Перейти к содержанию

Рекомендуемые сообщения

Опубликовано

Начали шифровать сервера. Вовремя заметили и выключили.

Во вложении файл Cpriv.BlackBit возможно с ключем шифрования.

Сервера были восстановлены из резервной копии.

Часть данных потеряли - хотелось бы расшифровать.

Заранее благодарен.

Addition.txt FRST.txt !Для расшифровки.rar

Опубликовано

Здравствуйте!

 

Предположительно это вариант Loki Locker, так что расшифровки нет.

В логах не видно следов шифрования, заражение произошло на другом компьютере?

Опубликовано (изменено)

Заражение произошло на этом компьютере, но он был восстановлен из бэкапа.

Есть другой сервер полностью зашифрованный.

Приложил логи с него. Но они были сделаны в сэйф моде

 

Addition.txt FRST.txt

Изменено пользователем Sandr0
Опубликовано

Да, спасибо, тут как раз он виден.

Ещё некоторое время подождите окончательного вердикта (хоть и без особых надежд на успех).

Опубликовано

сейчас пытаюсь снять логи с работающего зашифрованного - если получится, выложу

Опубликовано

возможно там и скрипт (или что там запускалось) есть - только скажите что искать

 

 

Ну и вопрос из области фантастики - как определить под каким пользователем это заработало?
я сейчас включил учетку локального админа и ничего не шифруется....
все было запущено от пользователя который сейчас не вошел на сервер. 

  • Like (+1) 1
Опубликовано

Если ориентироваться на логи из безопасного режима, это произошло 2022-09-24 23:37 в учётках: 
 

Цитата

 

C:\Users\1c_user4141\

C:\Users\1C_User4023.TEAM-RKD\

C:\Users\Public\

 

То есть, от администратора скорее всего.

Опубликовано

Как и предполагал, это вариант Loki и расшифровки нет.

Только хочу уточнить - здесь на форуме сотрудники ЛК не отвечают в темах лечения (и соотв. я к ним не отношусь).

Поэтому если вам нужен официальный ответ, следует обратиться по официальным же каналам - через My Kaspersky или через Company Account.

Опубликовано

Да, спасибо
Есть над чем подумать

При необходимости обратимся

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Gupecology
      Автор Gupecology
      Взломали сервер и зашифровали файлы. Требуют выкуп. Из за чего непонятно, возможно взломали через rdp.FRST.txtAddition.txtАрхив WinRAR.rar
    • wowabas_1959
      Автор wowabas_1959
      Неожиданно сегодня прилетел BlackBit и зашифровал системный диск и диск с архивом. Требует денег.
      Систему-то я могу переустановить с нуля, а вот архивы (фото, документы) жалко.
      Необходимые файлы как смог приготовил. Хотя через несколько секунд они тоже шифруются.
       А вот добавить образ автозапуска системы в uVS не могу.
      архив программы скачивал несколько раз и из разных мест.
      При попытке риаспаковать данный архив с программой в отдельный каталог пишет поврежденный архив.
      Addition.txt eb2d57b2-83b2-45ac-80aa-e28b8e2a3089.zip FRST.txt
    • SeregyI
      Автор SeregyI
      Добрый день! сервер windows server 2016 с RDP был взломан и зашифрован. Заплатили получили дешифратор расшифровали, после перезапуска опять все зашифровано. вирус где то лежит и активен. программы не запускаюся, система загружается как будто в безопасном режиме, службы не работают, active directory тоже
    • ad_art
      Автор ad_art
      Здравствуйте, требуется помощь в расшифровке файлов.
      Прилагаю образец вируса в запароленном архиве, ключи реестра содержащие данные для шифрации.
      First.txt Addition.txt Зашифрованные файлы.7z Оригинальные файлы.7z virus_sample.7z Требования вируса.7z reg_keys.7z
    • Bredmon
      Автор Bredmon
      Поймал шифровальщик, все файлы стали с расширением blackbit, системные приложения не запускаются
      Addition.txt files.zip FRST.txt SQL_2024-03-15_04-28-34_v4.15.1.7z
×
×
  • Создать...