Перейти к содержанию

[РЕШЕНО] файлы зашифрованы @cock.li.ver-CS1.6.id-.fname-имя файла.cs16

Komboskyni
 Поделиться

Рекомендуемые сообщения

Komboskyni

Komboskyni

Опубликовано
Опубликовано

Здравствуйте, имеющие возможность помочь!

Файлы на компьютере зашифрованы и имеют вид email-mryoba@cock.li.ver-CS1.6.id-.fname-имяфайла.cs16
Есть файл README с текстом "descrypt files? write to mryoba@cock.li or telegram @helprestore"

К компьютеру имелся доступ по RDP.

Заблокированы пароли учетных записей пользователей компьютера кроме одной.

После сброса административного пароля в диспетчере задач обнаружено запущенное приложение EaseFilter Folder Locker(V4.5.1.0) Эту программу я не устанавливал.

Сейчас компьютер отключили от LAN и интернета.

Файлы, по аналогии с похожими темами, прилагаю.

Что-то можно сделать?

CollectionLog-2019.09.03-18.38.zip

Addition.txt

FRST.txt

Sandor

Sandor

Опубликовано
Опубликовано (изменено)

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 TerminateProcessByName('C:\ProgramData\Microsoft\DRM\Vwoga\lnterrupts.exe');
 TerminateProcessByName('C:\ProgramData\Microsoft\DRM\Lsutumaya\Nciye.exe');
 TerminateProcessByName('C:\ProgramData\Microsoft\DRM\Lsutumaya\Mvixa.exe');
 QuarantineFile('C:\ProgramData\Microsoft\DRM\Lsutumaya\Nciye.exe','');
 QuarantineFile('C:\ProgramData\Microsoft\DRM\Lsutumaya\Mvixa.exe','');
 QuarantineFile('C:\ProgramData\Microsoft\DRM\Vwoga\lnterrupts.exe','');
 DeleteFile('C:\ProgramData\Microsoft\DRM\Vwoga\lnterrupts.exe','32');
 DeleteFile('C:\ProgramData\Microsoft\DRM\Lsutumaya\Mvixa.exe','64');
 DeleteSchedulerTask('Microsoft\Windows\EntityFramework2\NetFramework');
 DeleteFile('C:\ProgramData\Microsoft\DRM\Lsutumaya\Nciye.exe','32');
 DeleteFile('C:\ProgramData\Microsoft\DRM\Lsutumaya\Mvixa.exe','32');
ExecuteSysClean;
 ExecuteRepair(9);
RebootWindows(true);
end.
Компьютер перезагрузится.

 

После перезагрузки, выполните такой скрипт:

 

begin
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KL-).

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Прикрепите к следующему сообщению свежий CollectionLog.

 

Дополнительно:

  • Загрузите GMER по одной из указанных ссылок:

    Gmer со случайным именем (рекомендуется), Gmer в zip-архиве (перед применением распаковать в отдельную папку)

  • Временно отключите драйверы эмуляторов дисков.
  • Запустите программу (пользователям Vista/Seven запускать от имени Администратора по правой кнопке мыши).
  • Начнется экспресс-проверка. Если появится окно с сообщением о деятельности руткита, нажмите No.
  • Из всех дисков оставьте отмеченным только системный диск (обычно C:\)
  • Нажмите на кнопку Scan и дождитесь окончания проверки. При появлении окна с сообщением о деятельности руткита, нажмите OK.
  • После окончания проверки сохраните его лог (нажмите на кнопку Save) и вложите в сообщение.

    !!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".

Подробную инструкцию читайте в руководстве. Изменено пользователем Sandor
Komboskyni

Komboskyni

Опубликовано
  • Автор
Опубликовано (изменено)

На момент заражения на компьютере был установлен антивирус ESET. Я так понял, что с него и начали)))

Сейчас, для решения проблемы и предотвращения её появления в будущем, куплена лицензия Kaspersky Internet Security и отправлен запрос в службу поддержки.

Файл quarantine.zip отправлен на newvirus@kaspersky.com Ответ ниже.

Прикладываю новые логи.

Да, если это имеет значение, то атакованная операционная система Windows7 была установлена в раздел Bootcamp на MAC, и если загрузить компьютер в MacOS, то появляется доступ к папкам, которые недоступны в настоящий момент на Windows.
Возможно, какие-то файлы могут помочь?


ОТВЕТ Лаборатории Касперского

Re: файл quarantine.zip [KLAN-10980885254]

Благодарим за обращение в Антивирусную Лабораторию
Присланные вами файлы и ссылки были проверены в автоматическом режиме
В перечисленных файлах обнаружена программа Riskware, которая может причинить вред вашему устройству:
Nciye.exe - not-a-virus:HEUR:RiskTool.Win32.BitCoinMiner.gen
Mvixa.exe - not-a-virus:HEUR:RiskTool.MSIL.BitCoinMiner.gen
В антивирусных базах информация по присланным вами файлам отсутствует:
lnterrupts.exe
 

GMER_20190904.log

CollectionLog-2019.09.04-16.42.zip

Изменено пользователем Komboskyni
Sandor

Sandor

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.

Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Komboskyni

Komboskyni

Опубликовано
  • Автор
Опубликовано

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.

Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Сделать это ещё раз, или подойдут файлы, прикрепленные в первом посте?

Sandor

Sandor

Опубликовано
Опубликовано

Конечно еще раз. В системе ведь были изменения.

Sandor

Sandor

Опубликовано
Опубликовано

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
HKLM Group Policy restriction on software: C:\Windows\system32\drivers\FSPFltd.sys <==== ATTENTION
HKLM Group Policy restriction on software: C:\Windows\Inf\NETLIBRARIESTIP\0009\v3.5.56385 <==== ATTENTION
HKLM Group Policy restriction on software: C:\Windows\SysWOW64\drivers\fsproflt.exe <==== ATTENTION
HKLM Group Policy restriction on software: C:\Windows\Fonts <==== ATTENTION
HKLM Group Policy restriction on software: C:\ProgramData\MPK <==== ATTENTION
HKLM Group Policy restriction on software: C:\Windows\SysWOW64\fsproflt.exe <==== ATTENTION
HKLM Group Policy restriction on software: C:\Windows\SysWOW64\Radiance <==== ATTENTION
HKLM Group Policy restriction on software: C:\Program Files\Common Files\Intel <==== ATTENTION
HKLM Group Policy restriction on software: C:\Program Files\Hide Folders 2009 <==== ATTENTION
HKLM Group Policy restriction on software: C:\Windows\SysWOW64\MPK <==== ATTENTION
HKLM Group Policy restriction on software: C:\Program Files\Common Files\microsoft shared\System <==== ATTENTION
HKLM Group Policy restriction on software: C:\Windows\SysWOW64\Resident <==== ATTENTION
HKLM Group Policy restriction on software: C:\Program Files\MPK <==== ATTENTION
HKLM Group Policy restriction on software: C:\Windows\Inf\NETLIBRARIESTIP\000D\1049\5.0 <==== ATTENTION
Task: {19AAC6B6-70EA-46EC-B7F7-C1671CC35010} - System32\Tasks\Microsoft\Windows\EntityFramework\NetFramework => C:\ProgramData\Microsoft\DRM\Lsutumaya\Mvixa.exe
2019-08-31 16:19 - 2019-08-31 16:19 - 000000082 _____ C:\Users\SergM\README.txt
2019-08-31 16:19 - 2019-08-31 16:19 - 000000082 _____ C:\Users\SergM\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2019-08-31 16:16 - 2019-08-31 16:16 - 000000082 _____ C:\Users\SergM\Downloads\README.txt
2019-08-31 16:16 - 2019-08-31 16:16 - 000000082 _____ C:\Users\SergM\Documents\README.txt
2019-08-31 16:12 - 2019-08-31 16:12 - 000000082 _____ C:\Users\SergM\Desktop\README.txt
2019-08-31 16:11 - 2019-08-31 16:11 - 000000082 _____ C:\Users\SergM\AppData\Roaming\README.txt
2019-08-31 16:11 - 2019-08-31 16:11 - 000000082 _____ C:\Users\SergM\AppData\README.txt
2019-08-31 15:48 - 2019-08-31 15:48 - 000000082 _____ C:\Users\SergM\AppData\LocalLow\README.txt
2019-08-31 15:08 - 2019-08-31 15:08 - 000000082 _____ C:\Users\SergM\AppData\Local\README.txt
2019-08-31 15:08 - 2019-08-31 15:08 - 000000082 _____ C:\Users\Public\README.txt
2019-08-31 15:07 - 2019-08-31 15:07 - 000000795 _____ C:\Users\Public\Downloads\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
2019-08-31 15:07 - 2019-08-31 15:07 - 000000082 _____ C:\Users\Public\Downloads\README.txt
2019-08-31 15:07 - 2019-08-31 15:07 - 000000082 _____ C:\Users\Public\Documents\README.txt
2019-08-31 15:03 - 2019-08-31 15:03 - 000000082 _____ C:\Users\Buhgalter\README.txt
2019-08-31 15:03 - 2019-08-31 15:03 - 000000082 _____ C:\Users\Buhgalter\Downloads\README.txt
2019-08-31 15:03 - 2019-08-31 15:03 - 000000082 _____ C:\Users\Buhgalter\Documents\README.txt
2019-08-31 15:03 - 2019-08-31 15:03 - 000000082 _____ C:\Users\Buhgalter\Desktop\README.txt
2019-08-31 15:03 - 2019-08-31 15:03 - 000000082 _____ C:\Users\Buhgalter\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2019-08-31 15:02 - 2019-08-31 15:02 - 000000082 _____ C:\Users\Buhgalter\AppData\Roaming\README.txt
2019-08-31 15:02 - 2019-08-31 15:02 - 000000082 _____ C:\Users\Buhgalter\AppData\README.txt
2019-08-31 15:01 - 2019-08-31 15:01 - 000000795 _____ C:\Users\Buhgalter\AppData\LocalLow\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
2019-08-31 15:01 - 2019-08-31 15:01 - 000000082 _____ C:\Users\Buhgalter\AppData\LocalLow\README.txt
2019-08-31 14:51 - 2019-08-31 14:51 - 000000082 _____ C:\Users\Все пользователи\README.txt
2019-08-31 14:51 - 2019-08-31 14:51 - 000000082 _____ C:\Users\Buhgalter\AppData\Local\README.txt
2019-08-31 14:51 - 2019-08-31 14:51 - 000000082 _____ C:\ProgramData\README.txt
2019-08-31 14:49 - 2019-08-31 15:06 - 000000795 _____ C:\Users\Public\Documents\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
2019-08-31 14:49 - 2019-08-31 14:50 - 000000795 _____ C:\Users\Все пользователи\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
2019-08-31 14:49 - 2019-08-31 14:50 - 000000795 _____ C:\ProgramData\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
2019-08-31 14:34 - 2019-08-31 14:51 - 000000795 _____ C:\Users\Buhgalter\AppData\Local\Apps\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
2019-08-31 14:34 - 2019-08-31 14:51 - 000000082 _____ C:\Users\Buhgalter\AppData\Local\Apps\README.txt
AlternateDataStreams: C:\.fseventsd:Mac_Metadata [42]
AlternateDataStreams: C:\.Trashes:AFP_AfpInfo [130]
AlternateDataStreams: C:\.Trashes:Mac_Metadata [42]
AlternateDataStreams: C:\Windows\system32\termsrv.dll:AFP_AfpInfo [130]
AlternateDataStreams: C:\Windows\system32\termsrv.dll:Mac_Metadata [42]
FirewallRules: [{7D4FB6E5-48E0-4339-B248-E39222156D8F}] => (Allow) C:\ProgramData\Microsoft\DRM\Lsutumaya\Mvixa.exe No File
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

