Наш форум переведен в режим работы "только для чтения", публикация новых тем и сообщений недоступна. Мы искренне благодарны вам за то, что были с нами, но пришло время двигаться дальше. После официального ухода компании ESET с российского рынка мы приступили к разработке новых продуктов вместе с новыми партнёрами. Приглашаем вас присоединиться к нашему новому форуму PRO32.
Мы более не являемся эксклюзивным дистрибьютором программных продуктов словацкого разработчика ESET в России, Республике Беларусь, Казахстане, Азербайджане, Узбекистане, Кыргызстане, Таджикистане, Туркменистане, Молдове, Грузии и Армении.
Купить и продлить лицензии ESET на нашем сайте больше нельзя.
Предлагаем вам попробовать новые продукты компании PRO32.
PRO32 — это технологичные решения, надежная защита от киберугроз и максимальная производительность устройств. Для действующих клиентов ESET мы предлагаем промокод на скидку в размере 15% — ESET15. Скопируйте его и после добавления товара в корзину, не забудьте его применить в корзине.
еще один свежий вид шифратора. судя по тексту, слегка модифицированный вариант с * т.е. Trojan.Encoder.741/по классификации ДрВеб/ судя по исполняемому файлу из автозапуска - он же
по очистке системы 1. выполняем скрипт в uVS: - скопировать содержимое кода в буфер обмена; - стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена; - закрываем все браузеры перед выполнением скрипта; при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
Код
;uVS v3.85.3 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v385c
OFFSGNSAVE
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\АДМИНИСТРАТОР\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\АРХИВНАЯ ДОКУМЕНТАЦИЯ О ПРИВЛЕЧЕНИИ В КАЧЕСТВЕ СВИДЕТЕЛЯ ПО ГРАЖДАНСКОМУ ДЕЛУ №673265.EXE
addsgn 1A58D19A5583C58CF42B627DA804DEC9E94677A2ADF69434A1C7406E24BF428CA953E75FBA95E85FAA7A049F46163BF4FEE2E8370CDAB058289EB288C70675F8 8 Win32/Filecoder.CQ [ESET-NOD32]
;------------------------autoscript---------------------------
chklst
delvir
delnfr
;-------------------------------------------------------------
czoo
restart
перезагрузка, пишем о старых и новых проблемах. архив из каталога uVS (по формату: ZOO_2012-12-31_23-59-59.rar/7z) отправить в почту , ------------ 2. по расшифровке данных напишите сообщение в добавьте в сообщение несколько зашифрованных файлов, а так же архив ZOO + можно указать ссылку на эту тему
Filecoder.CQ/Ransom.Win32.Cryakl.be/Trojan.Encoder.567 скачивается скорее всего из сети (в виде архива с исполняемым файлом) по ссылке из почты. к имени зашифрованного документа добавлено id-{SXDJPVBHMSYDJPVAGMRXCINTZFKQWBHNTYEK-28.01.2015 13@18@508370589} где id-{SXDJPVBHMSYDJPVAGMRXCINTZFKQWBHNTYEK-28.01.2015 13@18@508370589} - уникальный идентификатор для текущего процесса шифрования.
в автозапуск прописан winrar.exe, и детектируется т.о. (тот вариант что был использован для теста)
Цитата
Полное имя C:\PROGRAM FILES\TEMP\WINRAR.EXE Удовлетворяет критериям CURRENTVERSION.RUN (ССЫЛКА ~ \CURRENTVERSION\RUN\)(1) AND (ЦИФР. ПОДПИСЬ !~ ДЕЙСТВИТЕЛЬНА)(1) Процесс создан 13:18:49 [2015.01.28] С момента создания 00:01:07 parentid = 952 C:\PROGRAM FILES\TEMP\WINRAR.EXE SHA1 24C94F1F8256A2A6FB8AE70BFFC794898459262F MD5 2A65F147BED3039E64F1A2B09F18A9AB Ссылки на объект Ссылка HKLM\Software\Microsoft\Windows\CurrentVersion\Run\progrmma progrmma C:\Program Files\temp\WINRAR.EXE Ссылка HKEY_USERS\S-1-5-21-2052111302-1383384898-682003330-1003\Software\Microsoft\Windows\ShellNoRoam\MUICache\C:\PROGRAM FILES\TEMP\WINRAR.EXE Образы EXE и DLL WINRAR.EXE C:\PROGRAM FILES\TEMP WINRAR.EXE C:\PROGRAM FILES\TEMP
процесс шифрования завершается красочным банером вместо обоев системы.
выполняем скрипт в uVS: - скопировать содержимое кода в буфер обмена; - стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена; - закрываем все браузеры перед выполнением скрипта; при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
, дешифратора для данного типа еще нет. поэтому ничего и не расшифровывается. напишите в , опишите проблему, добавьте несколько зашифрованных файлов возможно решение будет найдено
