Перейти к содержанию

Устранить последствия шифровальщика RSA-2048


Рекомендуемые сообщения

Здравствуйте, уважаемое сообщество.

 

Суть истории: в бухгалтерию пришло письмо с ящика strojsnab-ooo@mail.ru с текстом:

 

 

Добрый день!
При проведении налоговой проверки, проверяющие истребовали у нас ряд документов, включая акты сверки с Вашей организацией. В связи с этим прошу Вас ознакомиться с прилагаемым актом и выслать нам подписанный экземпляр.


С уважением,
Главный бухгалтер ООО Стройснаб
Бутенко Ирина Евгеньевна
т/ф +79189652564

 

 

В аттаче архив. Бухгалтер его конечно же распаковала и попыталась открыть Excel-документ "акт_сверки_№42А_сформировано_1С_2018.05.11_подписан_ЭЦП.xls". Который вовсе на Excel-документ то и не похож, разве что только расширением.

 

В итоге все файлы Word, Excel, PDF, JPG и видимо ещё какие-то на компьютере и сетевых дисках зашифрованы. На сетевых дисках откатился на день назад, на компе бухгалтера такой возможности нет. Есть ли способ расшифровать зашифрованное?

 

Прикрепляю файлы сборщика логов. Могу прикрепить архив со злодеем, если это как-то поможет.

На момент 11 мая никакой антивирус не определил его как вирус, сейчас не знаю как обстоят дела. Установленный лицензионный каспер его тоже не определяет как вирус.

 

Так же прикрепляю фотку с вымогательством денег и пример зашифрованного файла из той же директории.

 

Ещё злодей прописал куда-то в автозагрузку вызов просмотрщика изображений с требованием выкупа. Никак не могу понять где прописано. В реестре не нашёл.

CollectionLog-2018.05.15-13.44.zip

1 торг сеть Стеллс_jl21oc25agt.xls

post-49809-0-83866000-1526382741_thumb.jpg

Изменено пользователем true
Ссылка на сообщение
Поделиться на другие сайты

"Пофиксите" в HijackThis:

O4 - Startup other users: C:\Users\i.konovalova\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\jlocagtsclm.jpg

 

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Ссылка на сообщение
Поделиться на другие сайты

 

Ran by i.konovalova (ATTENTION: The user is not administrator) on BUH-2 (15-05-2018 14:49:49)

логи надо собирать под учёткой администратора.

 

+ сообщение вымогателя прикрепите.

Ссылка на сообщение
Поделиться на другие сайты

 

 


Сообщение вымогателя в аттаче.
А текстового файла с сообщением нет?

При наличии лицензии на любой из продуктов Касперского создайте запрос на расшифровку.
 

Ссылка на сообщение
Поделиться на другие сайты

 

Сообщение вымогателя в аттаче.

А текстового файла с сообщением нет?

При наличии лицензии на любой из продуктов Касперского создайте запрос на расшифровку.

 

 

Нет, только jpg-файл, который размещается в каждой директории и в автозапуске.

Лицензия Каспера есть, но не на этом компе. Такой запрос будет корректным?

 

@regist, там jpg-файл вроде. Расшифровки Unlock92 нет

Похоже, да. В поисках наткнулся на http://id-ransomware.blogspot.ru/2016/07/unlock92-ransomware-unlock92india.html

По всей видимости брутить такие ключи тяжеловато.

Ссылка на сообщение
Поделиться на другие сайты

 

 


поисках наткнулся на
Это предок вашего шифратора.

 

 


Лицензия Каспера есть, но не на этом компе. Такой запрос будет корректным?
Да, должны принять. И если появится в будущем рассшифровка связаться с вами.
Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • Juger
      От Juger
      Здравствуйте! Подскажите, как настроить в kaspersky security center, чтобы уведомления приходили на эл.почту? Уведомления в духе: «Сотрудник подключил к пк недоверенное устройство»
       
      Сообщение от модератора Mark D. Pearlstone Тема перемещена из раздела "Компьютерная помощь".
    • Антон Бурлаков
      От Антон Бурлаков
      Здравствуйте, чуть телефон пополам не сломал((( не могу ни как зайти на рабочую почту с мобильного телефона.
      Логин пароль 100% совпадают.
      на работе какаето Зимба установлена. с рабочего компа ввожу все заходит. с мобилы по бороде(
      фото и скрины приложил.
       




    • Tyson
      От Tyson
      Всем добрый день!
      С недавнего времени средствами задачи KSC усилил методы проверки файлов через KES 11.11, вследствие чего начало находиться много вложений из почты, которые входят в состав файла данных Outlook формата .pst и отмечаются в активных угрозах KSC. Если лечить эти угрозы, что зачастую равнозначно удалению, то вместе с этим удаляется и сам файл .pst, а с ним понятное дело вся почта пользователя. Если восстанавливать файл из резервного хранилища, то с ним восстанавливается и зараженное вложение и так по кругу. Вручную удалять такое количество сообщений займет слишком много времени. Исключать проверку по формату файла тоже не вариант, по понятным думаю причинам. Вопрос: Можно ли средствами Касперского заблокировать открытие этих сообщений, чтобы в дальнейшем и сам каспер не обнаружил его снова и пользователь не смог скачать это вложение или же какой другой вариант решения, который я скорее всего упустил?
       
      P.s. читал про "Защиту от почтовых угроз", однако если я правильно понял, то поставив пункт "Лечить; блокировать, если лечение невозможно", то к теме сообщения просто добавится текст про зараженное вложение, однако само сообщение и вложение останется доступным, если оно не вылечено.
    • sis.admin
      От sis.admin
      Здравствуйте!
      У меня задача заблокировать весь интернет кроме Google почты, в Консоли Касперском в Веб-контроль создал 2 правило, первое запрещало любой интернет а второе разрешало зайти на поисковик Google.com и на почту mail.google.com
      В итоге завожу почту потом пароль, после ввода пароля не чего не происходит, при этом все заблокировано кроме поисковика google.com и почты mail.google.com (но на почту не входит)
      После всего этого решил по пробовать через создания профиля политики и назначения на компьютер через тег, там в веб-контроле прописал тоже самое а профиль через тег не сработал и интернет не заблокировал, хотя принудительно на компьютер назначил.
      Все это происходило в отдельной группе для теста на компьютере.
       


    • Отдел ИБ
      От Отдел ИБ
      Добрый день! Не удаётся отправить отчёты с KSC с помощью специальной задачи на электронную почту. Версия KSC 12.2.0.4376
      В задаче в параметрах уведомлений заполняю, Адрес smtp-сервера smtp.yandex.ru, номер порта smtp 465/
      Выдаёт ошибку - Не удалось отправить команду на smtp сервер.
      В чём проблема? что ещё нужно настроить и как это сделать правильно?
×
×
  • Создать...