Sandor

Sandor

Опубликовано
Опубликовано

куплена лицензия Kaspersky Internet Security и отправлен запрос в службу поддержки

До окончания работы с ТП не удаляйте папку C:\FRST

Результат сообщите здесь, пожалуйста.

 

Проверьте уязвимые места:

  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.
Komboskyni

Komboskyni

Опубликовано
  • Автор
Опубликовано

Зашифрованный компьютер мы отключили от LAN и Интернета, поэтому SecurityCheck выдал предупреждение, что проверка будет проводится из локальных баз.

SecurityCheck.txt

Sandor

Sandor

Опубликовано
Опубликовано

------------------------------- [ Windows ] -------------------------------

Internet Explorer 11.0.9600.17358 Внимание! Скачать обновления

^Онлайн установка. Последняя версия доступна при включенном обновлении Windows через интернет.^

Контроль учётных записей пользователя включен (Уровень 4)

Автоматическое обновление отключено

Дата установки обновлений: 2014-11-07 15:58:50

------------------------------- [ HotFix ] --------------------------------

HotFix KB3020369 Внимание! Скачать обновления

HotFix KB3125574 Внимание! Скачать обновления

HotFix KB4012212 Внимание! Скачать обновления

HotFix KB4499175 Внимание! Скачать обновления

HotFix KB4474419 Внимание! Скачать обновления

HotFix KB4490628 Внимание! Скачать обновления

HotFix KB4484071 Внимание! Скачать обновления

HotFix KB4512486 Внимание! Скачать обновления

HotFix KB4512506 Внимание! Скачать обновления

--------------------------- [ FirewallWindows ] ---------------------------

Брандмауэр Windows (MpsSvc) - Служба работает

Отключен доменный профиль Брандмауэра Windows

--------------------------- [ OtherUtilities ] ----------------------------

Microsoft .NET Framework 4.5.1 v.4.5.50938 Внимание! Скачать обновления

PuTTY release 0.71 (64-bit) v.0.71.0.0 Внимание! Скачать обновления

Microsoft Office Access 2007 v.12.0.6612.1000 Данная программа больше не поддерживается разработчиком.

Microsoft Office Стандартный 2007 v.12.0.6612.1000 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice

Microsoft Office Standard 2007 v.12.0.6612.1000 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice

--------------------------- [ AppleProduction ] ---------------------------

iTunes v.12.7.4.80 Внимание! Скачать обновления

^Для проверки новой версии используйте приложение Apple Software Update^

--------------------------- [ AdobeProduction ] ---------------------------

Adobe Flash Player 24 NPAPI v.24.0.0.186 Внимание! Скачать обновления

Adobe Reader XI (11.0.12) - Russian v.11.0.12 Данная программа больше не поддерживается разработчиком. Рекомендуется деинсталлировать ее, скачать и установить Adobe Acrobat Reader DC.

