(riješeno) CryptORbit virus

[lord051]

Prijatelj je nekako pokupio virus, naravno ne zna kad/gdje/kako ... ali detaljno mi je opisao o cemu se radi, evo:

"
Kao i svaki dan, upalim komp ko i obično i pokrenem chrome i digne se
ali sa nekom drugom temom i to mi je bilo sumnjivo i zatvorim ga i odmah skužim na desktopu da su mi neke fotke koje su tamo izmjenjene, tj izgledaju kao oni generirani thumbnailovi od windowsa i kliknem na njih i nemogu ih otvorit i piše:

"windows photo viewer can't open this picture because either photo viewer doesn't support this file format, or you don't have the latest updates to photo viewer."

Taj gif, skupa sa notepad fileom u kojem piše sve isto kao na gifu mi je skoro u svakom folderu na kompu.

Uglavnom, potražio sam na netu koji kurac i pokrenuo sam ga u safe modu i skinuo malwarebytes, napravio full scan i našo je nekih 80 prijetnji, njih sam uklonio i od onda svaki novi fajl koji stavim na komp radi normalno.

Problem je u starim fajlovima, znači gotovo sve fotke su encryptane sa porukom ko gore. Bio sam instalirao neki drugi program za pregled fotki i ne radi, a ni paint ih ne prepoznaje.

Još nešto, imam CCcleaner program koji briše temporary fileove, history, cookiese itd itd itd, i on po defoltu briše stvari iz windowsa + ostalih programa koje mogu odabrat (chrome npr) i kad ga pokrenem zapne kad dođe do dijela di briše cookiese iz internet explorera i stane, ako odčekiram cookiese onda sve ostalo očisti odmah.

Tražio sam po netu i našo sam da inače taj virus kad ti sjedne na komp pokrene i neki tajmer di ti odbrojava, ne znam 72 sata do kad imaš rok za platit i onda ako ne platiš se pojavi poruka tipa F you key za decriptanje je uništen ali meni se taj screen nije nikad pojavio.

Ni neki programi mi vise ne rade, program primjer je evernote koji kad ga pokrenem kaže:

"could not open evernote database in C:\users\sandro\appdata\local\evernote\evernote\databases\harrycallahanri.exb

ERROR_cant_create_table

please verify that the pathway is accesible and try again"

I .mp3 fajlovi su mi bili sj***ni ali kad sam reinstalirao BS player oni su se otključali i rade, gotovo svi. "


Eto, to je njegov problem, kako da mu to rijesim? Ima netko vec slicnih iskustava sa ovim?

[HumWeed]

prva greska tvog prijatelja jest sto nije zapisao imena sta je sve MBAM nasao i maknuo
tebi teoretski netreba antivir dok imas ime govneta, onda ga i lako nadjes i na disku i na registriju
no sad je kasno...

ono sto bi ja napravio jest:

1. pokrenem autoruns, tamo fino sve izreda sta se pokrece na startupu i gdje se nalazi, onaj ko zna sta trazi tu ce to nac
2. rucno bi prosvljo kroz registry, pogledao bi prvo opet podrucija vezana uz autorun,a zatim za sve strgane extenzije bi pogledao na sta su promjenjene i kome dodjeljene
3. rucno bi makno sav cache i kukije vezane za SVE browsere (tu ti je lakse BAT skriptu napravit za ubuduce)
4. pokrenuo process explorer da vidim se nesto kaci na sistem a taskmanager nevidi
5. sad bi na kraju opet skeniro disk i sa MBAM i sa antivirom koji nudi najdetaljniji-najrigorozniji scan (najsporiji)

sve u svemu tvoj kolega je jos dobro prosao, neka gamad ti doslovno zakljuca pristup OS-u i login/lock screenu
tak da sva ciscenja moraju ici iz PE sucelja a to je naporno

[lord051]

Autor HumWeed

prva greska tvog prijatelja jest sto nije zapisao imena sta je sve MBAM nasao i maknuo
tebi teoretski netreba antivir dok imas ime govneta, onda ga i lako nadjes i na disku i na registriju
no sad je kasno...

ono sto bi ja napravio jest:

1. pokrenem autoruns, tamo fino sve izreda sta se pokrece na startupu i gdje se nalazi, onaj ko zna sta trazi tu ce to nac
2. rucno bi prosvljo kroz registry, pogledao bi prvo opet podrucija vezana uz autorun,a zatim za sve strgane extenzije bi pogledao na sta su promjenjene i kome dodjeljene
3. rucno bi makno sav cache i kukije vezane za SVE browsere (tu ti je lakse BAT skriptu napravit za ubuduce)
4. pokrenuo process explorer da vidim se nesto kaci na sistem a taskmanager nevidi
5. sad bi na kraju opet skeniro disk i sa MBAM i sa antivirom koji nudi najdetaljniji-najrigorozniji scan (najsporiji)

sve u svemu tvoj kolega je jos dobro prosao, neka gamad ti doslovno zakljuca pristup OS-u i login/lock screenu
tak da sva ciscenja moraju ici iz PE sucelja a to je naporno

Thx... nisam nista odgovarao, jer nisam jos dobio ovaj lap u ruke, pa se jos nisam uhvatio posla oko toga

[just Sandy]

I mene je unesrećio Cryptorbit.
Probala sam očistiti MBAMom, Combofixom, HBCDom, ovim-onim i ništa.
Mislim, očistili su oni štošta, ali kriptirane ili "kriptirane" fajlove nisam uspjela vratiti. Ne otvaraju se.

Na laptopu i nemam bogzna kaj, ali zaražen mi je eksterni disk na kojem mi je pol života. Pol života! A kad intenzivno živiš taj svoj život, baš i ne radiš backup. Samo srljaš. I eto mi ga na...

Uglavnom, ima li tko više informacija o vraćanju fajlova, iz prve ruke? Čitala sam po netu; nitko ne iznosi detalje, samo sretno jave da im je određeni sw pomogao ili da i dalje ne mogu do fotki, docova, svačega.

Ne znam dozvoljavaju li ovdje pravila da pitam za preporuke neke firmice ili nekog čarobnjaka tu u Zg koji za pare uspješno i hitno čiste strojeve od gamadi i oživljavaju diskovlje? Neutješna sam.

[HumWeed]

ajd nek mi neko posalje po 1 uzorak "strganih"

slike i mp3 fajla

[HumWeed]

bzzz BUMP nadjeno rjesenje za sve ocajne ljude ...

program koji fixa zarazene fajlove treba .net framework 4
client profile je dovoljan (taj je manji)

skini tu:
http://www.microsoft.com/en-us/downl....aspx?id=24872

zatim program koji fixa stvari skini tu:
http://download.bleepingcomputer.com...CryptorBit.zip