536 ответов в этой теме

[Shajtan]

Доброго времени суток! Словили на одной машине шифровальщика.
Пришло письмо такого содержания:

 

Тема:
Проверка налоговой
Дата:
Thu, 12 Feb 2015 13:17:03 +0200
От:
Joseph Polubinsky <info.slc.spb@mail.ru>
Кому:


Уважаемые коллеги,
При проведении налоговой проверки, проверяющие истребовали первичные документы, касающиеся нашей с Вами работы.

К сожалению, мы уже несколько дней не можем найти несколько актов приема-передачи и оригинал договора, заключенного в 2013 году.

Просим ознакомиться с запросом налоговой службы (текст - во вложении) и проверить наличие указанных в нем документов.
Если Вы их отыщете, вышлите нам документы.
Большое спасибо.
--
Sincerely,
Joseph Polubinsky

Special Logistic Company Ltd.
Phone/fax: +7 812 430-42-67
Phone: +7 812 430-43-39

К нему приаттачен zip, в зипе - js, его, конечно-же, запустили. Скрипт закачивает в %TEMP% всё нужное для работы, потом шифрует файлы doc, xls, jpg, docx, xlsx. (возможно, ещё какие-то). Там же создаёт лог работы, ключ и сообщение:

 

All your important data have been encrypted into LOCAL DIGITAL VAULT
You need to get your UNIQUE KEY to restore files with extension .vault

THE PROCEDURE FOR OBTAINING YOUR PERSONAL KEY:

BRIEFLY
1. Access our secure website
2. Get your personal key
3. Unlock files

DETAILED
STEP 1:
Download Tor browser from official site:
Instructions for launching Tor browser:
STEP 2:
Visit our web resource using Tor browser:
If you CAN NOT access this website, read this:
STEP 3:
Find your personal VAULT.KEY on computer, it's your key for accessing Client Panel
Log into your personal fully automated Client Panel via VAULT.KEY
Read FAQ carefully in the relevant section.
STEP 4:
After receiving key, you can decode your files using our open source software.

ADDITIONAL
a) You can't restore encrypted files without your personal key (which is securely stored on our server)
 Do not forget about TIME. Usually it plays against you.

ENCRYPT TIME: 12.02.2015 (15:56)

Прилагаю лог работы CureIT, зашифрованный файл https://yadi.sk/d/X4Hj2jDyedjmQ, данные по машине - на Яндексдиске, сюда не приаттачились: https://yadi.sk/d/Bahuo1mRedmpy. Также даю ссылку на содержимое %TEMP% с поражённой машины:

Прикрепленные файлы:

•  cureit.zip   247,14К   71 Скачано раз

Сообщение было изменено VVS: 12 Февраль 2015 - 22:04
"Нехорошие" ссылки убрал

[Dr.Robot]

1. Если Вы подозреваете у себя на компьютере вирусную активность и хотите получить помощь в этом разделе,

Вам необходимо кроме описания проблемы приложить к письму логи работы трёх программ - сканера Dr. Web (или CureIt!, если антивирус Dr. Web не установлен на Вашем ПК), Hijackthis и DrWeb SysInfo. Где найти эти программы и как сделать логи описано в Инструкции. Без логов помочь Вам не сможет даже самый квалифицированный специалист.

2. Если у Вас при включении компьютера появляется окно с требованием перечислить некоторую сумму денег и при этом блокируется доступ к рабочему столу,

- попытайтесь найти коды разблокировки здесь https://www.drweb.com/xperf/unlocker/
- детально опишите как выглядит это окно (цвет, текст, количество кнопок, появляется ли оно до появления окна приветствия Windows или сразу же после включении компьютера);
- дождаться ответа аналитика или хелпера;

3. Если у Вас зашифрованы файлы,

Внимание! Услуга по расшифровке файлов предоставляется только лицензионным пользователям продуктов Dr.Web подробнее.

Что НЕ нужно делать:
- лечить и удалять найденные антивирусом вирусы в автоматическом режиме или самостоятельно. Можно переместить всё найденное в карантин, а после спросить специалистов или не предпринимать никаких действий, а просто сообщить название найденных вирусов;
- переустанавливать операционную систему;
- менять расширение у зашифрованных файлов;
- очищать папки с временными файлами, а также историю браузера;
- использовать самостоятельно без консультации с вирусным аналитиком Dr. Web дешифраторы из "Аптечки сисадмина" Dr. Web;
- использовать дешифраторы рекомендуемые в других темах с аналогичной проблемой.

