[РЕШЕНО] файлы зашифрованы @cock.li.ver-CS1.6.id-.fname-имя файла.cs16

[Komboskyni]

Здравствуйте, имеющие возможность помочь!

Файлы на компьютере зашифрованы и имеют вид email-mryoba@cock.li.ver-CS1.6.id-.fname-имяфайла.cs16
Есть файл README с текстом "descrypt files? write to mryoba@cock.li or telegram @helprestore"

К компьютеру имелся доступ по RDP.

Заблокированы пароли учетных записей пользователей компьютера кроме одной.

После сброса административного пароля в диспетчере задач обнаружено запущенное приложение EaseFilter Folder Locker(V4.5.1.0) Эту программу я не устанавливал.

Сейчас компьютер отключили от LAN и интернета.

Файлы, по аналогии с похожими темами, прилагаю.

Что-то можно сделать?

CollectionLog-2019.09.03-18.38.zip

Addition.txt

FRST.txt

[Sandor]

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 TerminateProcessByName('C:\ProgramData\Microsoft\DRM\Vwoga\lnterrupts.exe');
 TerminateProcessByName('C:\ProgramData\Microsoft\DRM\Lsutumaya\Nciye.exe');
 TerminateProcessByName('C:\ProgramData\Microsoft\DRM\Lsutumaya\Mvixa.exe');
 QuarantineFile('C:\ProgramData\Microsoft\DRM\Lsutumaya\Nciye.exe','');
 QuarantineFile('C:\ProgramData\Microsoft\DRM\Lsutumaya\Mvixa.exe','');
 QuarantineFile('C:\ProgramData\Microsoft\DRM\Vwoga\lnterrupts.exe','');
 DeleteFile('C:\ProgramData\Microsoft\DRM\Vwoga\lnterrupts.exe','32');
 DeleteFile('C:\ProgramData\Microsoft\DRM\Lsutumaya\Mvixa.exe','64');
 DeleteSchedulerTask('Microsoft\Windows\EntityFramework2\NetFramework');
 DeleteFile('C:\ProgramData\Microsoft\DRM\Lsutumaya\Nciye.exe','32');
 DeleteFile('C:\ProgramData\Microsoft\DRM\Lsutumaya\Mvixa.exe','32');
ExecuteSysClean;
 ExecuteRepair(9);
RebootWindows(true);
end.

Компьютер перезагрузится.

 

После перезагрузки, выполните такой скрипт:

 

begin
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.

Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KL-).

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Прикрепите к следующему сообщению свежий CollectionLog.

 

Дополнительно:

• Загрузите GMER по одной из указанных ссылок:

  Gmer со случайным именем (рекомендуется), Gmer в zip-архиве (перед применением распаковать в отдельную папку)

• Временно отключите драйверы эмуляторов дисков.
• Запустите программу (пользователям Vista/Seven запускать от имени Администратора по правой кнопке мыши).
• Начнется экспресс-проверка. Если появится окно с сообщением о деятельности руткита, нажмите No.
• Из всех дисков оставьте отмеченным только системный диск (обычно C:\)
• Нажмите на кнопку Scan и дождитесь окончания проверки. При появлении окна с сообщением о деятельности руткита, нажмите OK.
• После окончания проверки сохраните его лог (нажмите на кнопку Save) и вложите в сообщение.

  !!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".

Подробную инструкцию читайте в руководстве. Изменено 4 сентября, 2019 пользователем Sandor

[Komboskyni]

На момент заражения на компьютере был установлен антивирус ESET. Я так понял, что с него и начали)))

Сейчас, для решения проблемы и предотвращения её появления в будущем, куплена лицензия Kaspersky Internet Security и отправлен запрос в службу поддержки.

Файл quarantine.zip отправлен на newvirus@kaspersky.com Ответ ниже.

Прикладываю новые логи.

