Цифровой сейф.ехе

[Dr.FRECH]

Утром раздался звонок, так и так все плохо.
По приезду на 2 компьютерах обнаружил следующее, вся инфа с рабочего стола и моих документов исчезла, зато появился экзешник "Цифровой сейф.ехе". При запуске оного выдается сообщение что вы ставили прогу, были уведомлены, теперь для доступа к данным нужен пароль, а чтоб его получить надо бы его купить за 900р.
Рядом с этим фалом в скрытых имеется файлик Thumbs.ms. Если в него зайти то там есть папочка "com1 и куча символов дальше", в ней как раз таки лежат все файлы пропавшие но в зашифрованом виде, с изменением имени и расширения (аля 54505F554E4C494D5F75725F30315F30345F31312E786C73.RN).
Дрянь новая как я понимаю, соответственно антивирами ничего не нашлось.
В инете нашел тока одну тему http://forum.drweb.com/index.php?showtopic=304755&pid=544445&st=60&#entry544445, где уже встретились с данным вирусом и как то расшифровывали данные, чтоб получить пароль.
Можете помочь с расшифровкой? поскольку работа стала и очень сильно стала.
прикрепляю по несколько файлов зашифрованных. сам файл сейфа хоть и ужимается с 44мб до 1,5мб, но не прикрепляется.

[iskander-k]

Dr.FRECH »
архив отправьте через форму (http://www.oszone.net/virusnet/) или на quarantine<at>safezone.cc (at=@)с указанной ссылкой на тему и вашим ником(именем на форуме). в названии темы укажите - "Проверка карантина". В теле сообщения укажите адрес своей темы и ник форуме.
и

Отправьте через данную форму (http://support.kaspersky.ru/virlab/helpdesk.html). В строке в строке "Электронный адрес:" укажите свой электронный адрес. Результаты ответа, сообщите здесь, в теме.

Попробуте эту утилиту . http://support.kaspersky.ru/faq/?qid=208638517


потом
Выложите логи в соответствии с этими (http://forum.oszone.net/post-717373.html) инструкциями.

[iskander-k]

сам файл сейфа хоть и ужимается с 44мб до 1,5мб, но не прикрепляется. »
Заархивируйте этот файл с паролем virus и залейте на файлообменник . Ссылку выложите в следующем сообщении.

[thyrex]

Dr.FRECH, в дополнение к совету в предыдущем сообщении

1. Принцип шифрования такой оказался:
а) каждый символ имени файла заменяется его кодом
б) первые 8192 байт в каждом файле шифрованы с помощью операции xor 36
2. Я написал собственный дешифровщик, который восстанавливает файлы. Причем файлы Word открываются вообще прекрасно, файлы Excel и архивы при открытии сигнализируют об ошибках, но, как мне кажется, их содержимое все-таки оригинальное

[Dr.FRECH]

как буду за зараженными компами отправлю и выложу логи, утилита от касперского предположительно не поможет так как скрины выложеные там совсем никак не подходят.

[thyrex]

Утилиты от Касперского для этих целей нет. Прежнее название заразы, которую подхватили, - Электронный сейф

В архиве расшифрованные файлы (с теми ограничениями, о которых я писал выше). Но саму программу ждем

[Dr.FRECH]

Забыл написать, перестал грузится эксплорер под этим пользователем, под другими загружается.
Отправил файлы по обоим формам.
http://ifolder.ru/25678433 здесь лежит сейф.ехе.
логи с одного компьютера пока.
thyrex спасибо, но расшифровывать надо около 30гб тока на одном компе...

[alex_sev]

Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Обновляйтесь немедленно:
SP3 + все критические обновления Windows (может потребоваться повторная активация)
IE9 + все обновления для него

Закройте все программы, выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (http://safezone.cc/forum/showthread.php?t=10) (Файл - Выполнить скрипт):

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\servises.exe','');
QuarantineFile('C:\Program Files\Цифровой сейф.exe','');
DeleteFile('C:\WINDOWS\system32\servises.exe');
DeleteFile('C:\Program Files\Цифровой сейф.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run ','servises');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run' ,'servises');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('SCU',2,3,true);
RebootWindows(true);
end.

Компьютер перезагрузится, После перезагрузки:
- выполните такой скрипт

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Полученный архив отправьте с помощью этой формы (http://www.oszone.net/virusnet/) или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения. с указанием пароля: virus в теле письма.

Пофиксите в HJT (http://safezone.cc/forum/showthread.php?t=9):

O4 - HKLM\..\Policies\Explorer\Run: [servises] C:\WINDOWS\system32\servises.exe
O4 - HKCU\..\Policies\Explorer\Run: [servises] C:\WINDOWS\system32\servises.exe


Повторите логи AVZ и RSIT (http://safezone.cc/forum/showthread.php?t=15)

Скачайте Malwarebytes' Anti-Malware (http://www.besttechie.net/mbam/mbam-setup.exe) или с зеркала (http://download.bleepingcomputer.com/malwarebytes/mbam-setup.exe), установите, обновите базы, выберите "Perform Full Scan", нажмите "Scan", после сканирования - Ok - Show Results (показать результаты) - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту.

[Dr.FRECH]

Удалить то удалится это все, как мне файлы расшифровать то?

