Перейти к содержанию

[РЕШЕНО] Шифровальщик tosenderbuild.exe

PetrI
 Поделиться

Рекомендуемые сообщения

PetrI

PetrI

Опубликовано
Опубликовано

День Добрый!

Пострадал компьютер от шифровальщица, прошу помощи в расшифровке и быть может подскажите, как компьютер был взломан... уже второй раз это происходит с этим компьютером...

Logs.zip

Readme + зашифрованные файлы.zip

Sandor

Sandor

Опубликовано
Опубликовано

Дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.

Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Sandor

Sandor

Опубликовано
Опубликовано

Пароль на RDP смените, был взломан.

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
GroupPolicy: Restriction ? <==== ATTENTION
2019-09-07 23:30 - 2019-09-07 23:30 - 000000082 _____ C:\README.txt
2019-09-07 23:22 - 2019-09-07 23:22 - 000000082 _____ C:\Users\User\README.txt
2019-09-07 23:22 - 2019-09-07 23:22 - 000000082 _____ C:\Users\User\Downloads\README.txt
2019-09-07 23:22 - 2019-09-07 23:22 - 000000082 _____ C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2019-09-07 23:22 - 2019-09-07 23:22 - 000000082 _____ C:\Users\README.txt
2019-09-07 23:19 - 2019-09-07 23:19 - 000000082 _____ C:\Users\User\Documents\README.txt
2019-09-07 23:19 - 2019-09-07 23:19 - 000000082 _____ C:\Users\User\Desktop\README.txt
2019-09-07 23:19 - 2019-09-07 23:19 - 000000082 _____ C:\Users\User\AppData\Roaming\README.txt
2019-09-07 23:19 - 2019-09-07 23:19 - 000000082 _____ C:\Users\User\AppData\README.txt
2019-09-07 23:18 - 2019-09-07 23:18 - 000000082 _____ C:\Users\User\AppData\LocalLow\README.txt
2019-09-07 22:48 - 2019-09-07 22:48 - 000000082 _____ C:\Users\User\AppData\Local\README.txt
2019-09-07 22:48 - 2019-09-07 22:48 - 000000082 _____ C:\Users\User\AppData\Local\Apps\README.txt
2019-09-07 22:48 - 2019-09-07 22:48 - 000000082 _____ C:\Users\Remote\README.txt
2019-09-07 22:48 - 2019-09-07 22:48 - 000000082 _____ C:\Users\Remote\Downloads\README.txt
2019-09-07 22:48 - 2019-09-07 22:48 - 000000082 _____ C:\Users\Remote\Documents\README.txt
2019-09-07 22:48 - 2019-09-07 22:48 - 000000082 _____ C:\Users\Remote\Desktop\README.txt
2019-09-07 22:48 - 2019-09-07 22:48 - 000000082 _____ C:\Users\Remote\AppData\Roaming\README.txt
2019-09-07 22:48 - 2019-09-07 22:48 - 000000082 _____ C:\Users\Remote\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2019-09-07 22:48 - 2019-09-07 22:48 - 000000082 _____ C:\Users\Remote\AppData\README.txt
2019-09-07 22:47 - 2019-09-07 22:47 - 000000082 _____ C:\Users\Remote\AppData\LocalLow\README.txt
2019-09-07 22:45 - 2019-09-07 22:45 - 000000082 _____ C:\Users\Remote\AppData\Local\README.txt
2019-09-07 22:45 - 2019-09-07 22:45 - 000000082 _____ C:\Users\Public\README.txt
2019-09-07 22:45 - 2019-09-07 22:45 - 000000082 _____ C:\Users\Public\Downloads\README.txt
2019-09-07 22:45 - 2019-09-07 22:45 - 000000082 _____ C:\Users\Default\README.txt
2019-09-07 22:45 - 2019-09-07 22:45 - 000000082 _____ C:\Users\Default\Downloads\README.txt
2019-09-07 22:45 - 2019-09-07 22:45 - 000000082 _____ C:\Users\Default\Documents\README.txt
2019-09-07 22:45 - 2019-09-07 22:45 - 000000082 _____ C:\Users\Default\Desktop\README.txt
2019-09-07 22:45 - 2019-09-07 22:45 - 000000082 _____ C:\Users\Default\AppData\Roaming\README.txt
2019-09-07 22:45 - 2019-09-07 22:45 - 000000082 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2019-09-07 22:45 - 2019-09-07 22:45 - 000000082 _____ C:\Users\Default\AppData\README.txt
2019-09-07 22:45 - 2019-09-07 22:45 - 000000082 _____ C:\Users\Default\AppData\Local\README.txt
2019-09-07 22:45 - 2019-09-07 22:45 - 000000082 _____ C:\Users\Default User\Downloads\README.txt
2019-09-07 22:45 - 2019-09-07 22:45 - 000000082 _____ C:\Users\Default User\Documents\README.txt
2019-09-07 22:45 - 2019-09-07 22:45 - 000000082 _____ C:\Users\Default User\Desktop\README.txt
2019-09-07 22:45 - 2019-09-07 22:45 - 000000082 _____ C:\Users\Default User\AppData\Roaming\README.txt
2019-09-07 22:45 - 2019-09-07 22:45 - 000000082 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2019-09-07 22:45 - 2019-09-07 22:45 - 000000082 _____ C:\Users\Default User\AppData\README.txt
2019-09-07 22:45 - 2019-09-07 22:45 - 000000082 _____ C:\Users\Default User\AppData\Local\README.txt
2019-09-07 22:45 - 2019-09-07 22:45 - 000000082 _____ C:\ProgramData\Microsoft\Windows\Start Menu\README.txt
2019-09-07 22:44 - 2019-09-07 23:22 - 000000796 _____ C:\Users\Все пользователи\README.txt
2019-09-07 22:44 - 2019-09-07 23:22 - 000000796 _____ C:\ProgramData\README.txt
2019-09-07 22:44 - 2019-09-07 22:45 - 000000796 _____ C:\Users\Все пользователи\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
2019-09-07 22:44 - 2019-09-07 22:45 - 000000796 _____ C:\Users\Public\Documents\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
2019-09-07 22:44 - 2019-09-07 22:45 - 000000796 _____ C:\Users\Public\Desktop\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
2019-09-07 22:44 - 2019-09-07 22:45 - 000000796 _____ C:\ProgramData\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
2019-09-07 22:44 - 2019-09-07 22:45 - 000000082 _____ C:\Users\Public\Documents\README.txt
2019-09-07 22:44 - 2019-09-07 22:45 - 000000082 _____ C:\Users\Public\Desktop\README.txt
2019-09-07 22:44 - 2019-09-07 22:44 - 000000082 _____ C:\Program Files (x86)\README.txt
2019-09-07 22:42 - 2019-09-07 22:42 - 000000082 _____ C:\Program Files\README.txt
2019-09-07 22:38 - 2019-09-07 22:38 - 000000082 _____ C:\Program Files\Common Files\README.txt
2019-09-07 22:37 - 2019-09-07 22:45 - 000000796 _____ C:\Users\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
Reboot:
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

