Microsoft Security Bulletin MS17-010 - Critical
Security Update for Microsoft Windows SMB Server (4013389)

Published: March 14, 2017

https://technet.microsoft.com/en-us/library/security/ms17-010.aspx

[QUOTE]Vladyslav Borets написал:
Ну это только способ доставки, а само исполнение?

P.S. Нашел.. вчера добавили :-)[/QUOTE]
ну, так он (файл шифратора) вчера и родился на свет. А если хочется проверить будет ли блокироваться угроза при запуске в системе,
так сделайте разрешение. в следующий раз. :).

в данном случае ESS 10 (10.0.386.0 ) отбил атаку.

[IMG WIDTH=460 HEIGHT=476]https://forum.esetnod32.ru/bitrix/components/bitrix/forum.interface/show_file.php?fid=99641&width=500&height=500[/IMG]

https://forum.esetnod32.ru/forum6/topic14012/

@Алексей Папулов,
добавьте образ автозапуска системы

+
как одна из временных мер по блокированию запуска файлов шифратора.

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
[code]

;uVS v4.0.2 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
OFFSGNSAVE
bp C:\WINDOWS\MSSECSVC.EXE
bl DB349B97C37D22F5EA1D1841E3C89EB4 3723264
bp C:\PROGRAMDATA\*\TASKSCHE.EXE
bl 84C82835A5D21BBCF75A61706D8AB549 3514368
bp C:\Users\*\DESKTOP\@[email protected]
bl 7BF2B57F2A205768755C07F238FB32CC 245760
restart
[/code]
перезагрузка, пишем о старых и новых проблемах.
------------

+
рекомендации:

[QUOTE]Смягчение последствий и профилактика
Организации, стремящиеся снизить риск стать жертвой взлома, должны следовать следующим рекомендациям:

   Убедитесь, что все системы на основе Windows полностью исправлены. Как минимум, убедитесь, что бюллетень Microsoft MS17-010 был применен.
   В соответствии с известными рекомендациями любая организация, которая имеет SMB, публично доступную через Интернет (порты 139, 445), должна немедленно блокировать входящий трафик.


Кроме того, организациям следует серьезно рассмотреть возможность блокировки соединений с узлами TOR и TOR-трафиком в сети. Известные узлы выхода TOR перечислены в фиде Security Intelligence устройств ASA Firepower. Включение этого параметра в черный список предотвратит исходящую связь с сетями TOR.

В дополнение к перечисленным выше смягчениям, Talos настоятельно рекомендует организациям использовать следующие рекомендуемые в отрасли стандарты для предотвращения атак и кампаний, подобных этому и аналогичным.

   Убедитесь, что в вашей организации активно поддерживается операционная система, которая получает обновления безопасности.
   Эффективное управление исправлениями, которое своевременно развертывает обновления безопасности для конечных точек и других важных компонентов вашей инфраструктуры.
   Запускайте антивирусное программное обеспечение в своей системе и регулярно получайте обновления сигнатур вредоносных программ.
   Внедрить план аварийного восстановления, который включает резервное копирование и восстановление данных с устройств, которые хранятся в автономном режиме. Противники часто нацеливаются на механизмы резервного копирования, чтобы ограничить возможности, которые пользователь может восстановить свои файлы, не заплатив выкуп.[/QUOTE]

http://blog.talosintelligence.com/2017/05/wannacry.html

Дмитрий Логачев,
добавьте образ автозапуска системы.
желательно это сделать или из безопасного режима системы, или из под загрузочного диска winpe
(избавиться просто - просто не платите деньги, а зашифрованные документы восстановите из бэкапов + установите все выпущенные обновления по безопасности системы + установите надежную защиту системы антивирусным продуктом класса Endpoint Suite/Smart Security)

[QUOTE]Дмитрий написал:
От себя добавлю, что Вам повезло, не стоял бы смарт, уже бы писали запрос на расшифровку файлов... :)
Блокируйте далее.

Настоятельно рекомендую установить все важные и критические обновления для ОС, после очистки системы.

Спасибо.[/QUOTE]
угу, теперь через обнаруженные уязвимости полетели уже не майнеры, а шифраторы, в частности  WannaDecryptor
https://www.bleepingcomputer.com/news/security/wana-decrypt0r-ransomware-using-nsa-exploit-leaked-by-shadow-brokers-is-on-a-rampage/
---------
как говорится, жить стало не лучше, но веселей.

лог FRST переделайте

далее,
3.сделайте проверку в АдвКлинере
http://forum.esetnod32.ru/forum9/topic7084/

*****
4.в АдвКлинере, после завершения проверки,
в секции [b]Папки[/b] снимите галки с записей mail.ru, yandex (если есть такие)
остальное удалите по кнопке [b]Очистить[/b]
далее,

5.сделайте проверку в FRST
http://forum.esetnod32.ru/forum9/topic2798/