Страницы: 1 2 След.
RSS
файлы зашифрованы с расширением .decoder, GlobeImposter v2
 
Пришло письмо на почту " День добрый отправляю вам реквизиты" во вложение файл 30.11.2017.scr.gz внутри файл 30.11.2017.scr. Eset не определил файл как вирус. После сканирования предложил перезагрузиться, что пользователь и сделал. После перезагрузки все файлы были зашифрованы. У зашифрованных файлов имя стало таким "имя файла.раширение.decoder".
Сервис ID Ransomware опознать шифровальщик не может. Прикладываю Полный образ автозапуска, файл с требованиями, скриншот как Eset Antivirus 10.1.2191. реагирует на зараженной машине.
Изменено: Денис Ижевский - 30.10.2017 21:15:52
 
Денис,
добавьте по возможности, зашифрованный файл и его чистую копию в архиве +
вышлите файл шифратора в архиве с паролем в почту safety@chklst.ru

образ автозапуска сейчас гляну.
--------
образ нечитабельный, архив не открывается.
пробуйте переделать образ автозапуска.
 
Цитата
santy написал:
Денис,
добавьте по возможности, зашифрованный файл и его чистую копию в архиве +
вышлите файл шифратора в архиве с паролем в почту safety@chklst.ru

образ автозапуска сейчас гляну.
--------
образ нечитабельный, архив не открывается.
пробуйте переделать образ автозапуска.
Выслал файл чистый + зараженный и сам вирус. Сейчас переделаю образ.
 
Образ нормально открывается.
 
да, похоже что-то новое появилось
https://www.hybrid-analysis.com/sample/f101cc9b232fc25f8e03282f55fb7a46ae3fbf729e891cbb4­068aa756a78656e?environmentId=100

https://www.virustotal.com/en/file/f101cc9b232fc25f8e03282f55fb7a46ae3fbf729e891cbb­4068aa756a78656e/analysis/
 
Образ создан без проверки ЭЦП, т.к. зависает на обычном образе.
 
Цитата
RP55 RP55 написал:
Образ нормально открывается.
да, перекачал в Хроме, нормально открылся, в FF дважды не открылся.
 
детекты разные, но пока что мало говорят.

Цитата
Полное имя                  C:\USERS\СЕРГЕЙ НИЛОВ\APPDATA\ROAMING\30.11.2017.SCR
Имя файла                   30.11.2017.SCR
Тек. статус                 АКТИВНЫЙ ?ВИРУС? ПОДОЗРИТЕЛЬНЫЙ в автозапуске
                           
www.virustotal.com          2017-10-30
Symantec                    Ransom.CryptXXX
ESET-NOD32                  a variant of Win32/GenKryptik.BBVC
Kaspersky                   UDS:DangerousObject.Multi.Generic
DrWeb                       Trojan.Encoder.15047
Avast                       FileRepMalware
                                                     
Доп. информация             на момент обновления списка
pid = 680                   СергейНилов-ПК\Сергей Нилов
CmdLine                     "C:\Users\Сергей Нилов\AppData\Roaming\30.11.2017.scr" /S
Процесс создан              13:17:19 [2017.10.30]
С момента создания          00:04:55
parentid = 3368            
SHA1                        E09FF777AC354E7A0BA8C2580F94195F6DF3DBAC
MD5                         B02FA72FFCA941A7E6C4E34CB9146BC3
                           
Ссылки на объект            
Ссылка                      HKEY_USERS\S-1-5-21-1101135559-3815653492-3716863345-1000\Software\Microsoft\Windows\CurrentVersion\RunOnce\Certi­ficatesCheck
CertificatesCheck           C:\Users\Сергей Нилов\AppData\Roaming\30.11.2017.scr
                           
 
по очистке системы выполните скрипт с перезагрузкой системы.

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
Код

;uVS v4.0.10 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
OFFSGNSAVE
;------------------------autoscript---------------------------

zoo %SystemDrive%\USERS\СЕРГЕЙ НИЛОВ\APPDATA\ROAMING\30.11.2017.SCR
addsgn 1A33279A5583C58CF42B254E3143FE86C9AA77B381AC48128D9A7B78B49771C15EF730F2B71065C26E8CDB1603EA177FBDABE48455D2C42BEA32502F879F23FE 64 Win32/GenKryptik 7

chklst
delvir

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DDDADGCDMDDLJMPKPINKALNEPDEPPLPKJ%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DLEDKFMFCKEJKEMLMPCKIAOALDHLDFMBE%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DLFEJOKJOKPDJKJNKGLMJLBEBOJJBFEDC%26INSTALLSOURCE%3DONDEMAND%26UC
apply

deltmp
delref %SystemDrive%\USERS\4F6C~1\APPDATA\LOCAL\TEMP\CHROME_BITS_2124_31175\470_ALL_STHSET.CRX2
delref %SystemDrive%\USERS\4F6C~1\APPDATA\LOCAL\TEMP\CHROME_BITS_1364_8153\ASA_11.CRX
delref A9A33436-678B-4C9C-A211-7CC38785E79D\[CLSID]
delref {23E5D772-327A-42F5-BDEE-C65C6796BB2A}\[CLSID]
delref {177AFECE-9599-46CF-90D7-68EC9EEB27B4}\[CLSID]
delref {CEF51277-5358-477B-858C-4E14F0C80BF7}\[CLSID]
delref {59116E30-02BD-4B84-BA1E-5D77E809B1A2}\[CLSID]
delref %SystemDrive%\PROGRAM FILES\PCRADIO\PCRADIO\PCRADIO.EXE
delref %Sys32%\DRIVERS\RDVGKMD.SYS
delref {166B1BCA-3F9C-11CF-8075-444553540000}\[CLSID]
delref {233C1507-6A77-46A4-9443-F871F945D258}\[CLSID]
delref {88D969C0-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C1-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C2-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C3-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C4-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C5-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {8AD9C840-044E-11D1-B3E9-00805F499D93}\[CLSID]
delref {CA8A9780-280D-11CF-A24D-444553540000}\[CLSID]
delref {CFCDAA03-8BE4-11CF-B84B-0020AFBBCCFA}\[CLSID]
delref %Sys32%\MSSPELLCHECKINGFACILITY.DLL
delref %SystemDrive%\PROGRAM FILES\FOXIT SOFTWARE\FOXIT READER\PLUGINS\NPFOXITREADERPLUGIN.DLL
delref {1FBA04EE-3024-11D2-8F1F-0000F87ABD16}\[CLSID]
delref {E6FB5E20-DE35-11CF-9C87-00AA005127ED}\[CLSID]
delref {D0498E0A-45B7-42AE-A9AA-ABA463DBD3BF}\[CLSID]
delref HELPSVC\[SERVICE]
delref SACSVR\[SERVICE]
delref VMMS\[SERVICE]
delref MESSENGER\[SERVICE]
delref RDSESSMGR\[SERVICE]
delref %Sys32%\DRIVERS\VGPU.SYS
delref %Sys32%\PSXSS.EXE
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.32.7\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.33.3\PSMACHINE.DLL
delref %Sys32%\SHAREMEDIACPL.CPL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.31.5\PSMACHINE.DLL
delref %SystemDrive%\USERS\СЕРГЕЙ НИЛОВ\APPDATA\ROAMING\UTORRENT\UTORRENT.EXE
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
------------
по расшифровке документов для начала необходимо таки точно идентифицировать тип шифратора.

если вы лицензионный пользователь ESET
вам необходимо собрать следующие файлы:

несколько зашифрованных файлов в архиве,
несколько чистых файлов,
тело вируса в архиве с паролем infected
лог ESET log collector сделанный на пострадавшей системе.
------------
все это отправить в support@esetnod32.ru и дождаться ответа.
 
Цитата
santy написал:
по очистке системы выполните скрипт с перезагрузкой системы.

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
Это выполнить прямо сейчас или дождаться ответа от поддержки esetnod32?
Страницы: 1 2 След.
Читают тему (гостей: 1)