n3ww4v3 Шифровальщик Trojan.encoder.35534

[Воробьёв Максим 1]

Имеем 2 сервера физический и виртуальный.
С виртуального примерно осенью переезжали на физический.
Сегодня обнаружили что данные на физическом и виртуальном сервере зашифрованы. шифровальщик меняет расширение файлов.
Прислали образец файлов в доктор вэб там определили его как Trojan.encoder.35534 и дешифратора нет.
Прошлись KVRT по физическому серверу обнаруженные вирусы поместили в карантин и там нейтрализовали. На виртуальном KVRT  не отработал.
в вложении логи с виртуального сервера и архив с примерами заражённых файлов. Есть еще архив с файлов вируса но он не влезает в сообщение по весу.
 

Addition.txt FRST.txt Профсоюзная.zip

[Sandor 1103]

Здравствуйте!

 

Боюсь, что и мы ничем не поможем.

Один из файлов с именем Bigspermhorseballs_Decryption.txt прикрепите к следующему сообщению. Попробуем определить тип вымогателя.

[Воробьёв Максим 1]

Понятно. Завтра с физического сервера снимать логи будем и поищем этот  файл.
Спасибо.

[Sandor 1103]

Хочу уточнить, на большинстве подобных этому форумов помогают одни и те же энтузиасты. Поэтому определитесь, где будете продолжать - здесь или на virusinfo?

 

Записку скиньте (для коллекции), но уже ясно. Это N3ww4v3

[Воробьёв Максим 1]

Добрый день.
Да мы написали везде где помогают.
Решения в принципе пока нет ни тут ни там.
Файлик TXT добавляю

Bigspermhorseballs_Decryption.txt

 

При помощи пользователей с virus.info выполнили скрипт по в AVZ  по очистке виртуального сервера.
Дальше по их рекомендации будем обитать тут.

[Sandor 1103]

После скрипта и перезагрузки соберите логи FRST.txt и Addition.txt

[Воробьёв Максим 1]

После прогона скрипта и перезагрузки виртуалки система перестала грузиться вообще.
Восстановили их бэкапа на 2 дня до, ТАм файлы не зашрфрованы были. 
Уже прогнали KVRT и AVZ удалили всё что нашли.
На физ сервере пока все осталось зашифрованным можем попробовать там, но клиент уже поджимает на восстановление работы.
 

[Sandor 1103]

6 минут назад, Воробьёв Максим сказал:

клиент уже поджимает на восстановление работы

Если планируете переустановку системы, то выполнять скрипт не нужно. Это только очистка, к восстановлению файлов отношения не имеет.