Выбрать дату в календареВыбрать дату в календаре

файлы зашифрованы с расширением .IPM; .ONION; .LX; .C-VIR; .2020; .MSPLT; .ccd; .DOT; .dec; .VWA; .love$; .TRAMP; .LOL; .0day0; .PHP; .NET; .R2D2; .lab, Filecoder.Crysis / Encoder.3953 /Ransom.Win32.Crusis; r/n: info.hta
по очистке системы:

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
[code]

;uVS v4.1.8 [http://dsrt.dyndns.org:8888]
;Target OS: NTv6.1
v400c
OFFSGNSAVE
;---------command-block---------
ZOO %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\INFO.HTA
del %SystemDrive%\USERS\BUH11\APPDATA\ROAMING\MICROSOFT\WINDOWS\­START MENU\PROGRAMS\STARTUP\INFO.HTA
del %SystemDrive%\USERS\BUH5\APPDATA\ROAMING\MICROSOFT\WINDOWS\S­TART MENU\PROGRAMS\STARTUP\INFO.HTA
del %SystemDrive%\USERS\BUH3\APPDATA\ROAMING\MICROSOFT\WINDOWS\S­TART MENU\PROGRAMS\STARTUP\INFO.HTA
del %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\INFO.HTA
del %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\DESKTOP.INI.ID-E0BC160B.[ONIONCRYPT@AOL.COM].ONION
del %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\MICROSOFT\­WINDOWS\START MENU\PROGRAMS\STARTUP\DESKTOP.INI.ID-E0BC160B.[ONIONCRYPT@AOL.COM].ONION
del %SystemDrive%\USERS\BUH11\APPDATA\ROAMING\MICROSOFT\WINDOWS\­START MENU\PROGRAMS\STARTUP\DESKTOP.INI.ID-E0BC160B.[ONIONCRYPT@AOL.COM].ONION
del %SystemDrive%\USERS\BUH7\APPDATA\ROAMING\MICROSOFT\WINDOWS\S­TART MENU\PROGRAMS\STARTUP\DESKTOP.INI.ID-E0BC160B.[ONIONCRYPT@AOL.COM].ONION
del %SystemDrive%\USERS\BUH5\APPDATA\ROAMING\MICROSOFT\WINDOWS\S­TART MENU\PROGRAMS\STARTUP\DESKTOP.INI.ID-E0BC160B.[ONIONCRYPT@AOL.COM].ONION
del %SystemDrive%\USERS\BUH3\APPDATA\ROAMING\MICROSOFT\WINDOWS\S­TART MENU\PROGRAMS\STARTUP\DESKTOP.INI.ID-E0BC160B.[ONIONCRYPT@AOL.COM].ONION
delall %SystemDrive%\USERS\BUH5\APPDATA\ROAMING\INFO.HTA
delall %SystemDrive%\USERS\BUH3\APPDATA\ROAMING\INFO.HTA
delall %SystemDrive%\USERS\BUH11\APPDATA\ROAMING\INFO.HTA
apply
CZOO
QUIT
[/code]
без перезагрузки, пишем о старых и новых проблемах.
архив из каталога uVS (по формату: ZOO_гггг-мм-дд_чч-мм-сс.rar/7z)  отправьте в почту safety@chklst.ru

------------
+
добавьте логи проверки в FRST,
может быть через FRST еще можно найти какие то хвосты от шифатора.
+
проверьте карантины антивирусов, или сканеров, возможно там что-то есть.
вы наверняка уже отсканировали систему с помощью DrWeb или kvrt
+
обратите внимание на рекомендации, которые добавлены в ваше сообщение,
атака может повториться через некоторое время. в том числе и другим шифратором
файлы зашифрованы с расширением .IPM; .ONION; .LX; .C-VIR; .2020; .MSPLT; .ccd; .DOT; .dec; .VWA; .love$; .TRAMP; .LOL; .0day0; .PHP; .NET; .R2D2; .lab, Filecoder.Crysis / Encoder.3953 /Ransom.Win32.Crusis; r/n: info.hta
Александр,
это скорее всего Crysis,с расширением .ONION
давно было шифрование?
если свежее, добавьте образ автозапуска чтобы проверить не остались ли активные файлы шифратора.
по расшифровке отвечу чуть позже. необходимо выполнить проверку ваших файлов.
---------
судя по характерному маркеру в зашифрованном файле
00000000020000000CFE7A41000000000000000000000000200000000000­0000
это Crysis/Dharma с расширением .ONION
скорее всего это свежее шифрование с другим мастер-ключом, а значит и без возможности расшифровки в текущее время,
потому что прежнее шифрование Crysis/Dharma/onion было 2-3 года назад.
(по старой версии .onion есть расшифровка, но в вашем случае расшифровка происходит с ошибкой.

