crysis Шифровальщик .coms

[МихаилС 0]

Здравствуйте, к нам проник шифровальщик .coms. Пример зашифрованных файлов и логи прилагаю.

Addition.txt files.rar FRST.txt

[thyrex 1 468]

Система заражена и файловым вирусом Neshta. Пролечитесь так (скачивать и записывать образ нужно на другой, чистой от вирусов, машине) 

 

После завершения сделайте новые логи по правилам.

[МихаилС 0]

4 часа назад, thyrex сказал:

Система заражена и файловым вирусом Neshta. Пролечитесь так (скачивать и записывать образ нужно на другой, чистой от вирусов, машине) 

 

После завершения сделайте новые логи по правилам.

Не получилось, видимо KRD не поддерживает RAID-контроллер(файловый менеджер тоже не открывает диски).

[thyrex 1 468]

С расшифровкой помочь не сможем. Будет только зачистка следов вируса, в т.ч. и активного шифратора.

 

1. Выделите следующий код:

Start::
CreateRestorePoint:
HKLM\...\Run: [x64bit.exe] => C:\Windows\System32\x64bit.exe [94720 2021-05-10] () [Файл не подписан]
HKLM\...\Run: [C:\Windows\System32\Info.hta] => C:\Windows\System32\Info.hta [13919 2021-05-11] () [Файл не подписан]
HKLM\...\Run: [C:\Users\Екатерина Викторовна.FILE-SERVER\AppData\Roaming\Info.hta] => C:\Users\Екатерина Викторовна.FILE-SERVER\AppData\Roaming\Info.hta [13919 2021-05-11] () [Файл не подписан]
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta [2021-05-11] () [Файл не подписан]
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\x64bit.exe [2021-05-10] () [Файл не подписан]
Startup: C:\Users\Екатерина Викторовна.FILE-SERVER\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta [2021-05-10] () [Файл не подписан]
Startup: C:\Users\Екатерина Викторовна.FILE-SERVER\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\x64bit.exe [2021-05-10] () [Файл не подписан]
2021-05-11 09:47 - 2021-05-11 09:47 - 000041472 _____ C:\Windows\svchost.com
2021-05-11 09:19 - 2021-05-11 09:19 - 000013919 _____ C:\Windows\system32\Info.hta
2021-05-11 09:19 - 2021-05-11 09:19 - 000013919 _____ C:\Users\Екатерина Викторовна.FILE-SERVER\AppData\Roaming\Info.hta
C:\Users\Екатерина Викторовна.FILE-SERVER\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\x64bit.exe
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\x64bit.exe
C:\Windows\System32\x64bit.exe
2021-05-10 01:53 - 2021-05-10 01:53 - 000000218 _____ C:\Users\Екатерина Викторовна.FILE-SERVER\Desktop\FILES ENCRYPTED.txt
2021-05-10 01:53 - 2021-05-10 01:53 - 000000218 _____ C:\Users\Public\Desktop\FILES ENCRYPTED.txt
2021-05-10 01:53 - 2021-05-10 01:53 - 000000218 _____ C:\ProgramData\Desktop\FILES ENCRYPTED.txt
2021-05-10 01:53 - 2021-05-10 01:53 - 000000218 _____ C:\FILES ENCRYPTED.txt
End::

2. Скопируйте выделенный текст (правая кнопка мыши – Копировать).
3. Запустите Farbar Recovery Scan Tool.
4. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: перезагрузку компьютера нужно выполнить вручную после данного скрипта.

 

[МихаилС 0]

Выполнено.

Fixlog.txt

Остался такой процесс(баннер)

C:\Windows\System32\mshta.exe

[thyrex 1 468]

Удалите старые логи FRST.txt и Addition.txt и сделайте новые 

[МихаилС 0]

Addition.txt FRST.txt

[thyrex 1 468]

С помощью редактора реестра удалите вручную в ветке

Цитата

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

параметр 

Цитата

C:\Users\Екатерина Викторовна.FILE-SERVER\AppData\Roaming\Info.hta

 

Также удалите вручную файлы
 

Цитата

 

C:\Users\Екатерина Викторовна.FILE-SERVER\AppData\Roaming\Info.hta

C:\Users\Екатерина Викторовна.FILE-SERVER\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta