Перейти к содержанию

Рекомендуемые сообщения

Доброго времени суток! Через rdp словили шифровальщик, заразил почти все файлы на компе, а так же пробрался в сеть.

 

в конце файла добавляется расширение .aes

 

текст, котороый оставляет мошенник

 

Все ваши файлы и данные зашифрованны.Для дешифровки свяжитесь с нами : rozlok@protonmail.com .Чем дольше мы ждём-тем больше.Вам придёться заплатить.

 

 


Прикрепляю архив с зараженным файлом и сообщением от мошенника

CollectionLog-2017.12.29-20.14.zip

Файл.rar

Ссылка на комментарий
Поделиться на другие сайты

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3munStB.png

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

Ссылка на комментарий
Поделиться на другие сайты

1)

C:\Program Files (x86)\Total Network Inventory 3\tni.exe

Этот файл вам знаком?
 
2) "Пофиксите" в HijackThis:

O2-32 - HKLM\..\BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files (x86)\Java\jre6\bin\jp2ssv.dll (file missing)
O4 - MSConfig\startupreg: [HW_OPENEYE_OUC_MegaFon | Modem] C:\Program Files (x86)\MegaFon Modem\UpdateDog\ouc.exe  (file missing) (HKCU) (2015/03/16)
O4 - MSConfig\startupreg: [SbisLoader] C:\СБИС Клиент\Мониторинг\SbisMon.exe  (file missing) (HKCU) (2017/11/13)
O4 - MSConfig\startupreg: [muzzle] C:\СБиС Уполномоченная бухгалтерия (сетевая)\MuzzleServer\MuzzleServer.exe -t (file missing) (HKLM) (2017/11/13)
O8 - HKCU\..\Extra context menu item: Добавить к существующему PDF - C:\Program Files (x86)\Common Files\Adobe\Acrobat\WCIEActiveX\AcroIEFavClient.dll (file missing)
O8 - HKCU\..\Extra context menu item: Преобразовать в Adobe PDF - C:\Program Files (x86)\Common Files\Adobe\Acrobat\WCIEActiveX\AcroIEFavClient.dll (file missing)

3) Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

 

4) Записку от вымогателей прикрепите.
 

Ссылка на комментарий
Поделиться на другие сайты

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Start::
    CreateRestorePoint:
    FF user.js: detected! => C:\Users\Admin\AppData\Roaming\Mozilla\Firefox\Profiles\cdyyvr7i.default\user.js [2016-12-05]
    2017-12-28 20:10 - 2017-12-28 20:10 - 000000251 _____ C:\Users\KlScSvc\Instruction.txt
    2017-12-28 19:12 - 2017-12-28 19:09 - 000000251 _____ C:\Users\TEMP\Instruction.txt
    2017-12-28 19:12 - 2017-12-28 19:09 - 000000251 _____ C:\Users\TEMP\Downloads\Instruction.txt
    2017-12-28 19:12 - 2017-12-28 19:09 - 000000251 _____ C:\Users\TEMP\Documents\Instruction.txt
    2017-12-28 19:12 - 2017-12-28 19:09 - 000000251 _____ C:\Users\TEMP\Desktop\Instruction.txt
    2017-12-28 19:11 - 2017-12-28 20:10 - 000000251 _____ C:\Users\Public\Downloads\Instruction.txt
    2017-12-28 19:11 - 2017-12-28 19:11 - 000000251 _____ C:\Users\Администратор\Instruction.txt
    2017-12-28 19:11 - 2017-12-28 19:11 - 000000251 _____ C:\Users\Администратор\Documents\Instruction.txt
    2017-12-28 19:11 - 2017-12-28 19:11 - 000000251 _____ C:\Users\Администратор\Desktop\Instruction.txt
    2017-12-28 19:11 - 2017-12-28 19:11 - 000000251 _____ C:\Users\sys\Downloads\Instruction.txt
    2017-12-28 19:11 - 2017-12-28 19:11 - 000000251 _____ C:\Users\sys\Documents\Instruction.txt
    2017-12-28 19:11 - 2017-12-28 19:11 - 000000251 _____ C:\Users\sys\Desktop\Instruction.txt
    2017-12-28 19:09 - 2017-12-28 20:10 - 000000251 _____ C:\Users\Public\Instruction.txt
    2017-12-28 19:09 - 2017-12-28 20:10 - 000000251 _____ C:\Users\Public\Documents\Instruction.txt
    2017-12-28 19:09 - 2017-12-28 20:10 - 000000251 _____ C:\Users\Public\Desktop\Instruction.txt
    2017-12-28 19:09 - 2017-12-28 20:10 - 000000251 _____ C:\Users\KlScSvc\Downloads\Instruction.txt
    2017-12-28 19:09 - 2017-12-28 20:10 - 000000251 _____ C:\Users\KlScSvc\Documents\Instruction.txt
    2017-12-28 19:09 - 2017-12-28 20:10 - 000000251 _____ C:\Users\KlScSvc\Desktop\Instruction.txt
    2017-12-28 19:09 - 2017-12-28 20:10 - 000000251 _____ C:\Users\denis\Downloads\Instruction.txt
    2017-12-28 19:09 - 2017-12-28 20:10 - 000000251 _____ C:\Users\denis\Documents\Instruction.txt
    2017-12-28 19:09 - 2017-12-28 20:10 - 000000251 _____ C:\Users\denis\Desktop\Instruction.txt
    2017-12-28 19:09 - 2017-12-28 20:10 - 000000251 _____ C:\Users\Default\Instruction.txt
    2017-12-28 19:09 - 2017-12-28 20:10 - 000000251 _____ C:\Users\Default\Downloads\Instruction.txt
    2017-12-28 19:09 - 2017-12-28 20:10 - 000000251 _____ C:\Users\Default\Documents\Instruction.txt
    2017-12-28 19:09 - 2017-12-28 20:10 - 000000251 _____ C:\Users\Default\Desktop\Instruction.txt
    2017-12-28 19:09 - 2017-12-28 20:10 - 000000251 _____ C:\Users\Default User\Downloads\Instruction.txt
    2017-12-28 19:09 - 2017-12-28 20:10 - 000000251 _____ C:\Users\Default User\Documents\Instruction.txt
    2017-12-28 19:09 - 2017-12-28 20:10 - 000000251 _____ C:\Users\Default User\Desktop\Instruction.txt
    2017-12-28 19:08 - 2017-12-28 21:09 - 000000000 _____ C:\Users\admin1c\Desktop\Instruction.txt
    2017-12-28 19:08 - 2017-12-28 20:09 - 000000251 _____ C:\Users\Все пользователи\Instruction.txt
    2017-12-28 19:08 - 2017-12-28 20:09 - 000000251 _____ C:\Users\admin1c\Downloads\Instruction.txt
    2017-12-28 19:08 - 2017-12-28 20:09 - 000000251 _____ C:\Users\admin1c\Documents\Instruction.txt
    2017-12-28 19:08 - 2017-12-28 20:09 - 000000251 _____ C:\ProgramData\Instruction.txt
    2017-12-28 19:08 - 2017-12-28 19:51 - 000000251 _____ C:\Users\Admin\Downloads\Instruction.txt
    2017-12-28 19:07 - 2017-12-28 19:11 - 000000251 _____ C:\Users\Admin\Documents\Instruction.txt
    2017-12-28 19:06 - 2017-12-28 19:49 - 000000251 _____ C:\Users\Instruction.txt
    2017-12-28 19:06 - 2017-12-28 19:49 - 000000251 _____ C:\Users\Admin\Desktop\Instruction.txt
    2017-12-28 19:05 - 2017-12-28 19:47 - 000000251 _____ C:\Instruction.txt
    Reboot:
    End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически.
 
