Перейти к содержанию

Вирус CRYPTED000007

va_210
 Поделиться

Рекомендуемые сообщения

va_210

va_210

Опубликовано
Опубликовано

Здравствуйте! После открытия письма в почтовом ящике, вирус зашифровал все файлы. Расширение  CRYPTED000007. Что можно сделать? Спасибо.

va_210

va_210

Опубликовано
  • Автор
Опубликовано

Все делал как написано. Не могу прикрепить файл CollectionLog-2019.08.06-16.44

Sandor

Sandor

Опубликовано
Опубликовано

Уточню, тип вымогателя Shade, расшифровки нет.

Если нужна помощь в очистке следов, выполняйте вышесказанное.

Sandor

Sandor

Опубликовано
Опубликовано

Через Панель управления - Удаление программ - удалите нежелательное ПО:

TuneUp Utilities 2010

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantineEx(true);
 StopService('10B95922F8');
 StopService('1965F18810');
 StopService('61CA55C00');
 StopService('7375C12F0');
 StopService('7683926E0');
 StopService('78CADF1B0');
 StopService('796290128');
 StopService('798056AB8');
 StopService('798E66548');
 StopService('7E4248399');
 StopService('80254A320');
 StopService('804E115A8');
 StopService('82C444F10');
 StopService('911A166E0');
 StopService('9BB4A5FE0');
 StopService('A1002C300');
 QuarantineFile('C:\Documents and Settings\VA\Application Data\PBot\ml.py', '');
 QuarantineFile('C:\WINDOWS\TEMP\10B95922F8.sys', '');
 QuarantineFile('C:\WINDOWS\TEMP\1965F18810.sys', '');
 QuarantineFile('C:\WINDOWS\TEMP\61CA55C00.sys', '');
 QuarantineFile('C:\WINDOWS\TEMP\7375C12F0.sys', '');
 QuarantineFile('C:\WINDOWS\TEMP\7683926E0.sys', '');
 QuarantineFile('C:\WINDOWS\TEMP\78CADF1B0.sys', '');
 QuarantineFile('C:\WINDOWS\TEMP\796290128.sys', '');
 QuarantineFile('C:\WINDOWS\TEMP\798056AB8.sys', '');
 QuarantineFile('C:\WINDOWS\TEMP\798E66548.sys', '');
 QuarantineFile('C:\WINDOWS\TEMP\7E4248399.sys', '');
 QuarantineFile('C:\WINDOWS\TEMP\80254A320.sys', '');
 QuarantineFile('C:\WINDOWS\TEMP\804E115A8.sys', '');
 QuarantineFile('C:\WINDOWS\TEMP\82C444F10.sys', '');
 QuarantineFile('C:\WINDOWS\TEMP\911A166E0.sys', '');
 QuarantineFile('C:\WINDOWS\TEMP\9BB4A5FE0.sys', '');
 QuarantineFile('C:\WINDOWS\TEMP\A1002C300.sys', '');
 QuarantineFileF('c:\documents and settings\va\application data\pbot', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
 DeleteFile('C:\Documents and Settings\VA\Application Data\PBot\ml.py', '32');
 DeleteFile('C:\WINDOWS\TEMP\10B95922F8.sys', '32');
 DeleteFile('C:\WINDOWS\TEMP\1965F18810.sys', '32');
 DeleteFile('C:\WINDOWS\TEMP\61CA55C00.sys', '32');
 DeleteFile('C:\WINDOWS\TEMP\7375C12F0.sys', '32');
 DeleteFile('C:\WINDOWS\TEMP\7683926E0.sys', '32');
 DeleteFile('C:\WINDOWS\TEMP\78CADF1B0.sys', '32');
 DeleteFile('C:\WINDOWS\TEMP\796290128.sys', '32');
 DeleteFile('C:\WINDOWS\TEMP\798056AB8.sys', '32');
 DeleteFile('C:\WINDOWS\TEMP\798E66548.sys', '32');
 DeleteFile('C:\WINDOWS\TEMP\7E4248399.sys', '32');
 DeleteFile('C:\WINDOWS\TEMP\80254A320.sys', '32');
 DeleteFile('C:\WINDOWS\TEMP\804E115A8.sys', '32');
 DeleteFile('C:\WINDOWS\TEMP\82C444F10.sys', '32');
 DeleteFile('C:\WINDOWS\TEMP\911A166E0.sys', '32');
 DeleteFile('C:\WINDOWS\TEMP\9BB4A5FE0.sys', '32');
 DeleteFile('C:\WINDOWS\TEMP\A1002C300.sys', '32');
 DeleteService('10B95922F8');
 DeleteService('1965F18810');
 DeleteService('61CA55C00');
 DeleteService('7375C12F0');
 DeleteService('7683926E0');
 DeleteService('78CADF1B0');
 DeleteService('796290128');
 DeleteService('798056AB8');
 DeleteService('798E66548');
 DeleteService('7E4248399');
 DeleteService('80254A320');
 DeleteService('804E115A8');
 DeleteService('82C444F10');
 DeleteService('911A166E0');
 DeleteService('9BB4A5FE0');
 DeleteService('A1002C300');
 DeleteFileMask('c:\documents and settings\va\application data\pbot', '*', true);
 DeleteDirectory('c:\documents and settings\va\application data\pbot');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run-', 'bxypcguomo', '32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run-', 'PBot', '32');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
Компьютер перезагрузится.

