santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

файлы зашифрованы с расширением .better_call_saul, .da_vinci_code, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: README*.txt

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 18.03.2016 07:42:08

Анна,
по очистке системы выполните

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.87 [http://dsrt.dyndns.org] ;Target OS: NTv6.3 v385c OFFSGNSAVE zoo %SystemDrive%\PROGRAMDATA\WINDOWS\CSRSS.EXE addsgn A7679BF0AA02F4264BD4C65F41881261848AFCF689AA7BF1A0C3C5BC50559D24704194DE5BBDAE92A2DD78F544E95C2ED89FE82BD6D790B16D775BACCA36BF33 8 Trojan.Encoder.4182 [DrWeb] zoo %SystemDrive%\USERS\АННА\APPDATA\LOCAL\ICRPSOFT\BD868312.EXE addsgn 7300F39B556A1F275DE775E6ED94361DE2CED8E6B96B5F780C9FE19C9692555803E8D6634E159D212A00849FB903FD8A3DDFBB8D4056C26C2D1DAD8C7F316073 8 Win32/Boaxxe.BR [ESET-NOD32] addsgn A7679BF0AA0234984BD4C659D2881261848AFCF689AA7BF1A0C3C5BC50559D24704194DE5BB1AE92A2DD78F544E95C526A9EE82BD6D720246C775BACCAA62A32 8 better_cal_sou zoo %SystemDrive%\USERS\АННА\APPDATA\LOCAL\TEMP\5759AB69.EXE ;------------------------autoscript--------------------------- chklst delvir delref %SystemDrive%\USERS\АННА\APPDATA\LOCAL\ITQWSOFT\DCBMOWHM.DLL delref %SystemDrive%\USERS\АННА\APPDATA\LOCAL\ICRPSOFT\DCWVOCKG.DLL deltmp delnfr ;------------------------------------------------------------- czoo restart

Код


;uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv6.3
v385c
OFFSGNSAVE
zoo %SystemDrive%\PROGRAMDATA\WINDOWS\CSRSS.EXE
addsgn A7679BF0AA02F4264BD4C65F41881261848AFCF689AA7BF1A0C3C5BC50559D24704194DE5BBDAE92A2DD78F544E95C2ED89FE82BD6D790B16D775BACCA36BF33 8 Trojan.Encoder.4182 [DrWeb]

zoo %SystemDrive%\USERS\АННА\APPDATA\LOCAL\ICRPSOFT\BD868312.EXE
addsgn 7300F39B556A1F275DE775E6ED94361DE2CED8E6B96B5F780C9FE19C9692555803E8D6634E159D212A00849FB903FD8A3DDFBB8D4056C26C2D1DAD8C7F316073 8 Win32/Boaxxe.BR [ESET-NOD32]

addsgn A7679BF0AA0234984BD4C659D2881261848AFCF689AA7BF1A0C3C5BC50559D24704194DE5BB1AE92A2DD78F544E95C526A9EE82BD6D720246C775BACCAA62A32 8 better_cal_sou

zoo %SystemDrive%\USERS\АННА\APPDATA\LOCAL\TEMP\5759AB69.EXE
;------------------------autoscript---------------------------

chklst
delvir

delref %SystemDrive%\USERS\АННА\APPDATA\LOCAL\ITQWSOFT\DCBMOWHM.DLL

delref %SystemDrive%\USERS\АННА\APPDATA\LOCAL\ICRPSOFT\DCWVOCKG.DLL

deltmp
delnfr
;-------------------------------------------------------------

czoo
restart

перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS (по формату: ZOO_2012-12-31_23-59-59.rar/7z) отправить в почту [email protected]
------------

расшифровки по данному шифратору нет.
проверяйте теневые копии, или пробуйте восстановление удаленных файлов с помощью R-studio, Recula, testdisk, GetDataback

---------
на будушее,
как минимум, настройте вашу работу под обычным пользователем, без прав администратора.
по крайней мере в этом случае теневые копии останутся живыми.
если опять откроете шифратор.

