Перейти к содержанию

Шифровальщик от lelouchlamperouge@tutanota.com , MonkeyD.Luffy@keemail.me

VladimirZZZ
 Share Подписчики 1

Рекомендуемые сообщения

VladimirZZZ

VladimirZZZ 0

Опубликовано
Опубликовано (изменено)

Здравствуйте.

Похоже что зашли на сервер по RDP.

Есть их IP.

Зашифровано всё, в том числе и бэкапы. 

Shadowcopy тоже отключили.

Имена файлов имеют вид 6465736B746F702E696E69 без расширения

CollectionLog-2018.08.14-11.33.zip

FRST.zip

README.txt

Изменено пользователем VladimirZZZ
Ссылка на сообщение
Поделиться на другие сайты
Sandor

Sandor 1 253

Опубликовано
Опубликовано

Здравствуйте!

 

Логи сделаны в терминальной сессии, сделайте их из консоли. А также пару зашифрованных офисных документов упакуйте в архив и тоже прикрепите к следующему сообщению.

Ссылка на сообщение
Поделиться на другие сайты
Sandor

Sandor 1 253

Опубликовано
Опубликовано

Да, активного заражения и следов вымогателя не видно.

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
Startup: C:\Users\administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\README.txt [2018-08-14] ()
2018-08-14 01:47 - 2018-08-14 01:47 - 000001224 _____ C:\Windows\SysWOW64\README.txt
2018-08-14 01:47 - 2018-08-14 01:47 - 000001224 _____ C:\Windows\SysWOW64\Drivers\README.txt
2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Windows\README.txt
2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\Администратор\README.txt
2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\Администратор\AppData\Roaming\README.txt
2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\Администратор\AppData\README.txt
2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\Администратор\AppData\LocalLow\README.txt
2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\user\README.txt
2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\user\AppData\Roaming\README.txt
2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\user\AppData\README.txt
2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\Public\README.txt
2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\office\README.txt
2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\office\AppData\Roaming\README.txt
2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\office\AppData\README.txt
2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\ivantsova\README.txt
2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\ivantsova\AppData\Roaming\README.txt
2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\ivantsova\AppData\README.txt
2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\info\README.txt
2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\info\AppData\Roaming\README.txt
2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\info\AppData\README.txt
2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\Default\README.txt
2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\Default\AppData\Roaming\README.txt
2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\Default\AppData\README.txt
2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\Default User\AppData\Roaming\README.txt
2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\Default User\AppData\README.txt
2018-08-14 01:33 - 2018-08-14 01:33 - 000001224 _____ C:\Users\BackUp_GW\README.txt
2018-08-14 01:33 - 2018-08-14 01:33 - 000001224 _____ C:\Users\administrator.ELM\Downloads\README.txt
2018-08-14 01:32 - 2018-08-14 01:32 - 000001224 _____ C:\Users\administrator.ELM\AppData\Roaming\README.txt
2018-08-14 01:32 - 2018-08-14 01:32 - 000001224 _____ C:\Users\administrator.ELM\AppData\LocalLow\README.txt
2018-08-14 01:31 - 2018-08-14 01:31 - 000001224 _____ C:\Users\administrator\README.txt
2018-08-14 01:31 - 2018-08-14 01:31 - 000001224 _____ C:\Users\administrator\AppData\Roaming\README.txt
2018-08-14 01:31 - 2018-08-14 01:31 - 000001224 _____ C:\Users\administrator\AppData\README.txt
2018-08-14 01:31 - 2018-08-14 01:31 - 000001224 _____ C:\Users\administrator.ELM\README.txt
2018-08-14 01:31 - 2018-08-14 01:31 - 000001224 _____ C:\Users\administrator.ELM\AppData\README.txt
2018-08-14 01:31 - 2018-08-14 01:31 - 000001224 _____ C:\Users\Admin\README.txt
2018-08-14 01:31 - 2018-08-14 01:31 - 000001224 _____ C:\Users\Admin\AppData\Roaming\README.txt
2018-08-14 01:31 - 2018-08-14 01:31 - 000001224 _____ C:\Users\Admin\AppData\README.txt
2018-08-14 01:31 - 2018-08-14 01:31 - 000001224 _____ C:\Users\Admin\AppData\LocalLow\README.txt
2018-08-14 01:30 - 2018-08-14 01:30 - 000001224 _____ C:\Users\Все пользователи\README.txt
2018-08-14 01:30 - 2018-08-14 01:30 - 000001224 _____ C:\ProgramData\README.txt
2018-08-14 01:30 - 2018-08-14 01:30 - 000001224 _____ C:\ProgramData\Microsoft\Windows\Start Menu\README.txt
2018-08-14 01:30 - 2018-08-14 01:30 - 000001224 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Programs\README.txt
2018-08-14 01:26 - 2018-08-14 01:26 - 000001224 _____ C:\Program Files (x86)\README.txt
2018-08-14 01:25 - 2018-08-14 01:25 - 000001224 _____ C:\Program Files\README.txt
2018-08-14 01:25 - 2018-08-14 01:25 - 000001224 _____ C:\Program Files\Common Files\README.txt
2018-08-14 01:24 - 2018-08-14 01:24 - 000001224 _____ C:\README.txt
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Перезагрузите компьютер вручную.