 

После перезагрузки, выполните такой скрипт:

 

begin
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KL-).

 

 

"Пофиксите" в HijackThis:

O7 - TroubleShooting: (EV) HKCU\..\Environment: [TEMP] = (not exist)
O7 - TroubleShooting: (EV) HKCU\..\Environment: [TMP] = (not exist)
O7 - TroubleShooting: (EV) HKU\.DEFAULT\..\Environment: [TEMP] = (not exist)
O7 - TroubleShooting: (EV) HKU\.DEFAULT\..\Environment: [TMP] = (not exist)
Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

Прикрепите к следующему сообщению свежий CollectionLog.

va_210

va_210

Опубликовано
  • Автор
Опубликовано

Выполнил все рекомендации. 

ответ от newvirus@kaspersky.com 

 [KLAN-10779752232]

Благодарим за обращение в Антивирусную Лабораторию

Присланные вами файлы были проверены в автоматическом режиме.
В антивирусных базах информация по присланным вами файлам отсутствует:

fetch_macholib.bat
Файлы переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.
Это сообщение сформировано автоматической системой обработки писем. Пожалуйста, не отвечайте на него.
Антивирусная Лаборатория, Kaspersky Lab HQ

 

 

 

CollectionLog-2019.08.07-15.59.zip

Sandor

Sandor

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.

Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Sandor

Sandor

Опубликовано
Опубликовано

TuneUp Utilities вы так и не удалили. Почему?

 

Далее:

