Перейти к содержанию

[РЕШЕНО] файлы зашифрованы @cock.li.ver-CS1.6.id-.fname-имя файла.cs16

Komboskyni
 Share

Рекомендуемые сообщения

Komboskyni Новичок

Komboskyni

Опубликовано
Опубликовано

Здравствуйте, имеющие возможность помочь!

Файлы на компьютере зашифрованы и имеют вид email-mryoba@cock.li.ver-CS1.6.id-.fname-имяфайла.cs16
Есть файл README с текстом "descrypt files? write to mryoba@cock.li or telegram @helprestore"

К компьютеру имелся доступ по RDP.

Заблокированы пароли учетных записей пользователей компьютера кроме одной.

После сброса административного пароля в диспетчере задач обнаружено запущенное приложение EaseFilter Folder Locker(V4.5.1.0) Эту программу я не устанавливал.

Сейчас компьютер отключили от LAN и интернета.

Файлы, по аналогии с похожими темами, прилагаю.

Что-то можно сделать?

CollectionLog-2019.09.03-18.38.zip

Addition.txt

FRST.txt

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано (изменено)

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 TerminateProcessByName('C:\ProgramData\Microsoft\DRM\Vwoga\lnterrupts.exe');
 TerminateProcessByName('C:\ProgramData\Microsoft\DRM\Lsutumaya\Nciye.exe');
 TerminateProcessByName('C:\ProgramData\Microsoft\DRM\Lsutumaya\Mvixa.exe');
 QuarantineFile('C:\ProgramData\Microsoft\DRM\Lsutumaya\Nciye.exe','');
 QuarantineFile('C:\ProgramData\Microsoft\DRM\Lsutumaya\Mvixa.exe','');
 QuarantineFile('C:\ProgramData\Microsoft\DRM\Vwoga\lnterrupts.exe','');
 DeleteFile('C:\ProgramData\Microsoft\DRM\Vwoga\lnterrupts.exe','32');
 DeleteFile('C:\ProgramData\Microsoft\DRM\Lsutumaya\Mvixa.exe','64');
 DeleteSchedulerTask('Microsoft\Windows\EntityFramework2\NetFramework');
 DeleteFile('C:\ProgramData\Microsoft\DRM\Lsutumaya\Nciye.exe','32');
 DeleteFile('C:\ProgramData\Microsoft\DRM\Lsutumaya\Mvixa.exe','32');
ExecuteSysClean;
 ExecuteRepair(9);
RebootWindows(true);
end.
Компьютер перезагрузится.

 

После перезагрузки, выполните такой скрипт:

 

begin
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KL-).

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Прикрепите к следующему сообщению свежий CollectionLog.

 

Дополнительно:

  • Загрузите GMER по одной из указанных ссылок:

    Gmer со случайным именем (рекомендуется), Gmer в zip-архиве (перед применением распаковать в отдельную папку)

  • Временно отключите драйверы эмуляторов дисков.
  • Запустите программу (пользователям Vista/Seven запускать от имени Администратора по правой кнопке мыши).
  • Начнется экспресс-проверка. Если появится окно с сообщением о деятельности руткита, нажмите No.
  • Из всех дисков оставьте отмеченным только системный диск (обычно C:\)
  • Нажмите на кнопку Scan и дождитесь окончания проверки. При появлении окна с сообщением о деятельности руткита, нажмите OK.
  • После окончания проверки сохраните его лог (нажмите на кнопку Save) и вложите в сообщение.

    !!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".

Подробную инструкцию читайте в руководстве. Изменено пользователем Sandor
Ссылка на комментарий
Поделиться на другие сайты
Komboskyni Новичок

Komboskyni

Опубликовано
  • Автор
Опубликовано (изменено)

На момент заражения на компьютере был установлен антивирус ESET. Я так понял, что с него и начали)))

Сейчас, для решения проблемы и предотвращения её появления в будущем, куплена лицензия Kaspersky Internet Security и отправлен запрос в службу поддержки.

Файл quarantine.zip отправлен на newvirus@kaspersky.com Ответ ниже.

Прикладываю новые логи.

Да, если это имеет значение, то атакованная операционная система Windows7 была установлена в раздел Bootcamp на MAC, и если загрузить компьютер в MacOS, то появляется доступ к папкам, которые недоступны в настоящий момент на Windows.
Возможно, какие-то файлы могут помочь?