Изменено: santy - 30.06.2017 11:38:44

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы с расширением .better_call_saul, .da_vinci_code, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: README*.txt

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 17.03.2016 17:14:04

Цитата
Глеб Глеб написал: После скрипта получилось автозагрузка http://rghost.ru/8K2Tf4mNF У меня тоже в почте есть этот вирус...

перешлите в почту [email protected] в архиве с паролем infected

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы с расширением .better_call_saul, .da_vinci_code, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: README*.txt

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 17.03.2016 17:10:33

Цитата
Глеб Глеб написал: После скрипта получилось автозагрузка http://rghost.ru/8K2Tf4mNF У меня тоже в почте есть этот вирус...

теперь чисто.

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы с расширением .better_call_saul, .da_vinci_code, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: README*.txt

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 17.03.2016 17:07:22

Цитата
Вадим Вадим написал: http://rghost.ru/8hcG6mMbV

здесь похоже левый прокси добавлен

Полное имя HTTPS://LAREVANTE.COM/7SSWIPC/95S84.EUP
Имя файла HTTPS://LAREVANTE.COM/7SSWIPC/95S84.EUP
Тек. статус ?ВИРУС? ПОДОЗРИТЕЛЬНЫЙ в автозапуске

Удовлетворяет критериям
AUTOCONFIGURL (ССЫЛКА ~ AUTOCONFIGURL)(1) AND (AUTOCONFIGURL ~ HTTP)(1) [auto (0)]

Сохраненная информация на момент создания образа
Статус ПОДОЗРИТЕЛЬНЫЙ в автозапуске

Статус ПОДОЗРИТЕЛЬНЫЙ ОБЪЕКТ

Ссылки на объект
Ссылка HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\AutoConfigURL
AutoConfigURL https://larevante.com/7SSwIPC/95S84.eup

Ссылка HKEY_USERS\S-1-5-21-1343024091-2049760794-1801674531-1003\Software\Microsoft\Windows\CurrentVersion\Internet Settings\AutoConfigURL
AutoConfigURL https://larevante.com/7SSwIPC/95S84.eup

-------------
шифратора нет в автозапуске,

выполните скрипт по очистке системы

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.87 [http://dsrt.dyndns.org] ;Target OS: NTv5.1 v385c OFFSGNSAVE ;------------------------autoscript--------------------------- chklst delvir delref HTTPS://LAREVANTE.COM/7SSWIPC/95S84.EUP ; Java(TM) 6 Update 22 exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216022FF} /quiet deltmp delnfr ;------------------------------------------------------------- restart

Код


;uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v385c
OFFSGNSAVE
;------------------------autoscript---------------------------

chklst
delvir

delref HTTPS://LAREVANTE.COM/7SSWIPC/95S84.EUP

; Java(TM) 6 Update 22
exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216022FF} /quiet
deltmp
delnfr
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
------------

Изменено: santy - 30.06.2017 11:38:44

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы с расширением .better_call_saul, .da_vinci_code, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: README*.txt

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 17.03.2016 14:23:29

Вадим,
добавьте образ автозапуска,
возможно файл шифратора до сих пор в системе, и в автозапуске

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы с расширением .better_call_saul, .da_vinci_code, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: README*.txt

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 17.03.2016 14:00:01

Цитата
Анна Кодониди написал: такая же проблема, файлы переименовались точно также. во вложении образ автозапуска

добавьте образ автозапуска,
возможно файл шифратора до сих пор в системе, и в автозапуске

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы с расширением .better_call_saul, .da_vinci_code, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: README*.txt

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 17.03.2016 13:57:29

Глеб,
так и есть, файл шифратора до сих пор в автозапуске.
(%SystemDrive%\PROGRAMDATA\WINDOWS\CSRSS.EXE)

по настройкам антивируса: надо паролить доступ к настройкам.

