Перейти к содержанию

Рекомендуемые сообщения

Опубликовано

Поймали шифровальщик. win server 12, никаких флешек, минимальный выход в интернет, для обновления антивируса и 1с. в итоге антивирус вырубился. и зачем мы только берем  касперкий на 100+ ключей???


в общем и целом, 1с вроде восстановил, но что дальше будет, всеми возможными утилитами проверил. будет ли он распространятся или у него одноразовое действие. сносить ос или же можно оставить????

post-52630-0-53121000-1547796447_thumb.jpg

post-52630-0-09482800-1547796457_thumb.jpg

Опубликовано (изменено)

1.

2 прикрепил

 3 зашифрованы файлы в основном относящиеся к 1с, так же был поврежден загрузочник ОС (восстановил стандартным восстановлением ОС), переустановил 1с в туже папку что и была, база работает, все открывается. отключил сервер от интернета. что дальше? можно ли вылечить? будет ли распространятся если включить сеть обратно? п.с. загрузочные файлы касперского пали еще вчера, сглупил и не обратил на это внимания. просто сделал восстановление и все. то есть вирус убил антивирус. п.п.с. затронут только диск С

CollectionLog-2019.01.18-12.10.zip

Изменено пользователем Sinful
Опубликовано

"Пофиксите" в HijackThis:

 

O26 - Debugger: HKLM\..\sethc.exe: [Debugger] = C:\\Windows\\IME\\IMEB\\exp.bat
Если файл

C:\Windows\IME\IMEB\exp.bat

существует, упакуйте его в архив с паролем и пришлите мне в ЛС.

 

Дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.

Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Опубликовано (изменено)

файлы, п.с. что ту у меня мозг похоже совсем отключился, не могу найти в лс прикрепление файлов,

Addition.txt

FRST.txt

Изменено пользователем Sinful
Опубликовано

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
    IFEO\sethc.exe: [Debugger] C:\\Windows\\IME\\IMEB\\exp.bat
    End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Перезагрузите компьютер вручную.

 

Подробнее читайте в этом руководстве.

 

 

Если файл C:\Windows\IME\IMEB\exp.bat существует

Вы ничего не ответили. Надо понимать, что файла нет?
Опубликовано

 

существует, упакуйте его в архив с паролем и пришлите мне в ЛС.

 

 

не могу найти в лс прикрепление файлов

и еще, важна ли последовательность действий, сначало пофиксить, потом файл exp, потом фарбар.???

да файл exp.bat есть

fixlog

Fixlog.txt

Опубликовано

Да, последовательность важна. Файл всё ещё жду.

Опубликовано (изменено)

Да, последовательность важна. Файл всё ещё жду.

exp до

exp posle  после выполнения действий

exp.7z

exp posle.7z

Изменено пользователем Sinful
Опубликовано

Сделайте ещё раз контрольный CollectionLog Автологером.

 

и зачем мы только берем  касперкий на 100+ ключей???

Злоумышленник имел физический доступ к серверу.

 

Тот файл можете удалить.

Опубликовано

Сделайте ещё раз контрольный CollectionLog Автологером.

 

и зачем мы только берем  касперкий на 100+ ключей???

Злоумышленник имел физический доступ к серверу.

 

Тот файл можете удалить.

 

так, а вот это уже интересно, можно какие то подробности??? и как это исправить??? насчет 100 ключей, "извиняюсь", был на нервах.

Опубликовано (изменено)

а что с не читаемыми файлами с расширением crash???


и узнать когда именно был вход злоумышленника нельзя?

CollectionLog-2019.01.18-14.21.zip

Изменено пользователем Sinful
Опубликовано

когда именно был вход злоумышленника

2019-01-18 03:25

 

что с не читаемыми файлами с расширением crash?

Пару таких документов вместе с запиской с требованием выкупа упакуйте в архив и прикрепите к следующему сообщению.

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Ser25
      Автор Ser25
      Взломали пароль и зашифровали удаленный комп. Пока ничего не предпринимал
      20250507.7z
    • Пользователь 1551
      Автор Пользователь 1551
      Добрый день! У нас аналогичная ситуация? Удалось расшифровать?
       
      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.
    • Thunderer
      Автор Thunderer
      Зашифровали файлы на компьютере и все общие папки 
      Подключились к компьютеру по RDP 
      В архиве логи frst, зашифрованный и расшифрованный файлы
      -Файлы.zip
    • Сергей_00
      Автор Сергей_00
      Добрый день!
      Сегодня шифровальщик зашифровал большую часть нужных файлов, благо выключили компьютер из розетки...
      В результате остались файлы в папке запуска подозрительного файла   svhostss.exe, а именно в папке c:\users\пользователь\BD3FDDDF-6CAF-3EBC-D9CF-C8DF72D8F78A\svhostss.exe
      следующие файлы:
      Everything.db
      Everything32.dll
      Everything64.dll
      session.tmp
      svhostss.exe
       
      быть может есть возможность дешифровать данные? 
    • bygi13
      Автор bygi13
      Вирус шифровальщик
×
×
  • Создать...