ОТВЕТ Лаборатории Касперского

Re: файл quarantine.zip [KLAN-10980885254]

Благодарим за обращение в Антивирусную Лабораторию
Присланные вами файлы и ссылки были проверены в автоматическом режиме
В перечисленных файлах обнаружена программа Riskware, которая может причинить вред вашему устройству:
Nciye.exe - not-a-virus:HEUR:RiskTool.Win32.BitCoinMiner.gen
Mvixa.exe - not-a-virus:HEUR:RiskTool.MSIL.BitCoinMiner.gen
В антивирусных базах информация по присланным вами файлам отсутствует:
lnterrupts.exe
 

GMER_20190904.log

CollectionLog-2019.09.04-16.42.zip

Изменено пользователем Komboskyni
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.

Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
Komboskyni Новичок

Komboskyni

Опубликовано
  • Автор
Опубликовано

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.

Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Сделать это ещё раз, или подойдут файлы, прикрепленные в первом посте?

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
HKLM Group Policy restriction on software: C:\Windows\system32\drivers\FSPFltd.sys <==== ATTENTION
HKLM Group Policy restriction on software: C:\Windows\Inf\NETLIBRARIESTIP\0009\v3.5.56385 <==== ATTENTION
HKLM Group Policy restriction on software: C:\Windows\SysWOW64\drivers\fsproflt.exe <==== ATTENTION
HKLM Group Policy restriction on software: C:\Windows\Fonts <==== ATTENTION
HKLM Group Policy restriction on software: C:\ProgramData\MPK <==== ATTENTION
HKLM Group Policy restriction on software: C:\Windows\SysWOW64\fsproflt.exe <==== ATTENTION
HKLM Group Policy restriction on software: C:\Windows\SysWOW64\Radiance <==== ATTENTION
HKLM Group Policy restriction on software: C:\Program Files\Common Files\Intel <==== ATTENTION
HKLM Group Policy restriction on software: C:\Program Files\Hide Folders 2009 <==== ATTENTION
HKLM Group Policy restriction on software: C:\Windows\SysWOW64\MPK <==== ATTENTION
HKLM Group Policy restriction on software: C:\Program Files\Common Files\microsoft shared\System <==== ATTENTION
HKLM Group Policy restriction on software: C:\Windows\SysWOW64\Resident <==== ATTENTION
HKLM Group Policy restriction on software: C:\Program Files\MPK <==== ATTENTION
HKLM Group Policy restriction on software: C:\Windows\Inf\NETLIBRARIESTIP\000D\1049\5.0 <==== ATTENTION
Task: {19AAC6B6-70EA-46EC-B7F7-C1671CC35010} - System32\Tasks\Microsoft\Windows\EntityFramework\NetFramework => C:\ProgramData\Microsoft\DRM\Lsutumaya\Mvixa.exe
2019-08-31 16:19 - 2019-08-31 16:19 - 000000082 _____ C:\Users\SergM\README.txt
2019-08-31 16:19 - 2019-08-31 16:19 - 000000082 _____ C:\Users\SergM\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2019-08-31 16:16 - 2019-08-31 16:16 - 000000082 _____ C:\Users\SergM\Downloads\README.txt
2019-08-31 16:16 - 2019-08-31 16:16 - 000000082 _____ C:\Users\SergM\Documents\README.txt
2019-08-31 16:12 - 2019-08-31 16:12 - 000000082 _____ C:\Users\SergM\Desktop\README.txt
2019-08-31 16:11 - 2019-08-31 16:11 - 000000082 _____ C:\Users\SergM\AppData\Roaming\README.txt
