файлы зашифрованы в Cryakl CL 0.1..-1.3.. , Filecoder.EQ/Encoder.567/Cryakl

RSS

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 17.07.2015 16:04:42

+ этот файл еще проверьте

Цитата
C:\DOCUMENTS AND SETTINGS\HIMKI\МОИ ДОКУМЕНТЫ\144109.DEVID.INFO.EXE

[ Как создать образ автозапуска? ]

Ответы

Пред. 1 2 3 4 5 6 ... 72 След.

Сообщений: 3

Баллов: 1

Регистрация: 05.08.2015

Размещено 06.08.2015 09:44:40

Доброго времени суток! Один из пользователей схватил свежую версию Eric.Decoder.
Зловред приходит по "мылу" с темой "карточка предприятия" в теге From указано "ОАО Кар-Нэт [mailto:[email protected]]".
В письме вложение "карточка преприятия.rar", в котором запакован одноимённый екзешник.
Если у кого-то есть наработки в данном направлении, прошу помощи. В техпом уже написали, но мало ли, у кого-то уже есть решение...
В архиве *.7z находится uVS-образ автозагрузки инфицированной системы.
В архиве Crypted.rar запакованы образцы зашифрованных файлов и их исходных версий.
В архиве Filecoder.rar - сам зловред, пароль infected.
Спасибо...
зашифровано с расширением [email protected]* , *cbf

Прикрепленные файлы

C40769_2015-08-05_13-12-52.7z (353.6 КБ)
Filecoder.rar (387.78 КБ)
Crypted.rar (3.01 МБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 06.08.2015 10:27:39

1. по очистке системы от шифраторов (он все еще в автозапуске)

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.86.2 [http://dsrt.dyndns.org] ;Target OS: NTv5.1 v385c OFFSGNSAVE addsgn 9A6447DA5582A28DF42BAEB164C81205158AFCF6D9FA1F78C5C3C5BCB437FB4985C38411ACEDA1C61B096814461649FA7DDFE97255DABB2C6C77262FB46E4318 8 Win32/Filecoder.EQ [ESET-NOD32] zoo %SystemDrive%\PROGRAM FILES\1C\КАРТОЧКА ПРЕДПРИЯТИЯ.EXE zoo %SystemDrive%\TMP\7ZO77.TMP\КАРТОЧКА ПРЕДПРИЯТИЯ.EXE ;------------------------autoscript--------------------------- chklst delvir deltmp delnfr ;------------------------------------------------------------- restart

Код


;uVS v3.86.2 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v385c
OFFSGNSAVE
addsgn 9A6447DA5582A28DF42BAEB164C81205158AFCF6D9FA1F78C5C3C5BCB437FB4985C38411ACEDA1C61B096814461649FA7DDFE97255DABB2C6C77262FB46E4318 8 Win32/Filecoder.EQ [ESET-NOD32]

zoo %SystemDrive%\PROGRAM FILES\1C\КАРТОЧКА ПРЕДПРИЯТИЯ.EXE
zoo %SystemDrive%\TMP\7ZO77.TMP\КАРТОЧКА ПРЕДПРИЯТИЯ.EXE
;------------------------autoscript---------------------------

chklst
delvir

deltmp
delnfr
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
------------

2. по расшифровке документов напишите в [email protected] при наличии лицензии на антивирус ESET

[ Как создать образ автозапуска? ]

Сообщений: 3

Баллов: 1

Регистрация: 05.08.2015

Размещено 06.08.2015 10:35:26

Спасибо!

Сообщений: 3

Баллов: 1

Регистрация: 06.08.2015

Размещено 06.08.2015 15:16:47

По электронке пришло письмо с вложением, открыли вложение и вирус зашифровал файлы, которые были названы на англ. в [email protected]-CL 1.0.0.0.id-PQRSTTUUVWXXYYZZABBCCDDEFFGHHHIJJKLL-29.05.2015 9@[email protected], [email protected] 1.0.0.0.id-PQRSTTUUVWXXYYZZABBCCDDEFFGHHHIJJKLL-29.05.2015 9@[email protected] и тд.

После полной проверки антивирус NOD32 поместил в карантин 18 файлов с разными троянами.

Прикрепленные файлы

Скрин Карантина nod32.jpg (186.37 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 06.08.2015 15:48:21

добавьте образ автозапуска
http://forum.esetnod32.ru/forum9/topic2687/

[ Как создать образ автозапуска? ]

Сообщений: 3

Баллов: 1

Регистрация: 06.08.2015

Размещено 06.08.2015 16:08:04

Образ автозапуска

Прикрепленные файлы

igor_2015-08-06_16-00-16.rar (703.8 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 06.08.2015 16:31:32

образ чистый

дата системная не сбита на компе?
судя по наименованию шифрование произошло еще в мае,

Цитата
29.05.2015

на тот момент, скорее всего еще не было версии CL 1.0.0.0

по расшифровке данных при наличие лицензии обратитесь за помощью в тех.поддержку
[email protected]
при наличии лицензии на антивирус ESET

[ Как создать образ автозапуска? ]

Сообщений: 3

Баллов: 1

Регистрация: 06.08.2015

Размещено 06.08.2015 16:45:21

Нет, с датой всё нормально. Заражение и шифрование произошло 22 июля

Сообщений: 1

Регистрация: 10.08.2015

Размещено 10.08.2015 13:26:14

Доброго дня! Прошу прощения, что пишу в чужой теме. Аналогичная ситуация, из почты запустили зараженный файл. Шифровальщик отработал (на ПК обнаружил два зараженных файла договор.exe, карточка предприятия.exe) зашифрованные файлы получились с именами [email protected] 1.1.0.0...., [email protected] 1.1.0.0.... Реально ли расшифровать? Пользователем ESET не являюсь, но готов им стать.

Сообщений: 3

Баллов: 1

Регистрация: 05.08.2015

Размещено 10.08.2015 13:31:13

На данный момент дешифровать файлы невозможно. Единственный способ борьбы, кроме актуальных сигнатур (что не всегда является панацеей), - бекап критически важных данных.

Пред. 1 2 3 4 5 6 ... 72 След.

файлы зашифрованы в Cryakl CL 0.1.*.*-1.3.*.* , Filecoder.EQ/Encoder.567/Cryakl

Ответы

файлы зашифрованы в Cryakl CL 0.1..-1.3.. , Filecoder.EQ/Encoder.567/Cryakl