Перейти к содержанию

Xorist-Frozen. Новая разновидность.


Рекомендуемые сообщения

Добрый день! имеется пострадавший сервер на Windows Server 2008R2. 

был подобран пароль к учётке админа и установлен криптолокер.

все файлы имеют расширение:

.DATA_IS_SAFE_YOU_NEED_TO_MAKE_THE_PAYMENT_IN_MAXIM_24_HOURS_OR_ALL_YOUR_IMPORTANT_FILES_WILL_BE_LOST_FOREVER_PLEASE_BE_REZONABLE_IS_NOT_A_JOKE_TIME_IS_LIMITED

систему уже пролечил, пароли сменил, но требуется помощь в дешифровке файлов.

все необходимые архивы прилагаю. 

буду благодарен за любую помощь!

CollectionLog-2018.10.16-00.32.zip

FRST.rar

sample.rar

Ссылка на сообщение
Поделиться на другие сайты

Здравствуйте,

Вам знакома следующая настройка?

O7 - IPSec: Name: win (2018/09/30) - {ea3d90b5-d4aa-43d8-82ae-bf4ce370e5a1} - Source: Any IP - Destination: my IP (Port 135 TCP) (mirrored) - Action: Block
O7 - IPSec: Name: win (2018/09/30) - {ea3d90b5-d4aa-43d8-82ae-bf4ce370e5a1} - Source: Any IP - Destination: my IP (Port 137 TCP) (mirrored) - Action: Block
O7 - IPSec: Name: win (2018/09/30) - {ea3d90b5-d4aa-43d8-82ae-bf4ce370e5a1} - Source: Any IP - Destination: my IP (Port 138 TCP) (mirrored) - Action: Block
O7 - IPSec: Name: win (2018/09/30) - {ea3d90b5-d4aa-43d8-82ae-bf4ce370e5a1} - Source: Any IP - Destination: my IP (Port 139 TCP) (mirrored) - Action: Block
O7 - IPSec: Name: win (2018/09/30) - {ea3d90b5-d4aa-43d8-82ae-bf4ce370e5a1} - Source: Any IP - Destination: my IP (Port 445 TCP) (mirrored) - Action: Block


HiJackThis (из каталога autologger)профиксить
Важно: необходимо отметить и профиксить только то, что указано ниже.
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: [ProxyServer] = 127.0.0.1:10011 (disabled)
O22 - Task: Mysa1 - C:\Windows\system32\rundll32.exe c:\windows\debug\item.dat,ServiceMain aaaa
O22 - Task: WinHostStartForMachne - C:\ProgramData\winhost.exe (file missing)
O22 - Task: ok - C:\Windows\system32\rundll32.exe c:\windows\debug\ok.dat,ServiceMain aaaa


AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
begin
 QuarantineFile('c:\windows\debug\item.dat','');
 QuarantineFile('c:\windows\debug\ok.dat','');
 QuarantineFile('C:\ProgramData\winhost.exe','');
 DeleteSchedulerTask('Mysa1');
 DeleteSchedulerTask('ok');
 DeleteSchedulerTask('WinHostStartForMachne');
 DeleteFile('C:\ProgramData\winhost.exe','64');
 DeleteFile('c:\windows\debug\ok.dat','64');
 DeleteFile('c:\windows\debug\item.dat','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.

После выполнения скрипта перезагрузите ваш сервер вручную.

После перезагрузки:
- Выполните в AVZ:
begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
quarantine.zip из папки AVZ загрузите этот архив через данную форму

- Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
    B92LqRQ.png
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.





 

Ссылка на сообщение
Поделиться на другие сайты

Огромная благодарность за помощь!
отдельный поклон модератору thyrex за предоставленный файл с ключом для расшифровки.

Работает великолепно!
Вы мои герои, ребята. дай Бог Вам здоровья и счастья.
 

Ссылка на сообщение
Поделиться на другие сайты

Если minion67, это Ваш никнейм на BC, то небольшая просьба на будущее: выкладывать файлы, в имени которых нет никаких китайских иероглифов. Пришлось повозиться гораздо дольше с брутом ключа.

Ссылка на сообщение
Поделиться на другие сайты

Если minion67, это Ваш никнейм на BC, то небольшая просьба на будущее: выкладывать файлы, в имени которых нет никаких китайских иероглифов. Пришлось повозиться гораздо дольше с брутом ключа.

 

нет, не совсем. это не я, но я следил так же за той темой на том забугорном форуме, т.к. там ребята с аналогичной проблемой. спасибо за помощь. мне помогло, файлы расшифровались.

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

×
×
  • Создать...