2019-08-31 16:11 - 2019-08-31 16:11 - 000000082 _____ C:\Users\SergM\AppData\README.txt
2019-08-31 15:48 - 2019-08-31 15:48 - 000000082 _____ C:\Users\SergM\AppData\LocalLow\README.txt
2019-08-31 15:08 - 2019-08-31 15:08 - 000000082 _____ C:\Users\SergM\AppData\Local\README.txt
2019-08-31 15:08 - 2019-08-31 15:08 - 000000082 _____ C:\Users\Public\README.txt
2019-08-31 15:07 - 2019-08-31 15:07 - 000000795 _____ C:\Users\Public\Downloads\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
2019-08-31 15:07 - 2019-08-31 15:07 - 000000082 _____ C:\Users\Public\Downloads\README.txt
2019-08-31 15:07 - 2019-08-31 15:07 - 000000082 _____ C:\Users\Public\Documents\README.txt
2019-08-31 15:03 - 2019-08-31 15:03 - 000000082 _____ C:\Users\Buhgalter\README.txt
2019-08-31 15:03 - 2019-08-31 15:03 - 000000082 _____ C:\Users\Buhgalter\Downloads\README.txt
2019-08-31 15:03 - 2019-08-31 15:03 - 000000082 _____ C:\Users\Buhgalter\Documents\README.txt
2019-08-31 15:03 - 2019-08-31 15:03 - 000000082 _____ C:\Users\Buhgalter\Desktop\README.txt
2019-08-31 15:03 - 2019-08-31 15:03 - 000000082 _____ C:\Users\Buhgalter\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2019-08-31 15:02 - 2019-08-31 15:02 - 000000082 _____ C:\Users\Buhgalter\AppData\Roaming\README.txt
2019-08-31 15:02 - 2019-08-31 15:02 - 000000082 _____ C:\Users\Buhgalter\AppData\README.txt
2019-08-31 15:01 - 2019-08-31 15:01 - 000000795 _____ C:\Users\Buhgalter\AppData\LocalLow\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
2019-08-31 15:01 - 2019-08-31 15:01 - 000000082 _____ C:\Users\Buhgalter\AppData\LocalLow\README.txt
2019-08-31 14:51 - 2019-08-31 14:51 - 000000082 _____ C:\Users\Все пользователи\README.txt
2019-08-31 14:51 - 2019-08-31 14:51 - 000000082 _____ C:\Users\Buhgalter\AppData\Local\README.txt
2019-08-31 14:51 - 2019-08-31 14:51 - 000000082 _____ C:\ProgramData\README.txt
2019-08-31 14:49 - 2019-08-31 15:06 - 000000795 _____ C:\Users\Public\Documents\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
2019-08-31 14:49 - 2019-08-31 14:50 - 000000795 _____ C:\Users\Все пользователи\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
2019-08-31 14:49 - 2019-08-31 14:50 - 000000795 _____ C:\ProgramData\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
2019-08-31 14:34 - 2019-08-31 14:51 - 000000795 _____ C:\Users\Buhgalter\AppData\Local\Apps\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
2019-08-31 14:34 - 2019-08-31 14:51 - 000000082 _____ C:\Users\Buhgalter\AppData\Local\Apps\README.txt
AlternateDataStreams: C:\.fseventsd:Mac_Metadata [42]
AlternateDataStreams: C:\.Trashes:AFP_AfpInfo [130]
AlternateDataStreams: C:\.Trashes:Mac_Metadata [42]
AlternateDataStreams: C:\Windows\system32\termsrv.dll:AFP_AfpInfo [130]
AlternateDataStreams: C:\Windows\system32\termsrv.dll:Mac_Metadata [42]
FirewallRules: [{7D4FB6E5-48E0-4339-B248-E39222156D8F}] => (Allow) C:\ProgramData\Microsoft\DRM\Lsutumaya\Mvixa.exe No File
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