 

Подробнее читайте в этом руководстве.

Ссылка на сообщение
Поделиться на другие сайты
VladimirZZZ

VladimirZZZ 0

Опубликовано
  • Автор
Опубликовано

Дело в том, что зашифровано много всего на диске С. Я боюсь что сервер не перезагрузится.

А он удаленный  и это будет ещё хуже чем сейчас есть.

Можно как-то выполнить скрипт без перезагрузки?

Ссылка на сообщение
Поделиться на другие сайты
Sandor

Sandor 1 253

Опубликовано
Опубликовано

Да, можно. Ничего из системных файлов не затрагивается. Скрипт только удалит разбросанные записки с реквизитами злодеев.

Ссылка на сообщение
Поделиться на другие сайты
thyrex

thyrex 1 468

Опубликовано
Опубликовано (изменено)

Вопрос: Вы файл README.txt перед прикреплением к сообщению не редактировали? В нем напрочь отстутствует ID.

 

==== update ====

 

Вопрос снят. По несовпадению размера с подобным файлом в логе вижу, что редактировали.

Изменено пользователем thyrex
Ссылка на сообщение
Поделиться на другие сайты
Sandor

Sandor 1 253

Опубликовано
Опубликовано

зашли на сервер по RDP

Пароль смените.

 

Проверьте уязвимые места:

Выполните скрипт в AVZ при наличии доступа в интернет:

 

var
LogPath : string;
ScriptPath : string;
begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';
  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить.

В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

 

Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления (если таковые будут).

Перезагрузите компьютер.

Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

Ссылка на сообщение
Поделиться на другие сайты
VladimirZZZ

VladimirZZZ 0

Опубликовано
  • Автор
Опубликовано

Заплатили 700$, прислали декриптор через 15 часов после оплаты.

Он не запустился на том сервере где зашифровались файлы.

Пришлось всё копировать на другой сервер.

Файлы восстановились.

Расшифровывает всё очень быстро.

Ссылка на сообщение
Поделиться на другие сайты
  • 2 weeks later...
Nyart

Nyart 0

Опубликовано
Опубликовано

Добрый день. Столкнулся с той же проблемой.

Однако, в моем случае у меня есть папки с зашифрованными файлами, точно такие же папки (в другом месте) с целыми файлами (было 2 копии, зашифровали только одну), а также ID из файла README.

Возможно ли по этим данным расшифровать всё остальное?

Ссылка на сообщение
Поделиться на другие сайты
regist

regist 617

Опубликовано
Опубликовано

 

 


Возможно ли по этим данным расшифровать всё остальное?
нет.

+ не надо писать в чужой теме. Создайте отдельную тему.

Ссылка на сообщение
Поделиться на другие сайты
Гость
Эта тема закрыта для публикации ответов.
 Share
Подписчики 1
Перейти к списку тем
×
×
  • Создать...