Komboskyni 0 Опубликовано 4 сентября, 2019 Share Опубликовано 4 сентября, 2019 Здравствуйте, имеющие возможность помочь! Файлы на компьютере зашифрованы и имеют вид email-mryoba@cock.li.ver-CS1.6.id-.fname-имяфайла.cs16Есть файл README с текстом "descrypt files? write to mryoba@cock.li or telegram @helprestore" К компьютеру имелся доступ по RDP. Заблокированы пароли учетных записей пользователей компьютера кроме одной. После сброса административного пароля в диспетчере задач обнаружено запущенное приложение EaseFilter Folder Locker(V4.5.1.0) Эту программу я не устанавливал. Сейчас компьютер отключили от LAN и интернета. Файлы, по аналогии с похожими темами, прилагаю. Что-то можно сделать? CollectionLog-2019.09.03-18.38.zip Addition.txt FRST.txt Ссылка на сообщение Поделиться на другие сайты
Sandor 1 253 Опубликовано 4 сентября, 2019 Share Опубликовано 4 сентября, 2019 (изменено) Здравствуйте! Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО. Выполните скрипт в AVZ (Файл - Выполнить скрипт): begin ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); TerminateProcessByName('C:\ProgramData\Microsoft\DRM\Vwoga\lnterrupts.exe'); TerminateProcessByName('C:\ProgramData\Microsoft\DRM\Lsutumaya\Nciye.exe'); TerminateProcessByName('C:\ProgramData\Microsoft\DRM\Lsutumaya\Mvixa.exe'); QuarantineFile('C:\ProgramData\Microsoft\DRM\Lsutumaya\Nciye.exe',''); QuarantineFile('C:\ProgramData\Microsoft\DRM\Lsutumaya\Mvixa.exe',''); QuarantineFile('C:\ProgramData\Microsoft\DRM\Vwoga\lnterrupts.exe',''); DeleteFile('C:\ProgramData\Microsoft\DRM\Vwoga\lnterrupts.exe','32'); DeleteFile('C:\ProgramData\Microsoft\DRM\Lsutumaya\Mvixa.exe','64'); DeleteSchedulerTask('Microsoft\Windows\EntityFramework2\NetFramework'); DeleteFile('C:\ProgramData\Microsoft\DRM\Lsutumaya\Nciye.exe','32'); DeleteFile('C:\ProgramData\Microsoft\DRM\Lsutumaya\Mvixa.exe','32'); ExecuteSysClean; ExecuteRepair(9); RebootWindows(true); end. Компьютер перезагрузится. После перезагрузки, выполните такой скрипт: begin CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip'); end.Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.comПолученный ответ сообщите здесь (с указанием номера KL-). Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. Прикрепите к следующему сообщению свежий CollectionLog. Дополнительно: Загрузите GMER по одной из указанных ссылок:Gmer со случайным именем (рекомендуется), Gmer в zip-архиве (перед применением распаковать в отдельную папку) Временно отключите драйверы эмуляторов дисков. Запустите программу (пользователям Vista/Seven запускать от имени Администратора по правой кнопке мыши). Начнется экспресс-проверка. Если появится окно с сообщением о деятельности руткита, нажмите No. Из всех дисков оставьте отмеченным только системный диск (обычно C:\) Нажмите на кнопку Scan и дождитесь окончания проверки. При появлении окна с сообщением о деятельности руткита, нажмите OK. После окончания проверки сохраните его лог (нажмите на кнопку Save) и вложите в сообщение. !!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да". Подробную инструкцию читайте в руководстве. Изменено 4 сентября, 2019 пользователем Sandor Ссылка на сообщение Поделиться на другие сайты
Komboskyni 0 Опубликовано 4 сентября, 2019 Автор Share Опубликовано 4 сентября, 2019 (изменено) На момент заражения на компьютере был установлен антивирус ESET. Я так понял, что с него и начали))) Сейчас, для решения проблемы и предотвращения её появления в будущем, куплена лицензия Kaspersky Internet Security и отправлен запрос в службу поддержки. Файл quarantine.zip отправлен на newvirus@kaspersky.com Ответ ниже. Прикладываю новые логи. Да, если это имеет значение, то атакованная операционная система Windows7 была установлена в раздел Bootcamp на MAC, и если загрузить компьютер в MacOS, то появляется доступ к папкам, которые недоступны в настоящий момент на Windows. Возможно, какие-то файлы могут помочь? ОТВЕТ Лаборатории Касперского Re: файл quarantine.zip [KLAN-10980885254] Благодарим за обращение в Антивирусную ЛабораториюПрисланные вами файлы и ссылки были проверены в автоматическом режимеВ перечисленных файлах обнаружена программа Riskware, которая может причинить вред вашему устройству:Nciye.exe - not-a-virus:HEUR:RiskTool.Win32.BitCoinMiner.genMvixa.exe - not-a-virus:HEUR:RiskTool.MSIL.BitCoinMiner.genВ антивирусных базах информация по присланным вами файлам отсутствует:lnterrupts.exe GMER_20190904.log CollectionLog-2019.09.04-16.42.zip Изменено 4 сентября, 2019 пользователем Komboskyni Ссылка на сообщение Поделиться на другие сайты
Sandor 1 253 Опубликовано 5 сентября, 2019 Share Опубликовано 5 сентября, 2019 Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе. Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе. Когда программа запустится, нажмите Yes для соглашения с предупреждением. Нажмите кнопку Scan. После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению. Подробнее читайте в этом руководстве. Ссылка на сообщение Поделиться на другие сайты
Komboskyni 0 Опубликовано 5 сентября, 2019 Автор Share Опубликовано 5 сентября, 2019 Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе. Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе. Когда программа запустится, нажмите Yes для соглашения с предупреждением. Нажмите кнопку Scan. После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению. Подробнее читайте в этом руководстве. Сделать это ещё раз, или подойдут файлы, прикрепленные в первом посте? Ссылка на сообщение Поделиться на другие сайты
Sandor 1 253 Опубликовано 5 сентября, 2019 Share Опубликовано 5 сентября, 2019 Конечно еще раз. В системе ведь были изменения. Ссылка на сообщение Поделиться на другие сайты
Komboskyni 0 Опубликовано 5 сентября, 2019 Автор Share Опубликовано 5 сентября, 2019 Вот новые файлы Addition.txt FRST.txt Ссылка на сообщение Поделиться на другие сайты
Sandor 1 253 Опубликовано 5 сентября, 2019 Share Опубликовано 5 сентября, 2019 Отключите до перезагрузки антивирус. Выделите следующий код: Start:: CreateRestorePoint: HKLM Group Policy restriction on software: C:\Windows\system32\drivers\FSPFltd.sys <==== ATTENTION HKLM Group Policy restriction on software: C:\Windows\Inf\NETLIBRARIESTIP\0009\v3.5.56385 <==== ATTENTION HKLM Group Policy restriction on software: C:\Windows\SysWOW64\drivers\fsproflt.exe <==== ATTENTION HKLM Group Policy restriction on software: C:\Windows\Fonts <==== ATTENTION HKLM Group Policy restriction on software: C:\ProgramData\MPK <==== ATTENTION HKLM Group Policy restriction on software: C:\Windows\SysWOW64\fsproflt.exe <==== ATTENTION HKLM Group Policy restriction on software: C:\Windows\SysWOW64\Radiance <==== ATTENTION HKLM Group Policy restriction on software: C:\Program Files\Common Files\Intel <==== ATTENTION HKLM Group Policy restriction on software: C:\Program Files\Hide Folders 2009 <==== ATTENTION HKLM Group Policy restriction on software: C:\Windows\SysWOW64\MPK <==== ATTENTION HKLM Group Policy restriction on software: C:\Program Files\Common Files\microsoft shared\System <==== ATTENTION HKLM Group Policy restriction on software: C:\Windows\SysWOW64\Resident <==== ATTENTION HKLM Group Policy restriction on software: C:\Program Files\MPK <==== ATTENTION HKLM Group Policy restriction on software: C:\Windows\Inf\NETLIBRARIESTIP\000D\1049\5.0 <==== ATTENTION Task: {19AAC6B6-70EA-46EC-B7F7-C1671CC35010} - System32\Tasks\Microsoft\Windows\EntityFramework\NetFramework => C:\ProgramData\Microsoft\DRM\Lsutumaya\Mvixa.exe 2019-08-31 16:19 - 2019-08-31 16:19 - 000000082 _____ C:\Users\SergM\README.txt 2019-08-31 16:19 - 2019-08-31 16:19 - 000000082 _____ C:\Users\SergM\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt 2019-08-31 16:16 - 2019-08-31 16:16 - 000000082 _____ C:\Users\SergM\Downloads\README.txt 2019-08-31 16:16 - 2019-08-31 16:16 - 000000082 _____ C:\Users\SergM\Documents\README.txt 2019-08-31 16:12 - 2019-08-31 16:12 - 000000082 _____ C:\Users\SergM\Desktop\README.txt 2019-08-31 16:11 - 2019-08-31 16:11 - 000000082 _____ C:\Users\SergM\AppData\Roaming\README.txt 2019-08-31 16:11 - 2019-08-31 16:11 - 000000082 _____ C:\Users\SergM\AppData\README.txt 2019-08-31 15:48 - 2019-08-31 15:48 - 000000082 _____ C:\Users\SergM\AppData\LocalLow\README.txt 2019-08-31 15:08 - 2019-08-31 15:08 - 000000082 _____ C:\Users\SergM\AppData\Local\README.txt 2019-08-31 15:08 - 2019-08-31 15:08 - 000000082 _____ C:\Users\Public\README.txt 2019-08-31 15:07 - 2019-08-31 15:07 - 000000795 _____ C:\Users\Public\Downloads\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16 2019-08-31 15:07 - 2019-08-31 15:07 - 000000082 _____ C:\Users\Public\Downloads\README.txt 2019-08-31 15:07 - 2019-08-31 15:07 - 000000082 _____ C:\Users\Public\Documents\README.txt 2019-08-31 15:03 - 2019-08-31 15:03 - 000000082 _____ C:\Users\Buhgalter\README.txt 2019-08-31 15:03 - 2019-08-31 15:03 - 000000082 _____ C:\Users\Buhgalter\Downloads\README.txt 2019-08-31 15:03 - 2019-08-31 15:03 - 000000082 _____ C:\Users\Buhgalter\Documents\README.txt 2019-08-31 15:03 - 2019-08-31 15:03 - 000000082 _____ C:\Users\Buhgalter\Desktop\README.txt 2019-08-31 15:03 - 2019-08-31 15:03 - 000000082 _____ C:\Users\Buhgalter\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt 2019-08-31 15:02 - 2019-08-31 15:02 - 000000082 _____ C:\Users\Buhgalter\AppData\Roaming\README.txt 2019-08-31 15:02 - 2019-08-31 15:02 - 000000082 _____ C:\Users\Buhgalter\AppData\README.txt 2019-08-31 15:01 - 2019-08-31 15:01 - 000000795 _____ C:\Users\Buhgalter\AppData\LocalLow\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16 2019-08-31 15:01 - 2019-08-31 15:01 - 000000082 _____ C:\Users\Buhgalter\AppData\LocalLow\README.txt 2019-08-31 14:51 - 2019-08-31 14:51 - 000000082 _____ C:\Users\Все пользователи\README.txt 2019-08-31 14:51 - 2019-08-31 14:51 - 000000082 _____ C:\Users\Buhgalter\AppData\Local\README.txt 2019-08-31 14:51 - 2019-08-31 14:51 - 000000082 _____ C:\ProgramData\README.txt 2019-08-31 14:49 - 2019-08-31 15:06 - 000000795 _____ C:\Users\Public\Documents\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16 2019-08-31 14:49 - 2019-08-31 14:50 - 000000795 _____ C:\Users\Все пользователи\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16 2019-08-31 14:49 - 2019-08-31 14:50 - 000000795 _____ C:\ProgramData\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16 2019-08-31 14:34 - 2019-08-31 14:51 - 000000795 _____ C:\Users\Buhgalter\AppData\Local\Apps\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16 2019-08-31 14:34 - 2019-08-31 14:51 - 000000082 _____ C:\Users\Buhgalter\AppData\Local\Apps\README.txt AlternateDataStreams: C:\.fseventsd:Mac_Metadata [42] AlternateDataStreams: C:\.Trashes:AFP_AfpInfo [130] AlternateDataStreams: C:\.Trashes:Mac_Metadata [42] AlternateDataStreams: C:\Windows\system32\termsrv.dll:AFP_AfpInfo [130] AlternateDataStreams: C:\Windows\system32\termsrv.dll:Mac_Metadata [42] FirewallRules: [{7D4FB6E5-48E0-4339-B248-E39222156D8F}] => (Allow) C:\ProgramData\Microsoft\DRM\Lsutumaya\Mvixa.exe No File Reboot: End:: Скопируйте выделенный текст (правой кнопкой - Копировать). Запустите FRST (FRST64) от имени администратора. Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению. Компьютер будет перезагружен автоматически. Подробнее читайте в этом руководстве. Ссылка на сообщение Поделиться на другие сайты
Komboskyni 0 Опубликовано 5 сентября, 2019 Автор Share Опубликовано 5 сентября, 2019 Готово Fixlog.txt Ссылка на сообщение Поделиться на другие сайты
Sandor 1 253 Опубликовано 5 сентября, 2019 Share Опубликовано 5 сентября, 2019 куплена лицензия Kaspersky Internet Security и отправлен запрос в службу поддержкиДо окончания работы с ТП не удаляйте папку C:\FRST Результат сообщите здесь, пожалуйста. Проверьте уязвимые места: Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива. Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10) Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt Прикрепите этот файл к своему следующему сообщению. Ссылка на сообщение Поделиться на другие сайты