куплена лицензия Kaspersky Internet Security и отправлен запрос в службу поддержки

До окончания работы с ТП не удаляйте папку C:\FRST

Результат сообщите здесь, пожалуйста.

 

Проверьте уязвимые места:

  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.
Ссылка на комментарий
Поделиться на другие сайты
Komboskyni Новичок

Komboskyni

Опубликовано
  • Автор
Опубликовано

Зашифрованный компьютер мы отключили от LAN и Интернета, поэтому SecurityCheck выдал предупреждение, что проверка будет проводится из локальных баз.

SecurityCheck.txt

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

------------------------------- [ Windows ] -------------------------------

Internet Explorer 11.0.9600.17358 Внимание! Скачать обновления

^Онлайн установка. Последняя версия доступна при включенном обновлении Windows через интернет.^

Контроль учётных записей пользователя включен (Уровень 4)

Автоматическое обновление отключено

Дата установки обновлений: 2014-11-07 15:58:50

------------------------------- [ HotFix ] --------------------------------

HotFix KB3020369 Внимание! Скачать обновления

HotFix KB3125574 Внимание! Скачать обновления

HotFix KB4012212 Внимание! Скачать обновления

HotFix KB4499175 Внимание! Скачать обновления

HotFix KB4474419 Внимание! Скачать обновления

HotFix KB4490628 Внимание! Скачать обновления

HotFix KB4484071 Внимание! Скачать обновления

HotFix KB4512486 Внимание! Скачать обновления

HotFix KB4512506 Внимание! Скачать обновления

--------------------------- [ FirewallWindows ] ---------------------------

Брандмауэр Windows (MpsSvc) - Служба работает

Отключен доменный профиль Брандмауэра Windows

--------------------------- [ OtherUtilities ] ----------------------------

Microsoft .NET Framework 4.5.1 v.4.5.50938 Внимание! Скачать обновления

PuTTY release 0.71 (64-bit) v.0.71.0.0 Внимание! Скачать обновления

Microsoft Office Access 2007 v.12.0.6612.1000 Данная программа больше не поддерживается разработчиком.

Microsoft Office Стандартный 2007 v.12.0.6612.1000 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice

Microsoft Office Standard 2007 v.12.0.6612.1000 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice

--------------------------- [ AppleProduction ] ---------------------------

iTunes v.12.7.4.80 Внимание! Скачать обновления

^Для проверки новой версии используйте приложение Apple Software Update^

--------------------------- [ AdobeProduction ] ---------------------------

Adobe Flash Player 24 NPAPI v.24.0.0.186 Внимание! Скачать обновления

Adobe Reader XI (11.0.12) - Russian v.11.0.12 Данная программа больше не поддерживается разработчиком. Рекомендуется деинсталлировать ее, скачать и установить Adobe Acrobat Reader DC.

----------------------------- [ EmailClient ] -----------------------------

The Bat! Professional v4.2.10 v.4.2.10 Внимание! Скачать обновления

 

 

Перечисленное желательно исправить/обновить.

 

Читайте Рекомендации после удаления вредоносного ПО

Ссылка на комментарий
Поделиться на другие сайты
Komboskyni Новичок

Komboskyni

Опубликовано
  • Автор
Опубликовано

Ответ службы тех.поддержки: "Уважаемый пользователь, приносим извинения за длительное время обработки вашего запроса. Файлы зашифрованы Trojan-Ransom.Win32.Cryakl. Для шифрования используется криптографически стойкий алгоритм, поэтому расшифровка файлов, к сожалению, не представляется возможной."

Ссылка на комментарий
Поделиться на другие сайты
Гость
Эта тема закрыта для публикации ответов.
 Share
Перейти к списку тем

  • Похожий контент

    • Шаманов_Артём
      Зашифровались файлы. Помогите, пожалуйста.
      От Шаманов_Артём
      Доброго дня. Поймали данный шедевр на компы, подскажите пожалуйста, какие действия предпринимать, куда бежать, куда писать?
       
      Сообщение от модератора thyrex Перенесено из данной темы
    • InnaC
      Файлы зашифрованы .Demetro9990@cock.li
      От InnaC
      Файлы на сервере 1С и он же файловый сервер зашифрованы. Файлы получили расширение Demetro9990@cock.li.
      Можно ли их как-то спасти?
      FRST.txt Addition.txt
    • ligiray
      Зашифровали файлы на ***.kasper
      От ligiray
      Добрый день
       
      Зашифровались файлы, стали с расширением .kasper
       
      И появился файл Readme с текстом:
      kasper Ransmoware
      ATTENTION!
      At the moment, your system is not protected.
      We can fix itand restore files.
      To get started, send a file to decrypt trial.
      You can trust us after opening the test file.
      2.Do not use free programs to unlock.
      To restore the system write to both : kasperskyrans@gmail.com        and      kasperskyrans@outlook.com
      Telegram id:@kasperrecovery
      Your Decryption ID: C3C29BC3926D6E30
       
      Нужна помощь, заранее спасибо
    • Николай Костиков
      Зашифрованы файлы 1С
      От Николай Костиков
      Доброго всем дня !!! Ребята помогите дешефратором , один паразит американских файлы 1 С у меня зашифровал. Пример файлов прикладываю к письму.
      user-192.png.rar
       
      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.
    • Эдуард Autofresh
      Зашифровались файлы, ELPACO-TEAM
      От Эдуард Autofresh
      Зашифровались все файлы и компьютеры, которые имели общую сетевую папку с зараженным компьютером (3 штуки). На первом зараженном компьютере добавился новый пользователь, и разделился жесткий диск. На первом зараженном компьютере диспетчер задач не открывается. Файлы зараженные представлены в архиве.  Файл шифровальщика не нашел.
       



      FRST.rar
×
×
  • Создать...