Что необходимо сделать:
- прислать в вирусную лабораторию Dr. Web https://support.drweb.com/new/free_unlocker/?keyno=&for_decode=1 несколько зашифрованных файлов и, если есть, их не зашифрованные копии в категорию Запрос на лечение. Дожидаться ответа на Вашу почту вирусного аналитика и далее следовать его указаниям ведя с ним переписку по почте. На форуме рекомендуется указать номер тикета вирлаба - это номер Вашего запроса, содержащий строку вида [drweb.com #3219200];
- собрать и выложить в своей теме логи утилит, указанных в Правилах этого раздела форума.


4. При возникновении проблем с интернетом, таких как "не открываются сайты", в браузерах появляются картинки с порно или рекламным содержанием там, где раньше ничего подобного не было, появляются надписи типа "Содержание сайта заблокировано" и пр. нестандартные уведомления необходимо выложить дополнительно к логам из п.1 лог команды ipconfig


Для этого проделайте следующее:

• Зайдите в меню Пуск на Рабочем столе, вызовите в нем окно команды Выполнить...
• В появившемся окне наберите cmd и нажмите клавишу <Enter>. Появится черное окно консоли (интерпретатора команд).
• Напишите в этом черном окне команду ipconfig /all>"%userprofile%\ipc.log" и нажмите клавишу <Enter>, затем наберите там же команду explorer.exe /select,"%userprofile%\ipc.log" и нажмите клавишу <Enter>, нужный файл будет показан в Проводнике Windows.
• Приложите этот файл к своему сообщению на форуме.

Чтобы не сделать ошибок в написании команд, можно скопировать эти команды отсюда и последовательно вставлять в черное окно консоли путем выбора пункта Вставить из меню, появляющегося при нажатии правой кнопки мыши в черном окне консоли.

[v.martyanov]

Комрады, попробуйте на зашифрованный файл gpg -d сделать... Чот мне кажется что там оно. Ну и через PGP тож надо попробовать...

[mike 1]

Комрады, попробуйте на зашифрованный файл gpg -d сделать... Чот мне кажется что там оно. Ну и через PGP тож надо попробовать...

gpg: зашифровано ключом RSA с ID 996E88A8

gpg: сбой расшифрования: No secret key

[v.martyanov]

Ога, GPG значит...

[Dmitry Shutov]

Ссыль может тоже убрать?  -  на содержимое %TEMP% с поражённой машины....а то там и скрипт и криптер....и почти ни кто не детектит. 

[VVS]

Dmitry Shutov, TNX

[v.martyanov]

В вирлаб бы их, я в понедельник посмотрю.

[VVS]

В вирлаб бы их, я в понедельник посмотрю.

Уже.

Тикет в личке.

[RomaNNN]

Да там целый зоопарк закачивается.

 

P.S. это говноподелка не запускается на x64 платформе. Но этим, видно, пожертвовали, чтобы распараллелить процесс шифрования и сбить анализатор на x86.

 

Shajtan, спасибо за образцы.

Сообщение было изменено RomaNNN: 13 Февраль 2015 - 00:11

[Garen]

Сегодня словили на работе на 3 рабочих станциях эту же гадость. Добавлю что также создаются файлы в  папке %appdata%  vault.key и confirmation.key

[Juravlev]

Всем здрасти!

Я тоже подцепил выше указанный vault с все один в один как описано.

Подскажите как избывиться от этого?

[maxic]

Juravlev, в техподдержку.

[Juravlev]

Juravlev, в техподдержку.

Своими силами не решить?

[VVS]

 

Juravlev, в техподдержку.

Своими силами не решить?

Нет.

[Juravlev]

Техподдержка это к кому?

[mrbelyash]

Техподдержка это к кому?

https://support.drweb.ru/support_wizard/?lng=ru

[VVS]

Техподдержка это к кому?

Пункт № 3 сообщения № 2 в этой теме.

Прочитать и выполнить написанное.

[Juravlev]

Спасибо!

[Boundless]

Подскажите, как убедится что вирусняк точно излечен ? (фиг с ними уже с файлами). Все батники в папке \Users\Userxxx\AppData\Local и Roaming я почистил. Папки временных файлов тоже. CureIT полечил только hosts файл. Security Essentials еще пару зараз нашел, после и тоже почистил.