Заражение crypted000007 на двух серверах.

[KJIayD 0]

Доброго времени суток. 

 

No заказа/лицензии:

**********************

 

В одной из фирм на обслуживание произошла следующая ситуация: 

Секретарь словил через почту данный вирус. Заражение его компьютера не интересно, вирус зашифровал небольшую часть данных на общих дисках на двух серверах, благо вовремя спохватились, бэки в 95% случаев есть.  

Вопросы:

Исполняемый файл вируса остался только на компе секретаря?

Если да то почему на сервере есть зараженные файлы в системных папках и они датой на следующий день? (Рис. 2 во вложении)

Можно ли по паре зараженный файл и оригинал подобрать ключ для расшифровки? Не могу выложить в открытый доступ, но могу выслать на почту. 

 

 

Скан Kaspersky Virus Removal Tool произвел - Рис. 1.

Результаты работы FRST - arch.zip.

автоматического сборщика логов - report1.log, report2.log, CollectionLog-2017.09.05-23.39.zip.

 

Всё манипуляции производились на клоне зараженной виртуальной машине, боевой сервер восстановлен из бэков, но небольшие потери файлов есть. 

Всего было заражено 382 из несколько десятков тыс. На втором сервере ситуация хуже, подобную информацию отправлю завтра после сбора. 

Готов выполнить дополнительные тесты, сбор логов и т.д., по запросу.

CollectionLog-2017.09.05-23.39.zip

report1.log

report2.log

arch.zip

[thyrex 1 468]

К сведению

Т.к. в лечении нет необходимости, тема перенесена в Беседку

 

 

 

Исполняемый файл вируса остался только на компе секретаря?

По сети передача исполняемого файла не происходит.

 

 

 

Если да то почему на сервере есть зараженные файлы в системных папках и они датой на следующий день?

Значит до сервера вирус добрался только на второй день, Возможно даже, что после перезагрузки компьютера-источника.

 

 

 

Можно ли по паре зараженный файл и оригинал подобрать ключ для расшифровки?

Невозможно.

[KJIayD 0]

 

 

Если да то почему на сервере есть зараженные файлы в системных папках и они датой на следующий день?

Значит до сервера вирус добрался только на второй день, Возможно даже, что после перезагрузки компьютера-источника.

Что это значит? Что исполняемый файл вируса запустился на сервере на второй день? Компьютер после заражения был выключен и не включался. 

Вы смотрели логи? 

[thyrex 1 468]

 

 

Вы смотрели логи? 

Конечно. В них ничего интересного по нашей части.

 

 

 

Компьютер после заражения был выключен и не включался. 

Значит источником шифрования был иной компьютер.