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
GroupPolicy: Restriction ? <==== ATTENTION
GroupPolicy\User: Restriction ? <==== ATTENTION
2019-08-02 11:59 - 2019-08-02 11:59 - 006220854 _____ C:\Documents and Settings\VA\Application Data\69507D9369507D93.bmp
2019-08-02 11:59 - 2019-08-02 11:59 - 000004178 _____ C:\Documents and Settings\VA\Рабочий стол\README9.txt
2019-08-02 11:59 - 2019-08-02 11:59 - 000004178 _____ C:\Documents and Settings\VA\Рабочий стол\README8.txt
2019-08-02 11:59 - 2019-08-02 11:59 - 000004178 _____ C:\Documents and Settings\VA\Рабочий стол\README7.txt
2019-08-02 11:59 - 2019-08-02 11:59 - 000004178 _____ C:\Documents and Settings\VA\Рабочий стол\README6.txt
2019-08-02 11:59 - 2019-08-02 11:59 - 000004178 _____ C:\Documents and Settings\VA\Рабочий стол\README5.txt
2019-08-02 11:59 - 2019-08-02 11:59 - 000004178 _____ C:\Documents and Settings\VA\Рабочий стол\README4.txt
2019-08-02 11:59 - 2019-08-02 11:59 - 000004178 _____ C:\Documents and Settings\VA\Рабочий стол\README3.txt
2019-08-02 11:59 - 2019-08-02 11:59 - 000004178 _____ C:\Documents and Settings\VA\Рабочий стол\README2.txt
2019-08-02 11:59 - 2019-08-02 11:59 - 000004178 _____ C:\Documents and Settings\VA\Рабочий стол\README10.txt
2019-08-02 11:59 - 2019-08-02 11:59 - 000004178 _____ C:\Documents and Settings\VA\Рабочий стол\README1.txt
2019-08-02 11:59 - 2019-08-02 11:59 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README9.txt
2019-08-02 11:59 - 2019-08-02 11:59 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README8.txt
2019-08-02 11:59 - 2019-08-02 11:59 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README7.txt
2019-08-02 11:59 - 2019-08-02 11:59 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README6.txt
2019-08-02 11:59 - 2019-08-02 11:59 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README5.txt
2019-08-02 11:59 - 2019-08-02 11:59 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README4.txt
2019-08-02 11:59 - 2019-08-02 11:59 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README3.txt
2019-08-02 11:59 - 2019-08-02 11:59 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README2.txt
2019-08-02 11:59 - 2019-08-02 11:59 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README10.txt
2019-08-02 11:59 - 2019-08-02 11:59 - 000004178 _____ C:\Documents and Settings\All Users\Рабочий стол\README1.txt
2019-08-02 09:00 - 2019-08-02 09:00 - 000000000 __SHD C:\Documents and Settings\All Users\Application Data\System32
2019-08-02 08:59 - 2019-08-02 08:59 - 000004178 _____ C:\README9.txt
2019-08-02 08:59 - 2019-08-02 08:59 - 000004178 _____ C:\README8.txt
2019-08-02 08:59 - 2019-08-02 08:59 - 000004178 _____ C:\README7.txt
2019-08-02 08:59 - 2019-08-02 08:59 - 000004178 _____ C:\README6.txt
2019-08-02 08:59 - 2019-08-02 08:59 - 000004178 _____ C:\README5.txt
2019-08-02 08:59 - 2019-08-02 08:59 - 000004178 _____ C:\README4.txt
2019-08-02 08:59 - 2019-08-02 08:59 - 000004178 _____ C:\README3.txt
2019-08-02 08:59 - 2019-08-02 08:59 - 000004178 _____ C:\README2.txt
2019-08-02 08:59 - 2019-08-02 08:59 - 000004178 _____ C:\README10.txt
2019-08-02 08:59 - 2019-08-02 08:59 - 000004178 _____ C:\README1.txt
2019-08-02 08:49 - 2019-08-02 12:42 - 000000000 __SHD C:\Documents and Settings\All Users\Application Data\Windows
AlternateDataStreams: C:\Documents and Settings\All Users\Application Data\TEMP:D5FBE8F9 [172]
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • 500razlamer
      ShadeDecryptor оказался бесполезен
      Автор 500razlamer
      Зашифрованные файлы, видео, аудио и изображения) с расширением .xtbl лежат уже давно. Файл README1.txt также был сохранен. К сожалению, ShadeDecryptor оказался бесполезен, т.к. не смог найти ключ для расшифровки. Чем-то можно помочь?
       
      11:40:01.0742 0x0444  Trojan-Ransom.Win32.Shade decryptor tool 1.1.0.2 Jun  8 2016 16:43:09
      ...
      11:40:02.0102 0x0444  ============================================================
      11:40:02.0149 0x0444  Initialize success
      11:40:59.0383 0x1778  Using ID 7A9AF0405A282593E45E from the ransom note: D:\backRender\README1.txt
      11:41:11.0037 0x1778  No keys found for the file: D:\backRender\MediaTemp\Pinnacle\materials\music\po2VeceO5L3dB58-DhbxSQ==.xtbl
      11:41:16.0723 0x1778  Cannot initialize decryptor on the file: D:\backRender\MediaTemp\Pinnacle\materials\music\po2VeceO5L3dB58-DhbxSQ==.xtbl
       
      ------------------------------------------------------------------------------
      Логи, требуемые правилами создания запроса, прилагаются.
      CollectionLog-2017.05.11-10.00.zip
    • AndreyRTN2
      Зашифрованы файлы на ПК
      Автор AndreyRTN2
      Доброго времени суток.
       
      Сегодня при загрузке компьютера было обнаружены зашифрованные файлы с расширением
      "различные символы".NO_MORE_RANSOM множеством файлов README и черным экраном с оповещением о заражении.
      Kaspersky Endpoint Security 10 обнаружил trojan-ransom.win32.shade
       
      Заражение произошло при клике по ссылке в почте якобы от сбербанка.
       
      Прошу помочь в решении проблемы
       
       
      Addition.txt
      FRST.txt
    • Max0n
      шифровальщик no_more_ransom
      Автор Max0n
      Добрый день !
       
