Перейти к содержанию

Рекомендуемые сообщения

Вячеслав Черныш

Вирус зашифровал все документы, фото, архивы на сервере (расшаренная папка и диск Д), диск Ц при этом остался не затронутым. Помогите, добрые люди. Рабочие файлы и бухгалтерия "ляпнули". ( 

Высылаю Отчеты сканирования и сбор логов. Имеются так же идентичные файлы ДО и После заражения 

Заранее благодарен


Добавил архив с зашифрованным и здоровым файлами

CollectionLog-2018.08.16-12.07.zip

post-50745-0-32069600-1534411815_thumb.jpg

files.rar

Ссылка на сообщение
Поделиться на другие сайты

Здравствуйте!

 

Если есть текстовый (или html) файл с требованием выкупа, его тоже упакуйте и прикрепите к следующему сообщению.

 

Источник заражения скорее всего не тот компьютер, на котором собраны логи. По журналам сервера попробуйте определить по времени кто был подключен.

Ссылка на сообщение
Поделиться на другие сайты
Вячеслав Черныш

Здравствуйте!

 

Если есть текстовый (или html) файл с требованием выкупа, его тоже упакуйте и прикрепите к следующему сообщению.

 

Источник заражения скорее всего не тот компьютер, на котором собраны логи. По журналам сервера попробуйте определить по времени кто был подключен.

Добрый день. Файлы имеют вот такую надпись:

TeamViewer_Setup_uk-ckq.exe.id-3EECD8D7.[bitpandacom@qq.com]

Во всех случаях, идентичная составляющая это - id-3EECD8D7.[bitpandacom@qq.com]

Я сделал запрос на этот ящик, где мне ответили:

I’m an email operator. I'll try to answer all your questions and help you to decrypt files. To start answer:

1. How many computers with local disks are encrypted?

2. How many external hard drives or NAS are encrypted?

3. Write your ID. (you can find it in the name of the files)

 

Переделаю логи и прикреплю сейчас

Здравствуйте!

 

Если есть текстовый (или html) файл с требованием выкупа, его тоже упакуйте и прикрепите к следующему сообщению.

 

Источник заражения скорее всего не тот компьютер, на котором собраны логи. По журналам сервера попробуйте определить по времени кто был подключен.

Судя по скрину, была взломана учётка Бух2 и было выполнено подключение к серверу Base

post-50745-0-10354400-1534419661_thumb.jpg

Ссылка на сообщение
Поделиться на другие сайты

взломана учётка Бух2

Если сможете определить компьютер, с которого заходили под этой учеткой, соберите на нем логи. Но хочу предупредить, что расшифровки для Dharma (.cezar Family) нет. Будет только очистка следов вымогателя.
Ссылка на сообщение
Поделиться на другие сайты
Вячеслав Черныш

 

взломана учётка Бух2

Если сможете определить компьютер, с которого заходили под этой учеткой, соберите на нем логи. Но хочу предупредить, что расшифровки для Dharma (.cezar Family) нет. Будет только очистка следов вымогателя.

 

Скорее всего, учётку взломали перебором, подключались к серверу через РДП, потому нет никакого локального компа, из которого пришел вирус. Вымогатель напрямую подключился и запустил вирус.

 

Получается, что файлы потеряны? 

Пришли требования:

1.  Decoding cost

The cost of decryption is 3 500 $. We receive payment only in BITCOINS. (Bitcoin is a form of digital currency)

All your Remote desktop passwords hacked. Change all user passwords to more harder. Immediately!

 

2.  Attention!

Do not rename encrypted files. 

Do not try to decrypt your data using third party software, it may cause permanent data loss. 

Do not trust anyone! Only we have keys to your files! Without this keys restore your data is impossible. 

 

3.  Free decryption as guarantee

You can send us up to 1 file for free decryption.

Size of file must be less than 1 Mb (non archived). We don`t decrypt for test DATABASE, XLS and other important files. Remember this.

 

4.  Decryption process:

To decrypt the files, transfer money to our bitcoin wallet number: "1Q1rUuBjq9HmzDsuT9EZoYWG7J1sQFPLca". As we receive the money we will send you:

1.     Decryption program.

2.     Detailed instruction for decryption. 

3.     And individual keys for decrypting your files.

 

5.  The process of buying bitcoins:

The easiest way to buy bitcoins: https://localbitcoins.com/

                                                   https://www.bitpanda.com/

                                                   https://paxful.com/

                                                   https://www.abra.com/

IMPORTANT! Don`t use coinbase! it take more than 2 week to make coinbase verification.

Ссылка на сообщение
Поделиться на другие сайты

подключались к серверу через РДП

Пароль смените.

 

Получается, что файлы потеряны?

У нас возможности для расшифровки нет. Но мы - не ТП лаборатории. При наличии лицензии на любой из продуктов Касперского создайте запрос на расшифровку.

Если появится, вам сообщат.

 

Насчет связи со злодеями, хорошо подумайте. Есть печальные прецеденты.

 

Проверьте уязвимые места системы:

Выполните скрипт в AVZ при наличии доступа в интернет:

 

var
LogPath : string;
ScriptPath : string;
begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';
  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить.

В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

 

Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления (если таковые будут).

Перезагрузите компьютер.

Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

Ссылка на сообщение
Поделиться на другие сайты
Вячеслав Черныш

Если кто поможет с расшифровкой, вознаградим материально. Информация крайне ценная для нашего предприятия

Ссылка на сообщение
Поделиться на другие сайты
  • 4 weeks later...

ОСТОРОЖНО ЖУЛИКИ!!!!!

Добрый день. Столкнулся с той же проблемой.bitpandacom

Прочитав форум по тексту Выше решил связаться командой bitpandacom

Связались по указанному адресу электронной почты. Начали преписку. Неделю торговались После чего договорились о цене.

Я перечислил деньги в Биткоинах на их кошелек.

В ответ получил письмо, что они еще хотят денег и расшифровку пришлют после того как дополнительно отправим 750$/

В общем веры им нет, не отправляйте Ваши деньги!!!!!!

  • Не согласен 1
Ссылка на сообщение
Поделиться на другие сайты

ОСТОРОЖНО ЖУЛИКИ!!!!!

Добрый день. Столкнулся с той же проблемой.bitpandacom

Прочитав форум по тексту Выше решил связаться командой bitpandacom

Связались по указанному адресу электронной почты. Начали преписку. Неделю торговались После чего договорились о цене.

Я перечислил деньги в Биткоинах на их кошелек.

В ответ получил письмо, что они еще хотят денег и расшифровку пришлют после того как дополнительно отправим 750$/

В общем веры им нет, не отправляйте Ваши деньги!!!!!!

И сколько ты им отправил уже?

Ссылка на сообщение
Поделиться на другие сайты
Гость
Эта тема закрыта для публикации ответов.
  • Похожий контент

    • Svetlana1965
      От Svetlana1965
      Здравствуйте, уважаемые сотрудники форума! Я к вам с огромной просьбой. Помогите, пожалуйста, расшифровать мои файлы после вируса - шифровальщика (как я узнала позже). Теперь все мои файлы зашифрованы с расширением .zip и имеют название "932 Фaйл зaшифрoвaн [petrov441@protonmail.com] wannacash". Пожалуйста, подскажите, что мне нужно сделать. Утеряны все фотографии моих детей и внуков, файлы по работе. Так расстроена. Видео и музыка не тронуты.  
      Сообщение от модератора kmscom Тема перемещена из раздела Компьютерная помощь  
    • vaz21102
      От vaz21102
      В домене все сервера выдают сообщение "All your files have been encrypted due to a security problem with your PC. If you want to restore them, write us to the e-mail Smith1@mailfence.com". Рабочий стол не грузиться.К имени файлов на серверах добавился текст "id-1A54EC80.[smith11@keemail.me].Aim"
      Addition.txt FRST.txt hijackthis.log virus.rar
    • isavr
      От isavr
      Друзья, подскажите что делать? первый раз поймал шифровальщика
      sample.zip FRST.txt Addition.txt
    • thyrex
      От thyrex
      Здравствуйте, Евгений Валентинович.
       
      Вы конечно же в курсе, что недавно группа, занимавшаяся распространением вируса-шифровальщика Shade, официально объявила о завершении своей деятельности и предоставила антивирусным компаниям все ключи, необходимые для расшифровки файлов пользователей, пострадавших от их шифровальщика, коих оказалось около 750 тысяч. Ваши сотрудники оперативно обновили утилиту для расшифровки, за что им честь и хвала. Однако без ложки дегтя не обошлось: утилита по-прежнему просит от пострадавших указать путь к одному из файлов README[1-10].txt с информацией, необходимой для оперативного выбора ключа. А как быть пользователям, которые благополучно сохранили пострадавшие файлы с прицелом на будущее, переустановили систему, а файлов README не сохранили? Не могли бы Вы попросить автора утилиты ShadeDecryptor предусмотреть возможность простого перебора всех имеющихся ключей при отсутствии необходимого файла с информацией? Кроме того, службе веб-поддержки также необходимо обновить информацию  о данной утилите на сайте https://support.kaspersky.ru/viruses/utility .
       
      Спасибо за содействие.
    • me4dy
      От me4dy
      Вирус зашифровал файлы на компьютере. Расширение новых файлов .Enter
      В письме от вымогателей указана почта
      enter_software@aol.com
      enter_software@india.com
       
      Прошу помощи. Если необходимо то есть файлы .pdf до и после шифрования
      CollectionLog-2018.11.20-14.12.zip
      report1.log
      report2.log
×
×
  • Создать...