[QUOTE][2020.03.16 18:45:52.394] - Begin
[2020.03.16 18:45:52.395] -
[2020.03.16 18:45:52.396] - ....................................
[2020.03.16 18:45:52.397] - ..::::::::::::::::::....................
[2020.03.16 18:45:52.399] - .::EEEEEE:::SSSSSS::..EEEEEE..TTTTTTTT.. Crysis decryptor
[2020.03.16 18:45:52.401] - .::EE::::EE:SS:::::::.EE....EE....TT...... Version: 2.0.4.0
[2020.03.16 18:45:52.402] - .::EEEEEEEE::SSSSSS::.EEEEEEEE....TT...... Built: May 19 2017
[2020.03.16 18:45:52.404] - .::EE:::::::::::::SS:.EE..........TT......
[2020.03.16 18:45:52.405] - .::EEEEEE:::SSSSSS::..EEEEEE.....TT..... Copyright © ESET, spol. s r.o.
[2020.03.16 18:45:52.406] - ..::::::::::::::::::.................... 1992-2017. All rights reserved.
[2020.03.16 18:45:52.406] - ....................................
[2020.03.16 18:45:52.407] -
[2020.03.16 18:45:52.407] - --------------------------------------------------------------------------------
[2020.03.16 18:45:52.407] -
[2020.03.16 18:45:52.408] - INFO: OS: 6.1.7601 SP1
[2020.03.16 18:45:52.408] - INFO: Product Type: Workstation
[2020.03.16 18:45:52.409] - INFO: WoW64: True
[2020.03.16 18:45:52.409] - INFO: Machine guid: 22011111-391F-421D-B12F-55ABB662839B

[2020.03.16 18:45:52.410] - INFO: Supported Crysis file extensions: .xtbl, .crysis, .crypt, .lock, .crypted, .dharma, [B].onion[/B], .wallet

[2020.03.16 18:45:52.455] - INFO: Cleaning file [10\СМЕТА ПО ОТКРЫТОЙ СТОЯНКЕ НА 2020 ГОД.pdf.id-E0BC160B.[onioncrypt@aol.com].ONION]
[B][2020.03.16 18:45:52.456] - INFO: Can't get key for file.[/B]
[2020.03.16 18:45:52.457] - ERROR: Not cleaned.
[2020.03.16 18:45:52.458] - --------------------------------------------------------------------------------
[2020.03.16 18:45:52.459] - INFO: 6 infected files found.
[2020.03.16 18:45:52.460] - INFO: 0 file(s) cleaned.
[2020.03.16 18:46:09.523] - End[/QUOTE]
-----------жду от Вас образ автозапуска системы, здесь в теме
и возможно если сохранились файлы шифратора можно отправить в архиве с паролем infected в почту
safety@chklst.ru
или загрузить для анализа на https://www.hybrid-analysis.com/
и дать в вашем сообщении линк проверки
поговорить о uVS, Carberp, планете Земля
[QUOTE]RP55 RP55 написал:
[QUOTE] santy написал:
скрипт FRST получился на несколько листов, в то время как uVS это бы зачистил одной командой.[/QUOTE]
А для того кто пишет скрипт нет разницы.
В тестовом редакторе это 10 секунд.[/QUOTE]
да, но некоторым операторам всегда это хочется делать в один клик и в одну строку
поговорить о uVS, Carberp, планете Земля
[QUOTE]RP55 RP55 написал:
В продолжение темы по блокировке антивирусов:  https://forum.kasperskyclub.ru/index.php?s=5aea1018212e953d2711d79ac045f141&showtopic=64879 [/QUOTE]
этот метод блокирования через ключ Debugger известен и давно используется троянами,
позабавило здесь другое.
что скрипт FRST получился на несколько листов, в то время как uVS это бы зачистил одной командой.
Crysis: грозящая катастрофа и как с ней бороться
Компании с использованием вымогателей под управлением операторов являются значительной и растущей угрозой для бизнеса и представляют собой одну из наиболее эффективных тенденций в современных кибератаках. В этих рукопашных атаках, которые отличаются от автоматического распространения вымогателей (WannaCry или NotPetya), злоумышленники используют методы кражи учетных данных и горизонтального перемещения. [B]Они обладают обширными знаниями в области системного администрирования и общих неправильных настроек безопасности сети, проводят тщательную разведку и адаптируются к тому, что обнаруживают в скомпрометированной сети.[/B]