Komboskyni 0 Опубликовано 5 сентября, 2019 Автор Share Опубликовано 5 сентября, 2019 Зашифрованный компьютер мы отключили от LAN и Интернета, поэтому SecurityCheck выдал предупреждение, что проверка будет проводится из локальных баз. SecurityCheck.txt Ссылка на сообщение Поделиться на другие сайты
Sandor 1 253 Опубликовано 5 сентября, 2019 Share Опубликовано 5 сентября, 2019 ------------------------------- [ Windows ] ------------------------------- Internet Explorer 11.0.9600.17358 Внимание! Скачать обновления ^Онлайн установка. Последняя версия доступна при включенном обновлении Windows через интернет.^ Контроль учётных записей пользователя включен (Уровень 4) Автоматическое обновление отключено Дата установки обновлений: 2014-11-07 15:58:50 ------------------------------- [ HotFix ] -------------------------------- HotFix KB3020369 Внимание! Скачать обновления HotFix KB3125574 Внимание! Скачать обновления HotFix KB4012212 Внимание! Скачать обновления HotFix KB4499175 Внимание! Скачать обновления HotFix KB4474419 Внимание! Скачать обновления HotFix KB4490628 Внимание! Скачать обновления HotFix KB4484071 Внимание! Скачать обновления HotFix KB4512486 Внимание! Скачать обновления HotFix KB4512506 Внимание! Скачать обновления --------------------------- [ FirewallWindows ] --------------------------- Брандмауэр Windows (MpsSvc) - Служба работает Отключен доменный профиль Брандмауэра Windows --------------------------- [ OtherUtilities ] ---------------------------- Microsoft .NET Framework 4.5.1 v.4.5.50938 Внимание! Скачать обновления PuTTY release 0.71 (64-bit) v.0.71.0.0 Внимание! Скачать обновления Microsoft Office Access 2007 v.12.0.6612.1000 Данная программа больше не поддерживается разработчиком. Microsoft Office Стандартный 2007 v.12.0.6612.1000 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice Microsoft Office Standard 2007 v.12.0.6612.1000 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice --------------------------- [ AppleProduction ] --------------------------- iTunes v.12.7.4.80 Внимание! Скачать обновления ^Для проверки новой версии используйте приложение Apple Software Update^ --------------------------- [ AdobeProduction ] --------------------------- Adobe Flash Player 24 NPAPI v.24.0.0.186 Внимание! Скачать обновления Adobe Reader XI (11.0.12) - Russian v.11.0.12 Данная программа больше не поддерживается разработчиком. Рекомендуется деинсталлировать ее, скачать и установить Adobe Acrobat Reader DC. ----------------------------- [ EmailClient ] ----------------------------- The Bat! Professional v4.2.10 v.4.2.10 Внимание! Скачать обновления Перечисленное желательно исправить/обновить. Читайте Рекомендации после удаления вредоносного ПО Ссылка на сообщение Поделиться на другие сайты
Komboskyni 0 Опубликовано 6 сентября, 2019 Автор Share Опубликовано 6 сентября, 2019 Ответ службы тех.поддержки: "Уважаемый пользователь, приносим извинения за длительное время обработки вашего запроса. Файлы зашифрованы Trojan-Ransom.Win32.Cryakl. Для шифрования используется криптографически стойкий алгоритм, поэтому расшифровка файлов, к сожалению, не представляется возможной." Ссылка на сообщение Поделиться на другие сайты
Komboskyni 0 Опубликовано 6 сентября, 2019 Автор Share Опубликовано 6 сентября, 2019 Образцы зашифрованных файлов (с атакованного компьютера) и их незашифрованных оригиналов. crypted.zip 1 Ссылка на сообщение Поделиться на другие сайты
thyrex 1 468 Опубликовано 13 сентября, 2019 Share Опубликовано 13 сентября, 2019 Пришлите другие образцы зашифрованных файлов без оригиналов. Ссылка на сообщение Поделиться на другие сайты
Рекомендуемые сообщения