Перейти к содержанию

Рекомендуемые сообщения

Добрый день!

 
тело шифровальщика в файле body.zip, расширение изменено на .virus
пароль от архива 12345
также приложены логи скрипта AVZ и FRST64

 

На сервер 2008 r2 поймал шифровальщика [r3ad4@aol.com].r3f5s

 

Утром обнаружил, что сервер не пускает по RDP, жалуется на логин/пароль всех уз. Выключил сервер. 

Позже, попав на сервер (способом с загрузкой с установочной флэшки/восстановление/командная строка/подмена utilman на cmd в system32), обнаружил 5 окон на рабочем столе с информацией о том, что файлы зашифрованы.

Поубирал подзрительные процессы winhost.exe из автозагрузки, перезагрузил систему.

 

файлы зашифрованы,  

в корне дисков файлы с информацией:

 

all your data has been locked us
You want to return?
write email r3ad4@aol.com or r3ad4@cock.li

 

рядом с winhost.exe во всех каталогах его нахождения присутствовал файл Info.hta, в котором:

 
YOUR FILES ARE ENCRYPTED
Don't worry,you can return all your files!</span></div>
If you want to restore them, follow this link: r3ad4@aol.com
YOUR ID 6E3F0584
 
If you have not been answered via the link within 12 hours, write to us by e-mail: r3ad4@cock.li
Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.

 

 

CollectionLog-2020.06.10-17.59.zip body.zip FRST.txt Addition.txt

Ссылка на сообщение
Поделиться на другие сайты

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

  1. Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  2. Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
    CreateRestorePoint:
    Startup: C:\Users\buh\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta [2020-05-28] () [File not signed]
    Startup: C:\Users\buh\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\payload.exe.id-6E3F0584.[r3ad4@aol.com].r3f5s [2020-06-10] () [File not signed]
    2020-06-10 14:01 - 2020-06-10 14:01 - 000094970 _____ C:\Users\buh\AppData\Roaming\payload.exe.id-6E3F0584.[r3ad4@aol.com].r3f5s
    2020-06-10 14:01 - 2020-06-10 14:01 - 000094720 _____ C:\Users\miard_admin\AppData\Roaming\Winhost.exe.virus
    
    2020-06-10 00:59 - 2020-06-10 14:01 - 000007201 _____ C:\Users\miard_admin\AppData\Roaming\Info.hta.virus
    
    2020-06-10 00:59 - 2020-06-10 00:59 - 000007201 _____ C:\Windows\system32\Info.hta
    
    2020-05-28 12:49 - 2020-05-28 12:49 - 000007225 _____ C:\Users\buh\AppData\Roaming\Info.hta
    
    2020-06-10 00:59 - 2020-06-10 14:01 - 000007201 _____ () C:\Users\miard_admin\AppData\Roaming\Info.hta.virus
    2020-06-10 14:01 - 2020-06-10 14:01 - 000094720 _____ () C:\Users\miard_admin\AppData\Roaming\Winhost.exe.virus
    
    MSCONFIG\startupfolder: C:^ProgramData^Microsoft^Windows^Start Menu^Programs^Startup^Info.hta => C:\Windows\pss\Info.hta.CommonStartup
    MSCONFIG\startupfolder: C:^ProgramData^Microsoft^Windows^Start Menu^Programs^Startup^Winhost.exe => C:\Windows\pss\Winhost.exe.CommonStartup
    MSCONFIG\startupfolder: C:^Users^miard_admin^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^Info.hta => C:\Windows\pss\Info.hta.Startup
    MSCONFIG\startupfolder: C:^Users^miard_admin^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^Winhost.exe => C:\Windows\pss\Winhost.exe.Startup
    MSCONFIG\startupreg: ? => 
    MSCONFIG\startupreg: Winhost.exe => C:\Windows\System32\Winhost.exe
    
  3. Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  4. Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

Ссылка на сообщение
Поделиться на другие сайты

Добрый вечер, подскажите пожалуйста. У меня идентичная проблема как товарща OxoTHuk. На данный момент не являюсь пользователем продуктов Лаборатории Касперского, вы сможете мне помочь если я куплю антивирус? 

