Решена шифровальщик vault [Bat.Encoder]

Бабадук · 10 Апр 2015

Доброе время суток. 01.04.15 на почту пришло письмо от клиента с файлом в архиве (счет), открыл его, все док-ты (doc, excel,jpg и др.) получили расширение vault, что сделать можно?

thyrex · 11 Апр 2015

Выполните скрипт в AVZ

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\alex\appdata\local\temp\svchost.exe','');
 QuarantineFile('C:\Users\alex\AppData\Local\Temp\3fe14.exe','');
 QuarantineFile('C:\Users\alex\AppData\Local\Temp\222.tmp','');
 QuarantineFile('C:\Users\alex\AppData\Local\Temp\3fca2.exe','');
 QuarantineFile('C:\Users\alex\AppData\Local\Temp\3fb8f.exe','');
 QuarantineFile('C:\Users\alex\AppData\Local\Temp\revlt.js','');
 DeleteFile('C:\Users\alex\AppData\Local\Temp\VAULT.txt','32');
 DeleteFile('C:\Users\alex\AppData\Local\Temp\revlt.js','32');
 DeleteFile('C:\Users\alex\AppData\Local\Temp\3fb8f.exe','32');
 DeleteFile('C:\Windows\Tasks\8ikwuv.job','64');
 DeleteFile('C:\Users\alex\AppData\Local\Temp\3fca2.exe','32');
 DeleteFile('C:\Windows\Tasks\q7460yyfun.job','64');
 DeleteFile('C:\Users\alex\AppData\Local\Temp\222.tmp','32');
 DeleteFile('C:\Windows\Tasks\Video Performer.job','64');
 DeleteFile('C:\Windows\Tasks\z54gibtjis.job','64');
 DeleteFile('C:\Users\alex\AppData\Local\Temp\3fe14.exe','32');
 DeleteFile('C:\Users\alex\appdata\local\temp\svchost.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','tnotify');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','GnuPG');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\AceStream','command');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Выполните скрипт в AVZ

Код:

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

Отправьте c:\quarantine.zip при помощи этой формы

Сделайте новые логи по правилам

Бабадук · 13 Апр 2015

Добрый день. файл
quarantine.zip отправил, что дальше делать?

Severnyj · 13 Апр 2015

thyrex написал(а):
Сделайте новые логи по правилам

Бабадук · 13 Апр 2015

вроде по правилам все делаю, архив quarantine.zip может 1 кБ быть?
ошибку выдает

Severnyj · 13 Апр 2015

CollectionLog от Autologger'a новый нужен

Бабадук · 13 Апр 2015

вот новые логи

Severnyj · 13 Апр 2015

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

Код:

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Program Files (x86)\Ask.com\UpdateTask.exe', '');
 QuarantineFile('C:\Program Files (x86)\BabylonToolbar\BabylonToolbar\1.5.3.17\BabylonToolbarTlbr.dll', '');
 QuarantineFile('C:\Program Files (x86)\Ask.com\GenericAskToolbar.dll', '');
 QuarantineFile('C:\Users\alex\Desktop\mtray.exe', '');
 QuarantineFile('C:\Users\alex\Desktop\vault.txt', '');
 QuarantineFile('C:\Users\alex\AppData\Roaming\ACEStream\engine\ace_engine.exe', '');
 QuarantineFile('C:\Program Files (x86)\1321787211\alex1321787211L.exe', '');
 DeleteFile('C:\Program Files (x86)\1321787211\alex1321787211L.exe', '32');
 DeleteFile('C:\Users\alex\AppData\Roaming\ACEStream\engine\ace_engine.exe', '32');
 DeleteFile('C:\Users\alex\Desktop\mtray.exe', '32');
 DeleteFile('C:\Program Files (x86)\Ask.com\GenericAskToolbar.dll', '32');
 DeleteFile('C:\Program Files (x86)\BabylonToolbar\BabylonToolbar\1.5.3.17\BabylonToolbarTlbr.dll', '32');
 DeleteFile('C:\Program Files (x86)\Ask.com\UpdateTask.exe', '32');
 DeleteFile('C:\Windows\system32\Tasks\Scheduled Update for Ask Toolbar', '64');
 DelBHO('{855F3B16-6D32-4fe6-8A56-BBB695989046}');
 DelBHO('{98889811-442D-49dd-99D7-DC866BE87DBC}');
 DelBHO('{D4027C7F-154A-4066-A1AD-4243D8127440}');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\AceStream', 'command');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'mmtray');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'attrvlt');
BC_ImportDeletedList;
BC_ImportAll;
ExecuteSysClean;
 BC_DeleteSvc('.1321787211');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится. После перезагрузки, выполните такой скрипт:

Код:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Полученный архив quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 8 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

"Пофиксите" в HijackThis (некоторые строки могут отсутствовать):

Код:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/search
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://tors-m.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search
O3 - Toolbar: KMPlayer Toolbar - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files (x86)\Ask.com\GenericAskToolbar.dll (file missing)
O3 - Toolbar: Babylon Toolbar - {98889811-442D-49dd-99D7-DC866BE87DBC} - C:\Program Files (x86)\BabylonToolbar\BabylonToolbar\1.5.3.17\BabylonToolbarTlbr.dll (file missing)
O3 - Toolbar: Поиск WebAlta - {fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} - mscoree.dll (file missing)
R3 - URLSearchHook: (no name) - {855F3B16-6D32-4fe6-8A56-BBB695989046} - (no file)
R3 - URLSearchHook: (no name) -  - (no file)
O2 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)
O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)

Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Бабадук · 14 Апр 2015

отправляю

akok · 15 Апр 2015

- Удалите в AdwCleaner всё кроме папок от mail.ru - если программами от mail.ru не пользуетесь, то их тоже удалите. Отчет после удаления прикрепите.