Да, если это имеет значение, то атакованная операционная система Windows7 была установлена в раздел Bootcamp на MAC, и если загрузить компьютер в MacOS, то появляется доступ к папкам, которые недоступны в настоящий момент на Windows.
Возможно, какие-то файлы могут помочь?

ОТВЕТ Лаборатории Касперского

Re: файл quarantine.zip [KLAN-10980885254]

Благодарим за обращение в Антивирусную Лабораторию
Присланные вами файлы и ссылки были проверены в автоматическом режиме
В перечисленных файлах обнаружена программа Riskware, которая может причинить вред вашему устройству:
Nciye.exe - not-a-virus:HEUR:RiskTool.Win32.BitCoinMiner.gen
Mvixa.exe - not-a-virus:HEUR:RiskTool.MSIL.BitCoinMiner.gen
В антивирусных базах информация по присланным вами файлам отсутствует:
lnterrupts.exe
 

GMER_20190904.log

CollectionLog-2019.09.04-16.42.zip

Изменено 4 сентября, 2019 пользователем Komboskyni

[Sandor]

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.

Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Komboskyni]

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.

Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Сделать это ещё раз, или подойдут файлы, прикрепленные в первом посте?

[Sandor]

Конечно еще раз. В системе ведь были изменения.

[Komboskyni]

Вот новые файлы

Addition.txt

FRST.txt

[Sandor]