Подобные атаки часто начинаются с «товарного вредоносного ПО», такого как банковские трояны, или «несложных» векторов атак, которые обычно вызывают множественные оповещения об обнаружении; тем не менее, они считаются несущественными и поэтому не подвергаются тщательному исследованию и устранению. Кроме того, начальные полезные нагрузки часто останавливаются антивирусными решениями, но злоумышленники развертывают другую полезную нагрузку или используют административный доступ для отключения антивируса, чтобы не привлекать внимание к службам реагирования на инциденты или операционным центрам безопасности (SOC).

Одним из действующих лиц, появившихся в этой тенденции атак, управляемых оператором, является активная, высоко адаптивная группа (PARINACOTA), которая часто использует Dharma в качестве полезной нагрузки.

[B]Атаки PARINACOTA, как правило, с помощью грубой силы проникают на серверы, на которых открыт из внешней сети протокол удаленного рабочего стола (RDP), с целью дальнейшего горизонтального перемещения внутри сети или выполнения brute forces против целей за пределами сети. Это позволяет группе расширять скомпрометированную инфраструктуру под их контролем.[/B] Часто, группа нацеливается на встроенные локальные учетные записи администраторов или список общих имен учетных записей. В других случаях группа нацелена на учетные записи Active Directory (AD), которые они скомпрометировали или имеют предварительные знания, таких как учетные записи служб известных поставщиков.

Группа использует метод brute forces RDP, который ранее применяли печально известный Samas (SamSam). Другие семейства вредоносных программ, такие как GandCrab, MegaCortext, LockerGoga, Hermes и RobbinHood, также использовали этот метод в целевых атаках.

[IMG WIDTH=1120 HEIGHT=978]https://chklst.ru/uploads/editor/wi/2k11kiwly0ic.png[/IMG]

Чтобы найти цели, группа сканирует Интернет на наличие машин, которые прослушивают порт RDP 3389. Злоумышленники могут это делать с зараженных компьютеров, используя такие инструменты, как Masscan.exe, которые обнаруживают уязвимые машины во всем Интернете менее чем за шесть минут.

Как только уязвимая цель найдена, группа начинает атаку грубой силой с использованием таких инструментов, как NLbrute.exe или ForcerX, начиная с общих имен пользователей, таких как «admin», «administrator», «guest» или «test». После успешного получения доступа к сети группа проверяет скомпрометированный компьютер на предмет подключения к Интернету и вычислительной мощности. Они определяют, соответствует ли машина определенным требованиям, прежде чем использовать ее для проведения последующих атак RDP методом перебора против других целей. Эта тактика, которая не использовалась аналогичными операторами вымогателей, дает им доступ к дополнительной инфраструктуре, которая с меньшей вероятностью будет заблокирована. Фактически, группа наблюдала за тем, чтобы их инструменты работали на скомпрометированных машинах месяцами подряд.

После отключения решений по безопасности группа часто загружает ZIP-архив, содержащий десятки известных инструментов атакующего и пакетные файлы для кражи учетных данных, устойчивости, разведки и других действий, не опасаясь предотвращения следующих этапов атаки. С помощью этих инструментов и пакетных файлов группа очищает журналы событий с помощью wevutil.exe, а также проводит обширную разведку на компьютере и в сети, обычно ища возможности для бокового перемещения с использованием обычных инструментов сетевого сканирования. При необходимости группа повышает привилегии от локального администратора до SYSTEM, используя функции специальных возможностей в сочетании с командным файлом или загруженными файлами, названными в честь определенных CVE, на которые они влияют, также известных как атака «Sticky Keys».

