santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

Шифровирусы шумной толпою

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 05.05.2016 07:35:46

похоже, новый шифратор *.enigma использует в качестве вредоносного вложения html файл, при запуске которого извлекается js скрипт. js предлагается открыть из папки "загрузки".
т.е. процесс получения сообщения в электронной почте завершается шифрованием документов, то пользователь не иначе как пребывает в состоянии гипнотического сна.

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы с расширением *.enigma; *.1txt, enigma /Supported file extensions : .enigma, .{number}.enigma, .1txt/

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 05.05.2016 07:27:34

имею ввиду, ключ автозапуска, в который прописан был запуск исполняемого тела шифратора 3B788CD6389FAA6A3D14C17153F5CE86.EXE.
полный путь на этот файл не указан в реестре, возможно ошибка вирусописателей, по идее после перезагрузки, это тело уже не запустится,

вот этот ключ в реестре

Цитата
Полное имя 3B788CD6389FAA6A3D14C17153F5CE86.EXE Имя файла 3B788CD6389FAA6A3D14C17153F5CE86.EXE Тек. статус ?ВИРУС? ПОДОЗРИТЕЛЬНЫЙ в автозапуске Удовлетворяет критериям RUN (ССЫЛКА ~ \CURRENTVERSION\RUN\)(1) AND (ЦИФР. ПОДПИСЬ !~ ДЕЙСТВИТЕЛЬНА)(1) [auto (0)] Сохраненная информация на момент создания образа Статус в автозапуске Ссылки на объект Ссылка HKLM\mwgwfxopw\Software\Microsoft\Windows\CurrentVersion\Run\MyProgram MyProgram 3b788cd6389faa6a3d14c17153f5ce86.exe

Цитата

Полное имя 3B788CD6389FAA6A3D14C17153F5CE86.EXE
Имя файла 3B788CD6389FAA6A3D14C17153F5CE86.EXE
Тек. статус ?ВИРУС? ПОДОЗРИТЕЛЬНЫЙ в автозапуске

Удовлетворяет критериям
RUN (ССЫЛКА ~ \CURRENTVERSION\RUN\)(1) AND (ЦИФР. ПОДПИСЬ !~ ДЕЙСТВИТЕЛЬНА)(1) [auto (0)]

Сохраненная информация на момент создания образа
Статус в автозапуске

Ссылки на объект
Ссылка HKLM\mwgwfxopw\Software\Microsoft\Windows\CurrentVersion\Run\MyProgram
MyProgram 3b788cd6389faa6a3d14c17153f5ce86.exe

------------------
вообще можно с winpe&uVS поработать, тогда могу переписать скрипт, и выдать его вам в виде файла.

+
судя по зашифрованным файлам - последние 16 байт одинаковы у всех файлов в каждом случае шифрования.

Изменено: santy - 05.05.2016 09:53:02

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы с расширением *.enigma; *.1txt, enigma /Supported file extensions : .enigma, .{number}.enigma, .1txt/

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 05.05.2016 07:05:58

по очистке системы выполните скрипт
(остался еще ключ шифратора в автозапуске, хотя сам файл видимо удален уже)

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.87.2 [http://dsrt.dyndns.org] ;Target OS: NTv6.2 v385c OFFSGNSAVE ;------------------------autoscript--------------------------- chklst delvir delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DIIFCHHFNNM... delref 3B788CD6389FAA6A3D14C17153F5CE86.EXE ; McAfee Security Scan Plus exec C:\Program Files\McAfee Security Scan\uninstall.exe deltmp delnfr ;------------------------------------------------------------- restart

Код

;uVS v3.87.2 [http://dsrt.dyndns.org]
;Target OS: NTv6.2
v385c
OFFSGNSAVE
;------------------------autoscript---------------------------

chklst
delvir

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DIIFCHHFNNM...

delref 3B788CD6389FAA6A3D14C17153F5CE86.EXE

; McAfee Security Scan Plus
exec C:\Program Files\McAfee Security Scan\uninstall.exe
deltmp
delnfr
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
------------

по расшифровке документов напишите в [email protected], тем более, что у вас наверняка корпоративный ESET Endpoit установлен.

