Уважаемые пользователи!

Поставщик ИТ-решений PRO32 сообщает вам, что после 17 лет сотрудничества мы более не являемся эксклюзивным дистрибьютором программных продуктов словацкого разработчика ESET в России, Республике Беларусь, Казахстане, Азербайджане, Узбекистане, Кыргызстане, Таджикистане, Туркменистане, Молдове, Грузии и Армении.

Купить и продлить лицензии ESET на нашем сайте больше нельзя.

Предлагаем вам попробовать новый антивирус от компании PRO32.

Продукты PRO32 — это технологичные решения, надежная защита от киберугроз и максимальная производительность устройств на Windows / Android.

Для действующих клиентов ESET мы предлагаем промокод на скидку в размере 15% — ESET15. Скопируйте его и после добавления товара в корзину, не забудьте его применить в корзине.

зашифровано в CTBlocker

RSS
Доброе время суток всем.
Ситуация такая как описано ниже. Поймали непонятное и файлы jpg, txt и далее были переименованы с расширением *.ctbl

Вот что нарыл на просторах инета. Взято с форума Касперского. Копирую автора почти полностью, т.к у меня ситуация 1 в 1 как описано ниже.
Ссылка на сайт откуда взята инфа:
http://forum.kaspersky.com/index.php?s=37f92b710fc36f24e1767a1820c9ac01&showtopic=299536&pid=2255970&st=0&#entry2255970

"Добрый день!

Это мой первый пост на этом форуме, поэтому, пожалуйста, поправьте меня, если я что-то предоставил не в том виде, или просто недописал. Постараюсь изложить поподробнее историю.

Поймали странный шифровальщик. После перезапуска системы часть файлов *.txt, *.doc, *.xls, *.xlsx, *.jpg, по традиции, оказались зашифрованными.
Никаких уведомлений, текстовых файлов, угроз и предложений не было обнаружено. Никаких писем и прочего не поступало.

К имени зашифрованного файла добавляется расширение *.ctbl
Размер файла примерно равен размеру оригинала.

Сам компьютер важно было продолжать использовать, поэтому пришлось удалить из реестра записи о запуске файлов. Сами подозрительные файлы сложил в отдельную папку.

При беглом поиске обнаружил несколько групп файлов.

Во-первых, был запущен некий странный процесс minerd.exe, что очень сильно напоминает троянца, который майнит всякие биткоины и прочее. Судя по всему, запускался он через какую-то сложную систему BAT-файлов, копируя себя и сопровождающие библиотеки в %AppData%\Microsoft\sys32, называясь driver.exe или drive.exe и прописываясь в автозагрузку через HKCU\...\Run. Также копия driver.exe шла в %ALLUSERSPROFILE%\Start Menu\Programs\Startup\.
При запуске системы это всё добро стартовало в 5-6 копий и висело в памяти.

Во-вторых, в %temp% лежал файл mslzxvvyt.exe. Сам файл был залочен, при этом handle.exe от Sysinternals затруднялся ответить, что же блочит этот файл. Пришлось грузиться в безопасном режиме, чтобы перенести его из %temp% в папку. Возможно, именно это и есть шифровальщик.

В-третьих, в %userprofile% лежал 37-мегабайтный скрытый hqxejuyz.exe, в котором видны повторяющиеся структуры данных и что-то про Symantec. Поскольку Symantec давно был удалён, и я не помню, чтобы он клал что-то прямо в папку пользователя, тоже отправил в ту же папку, на всякий случай.

В-четвёртых, в папке Windows\System32, а также в %temp% лежали целая куча exe-файлов вида run[7-8 цифр].exe размером ок. 680 кб.

Ну и, наконец, в %temp% был обнаружен wkjtqif.html, в котором в красивую аккуратную табличку белыми буквами на сером фоне были занесены имена некоторых пошифрованных файлов. Что характерно, в конце файла не закрыты теги </table></body></html>, то есть, возможно, генерация файла была прервана."
......................................................
У меня все тоже самое. Пользователь в панике, т.к "зашифрованы" почти все личные фотографии.
Что делать и как с этим бороться?
Благодарю за внимание.
Изменено: Danetak Danetak - 18.11.2016 07:29:55

Ответы

Пред. 1 ... 13 14 15 16 17 ... 22 След.
Мой шифратор CTB Locker
Прикрепляю отчет антивирусника
вап.jpg (43.32 КБ)
если есть возможность, скиньте в почту [email protected]

или в личные сообщения id и пароль в Тимвьювере для проверки возможности восстановления зашифрованных данных
Когда мне скинуть вам id и пароль в Тимвьювере?  
скиньте в личку или в почту [email protected]
когда будете на форуме
Добрый день!

Коллега поймал вирус, который зашифровал случайные  файлы, добавив к ним расширение kwcnqti. Запускал проверку Dr.Web CureIT! и антивирусом NOD32, вирус найден не был.
Прошу помочь, заранее спасибо!
шифратора сейчас нет в автозапуске.
точнее, он был, но сейчас уже удален.
Код
Полное имя                  C:\USERS\NIKONO~1\APPDATA\LOCAL\TEMP\MZAOSVK.EXE
Имя файла                   MZAOSVK.EXE
Тек. статус                 ПОДОЗРИТЕЛЬНЫЙ в автозапуске 
                            
Сохраненная информация      на момент создания образа
Статус                      ПОДОЗРИТЕЛЬНЫЙ в автозапуске 
Инф. о файле                Не удается найти указанный файл. 
Цифр. подпись               проверка не производилась
                            
Статус                      ПОДОЗРИТЕЛЬНЫЙ ОБЪЕКТ
Путь до файла               Типичен для вирусов и троянов
                            
Ссылки на объект            
Ссылка                      C:\WINDOWS\SYSTEM32\TASKS\NOSWWDG
                           
по зашифрованным файлам: скиньте в почту [email protected] id и пароль от Тимвьювера, проверю возможность восстановления данных по одному из методов.
Изменено: santy - 27.05.2016 16:08:19
Выслал данные
увы, надо все таки включать защиту диска, если размер диска позволяет. как видимо, в некоторых случаях без этих копий трудно восстановить данные.
http://chklst.ru/forum/discussion/1474/shifrovirusy-shumnoy-tolpoyu-#Item_2

выполните скрипт очистки системы от следов шифратора.

[SIZE="4"][COLOR="Red"]выполняем скрипт в uVS[/COLOR][/SIZE]
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.85.6 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
OFFSGNSAVE

delall %SystemDrive%\USERS\NIKONO~1\APPDATA\LOCAL\TEMP\MZAOSVK.EXE
restart

перезагрузка, пишем о старых и новых проблемах.
----------
Изменено: santy - 27.05.2016 16:08:19
Добрый день.
Через почту на две машины у заказчиков залез win32/filecoder (ctb-locker)
У кого есть предложение по расшифровке документов шеду копий нет Win XP sp3
Как вариант есть зашифрованный файл  и оригинальный.
Могу выслал
Пробовал разные дешифраторы одни при загрузке оригинального и зашифрованого файла показал ключ, но дальше дело не продвинулось....
Какие есть мысли?
если обе машины с XP, значит теневых копий нет. по ctb lock нет расшифровки,
остаются варианты: восстановить документы из архивных копий, если таковые есть
и
пробовать восстановить доки поиском удаленных файлов с помощью специализированных утилит.
Пред. 1 ... 13 14 15 16 17 ... 22 След.
Читают тему