Группа сбрасывает учетные данные из процесса LSASS, используя такие инструменты, как Mimikatz и ProcDump, чтобы получить доступ к соответствующим паролям локальных администраторов или учетным записям служб с высокими привилегиями, которые можно использовать для запуска в качестве запланированной задачи или службы или даже для интерактивного использования. Затем PARINACOTA использует тот же сеанс удаленного рабочего стола для эксфильтрации полученных учетных данных. Группа также пытается получить учетные данные для определенных банковских или финансовых веб-сайтов, используя findstr.exe для проверки файлов cookie, связанных с этими сайтами.

PARINACOTA устанавливает постоянные учетные данные, используя различные методы, в том числе:

Изменения реестра с использованием файлов .bat или .reg для разрешения соединений RDP

Настройка доступа через существующие приложения удаленной помощи или установка бэкдора.

Создание новых локальных учетных записей и добавление их в группу локальных администраторов.

Чтобы определить тип полезной нагрузки для развертывания, PARINACOTA использует такие инструменты, как Process Hacker, для идентификации активных процессов. Злоумышленники не всегда сразу устанавливают вымогателей; было замечено, что они устанавливают майнеры и используют massmail.exe для запуска спам-кампаний, в основном используя корпоративные сети в качестве распределенной вычислительной инфраструктуры для получения прибыли. Тем не менее, группа через несколько недель возвращается на те же машины, чтобы установить вымогателей.

Группа выполняет те же самые общие действия для доставки полезной нагрузки вымогателей:

        Размещает вредоносный файл HTA (во многих случаях hta) с использованием различных точек расширяемости автозапуска (ASEPs), но часто с ключами запуска реестра или папкой автозагрузки.
        Удаляет локальные резервные копии, чтобы предотвратить восстановление выкупленных файлов.
        Останавливает активные службы, которые могут мешать шифрованию.

[IMG WIDTH=379 HEIGHT=653]https://chklst.ru/uploads/editor/p8/u3j300x8e828.png[/IMG]

PARINACOTA регулярно использует криптомайнеры Monero на взломанных машинах, что позволяет им получать равномерную прибыль независимо от типа машины, к которой они обращаются.

https://www.microsoft.com/security/blog/2020/03/05/human-operated-ransomware-attacks-a-preventable-disaster/
Файлы зашифрованы с расширением .ms13; .carcn; .btix; .gate; .love; .LDPR; .FREDD; .txt; .video; .wal; .MERS; .bat; .qbix; .aa1; .qbtex; .yG; .drweb; .plut; .jack; .DDOS; .cry; .4k; .TOR13; .good; .qbx; .beets; .zoh; .harma; .BSC; .kjh; .html; .HACK; .0da, Filecoder.Crysis / Encoder.3953 /Ransom.Win32.Crusis; r/n: info.hta
Юрий,
добавьте образ автозапуска из зашифрованной системы,
возможно файлы шифратора еще активны в данной системе,
+
добавьте несколько зашифрованных файлов в архиве,
судя по заголовку зашифрованного файла у вас здесь двойное шифрование *.odveta + *.harma
+
судя по этой теме
https://forum.kasperskyclub.ru/index.php?showtopic=64879
помощь в очистке системы вам уже оказана хелперами на форуме kasperskyclub