Изменено: santy - 05.05.2016 07:06:29

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы с расширением *.enigma; *.1txt, enigma /Supported file extensions : .enigma, .{number}.enigma, .1txt/

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 05.05.2016 06:38:03

Цитата
Антон Власов написал: Отправил вложение в архиве с паролем infected+

спасибо, уже посмотрел на VM, как это работает
желательно все таки проверить образ автозапуска компа, с которого был запуск скрипта.

и при наличие лицензии на антивирус ESET отправить архив с вложением в техподдержку [email protected] для анализа шифратора, и возможности расшифровки файлов.

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы с расширением *.enigma; *.1txt, enigma /Supported file extensions : .enigma, .{number}.enigma, .1txt/

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 05.05.2016 06:35:06

как минимум, надо проводить работу с сотрудниками (ликбез по безопасности), чтобы не доступали таких вещей:
запускаем вложение из почты в формате html, сохраняем исполняемый файл *.js, и затем запускаем скаченный файл.

воистину, народ вообще не имеет представление о расширениях файлов, для них существует только название документа.

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы с расширением *.enigma; *.1txt, enigma /Supported file extensions : .enigma, .{number}.enigma, .1txt/

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 05.05.2016 06:11:31

т.е. исходное вложение в сообщении было в формате html?

(по поводу детектирования шифратора как coverton, возможно здесь может быть и совпадение расширений зашифрованных файлов)

Изменено: santy - 05.05.2016 06:13:45

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы с расширением *.enigma; *.1txt, enigma /Supported file extensions : .enigma, .{number}.enigma, .1txt/

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 05.05.2016 05:33:43

Антон, судя по детектированию зашифрованного файла, расширению и записке о выкупе (в ID Ransomware) - это новый шифратор coverton

Цитата
Этот вымогатель еще пока изучается. Изучите топик для дополнительной информации. Образцы зашифрованных и подозрительных файлов понадобятся для дальнейшего изучения. Опознан как ransomnote_filename: enigma_encr.txt sample_extension: .enigma Для этого вымогателя пока нет способа дешифровки данных. Сделайте бэкап зашифрованных файлов, может в будущем будет дешифровщик. Опознан как sample_extension: .enigma Кликните тут для подробностей о Coverton

Цитата

Этот вымогатель еще пока изучается.

Изучите топик для дополнительной информации. Образцы зашифрованных и подозрительных файлов понадобятся для дальнейшего изучения. Опознан как

ransomnote_filename: enigma_encr.txt
sample_extension: .enigma

Для этого вымогателя пока нет способа дешифровки данных.

Сделайте бэкап зашифрованных файлов, может в будущем будет дешифровщик. Опознан как

sample_extension: .enigma

Кликните тут для подробностей о Coverton

детект исполняемого файла здесь
https://www.virustotal.com/ru/file/2ff9c98d49fa495842de6fd4e6300b756558a7dd6fbb9c0b00d3a4875a75c686/...

если сохранилось письмо с вредоносным скриптом - перешлите в почту [email protected] с паролем infected
+
если локализован комп, на котором был запущен шифратор, добавьте образ автозапуска системы.

Изменено: santy - 05.05.2016 05:51:31

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Обнаружена угроза - hosts, Win32/Qhost троянская программа

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 05.05.2016 05:24:34

@Dodger,
добавьте образ автозапуска системы.
как это сделать - смотрите в инструкции из подписи.

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы в Cryakl CL 0.1.*.*-1.3.*.*, Filecoder.EQ/Encoder.567/Cryakl

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 04.05.2016 15:32:23

Михаил,
добавьте образ автозапуска системы, где было запущено шифрование. (возможно, шифратор до сих пор в автозапуске)
если сохранилось в почте сообщение с вредоносным вложением,
пришлите в почту [email protected]
вложение можно добавить в архив с паролем infected

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Бета версии 10 -ого поколения продуктов ESET

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 04.05.2016 12:59:07

если это опция HIPS, то экспериментировать с тестами, думаю можно при отключенной защите файловой системы, главное, чтобы HIPS был включен.

[ Как создать образ автозапуска? ]

Перейти