по очистке системы выполните:

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.87 [http://dsrt.dyndns.org] ;Target OS: NTv6.1 v385c OFFSGNSAVE addsgn A7679BF0AA02F4264BD4C65F41881261848AFCF689AA7BF1A0C3C5BC50559D24704194DE5BBDAE92A2DD78F544E95C2ED89FE82BD6D790B16D775BACCA36BF33 8 Trojan.Encoder.4182 [DrWeb] zoo %SystemDrive%\PROGRAMDATA\WINDOWS\CSRSS.EXE ;------------------------autoscript--------------------------- chklst delvir delref %SystemDrive%\PROGRAM FILES (X86)\RCP\REGCLEANPRO.EXE del %SystemDrive%\PROGRAM FILES (X86)\RCP\REGCLEANPRO.EXE delref %SystemDrive%\PROGRA~2\OPTIMI~1\OPTPRO~1.DLL del %SystemDrive%\PROGRA~2\OPTIMI~1\OPTPRO~1.DLL delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DJDKIHDHLEGCDGGKNOKFEKOEMKJJNJHGI%26INSTALLSOURCE%3DONDEMAND%26UC delref %SystemDrive%\PROGRA~2\OPTIMI~1\OPTPRO~2.DLL del %SystemDrive%\PROGRA~2\OPTIMI~1\OPTPRO~2.DLL delref %SystemDrive%\USERS\ЮЛИЯ\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\JDKIHDHLEGCDGGKNOKFEKOEMKJJNJHGI\1.0.3_0\СТАРТОВАЯ — ЯНДЕКС delref %SystemDrive%\SYSTEMHOST\24FC2AE3658.EXE del %SystemDrive%\SYSTEMHOST\24FC2AE3658.EXE delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DFCFENMBOOJPJINHPGGGODEFCCIPIKBPD%26INSTALLSOURCE%3DONDEMAND%26UC delref %SystemDrive%\USERS\ЮЛИЯ\APPDATA\ROAMING\EHFEYD\VAAN.EXE del %SystemDrive%\USERS\ЮЛИЯ\APPDATA\ROAMING\EHFEYD\VAAN.EXE deldirex %SystemDrive%\PROGRAM FILES (X86)\OPTIMIZER PRO delref HTTP://QIP.RU/?UTM_SOURCE=QIP2012&UTM_MEDIUM=CPC&UTM_CAMPAIGN=QIP2012_START delref HTTP://SEARCH.QIP.RU deldirex %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\OPTIMIZER PRO V3.2 delref HTTP://WWW.QIP.RU/ regt 27 regt 28 regt 29 ; Java(TM) 6 Update 27 (64-bit) exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F86416027FF} /quiet exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216027FF} /quiet deltmp delnfr ;------------------------------------------------------------- czoo restart

Код


;uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
OFFSGNSAVE
addsgn A7679BF0AA02F4264BD4C65F41881261848AFCF689AA7BF1A0C3C5BC50559D24704194DE5BBDAE92A2DD78F544E95C2ED89FE82BD6D790B16D775BACCA36BF33 8 Trojan.Encoder.4182 [DrWeb]

zoo %SystemDrive%\PROGRAMDATA\WINDOWS\CSRSS.EXE
;------------------------autoscript---------------------------

chklst
delvir

delref %SystemDrive%\PROGRAM FILES (X86)\RCP\REGCLEANPRO.EXE
del %SystemDrive%\PROGRAM FILES (X86)\RCP\REGCLEANPRO.EXE

delref %SystemDrive%\PROGRA~2\OPTIMI~1\OPTPRO~1.DLL
del %SystemDrive%\PROGRA~2\OPTIMI~1\OPTPRO~1.DLL