по расшифровке помочь вам не сможем, нет расшифровки по odveta и harma

восстановить документы возможно лишь из надежных бэкапов.
ESET Smart Security и Acronis True Image Home, Конфликт?
попробуйте добавить Acronis в исключенные приложения в настройках "Интернет и электронная почта" --- фильтрация протоколов -- исключенные приложения.
[ Закрыто] Ошибка MS 1303 вызвана вредоносными программами. Помогите!, Не могу установить антивирус
в данном случае, когда остались только хвосты от майнера, а в образе автозапуска практически нет информации о нем после предварительной зачистки вирусни,
больше пользы было от логов FRST
а именно:
[QUOTE]2020-03-08 16:34 - 2020-03-08 16:34 - 000000000 __SHD C:\Users\Все пользователи\Norton
2020-03-08 16:34 - 2020-03-08 16:34 - 000000000 __SHD C:\Users\Все пользователи\McAfee
2020-03-08 16:34 - 2020-03-08 16:34 - 000000000 __SHD C:\Users\Все пользователи\Kaspersky Lab Setup Files
2020-03-08 16:34 - 2020-03-08 16:34 - 000000000 __SHD C:\Users\Все пользователи\Kaspersky Lab
2020-03-08 16:34 - 2020-03-08 16:34 - 000000000 __SHD C:\Users\Все пользователи\grizzly
2020-03-08 16:34 - 2020-03-08 16:34 - 000000000 __SHD C:\Users\Все пользователи\ESET
2020-03-08 16:34 - 2020-03-08 16:34 - 000000000 __SHD C:\Users\Все пользователи\360safe
2020-03-08 16:34 - 2020-03-08 16:34 - 000000000 __SHD C:\ProgramData\RunDLL
2020-03-08 16:34 - 2020-03-08 16:34 - 000000000 __SHD C:\ProgramData\Norton
2020-03-08 16:34 - 2020-03-08 16:34 - 000000000 __SHD C:\ProgramData\McAfee
2020-03-08 16:34 - 2020-03-08 16:34 - 000000000 __SHD C:\ProgramData\Kaspersky Lab Setup Files
2020-03-08 16:34 - 2020-03-08 16:34 - 000000000 __SHD C:\ProgramData\Kaspersky Lab
2020-03-08 16:34 - 2020-03-08 16:34 - 000000000 __SHD C:\ProgramData\grizzly
2020-03-08 16:34 - 2020-03-08 16:34 - 000000000 __SHD C:\ProgramData\ESET
2020-03-08 16:34 - 2020-03-08 16:34 - 000000000 __SHD C:\ProgramData\360safe
2020-03-08 16:34 - 2020-03-08 16:34 - 000000000 __SHD C:\Program Files\Kaspersky Lab
2020-03-08 16:34 - 2020-03-08 16:34 - 000000000 __SHD C:\Program Files\ESET
2020-03-08 16:34 - 2020-03-08 16:34 - 000000000 __SHD C:\Program Files\COMODO
2020-03-08 16:34 - 2020-03-08 16:34 - 000000000 __SHD C:\Program Files\Common Files\McAfee
2020-03-08 16:34 - 2020-03-08 16:34 - 000000000 __SHD C:\Program Files\Cezurity
2020-03-08 16:34 - 2020-03-08 16:34 - 000000000 __SHD C:\Program Files\ByteFence
2020-03-08 16:34 - 2020-03-08 16:34 - 000000000 __SHD C:\Program Files\AVG
2020-03-08 16:34 - 2020-03-08 16:34 - 000000000 __SHD C:\Program Files (x86)\Panda Security
2020-03-08 16:34 - 2020-03-08 16:34 - 000000000 __SHD C:\Program Files (x86)\Microsoft JDX
2020-03-08 16:34 - 2020-03-08 16:34 - 000000000 __SHD C:\Program Files (x86)\Kaspersky Lab
2020-03-08 16:34 - 2020-03-08 16:34 - 000000000 __SHD C:\Program Files (x86)\GRIZZLY Antivirus
2020-03-08 16:34 - 2020-03-08 16:34 - 000000000 __SHD C:\Program Files (x86)\Cezurity
2020-03-08 16:34 - 2020-03-08 16:34 - 000000000 __SHD C:\Program Files (x86)\AVG
2020-03-08 16:34 - 2020-03-08 16:34 - 000000000 __SHD C:\Program Files (x86)\AVAST Software
2020-03-08 16:34 - 2020-03-08 16:34 - 000000000 __SHD C:\Program Files (x86)\360
2020-03-08 16:34 - 2020-03-08 16:34 - 000000000 __SHD C:\KVRT_Data

[/QUOTE]
что можно интерпретировать как
пустые каталоги, без файлов, с атрибутами SH
R - Атрибут "Только чтение".
A - Атрибут "Архивный".
S - Атрибут "Системный".
H - Атрибут "Скрытый".
[ Закрыто] Ошибка MS 1303 вызвана вредоносными программами. Помогите!, Не могу установить антивирус
Есть у вас предположение, откуда возникло заражение в системе?
[ Закрыто] Ошибка MS 1303 вызвана вредоносными программами. Помогите!, Не могу установить антивирус
Не с этой ли программой прилетел вам майнер?
NitroSense Service
Есть у вас предположение, откуда возникло заражение в системе?