 

Подробнее читайте в этом руководстве.

PetrI

PetrI

Опубликовано
  • Автор
Опубликовано (изменено)

Прикрепил

А можно узнать как взломали пароль? Ведь он там был не 123456...

Есть какие-то следы брутфорса или человек просто знал пароль и зашёл под ним?

Или быть может воспользовались какой-то дырой в безопасности Windows 7?

Fixlog.txt

Изменено пользователем PetrI
Sandor

Sandor

Опубликовано
Опубликовано

Есть какие-то следы брутфорса или человек просто знал пароль и зашёл под ним?

Этот вымогатель как правило попадает через взлом пароля. По "дырам" сейчас проверим:
  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10)
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.
Sandor

Sandor

Опубликовано
Опубликовано

------------------------------- [ Windows ] -------------------------------

Internet Explorer 11.0.9600.19356 Внимание! Скачать обновления

^Онлайн установка. Последняя версия доступна при включенном обновлении Windows через интернет.^

Контроль учётных записей пользователя отключен (Уровень 1)

^Рекомендуется включить уровень по умолчанию: Win+R ввести UserAccountControlSettings и Enter^

--------------------------- [ OtherUtilities ] ----------------------------

TeamViewer 14.2.2558 v.14.2.2558 Внимание! Скачать обновления

-------------------------------- [ Arch ] ---------------------------------

WinRAR 5.01 (64-разрядная) v.5.01.0 Внимание! Скачать обновления

 

Перечисленное желательно обновить/исправить.