Бабадук · 15 Апр 2015

отчет

shestale · 16 Апр 2015

Почистите кэш и куки в браузерах.

Бабадук · 16 Апр 2015

ПОЧИСТИЛ

Бабадук · 18 Апр 2015

а файлы зашифрованные не расшифровать?

shestale · 18 Апр 2015

Бабадук написал(а):
а файлы зашифрованные не расшифровать?

Скорее всего нет. Можете попробовать обратиться к др.вэбу, если есть их лицензия.
+
Для закрытия уязвимостей вашей системы, сделайте лог SecurityCheck by glax24.
Лог, который откроется, скопируйте и выложите, сам файл выкладывать не нужно, затем скачайте и установите все обновления по ссылкам.

Бабадук · 18 Апр 2015

SecurityCheck by glax24 v.1.3.0.13 [13.04.15]
WebSite: www.safezone.cc
DateLog: 18.04.2015 13:18:05
Path starting: C:\Users\alex\AppData\Local\Temp\SecurityCheck\SecurityCheck.exe
Log directory: C:\SecurityCheck\
IsAdmin: True
User: alex
VersionXML: 0.5i
___________________________________________________________________________

Windows 7(6.1.7601) Service Pack 1 (x64) HomePremium Lang: Russian(0419)
Дата установки ОС: 20.11.2011 11:06:51
Статус лицензии: Windows(R) 7, HomePremium edition Постоянная активация прошла успешно.
Режим загрузки: Normal
Браузер по умолчанию: C:\Program Files (x86)\Opera\Opera.exe
Системный диск: C: ФС: [NTFS] Емкость: [931.2 Гб] Занято: [838.9 Гб] Свободно: [92.3 Гб]
------------------------------- [ Windows ] -------------------------------
Internet Explorer 8.0.7601.17514 Внимание! Скачать обновления
Контроль учётных записей пользователя включен
Уведомлять о загрузке и установке обновлений
Центр обновления Windows (wuauserv) - Служба остановлена
Центр обеспечения безопасности (wscsvc) - Служба остановлена
---------------------------- [ Antivirus_WMI ] ----------------------------
Norton Internet Security
---------------------------- [ Firewall_WMI ] -----------------------------
Norton Internet Security
--------------------------- [ AntiSpyware_WMI ] ---------------------------
Windows Defender (включен и обновлен)
Norton Internet Security (включен)
--------------------------- [ OtherUtilities ] ----------------------------
SpyHunter 4 v.4.19.13.4482
-------------------------------- [ Java ] ---------------------------------
Java(TM) 6 Update 38 v.6.0.380 Внимание! Скачать обновления
Java Auto Updater v.2.0.7.2
--------------------------- [ AdobeProduction ] ---------------------------
Adobe Flash Player 11 ActiveX 64-bit v.11.1.102.55 Внимание! Скачать обновления
Adobe Flash Player 12 Plugin v.12.0.0.70 Внимание! Скачать обновления
Adobe Reader X (10.1.0) - Russian v.10.1.0 Внимание! Скачать обновления
Adobe Flash Player 9 ActiveX v.9.0.45.0 Внимание! Скачать обновления
------------------------------- [ Browser ] -------------------------------
Mozilla Firefox 31.0 (x86 ru) v.31.0 Внимание! Скачать обновления
Opera 11.62 v.11.62.1347 Внимание! Скачать обновления
Opera 12.15 v.12.15.1748 Внимание! Скачать обновления
Opera Stable 22.0.1471.50 v.22.0.1471.50 Внимание! Скачать обновления
--------------------------- [ RunningProcess ] ----------------------------
C:\Program Files (x86)\Opera\opera.exe v.12.15.1748.0
----------------------------- [ End of Log ] ------------------------------

shestale · 18 Апр 2015

После обновления софта
Рекомендации после лечения

Решена шифровальщик vault [Bat.Encoder]

Бабадук

Новый пользователь

Вложения

thyrex

Бабадук

Новый пользователь

Severnyj

Бабадук

Новый пользователь

Вложения

Severnyj

Бабадук

Новый пользователь

Вложения

Severnyj

Бабадук

Новый пользователь

Вложения

akok

Бабадук

Новый пользователь

Вложения

shestale

Бабадук

Новый пользователь

Бабадук

Новый пользователь

shestale

Бабадук

Новый пользователь

shestale

Похожие темы