Перейти к содержанию

Рекомендуемые сообщения

Опубликовано

Здравствуйте! 

Каким-то образом, скорее всего через почту, подхватили шифровальщик... Что делать не можем понять. На сервере зашифровался целый диск. На нем хранилось, к счастью, только мультимедиа.

 

Заметили случайно. Зашли картинку скачать, а там все файлы с припиской ...[Vulcanteam@CYBERFEAR.COM].RYK после расширения файла.

В каждой папке создались файлы: "RyukReadMe.txt", "hrmlog1"

Файлы предоставить не могу, так как сервер на данный момент отключили

 

Текст редми файла:

Your network has been penetrated.

All files on each host in the network have been encrypted with a strong algorithm.

Backups were either encrypted
Shadow copies also removed, so F8 or any other methods may damage encrypted data but not recover.

We exclusively have decryption software for your situation.
More than a year ago, world experts recognized the impossibility of deciphering by any means except the original decoder.
No decryption software is available in the public.
Antiviruse companies, researchers, IT specialists, and no other persons cant help you decrypt the data.

DO NOT RESET OR SHUTDOWN - files may be damaged.
DO NOT DELETE readme files.

To confirm our honest intentions.Send 2 different random files and you will get it decrypted.
It can be from different computers on your network to be sure that one key decrypts everything.
2 files we unlock for free

To get info (decrypt your files) contact us at
RyanRinse@mailfence.com
or
RyanRinse@firemail.de

You will receive btc address for payment in the reply letter

Ryuk

No system is safe

Зашифрованные файлы - образец.rar

Опубликовано

Здравствуйте!

 

4 минуты назад, SouL_77335 сказал:

В каждой папке создались файлы: "RyukReadMe.txt", "hrmlog1"

Файлы предоставить не могу, так как сервер на данный момент отключили

Тогда либо ждём когда включат, либо снимите жёсткий диск и подключите к другому компьютеру. Эти файлы нужны.

Опубликовано

@Sandor И так сервер запустили, файлы получил. На всякий случай так же закину оригиналы тех 3-х зашифрованных файлов

Оригиналы зашифрованных файлов.rar Шифровальщик - сопровождающие файлы.rar

 

Так же вот еще один файл обнаружили странный

Доп найденый вирФайл.rar

Опубликовано

Оригиналы не нужны.

Прикрепите, если возможно, несколько других зашифрованных. Файл hrmlog1 из той же папки, где лежат эти другие, тоже упакуйте и прикрепите.

Опубликовано

Логи нужно переделать, запустив утилиту от имени администратора:

Цитата

Запущено с помощью GololobovAl (ВНИМАНИЕ: Пользователь не является Администратором) на SERVER1

 

К сожалению, похоже у вас другая модификация, для которой пока нет расшифровки.

Советую обратиться в тех-поддержку (конечно, при наличии лицензии).

Опубликовано

@Sandor Вот логи от имени Админа

 

А вот это инфа не очень...

Цитата

К сожалению, похоже у вас другая модификация, для которой пока нет расшифровки.

 

ЛогиFarbar_admin.rar

Опубликовано

Раз у вас установлен Kaspersky Small Office Security, то обратиться в поддержку следует через Company Account.

 

Скриптом мы только закроем разрешения на порты.

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Start::
    FirewallRules: [{FBF6273C-95FF-4136-A027-97E6061CB64A}] => (Allow) LPort=475
    FirewallRules: [{B3E657EE-0DFD-4D46-80FB-32A59880CE90}] => (Allow) LPort=475
    FirewallRules: [{0769273E-2FC0-4032-9DEC-E1C9D8EC8E74}] => (Allow) LPort=10501
    FirewallRules: [{6162D001-8247-41B0-B380-2D39DD665E77}] => (Allow) LPort=9502
    FirewallRules: [{B15C0B80-0B47-4AF1-93FA-DE5C363E195B}] => (Allow) LPort=9502
    FirewallRules: [{4EFB497B-47F2-41F6-BA8E-2E4499A6E267}] => (Allow) LPort=9502
    End::

     

  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер перезагрузите вручную.

Подробнее читайте в этом руководстве.

 

Если будете обращаться в ТП, сообщите результат здесь, пожалуйста.

Опубликовано

Скрипт выполнять мне не разрешают. Там наш сетевик в ручном режиме с портами разбирался сам. А вот в Касперский попробую обратиться, если найду учетные данные)))

 

Запустили Касперского, был отключен по каким-то неведомым мне причинам, возможно был отключен при атаке, и вот что он нашел.

Вас интересуют данные файлы? Если да, то как наиболее аккуратно их можно выловить и отправить?

Kasperski_Screen_1.jpg

Kasperski_Screen_2.jpg

  • Like (+1) 1
Опубликовано
Только что, SouL_77335 сказал:

был отключен по каким-то неведомым мне причинам

Пароли на админские учётки меняйте, скорее всего были взломаны.

 

Файлы вероятно понадобятся тех-поддержке. Их нужно будет упаковать с паролем. А пока попробуйте их загрузить на www.virustotal.com и покажите ссылку на результат анализа.