 

Читайте Рекомендации после удаления вредоносного ПО

PetrI

PetrI

Опубликовано
  • Автор
Опубликовано

Ну, это всё такое... ладно) Спасибо за консультацию) всё равно не понимаю как они завладели паролем... но наверное это уже и не узнать, остаётся только не повторить ошибок

Sandor

Sandor

Опубликовано
Опубликовано

Ну, это всё такое...

Ваша ирония неуместна.

Контроль учётных записей отключен у большинства обратившихся в этот раздел (и на подобные разделы других форумов).

 

Рекомендую к прочтению - http://www.outsidethebox.ms/10034/

thyrex

thyrex

Опубликовано
Опубликовано

Мы были рады Вам помочь!
Надеемся, что Вы остались довольны результатом.
На нашем форуме также можно получить компьютерную помощь, помощь по продуктам "Лаборатории Касперкого", обсудить компьютерные технологии, заказать эксклюзивную сувенирную продукцию "Лаборатории Касперского" бесплатно!
Форумчане ежегодно путешествуют. В числе приглашенных в Турцию, Армению, Сочи, Камбоджу можете стать и Вы!
Будем рады видеть Вас в наших рядах!
Всегда ваш, фан-клуб "Лаборатории Касперского".

Гость
Эта тема закрыта для публикации ответов.
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Nokvark
      [РЕШЕНО] NET:MALWARE.URL
      Автор Nokvark
      Добрый день, обнаружил вирус MALWARE.URL через doctor web.
      Не могу удалить, пробовал делать также, как описано в схожих с моей темами. CollectionLog-2025.05.05-09.21.zip
      Прошу помочь. 


    • User-01001
      [РЕШЕНО] Заражение
      Автор User-01001
      Здравствуйте!
      Все по классике. сидел без антивируса несколько лет, полагаясь на себя. погода дрянь, хандра уныние и безысходность.
      Захотел развлечь себя игрушкой с торрента (цивой) вот развлек.)
      Уже на этапе запуска (до "установить" и тд) открылись врата в чистилище и оттуда полезло зло. simplewall долбил о куче рвущихся душ во всемирную паутину.
      Активное противодействие любым AV, отнятые права на папки, закрывание диспетчера задач при попытке приблизиться и тд.
      К слову был активен RDP местами валялись логи.
       Uac был выставлен на максимум - молчал. выдернул провод, бегло пробежался переименованной авз и артой вроде AVbr и kvrt  в безопасном режиме +live cd.
      KVRT кстати в т.ч. ругался на майнер и файловый вирус. еще до активной борьбы сетап с подарком запер в архив под пароль (если нужен)
      Нужна помощь добить бяку и восстановить что она там еще порушить успела
      CollectionLog-2025.05.03-10.34.zip
    • ВасилийВ
      [РЕШЕНО] Вирус
      Автор ВасилийВ
      Касперский не видит вирусов,встроенный антивирус нашел больше 10 троянов но не смог с ними справитьсяCollectionLog-2025.03.25-22.30.zip
    • wastezxc
      [РЕШЕНО] стиллер
      Автор wastezxc
      после вирус не работают gpedit, regedit и никакие такие файлы
       
      так же интернет стал медленее
       
    • Maksum
      [РЕШЕНО] Трояны
      Автор Maksum
      Скачал вирус в папку temp и %temp%
      Через несколько дней появилось несколько троянов.
      Во время игры, игра свернулась и вышло окно от некого хакера и было написано напиши мне я быстро перезагрузил пк, вошёл в безопасный режим  и начал чистить его с помощью Dr web как очистил трояны ноутбук начал лагать но без троянов чуть позже перепроверил им же оказалось опять появились те же трояны. Теперь даже боюсь лишний раз ноут включать(
      Скиньте пожалуйста скрипт для avz.
      Мой виндовс: 10 домашняя версия для 1 языка 64 бит
      Вот файл с троянами:
      Fitnes.rar
×
×
  • Создать...