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CreateRestorePoint:
  HKLM Group Policy restriction on software: C:\Windows\system32\drivers\FSPFltd.sys <==== ATTENTION
  HKLM Group Policy restriction on software: C:\Windows\Inf\NETLIBRARIESTIP\0009\v3.5.56385 <==== ATTENTION
  HKLM Group Policy restriction on software: C:\Windows\SysWOW64\drivers\fsproflt.exe <==== ATTENTION
  HKLM Group Policy restriction on software: C:\Windows\Fonts <==== ATTENTION
  HKLM Group Policy restriction on software: C:\ProgramData\MPK <==== ATTENTION
  HKLM Group Policy restriction on software: C:\Windows\SysWOW64\fsproflt.exe <==== ATTENTION
  HKLM Group Policy restriction on software: C:\Windows\SysWOW64\Radiance <==== ATTENTION
  HKLM Group Policy restriction on software: C:\Program Files\Common Files\Intel <==== ATTENTION
  HKLM Group Policy restriction on software: C:\Program Files\Hide Folders 2009 <==== ATTENTION
  HKLM Group Policy restriction on software: C:\Windows\SysWOW64\MPK <==== ATTENTION
  HKLM Group Policy restriction on software: C:\Program Files\Common Files\microsoft shared\System <==== ATTENTION
  HKLM Group Policy restriction on software: C:\Windows\SysWOW64\Resident <==== ATTENTION
  HKLM Group Policy restriction on software: C:\Program Files\MPK <==== ATTENTION
  HKLM Group Policy restriction on software: C:\Windows\Inf\NETLIBRARIESTIP\000D\1049\5.0 <==== ATTENTION
  Task: {19AAC6B6-70EA-46EC-B7F7-C1671CC35010} - System32\Tasks\Microsoft\Windows\EntityFramework\NetFramework => C:\ProgramData\Microsoft\DRM\Lsutumaya\Mvixa.exe
  2019-08-31 16:19 - 2019-08-31 16:19 - 000000082 _____ C:\Users\SergM\README.txt
  2019-08-31 16:19 - 2019-08-31 16:19 - 000000082 _____ C:\Users\SergM\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
  2019-08-31 16:16 - 2019-08-31 16:16 - 000000082 _____ C:\Users\SergM\Downloads\README.txt
  2019-08-31 16:16 - 2019-08-31 16:16 - 000000082 _____ C:\Users\SergM\Documents\README.txt
  2019-08-31 16:12 - 2019-08-31 16:12 - 000000082 _____ C:\Users\SergM\Desktop\README.txt
  2019-08-31 16:11 - 2019-08-31 16:11 - 000000082 _____ C:\Users\SergM\AppData\Roaming\README.txt
  2019-08-31 16:11 - 2019-08-31 16:11 - 000000082 _____ C:\Users\SergM\AppData\README.txt
  2019-08-31 15:48 - 2019-08-31 15:48 - 000000082 _____ C:\Users\SergM\AppData\LocalLow\README.txt
  2019-08-31 15:08 - 2019-08-31 15:08 - 000000082 _____ C:\Users\SergM\AppData\Local\README.txt
  2019-08-31 15:08 - 2019-08-31 15:08 - 000000082 _____ C:\Users\Public\README.txt
  2019-08-31 15:07 - 2019-08-31 15:07 - 000000795 _____ C:\Users\Public\Downloads\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
  2019-08-31 15:07 - 2019-08-31 15:07 - 000000082 _____ C:\Users\Public\Downloads\README.txt
  2019-08-31 15:07 - 2019-08-31 15:07 - 000000082 _____ C:\Users\Public\Documents\README.txt
  2019-08-31 15:03 - 2019-08-31 15:03 - 000000082 _____ C:\Users\Buhgalter\README.txt
  2019-08-31 15:03 - 2019-08-31 15:03 - 000000082 _____ C:\Users\Buhgalter\Downloads\README.txt
  2019-08-31 15:03 - 2019-08-31 15:03 - 000000082 _____ C:\Users\Buhgalter\Documents\README.txt
  2019-08-31 15:03 - 2019-08-31 15:03 - 000000082 _____ C:\Users\Buhgalter\Desktop\README.txt
  2019-08-31 15:03 - 2019-08-31 15:03 - 000000082 _____ C:\Users\Buhgalter\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
  2019-08-31 15:02 - 2019-08-31 15:02 - 000000082 _____ C:\Users\Buhgalter\AppData\Roaming\README.txt
  2019-08-31 15:02 - 2019-08-31 15:02 - 000000082 _____ C:\Users\Buhgalter\AppData\README.txt
  2019-08-31 15:01 - 2019-08-31 15:01 - 000000795 _____ C:\Users\Buhgalter\AppData\LocalLow\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
  2019-08-31 15:01 - 2019-08-31 15:01 - 000000082 _____ C:\Users\Buhgalter\AppData\LocalLow\README.txt
  2019-08-31 14:51 - 2019-08-31 14:51 - 000000082 _____ C:\Users\Все пользователи\README.txt
  2019-08-31 14:51 - 2019-08-31 14:51 - 000000082 _____ C:\Users\Buhgalter\AppData\Local\README.txt
  2019-08-31 14:51 - 2019-08-31 14:51 - 000000082 _____ C:\ProgramData\README.txt
  2019-08-31 14:49 - 2019-08-31 15:06 - 000000795 _____ C:\Users\Public\Documents\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
  2019-08-31 14:49 - 2019-08-31 14:50 - 000000795 _____ C:\Users\Все пользователи\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
  2019-08-31 14:49 - 2019-08-31 14:50 - 000000795 _____ C:\ProgramData\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
  2019-08-31 14:34 - 2019-08-31 14:51 - 000000795 _____ C:\Users\Buhgalter\AppData\Local\Apps\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
  2019-08-31 14:34 - 2019-08-31 14:51 - 000000082 _____ C:\Users\Buhgalter\AppData\Local\Apps\README.txt
  AlternateDataStreams: C:\.fseventsd:Mac_Metadata [42]
  AlternateDataStreams: C:\.Trashes:AFP_AfpInfo [130]
  AlternateDataStreams: C:\.Trashes:Mac_Metadata [42]
  AlternateDataStreams: C:\Windows\system32\termsrv.dll:AFP_AfpInfo [130]
  AlternateDataStreams: C:\Windows\system32\termsrv.dll:Mac_Metadata [42]
  FirewallRules: [{7D4FB6E5-48E0-4339-B248-E39222156D8F}] => (Allow) C:\ProgramData\Microsoft\DRM\Lsutumaya\Mvixa.exe No File
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

[Komboskyni]

Готово

Fixlog.txt

[Sandor]

куплена лицензия Kaspersky Internet Security и отправлен запрос в службу поддержки

До окончания работы с ТП не удаляйте папку C:\FRST

Результат сообщите здесь, пожалуйста.