----------------------------- [ EmailClient ] -----------------------------

The Bat! Professional v4.2.10 v.4.2.10 Внимание! Скачать обновления

 

 

Перечисленное желательно исправить/обновить.

 

Читайте Рекомендации после удаления вредоносного ПО

Komboskyni

Komboskyni

Опубликовано
  • Автор
Опубликовано

Ответ службы тех.поддержки: "Уважаемый пользователь, приносим извинения за длительное время обработки вашего запроса. Файлы зашифрованы Trojan-Ransom.Win32.Cryakl. Для шифрования используется криптографически стойкий алгоритм, поэтому расшифровка файлов, к сожалению, не представляется возможной."

Komboskyni

Komboskyni

Опубликовано
  • Автор
Опубликовано

Образцы зашифрованных файлов (с атакованного компьютера)  и их незашифрованных оригиналов.  

crypted.zip

  • Спасибо (+1) 1
thyrex

thyrex

Опубликовано
Опубликовано

Пришлите другие образцы зашифрованных файлов без оригиналов.

Гость
Эта тема закрыта для публикации ответов.
 Поделиться
Перейти к списку тем

  • Похожий контент

    • SAVXNNXH
      [РЕШЕНО] два файла dwm.exe
      Автор SAVXNNXH
      При включении ПК запускается два файла dwm.exe, один из которых нагружает ПК на 70%, но при запуске Диспетчера задач файл снижает нагрузку до 0%. Путь двух dwm введет к оригинальному файлу. Антивирусы не видят этот файл
      CollectionLog-2025.01.15-20.17.zip
    • Andrey_ka
      зашифрованные файлы
      Автор Andrey_ka
      Добрый день! Может , кто подскажет... попался диск с архивами одного предприятия , диск стоял на NAS Iomega, со временем hdd был поврежден , но данные с него я смог вытащить , файловая структура целая , но как выяснилось ни один из файлов нормально не открывается, уточни у бывших работников и выяснил , что еще до того как он умер у них начались подобные проблемы и большую часть информации они успели переписать ( все указывает на работу вируса шифровальщика) , взяв несколько файлов попытался онлайн прогнать разными анализаторами вирусов , результат один вирусов не обнаружено ... теперь о самих файлах - неважно это файлы doc, docx, pdf и т.д. тенденция прослеживается такая, начало файла смещение 0x2E0 защифрованно, в конец файла добавлено 1126 байт , код начинается D9 9D 68 и полностью одинаковы во всех файлах кроме последних 0x84 байта. Ни то, что бы информация очень востребована , любопытно, что это за вирус и тд... если кому интересно , образцы файлов выложу и дамп концовки ....    
          вставить выделенную цитату в окно ответа
            xТитульный.docx Титульный.docx titdump.txt
    • Mep3aBEz
      Зашифровались файлы
      Автор Mep3aBEz
      Добрый день!
      6 мая 2025 года зашифровались файлы.
      Как проник вирус неизвестно.
       
      Произошло:
      Ночью на виртуалку на Win10x64 с включенным RDP в папку c:\users\admin\music попал файл AD.exe
      На самой виртуалке ничего не зашифровалось, но два рабочих компьютера на Win11, которые были включены в тот момент зашифровались.
      Также не зашифровался ни один (из 5) рабочий сервер на виртуалках с WS2022.
      С зашифрованных компов была удалена система, поэтому лог анализа системы прикрепить не могу, файл шифровальщика тоже не сохранили.
       
       
       
      encrypt_files.zip
    • tamerlan
      Зашифровались файлы
      Автор tamerlan
      Доброго дня. зашифровались все файлы в формат .danie 
      Волнует только расшифровать файл базы 1С, пото просто переустановлю систему и все. 
      Помогите пожалуйста.
    • robocop1974
      Зашифрованные файлы
      Автор robocop1974
      Добрый день. Если есть возможность выяснить есть ли дешифратор?
      Система была переустановлена (но имеется клон, для анализа смогу без проблем предоставить логи Farbar Recovery Scan Tool, но к сожалению позже).
      В архиве несколько зашифрованных файлов.
      *.txt, *.html файлов для выкупа не было. Но была папка с названием "DontDeleteThisFolder" в ней лежал файл "enc". Файл так же в архиве.
       
      Пробовал некоторые дешифраторы с сайта Касперского и Крипто-шерифа, но к сожалению безуспешно.
       
      Заранее спасибо за уделенное время!
       
      files.zip
×
×
  • Создать...