      Пришло письмо с адреса ignatov.s@sberbank.ru с ссылкой http://www.sberbank.ru/downloads/individual/170-2017-05/id465865gte1703623465... (фактический переход на http://luxceram.ru/smartoptimizer/cache/schet_sber.html). По ссылке скачался архив Documents.zip в нем был файл ....xls.js 
      После запуска файла вирус начал переименовывать файлы по следующему образцу: 
      XZNlDpV-eR0OoJs5+nLELydHtSzvsQha21etC6sjeRzVzqAlDdD0onmpinoeHaSt.7CE2FFF06AF5177487E9.no_more_ransom
       
      Процесс был прерван, но часть файлов вирус успел переименовать. 
      Компьютер был проверен KVRT (уничтожено 10 угроз) и после KAV (ничего не обнаружено).  
       
      Во вложении архив с зашифрованными файлами и логи проверки AutoLogger
       
      Возможно ли восстановить зашифрованные файлы ? 
      CollectionLog-2017.05.12-12.42.zip
      зашифрованные файлы.zip
    • AlexStorm
      шифровальщик Troldesh / Shade с расширением *.crypted000007
      Автор AlexStorm
      Здравствуйте, поймали вирус шифровальщик. Сам вирус удалили с помощью Kaspersky Virus Removal Tool.
       
      Большинство файлов зашифровались. Имена изменились на набор букв-цифр-символов и расширение стало *.crypted000007.
       
      Помогите расшифровать эти файлы. Что Вам для этого необходимо? Высылаю зашифрованный файл, его оригинал (хорошо я точно знаю, что это он) и файл Readme.txt, который появился на диске после работы вируса.

       

      Добавляю файл отчет.
      1.rar
      CollectionLog-2017.05.11-11.40.zip
    • zhekkka
      Зашифрованы файлы на компьютере ! ПОМОГИТЕ !
      Автор zhekkka
      Добрый день ! Подскажите пожалуйста что делать, как выйти из ситуации ? На компьютере чёрный экран и надпись " Внимание все ваши файлы на всех ваших дисках были зашифрованы"  и все файлы зашифрованы ! Что делать ? ? ?


      Вашu фaйлы былu зашuфpованы. Чmoбы рaсшифровaть их, Вaм неoбходuмо omправumь koд: 4F9ADE6A6200BEED2187|0 на элеkmpонный адреc Novikov.Vavila@gmail.com . Далеe вы полyчume вce нeoбходuмыe uнстрykцuи. Пonыткu рacшuфpoвать самосmoятeльнo не привeдym нu к чемy, кромe бeзвoзвраmной пoтеpu инфopмацuи. Eсли вы вcё жe xoтите nоnыmатьcя, mo предваpuтeльно cдeлaйmе резеpвные копии фaйлов, инaчe в cлучае иx uзмeненuя pасшифpoвka cmaнеm нeвoзмoжнoй нu прu кaкuх условияx. Eслu вы не nолучuлu отвеma пo вышеукaзaнномy адресу в mечение 48 чаcoв (и тoльkо в эmoм слyчaе!), вoспользyйтеcь фоpмoй обpатной связu. Этo можнo сдeлать двумя cnoсoбaмu: 1) Скaчaйтe u усmaнoвuтe Tor Browser no ccылкe: https://www.torproject.org/download/download-easy.html.en B aдpесной стpокe Tor Browser-a введuтe адреc: http://cryptsen7fo43rr6.onion/ u нажмume Enter. 3aгpузumся сmpaнuцa c формoй обратной cвязи. 2) B любом бpаузере nepeйдите по одному uз aдреcов: http://cryptsen7fo43rr6.onion.to/ http://cryptsen7fo43rr6.onion.cab/     All the important files on your computer were encrypted. To decrypt the files you should send the following code: 4F9ADE6A6200BEED2187|0 to e-mail address Novikov.Vavila@gmail.com . Then you will receive all necessary instructions. All the attempts of decryption by yourself will result only in irrevocable loss of your data. If you still want to try to decrypt them by yourself please make a backup at first because the decryption will become impossible in case of any changes inside the files. If you did not receive the answer from the aforecited email for more than 48 hours (and only in this case!), use the feedback form. You can do it by two ways: 1) Download Tor Browser from here: https://www.torproject.org/download/download-easy.html.en Install it and type the following address into the address bar: http://cryptsen7fo43rr6.onion/ Press Enter and then the page with feedback form will be loaded. 2) Go to the one of the following addresses in any browser: http://cryptsen7fo43rr6.onion.to/ http://cryptsen7fo43rr6.onion.cab/ README1.txt
×
×
  • Создать...