Wirus szyfrujący dysk sieciowy logi

**Posty:** 4 · przez **tomcio99** 17 Lip 2015, 11:03

Witam jakiś czas temu ktoś ściągnął wirusa otwierając załącznik w emailu i mieliśmy wirusa przez co cały dysk sieciowy został zaszyfrowany.

Dzisiaj rozszyfrowaliśmy dysk (przysłali program po zapłaceniu) zrobiłem log FRST i zauważyłem dziwne wpisy i proszę o pomoc co to może być. Poniżej logi z komputera na którym rozszyfrowaliśmy dysk.

DEC i CONFIG przysłali a te pliki wyżej widocznie stworzyły się po uruchomieniu

Kod: Zaznacz wszystko: 2015-07-16 07:03 - 2015-07-16 07:06 - 00000000 _____ C:\Windows\windowstempinformation.txt 2015-07-16 07:03 - 2015-07-16 07:06 - 00000000 _____ C:\Windows\system32windowsappdata.txt 2015-07-16 07:03 - 2015-07-16 07:06 - 00000000 _____ C:\Windows\numofgoodtempvaluesystem32.txt 2015-07-16 07:03 - 2015-07-16 07:06 - 00000000 _____ C:\Windows\appnumberwindowssystem.txt 2015-07-16 07:02 - 2015-07-16 07:02 - 00001278 _____ C:\Users\DTL1W4J\Downloads\Config.txt 2015-07-16 07:02 - 2015-07-16 07:02 - 00000000 _____ C:\Users\DTL1W4J\Desktop\dec.jpg.2zi61ct.partial

Całość logu

Addition

http://wklej.to/Fs4vS
FRST

http://wklej.to/VYhX4

A tutaj log z komputera na którym mógł być uruchomiony wirus

Addition
http://wklej.to/73nwc

FRST
http://wklej.to/IMnfe

Shortcut
http://wklej.to/CTpxD

Bo w sieci mamy trochę komputerów ale generalnie logi są czyste i nie wiemy gdzie powstała infekcja.

**Posty:** 4765 · przez **ordynat** 17 Lip 2015, 11:28

Otwórz Notatnik i wklej w nim:

Reg: reg delete "HKU\.DEFAULT\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes" /f
Reg: reg delete "HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes" /f
2015-07-16 07:03 - 2015-07-16 07:06 - 00000000 _____ C:\Windows\windowstempinformation.txt
2015-07-16 07:03 - 2015-07-16 07:06 - 00000000 _____ C:\Windows\system32windowsappdata.txt
2015-07-16 07:03 - 2015-07-16 07:06 - 00000000 _____ C:\Windows\numofgoodtempvaluesystem32.txt
2015-07-16 07:03 - 2015-07-16 07:06 - 00000000 _____ C:\Windows\appnumberwindowssystem.txt
2015-07-16 07:02 - 2015-07-16 07:02 - 00001278 _____ C:\Users\DTL1W4J\Downloads\Config.txt
2015-07-16 07:02 - 2015-07-16 07:02 - 00000000 _____ C:\Users\DTL1W4J\Desktop\dec.jpg.2zi61ct.partial
C:\Users\DTL1W4J\Downloads\The-Bat(13241)-dp.jse
EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe
Uruchom FRST i kliknij przycisk Fix.

II komputer:
W logach nie ma niczego podejrzanego.

Otwórz Notatnik i wklej w nim:

S2 PSINAflt; system32\DRIVERS\PSINAflt.sys [X]
S2 PSINFile; system32\DRIVERS\PSINFile.sys [X]
S1 PSINKNC; system32\DRIVERS\psinknc.sys [X]
S2 PSINProc; system32\DRIVERS\PSINProc.sys [X]
S2 PSINProt; system32\DRIVERS\PSINProt.sys [X]
S4 eapihdrv; \??\C:\DOCUME~1\user\USTAWI~1\Temp\ehdrv.sys [X]
S2 6to4; C:\WINDOWS\Offline Web Pages\cache.txt [X]
S2 Iprip; C:\WINDOWS\Offline Web Pages\cache.txt [X]
StartMenuInternet: (HKLM) Opera.exe - C:\Program Files\Opera\Opera.exe http://www.delta-homes.com/?type=sc&ts=1402569517&from=wpm0612&uid=SAMSUNGXSSDX830XSeries_S0WJNYAC301313
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION
GroupPolicyScripts: Group Policy detected <======= ATTENTION
EmptyTemp:

Plik zapisz pod nazwą fixlist.txt i umieść obok FRST.exe
Uruchom FRST i kliknij przycisk Fix.
.

**Posty:** 4 · przez **tomcio99** 17 Lip 2015, 11:37

Dziękuje a co to były za pliki jeśli mogę wiedzieć?

Kod: Zaznacz wszystko: 2015-07-16 07:03 - 2015-07-16 07:06 - 00000000 _____ C:\Windows\windowstempinformation.txt 2015-07-16 07:03 - 2015-07-16 07:06 - 00000000 _____ C:\Windows\system32windowsappdata.txt 2015-07-16 07:03 - 2015-07-16 07:06 - 00000000 _____ C:\Windows\numofgoodtempvaluesystem32.txt 2015-07-16 07:03 - 2015-07-16 07:06 - 00000000 _____ C:\Windows\appnumberwindowssystem.txt

**Posty:** 4765 · przez **ordynat** 17 Lip 2015, 11:46

tego nie wiem, ale na pewno nie były to pliki Systemowe.
.

**Posty:** 4 · przez **tomcio99** 17 Lip 2015, 12:21

Dziękuje za odpowiedzi. Czy możliwe że wirus się odinstalował po 72 godzinach i logi zrobione na tym komputerze po tym czasie nie wychwycą wirusa? Gdzieś na jakimś forum przeczytałem taką teorię że te wirusy się same odinstalowują.

**Posty:** 4765 · przez **ordynat** 17 Lip 2015, 13:05

Czy możliwe że wirus się odinstalował po 72 godzinach i logi zrobione na tym komputerze po tym czasie nie wychwycą wirusa?

Nie sądzę, by tak się stało. Raczej, po wykonaniu swojej brudnej roboty, zaszył się gdzieś w ciemnym miejscu, którego skanery nie przeszukują. Niech sobie tam siedzi - przecież sam się nie uruchomi.