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DJDKIHDHLEGCDGGKNOKFEKOEMKJJNJHGI%26INSTALLSOURCE%3DONDEMAND%26UC

delref %SystemDrive%\PROGRA~2\OPTIMI~1\OPTPRO~2.DLL
del %SystemDrive%\PROGRA~2\OPTIMI~1\OPTPRO~2.DLL

delref %SystemDrive%\USERS\ЮЛИЯ\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\JDKIHDHLEGCDGGKNOKFEKOEMKJJNJHGI\1.0.3_0\СТАРТОВАЯ — ЯНДЕКС
delref %SystemDrive%\SYSTEMHOST\24FC2AE3658.EXE
del %SystemDrive%\SYSTEMHOST\24FC2AE3658.EXE

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DFCFENMBOOJPJINHPGGGODEFCCIPIKBPD%26INSTALLSOURCE%3DONDEMAND%26UC

delref %SystemDrive%\USERS\ЮЛИЯ\APPDATA\ROAMING\EHFEYD\VAAN.EXE
del %SystemDrive%\USERS\ЮЛИЯ\APPDATA\ROAMING\EHFEYD\VAAN.EXE

deldirex %SystemDrive%\PROGRAM FILES (X86)\OPTIMIZER PRO

delref HTTP://QIP.RU/?UTM_SOURCE=QIP2012&UTM_MEDIUM=CPC&UTM_CAMPAIGN=QIP2012_START
delref HTTP://SEARCH.QIP.RU
deldirex %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\OPTIMIZER PRO V3.2

delref HTTP://WWW.QIP.RU/
regt 27
regt 28
regt 29
; Java(TM) 6 Update 27 (64-bit)
exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F86416027FF} /quiet
exec  MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216027FF} /quiet
deltmp
delnfr
;-------------------------------------------------------------

czoo
restart

перезагрузка, пишем о старых и новых проблемах.
------------

по расшифровке напишите в [email protected] при наличие лицензии на антивирус ESET

Изменено: santy - 30.06.2017 11:37:42

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы с расширением .better_call_saul, .da_vinci_code, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: README*.txt

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 17.03.2016 13:08:55

вообще, этот файл должен детектироваться нашим антивирусом как

Цитата
Date Received 2016-03-16 19:14:43 Date Occurred 2016-03-16 19:13:09 Level Warning Scanner POP3 filter Object email message Name from: **<[email protected]> to: ************ with subject doc dated Wed, 16 Mar 2016 16:11:16 +0300 » MME » schet1073.16.03.16.doc Threat Win32/Exploit.Agent.NKP trojan Action deleted Information Threat was detected upon receiving email by the application: C:\Program Files\Microsoft Office\Office14\OUTLOOK.EXE.

Цитата

Date Received 2016-03-16 19:14:43
Date Occurred 2016-03-16 19:13:09
Level Warning
Scanner POP3 filter
Object email message
Name from: ****<[email protected]> to: ************** with subject doc dated Wed, 16 Mar 2016 16:11:16 +0300 » MME » schet1073.16.03.16.doc
Threat Win32/Exploit.Agent.NKP trojan
Action deleted
Information Threat was detected upon receiving email by the application: C:\Program Files\Microsoft Office\Office14\OUTLOOK.EXE.

это вариант xtbl.
расшифровки по нему нет.
добавьте образ автозапуска системы, поскольку файлы шифратора могут остаться в автозапуске.
http://forum.esetnod32.ru/forum9/topic2687/

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы с расширением .better_call_saul, .da_vinci_code, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: README*.txt

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 17.03.2016 06:08:32

какой документ был во вложении электронного сообщения?
какое расширение у зашифрованных файлов?
xtbl? breaking_bad? .better_call_saul?

+
добавьте образ автозапуска системы,
возможно в системе (и в автозапуске) остались файлы шифратора

Изменено: santy - 30.06.2017 11:36:40

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы в Cryakl CL 0.1.*.*-1.3.*.*, Filecoder.EQ/Encoder.567/Cryakl

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 17.03.2016 06:04:40

вероятность решения проблемы с расшифровкой не зависит от того купите вы лицензию или нет.
Случаев зашифровки файлов этим шифратором предостаточно на форуме.

[ Как создать образ автозапуска? ]

Перейти