 

Проверьте уязвимые места:

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

[Komboskyni]

Зашифрованный компьютер мы отключили от LAN и Интернета, поэтому SecurityCheck выдал предупреждение, что проверка будет проводится из локальных баз.

SecurityCheck.txt

[Sandor]

------------------------------- [ Windows ] -------------------------------

Internet Explorer 11.0.9600.17358 Внимание! Скачать обновления

^Онлайн установка. Последняя версия доступна при включенном обновлении Windows через интернет.^

Контроль учётных записей пользователя включен (Уровень 4)

Автоматическое обновление отключено

Дата установки обновлений: 2014-11-07 15:58:50

------------------------------- [ HotFix ] --------------------------------

HotFix KB3020369 Внимание! Скачать обновления

HotFix KB3125574 Внимание! Скачать обновления

HotFix KB4012212 Внимание! Скачать обновления

HotFix KB4499175 Внимание! Скачать обновления

HotFix KB4474419 Внимание! Скачать обновления

HotFix KB4490628 Внимание! Скачать обновления

HotFix KB4484071 Внимание! Скачать обновления

HotFix KB4512486 Внимание! Скачать обновления

HotFix KB4512506 Внимание! Скачать обновления

--------------------------- [ FirewallWindows ] ---------------------------

Брандмауэр Windows (MpsSvc) - Служба работает

Отключен доменный профиль Брандмауэра Windows

--------------------------- [ OtherUtilities ] ----------------------------

Microsoft .NET Framework 4.5.1 v.4.5.50938 Внимание! Скачать обновления

PuTTY release 0.71 (64-bit) v.0.71.0.0 Внимание! Скачать обновления

Microsoft Office Access 2007 v.12.0.6612.1000 Данная программа больше не поддерживается разработчиком.

Microsoft Office Стандартный 2007 v.12.0.6612.1000 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice

Microsoft Office Standard 2007 v.12.0.6612.1000 Данная программа больше не поддерживается разработчиком. Обновите Microsoft Office до последней версии или используйте Office Online или LibreOffice

--------------------------- [ AppleProduction ] ---------------------------

iTunes v.12.7.4.80 Внимание! Скачать обновления

^Для проверки новой версии используйте приложение Apple Software Update^

--------------------------- [ AdobeProduction ] ---------------------------

Adobe Flash Player 24 NPAPI v.24.0.0.186 Внимание! Скачать обновления

Adobe Reader XI (11.0.12) - Russian v.11.0.12 Данная программа больше не поддерживается разработчиком. Рекомендуется деинсталлировать ее, скачать и установить Adobe Acrobat Reader DC.

----------------------------- [ EmailClient ] -----------------------------

The Bat! Professional v4.2.10 v.4.2.10 Внимание! Скачать обновления

 

 

Перечисленное желательно исправить/обновить.

 

Читайте Рекомендации после удаления вредоносного ПО

[Komboskyni]

Ответ службы тех.поддержки: "Уважаемый пользователь, приносим извинения за длительное время обработки вашего запроса. Файлы зашифрованы Trojan-Ransom.Win32.Cryakl. Для шифрования используется криптографически стойкий алгоритм, поэтому расшифровка файлов, к сожалению, не представляется возможной."

[Komboskyni]

Образцы зашифрованных файлов (с атакованного компьютера)  и их незашифрованных оригиналов.  

crypted.zip

[thyrex]

Пришлите другие образцы зашифрованных файлов без оригиналов.