Шифровальщик bentleysali@india.com

[Anagramma 0]

Зашифрованы данные на файловом сервере Win 2008 R2 . Антивируса на этой машине нет.

Файлы имеют вид - "C:\file_name.file_extension.{bentleysali@india.com}XX".

Сообщение от злоумышленников лежит в файле "how_to_back_files.html", в каждой папке(файл прикрепил).

Журналы ОС очищены.

 

 

Логи FRST

FRST.rar

how_to_back_files.rar

Изменено 4 января, 2018 пользователем Anagramma

[thyrex 1 468]

Порядок оформления запроса о помощи

[Anagramma 0]

сервер всетаки Win 2012 R2 Standart, если это важно

Прикрепляю логи

CollectionLog-2018.01.06-10.58.zip

[thyrex 1 468]

Запуск утилиты wget в Планировщике заданий сами прописали?

 

Выполните скрипт в AVZ

begin
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
SetServiceStart('MailRuCloud', 4);
 DeleteService('MailRuCloud');
 TerminateProcessByName('C:\MailRuCloud\nssm.exe');
 QuarantineFile('C:\MailRuCloud\nssm.exe','');
 DeleteFile('C:\MailRuCloud\nssm.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.

• Обратите внимание: перезагрузку компьютера нужно выполнить вручную.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN).

 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger, прикрепите к следующему сообщению НОВЫЕ логи.

[Anagramma 0]

Спасибо за ответ, но судя по всему nssm это программа для создания службы из обычного GUI приложения https://nssm.cc/. Он запускал облако мэйла как службу.

Действительно нужно послать этот файл для анализа? wget, да сами создавали.

[thyrex 1 468]

Это GlobeImposter2 с высокой долей вероятности. Расшифровки нет.

 

C:\Users\Администратор\Documents\svchost.exe заархивируйте с паролем virus, выложите на dropmefiles.com и пришлите ссылку мне в личные сообщения.

[Anagramma 0]

svchost.exe запаковал( вирус, да похоже. )

[скачал, удалил]

Из под учетки Администратор локального шифровщик похоже и работал

 

 

эх, жаль

Изменено 6 января, 2018 пользователем thyrex

[thyrex 1 468]

Да, предположение подтвердилось