Ссылка на комментарий
Поделиться на другие сайты

При наличии лицензии на любой из продуктов Касперского создайте запрос на расшифровку.
 

 

Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Выполните рекомендации после лечения.
 
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Игорь_Белов
      Автор Игорь_Белов
      Доброго времени суток. 
      Прошу помощи, словил вирус шифровальщик, недавно созданный сервер для теста 1с, поймал вирус, файлы баз данных зашифровались. 
      Прошу помочь в определение вируса, по возможности расшифровать. И как его побороть.
       
      scan.zip
    • Беляш
      Автор Беляш
      Добрый день.
      не восстановил   белый лист для RDP  на роутере.
      Сегодня 2025.06.18 получил наказание.  Какие то архивы есть. Помогут они или нет можно  понять только после обеззараживания.
      Пострадало  две машины и  файловое хранилище
      Помогите пожалуйста с восстановлением.  
      файлы работы   frst  и  шифровальщика  во вложении.
       
      С уважением, Урянский Виктор
       
      primery.zip frst.zip
    • ratava
      Автор ratava
      Поймал шифровальщика, судя по подобным темам файлы расшифровать не получится, хотелось бы удалить его из системы и обойтись без переустановки, если такое возможно
      FRST.txt Addition.txt Shortcut.txt Desktop.zip
    • alexlaev
      Автор alexlaev
      Доброго бодрого, придя на работу в понедельник пришло осознание того что на сервере происходит что-то неладное, появились файлы с расширением .[nullhex@2mail.co].0C8D0E91
      Ничего не поняв, начал искать что могло произойти, один из компьютеров был подвержен атаке, в ночь с пятницы на субботу по местному времени в 3:30 утра 28.06.2025 было совершено подключение по RDP к данному компьютеру. После анализа действий программы Clipdiary (благо была установлена на компьютере) было выявлено что злоумышленник владеет всей информацией о паролях от сервера, пользователей, список пользователей в сети, и начал свою атаку глубже. Этот компьютер имел админку к серверу, поэтому злоумышленник без труда добрался до него и начал шифровать данные как и на двух других компьютерах. По итогу то ли то что злоумышленнику стало скучно, то ли из-за того что компьютер завис в этот момент (на часах было 10:03 29.06.2025 (я смотрел на время на экране уже на следующий день в понедельник 30.06.2025 в 11:30, поэтому обратил внимание сразу что время не совпадает и комп заблокирован и завис)) у злоумышленника доступ к серверу пропал, потому как по RDP только из локалки можно к нему цепляться. Файлы незначительные повреждены, но уже восстановлены из бэкапа(благо делается каждый день)
      А вот с компьютерами меньше повезло, три компа полностью зашифрованы. Прилагаю файлы и проверку в программе указанной в теме правил.
      vse tut.rar
    • kocks33
      Автор kocks33
      Добрый день!
      На сервер проник шифровальщик. Зашифровал весь диск D, снял лицензию с сервера
      Можно ли как то расшифровать файлы. Помогите пожалуйста.


×
×
  • Создать...