Опубликовано

Админки не тронуты. Был взломан пользователь, отключенная учетка "Vlasova", вычислили очень просто. Аккаунт был отключен и по факту пользователь у нас давно не работает, вчера же был зафиксирован разовый вход под ее учеткой. Это же подтверждает расположение вирусного файла

Вот лог проверки Каспера

 

Отчет о проверке Каспер 21-02-23.txt

Опубликовано

Вредонос виден ещё в некоторых местах:

Цитата

 

C:\ProgramData\RYUKID

C:\ProgramData\ryuk.exe

 

 

А прикрепите, пожалуйста, этот файл:

Цитата

C:\Users\Vlasova\Desktop\hrmlog2

 

Опубликовано

Я не могу зайти по пути с первого скриншота (С:\User\Vlasova\Desktop\5-NS.exe) - не хватает у меня прав

А другие 2 файла помещены в карантин, тоже не знаю где он находится и как файлы из него достать.

Главный админ не решается доставать даже NetScaner для загрузки на www.virustotal.com... Пока буду ждать указаний от него. 

Опубликовано

Лог файл есть ещё по такому пути:

Цитата

C:\ProgramData\hrmlog2

 

Гость
Эта тема закрыта для публикации ответов.
  • Похожий контент

    • Frolov
      Автор Frolov
      Хотел скачать документ. При скачивании случайно ткнул на всплывшую рекламу и видимо там и подхватил.
       
      после этого на рабочем столе появилось сообщение о том что мои файлы зашифрованы читайте read me.
       
      Ваши файлы были зашифрованы. Чтобы расшифровать их, Вам необходимо отправить код: 9421E5E663F084763621|0 на электронный адрес decode00001@gmail.com или decode00002@gmail.com . Далее вы получите все необходимые инструкции.   Попытки расшифровать самостоятельно не приведут ни к чему, кроме безвозвратной потери информации.     All the important files on your computer were encrypted. To decrypt the files you should send the following code: 9421E5E663F084763621|0 to e-mail address decode00001@gmail.com or decode00002@gmail.com . Then you will receive all necessary instructions. All the attempts of decryption by yourself will result only in irrevocable loss of your data.       CollectionLog-2015.04.01-10.16.zip
    • JIAMA
      Автор JIAMA
      Добрый день, система и диск с данными были зашифрованы, на данный момент системный диск переустановлен, на форуме уже были успешные расшифровки по данному вирусу, надеюсь и нам получится помочь, прикреплен файл с образцами (пароль virus)
      шифр файлы.rar
    • Elly
      Автор Elly
      Друзья!
      В повседневной жизни каждый пользователь нашего клуба обладает разными способностями. Сегодня мы хотели бы задействовать ваши творческие и аналитические способности. Многие из вас любят разного рода загадки, шифровки и головоломки. Сегодня мы предлагаем вам принять участие в увлекательной викторине с элементами квеста по дешифровке изображений и поиску финального ответа. Это отличная возможность проверить свои логические и аналитические способности.
       
      ПРАВИЛА
       
      – вам нужно ответить на 10 вопросов;
      – в каждом из первых 9-ти вопросах вам нужно найти зашифрованное слово;
      – в 10-м вопросе вам нужно найти фотографию, на которой присутствуют все зашифрованные слова или предметы им соответствующие;
      – более подробно правила изложены на странице с викториной;
      – заполнить и отправить форму можно только один раз.
       
      НАГРАЖДЕНИЕ
       
      Максимальная награда - 1200 баллов, в том числе:
      по 100 баллов за каждое разгаданное слово 300 баллов за найденную фотографию Баллами можно оплатить лицензии и сувениры в магазине Клуба. 
       
      ПРАВИЛА ПРОВЕДЕНИЯ

      Викторина проводится до 20:00  26.10.2025 года (время московское).
      Правильные ответы будут опубликованы не позднее 10 дней с момента окончания викторины. Публичное обсуждение вопросов и ответов викторины запрещено. Итоги будут подведены в течение десяти дней с момента публикации правильных ответов. Баллы будут начислены в течение двадцати дней с момента опубликования итогов викторины.

      Все вопросы, связанные с корректностью проведения викторины, необходимо отправлять пользователю @oit (пользователей @andrew75 и @Elly включать в копию адресатов) через систему личных сообщений с подробным описанием ситуации. Ответ будет дан коллегиальным решением организаторов викторины и дальнейшего обсуждения не предполагает.
      Вопросы по начислению баллов направлять пользователю @Elly через систему личных сообщений.

      Вопросы по викторине принимаются только через личные сообщения в течение срока проведения викторины и не позднее трёх дней после публикации ответов (время московское). Ответы направляются представителем от организаторов викторины через личные сообщения в рамках созданной переписки.

      Администрация, официально уведомив, может в любой момент внести изменения в правила викторины, перезапустить или вовсе прекратить её проведение, а также отказать участнику в получении приза, применить иные меры (вплоть до блокировки аккаунта) в случае выявления фактов его недобросовестного участия в ней и/или нарушения правил викторины, передачи ответов на викторину иным участникам. При ответе на вопросы викторины запрещается использовать анонимайзеры и другие технические средства для намеренного сокрытия реального IP-адреса.

      Вопросы по начислению баллов, принимаются в течение 30 дней с момента подведения итогов викторины. Викторина является собственностью клуба «Лаборатории Касперского», её использование на сторонних ресурсах без разрешения администрации клуба запрещено.

      Участие в викторине означает безоговорочное согласие с настоящими правилами.
      Для перехода к вопросам викторины нажмите ЗДЕСЬ.
    • vasia15
      Автор vasia15
      вирус блокирует возможность скачать антивирус,все программы заполняет кракозябрами,установить нет возможности.прошу помощи.сам не справляюсь.
    • Slimens
      Автор Slimens
      ЧП зашифровало сервера может кто подскажет что делать формат файлов JWEYZP есть расшифратор от этого или нет?
×
×
  • Создать...