интернет:

 

var
LogPath : string;
ScriptPath : string;
begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';
  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить.

В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

 

Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления (если таковые будут).

Перезагрузите компьютер.

Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • JIEXA
      Схватил шифровальщик restore1_helper@gmx.de
      Автор JIEXA
      encrypted.zipFRST.txtAddition.txt2_fles.zip
      Подхватил заразу через рдп, подобрали пароль походу. В архиве 2_files находятся файл зашифрованный и файл оригинал.
    • RomanK
      шифровальщик banta. [restore1_helper@gmx.de].Banta
      Автор RomanK
      Здравствуйте! Поймал шифровальщик. Могли бы вы помочь с расшифровкой? Файлы во вложении. Спасибо.
      FRST.txt зашифрованные файлы.zip
    • 08Sergey
      Шифровальщик .eking
      Автор 08Sergey
      Всем привет! Помогите пожалуйста, зашифровало файловый сервер, много текстовых документов, стандартные средства не помогли, есть оригинал файла и зашифрованный (в архиве), система переустановлена, письмо с требованиями не найдено...
      eking.zip
    • Павел Бурдейный
      Помощи с шифровальщиком
      Автор Павел Бурдейный
      Сегодня схватили шифровальщика. Имя файла изменилось на Лист Microsoft Office Excel.xlsx.[ID-6E9103E8].[Telegram ID @Cherchil_77777].WMRWXK . Прошу помочь в решении проблемы
      Лист Microsoft Office Excel.xlsx
    • Александр_vgau
      шифровальщик banta
      Автор Александр_vgau
      Шифровальщик изменил файлы данных внутри сети на всех серверах и рабочих станциях с ОС Windows где был доступ по протоколу rdp или общие папки, часть бэкапов удалил.
      Антивирус не реагирует (все обновления установлены), наблюдали шифрование в режиме реального времени Антивирус спокойно наблюдал за шифрованием.
      Требования и файлы.rar Вирус.zip FRST.txt Addition.txt
×
×
  • Создать...