Изменено пользователем MechanikusT
Ссылка на сообщение
Поделиться на другие сайты
7 минут назад, MechanikusT сказал:

Добрый вечер, подскажите пожалуйста. У меня идентичная проблема как товарща OxoTHuk. На данный момент не являюсь пользователем продуктов Лаборатории Касперского, вы сможете мне помочь если я куплю антивирус? 

В очистке компьютера от вредоносного ПО поможем. С расшифровкой на форуме не поможем. Если решитесь создать запрос в техподдержку, то сперва прочитайте FAQ. Если требуется лечение, создайте свою тему.

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • От m1hazka
      Вопрос про вирус-стиллер AzoRULT,ТОЛЬКО ПОНИМАЮЩИЕ ЛЮДИ.
      Сегодня сделал с помощью Мicrosoft Defender полную проверку, под конец он нашел вирус Trojan.Win32Azorult,про азорулта я уже прочитал, вопрос в том как его полностью удалить, и ВОЗМОЖНО ЛИ ИЗБАВИТЬСЯ ОТ ЭТОГО ВИРУСА ПОСРЕДСТВОМ ПЕРЕУСТАНОВИТЬ ВИНДУ, так же появилась странная учётная запись с ником john, увидел ее сначало через реестр в SpecialAccounts,значение стояло на 0,отсюда я сделал вывод что она была скрыта, так же смотрел то, что вирус сделал это учётную запись администратором, значение я поставил на 1 чтобы она отображалась и удалил её,но потом зашёл в центр учётных записей, просто ради интереса нажал "Изменить тип учётной записи " ,и что я вижу- моя учётная запись с обычными правами, права администратора поставить нельзя, так же заметил что вирус не даёт зайти в некоторые службы Виндоус, например gpedit.msc ввожу через win + r, закрывается спустя 1-2 секунды, ещё вирус я так понял заблокировал мне доступ на сайты некоторых антивирусов, Касперский я не могу установить из-за того, что нету прав администратора, на ДР. Веб курилку не пускает, пишет что сайт недоступен Что делать дальше не знаю, буду премного благодарен, тем кто разбирается.
    • От grigoriiarsent
      Надеюсь на вашу помощь
      CollectionLog-2020.10.14-17.11.zip
    • От Kaktyc
      Скачал игру с тех пор компьютер стал подтормаживать и не давал зайти на сайты антивирусов, запусил dr web cureit удалил 11 вирусов. Решил установить проверить Kaspersky Virus Removal Tool, но проверка не запускается. В папке ProgramData куча фигни, которая не удаляется (Avast, 360safe, avira и т.д).
      Все сделал по инструкции лог во вложении. Спасибо!
      CollectionLog-2020.10.11-19.29.zip
    • От ArtemyB
      Добрый день!
      Пару дней назад скачивая торрент, схватил вирус. Стали сами закрываться окно редактора политики, браузеры (при попытке скачивания антивируса и диагностического ПО). Был изменен файл hosts. Вынул винт и просканировал с помощью KVRT на другом ПК. Было удалено пара троянов.
      Загрузившись с вылеченной системы заметил что не всё восстановилось. Пропал значок центра уведомлений windows. Его я восстановил, но однако, открытии панели уведомлений, в ней теперь нет никаких кнопок (были кнопки включения WiFi, BT, местоположения, батаери, режима планшета и т.д.).
      Как можно вернуть вид данной панели? И что ещё повредил вирус? Помогите пожалуйста.
      CollectionLog-2020.10.11-10.58.zip

    • От ryuaeus
      Столкнулся с вирусом и не могу его победить. Пробовал чистить все Авастом, потом скачал одноразовый Касперский и одноразовый Есет. Ничего не помогло. Когда открываю браузер (любой) вылезает вирус. Но вылезает не всегда, а когда только первый раз запускаю.


×
×
  • Создать...