[alex_sev]

Это к thyrex - он программированием занимается - я Вам вот это подправлю:

перестал грузится эксплорер под этим пользователем

[zirreX]

Dr.FRECH, в дополнение выполните такой скрипт.

Отключите защитное ПО (Антивирус/Файерволл)!

• Выполните скрипт AVZ

AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный скрипт -> Нажать кнопку "Запустить". (http://www.forum.oszone.net/post-1430637-4.html)
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetServiceStart('xbkwqsigih', 4);
QuarantineFile('C:\WINDOWS\system32\CLNT.exe','');
QuarantineFile('digeste.dll','');
QuarantineFile('C:\WINDOWS\system32\drivers\dmupn.sys','');
QuarantineFile('C:\Uninstall.exe','');
QuarantineFile('C:\Uninstall.ini','');
DeleteFile('C:\WINDOWS\system32\drivers\dmupn.sys');
DeleteFile('digeste.dll');
DeleteFile('C:\WINDOWS\system32\CLNT.exe');
DelCLSID('{925CA8F7-AAAE-D752-77E9-AC16874220F2}');
RegKeyStrParamWrite('HKLM','system\currentcontrolset\control\securityproviders','SecurityProviders', 'msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll, cpssp.dll');
DeleteService('xbkwqsigih');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteSvc('xbkwqsigih');
BC_Activate;
ExecuteRepair(16);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!

• После перезагрузки выполните такой скрипт:

AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный скрипт -> Нажать кнопку "Запустить". (http://www.forum.oszone.net/post-1430637-4.html)
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В результате выполнения скрипта будет сформирован карантин.Отправьте quarantine.zip из папки AVZ через эту (http://www.oszone.net/virusnet/) форму.

Сделайте новые логи!

[Dr.FRECH]

alex_sev
выполнил скрипт, отослал карантин, в HijackThis не было указанных пунктов, Malwarebytes' Anti-Malware не грузится или не устанавливается не знаю, после запуска mbam-setup.exe висит досовское окно и все, логи после ваших рекомендаций.
zirreX сейчас выполню ваш скрипт.
Кстати при старте системы висит в процесах iexplore.exe хотя я его не стартую.

[Dr.FRECH]

zirreX логи после вашего скрипта

[okshef]

IE9 + все обновления для него »
для XP IE8 - максимум

[zirreX]

Карантин после последнего скрипта отправьте по форме (http://www.oszone.net/virusnet/)


• Выполните скрипт AVZ

AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный скрипт -> Нажать кнопку "Запустить". (http://www.forum.oszone.net/post-1430637-4.html)
begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
QuarantineFile('C:\Program Files\7zip\7zip.exe','');
DeleteFile('C:\Program Files\7zip\7zip.exe');
RegKeyDel('HKEY_LOCAL_MACHINE','software\microsoft\shared tools\msconfig\startupreg\servises');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(16);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится!

• После перезагрузки выполните такой скрипт:

AVZ, меню "Файл -> Выполнить скрипт" -> Скопировать ниже написанный скрипт -> Нажать кнопку "Запустить". (http://www.forum.oszone.net/post-1430637-4.html)
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В результате выполнения скрипта будет сформирован карантин.Отправьте quarantine.zip из папки AVZ через эту (http://www.oszone.net/virusnet/) форму.

• Internet Explorer обновить до восьмой версии (http://www.microsoft.com/rus/windows/internet-explorer/).

Сделайте новые логи.

Попробуйте запустить MBAM и сделать лог полного сканирования.

[Dr.FRECH]

Explorer стартует, обновил IE
сейчас сканирует MBAM но видимо это на долго, пока прикрепляю логи.

[thyrex]

Dr.FRECH, во вложении мой самодельный дешифратор

Как работать с ним

1. Скопируйте все зашифрованные файлы в отдельную папку. Если зашифрованы файлы на разных дисках, лучше для каждого диска создать свою папку. Папки, созданные шифровальщиком, лучше оставить пока в том виде, в котором они есть
2. Запустите программу и после нажатия на кнопку выберите любой файл с расширением .RN в любой из созданных Вами папок
3. Программа получит список всех файлов (их количество будет указано в соответствующем окне) и в папке с зашифрованными файлами будет создана папка Decoded, куда будут записаны расшифрованные файлы
4. Повторить процедуру для всех созданных Вами папок с зашифрованными файлами

Результат сообщите

[Dr.FRECH]

попробовал декодировать, в общем результат такой, часть инфы восстановлена, архивы и пдф не возвращаются в нормальное состояние (ну об этом и предупреждалось) и не возможно декодировать папку если в имени файла присутствует $, спасибо за помощь с дешифратором, хоть чтото да есть, ну а для остального надо ждать пока ответят во всяких вирлабах.

[iskander-k]

архивы и пдф не возвращаются в нормальное состояние »
Присоедините к сообщению или на обменник пару таких нерасшифрованных файлов(особенно с символом $ ). Будем работать дальше над утилитой.

[thyrex]

Кажется я понял, причем здесь символ $

Возможно я выложил не финальную версию дешифратора. Извините
Кроме того, оказалось, что шифровальщик записывает некий мусор в конце файлов

В аттаче новая версия. Однако проблема с xls и архивами пока не поддается решению