Перейти к содержанию
Объявляем набор участников в программу «Развитие сообществ клуба в мессенджерах»
Конкурс по разработке Telegram-бота Kaspersky Club

Шифровальщик Trojan.Encoder.35209 RCHAT

NiKoLa_N
 Поделиться

Рекомендуемые сообщения

NiKoLa_N Новичок

NiKoLa_N

Опубликовано
Опубликовано

Поймали сие с 8.03 на 9.03 ночью... Уничтожил контроллер домена, зашифровал даже системные файлы на С (ntldr, boot.ini) и все компьютеры в домене, которые были включены. Ко всем зашифрованным файлам добавлено расширение RCHAT

На одном из компьютеров остался сам шифровальщик. Есть пример зашифрованного файла и его копия до изменения. 

Вымогатели оставляют во всех папках файл readme.txt содержания: ""ID: FZCHQWYBARKXUYUQNYXNON Напиши в Telegram для восстановления файлов - @RansomChat  Канал публикации компаний которые не оплатили выкуп - @RansomRussia"

 

Пароль на архив с шифровальщиком 11111

 

Залогиниться на зараженные компьютеры (из тех, что загружаются) невозможно, пароли изменены.

 

 

Клиенты 3.10.xls.zip Клиенты 3.10.оригинальный.zip

Ссылка на комментарий
Поделиться на другие сайты
NiKoLa_N Новичок

NiKoLa_N

Опубликовано
  • Автор
Опубликовано
11 часов назад, thyrex сказал:

И где?

 

Правила оформления запроса о помощи

 

В правилах прочитал, что "Внимание: не нужно самостоятельно прикреплять файлы вируса на форуме. " и убрал из сообщения. Можно добавить?

Ссылка на комментарий
Поделиться на другие сайты
NiKoLa_N Новичок

NiKoLa_N

Опубликовано
  • Автор
Опубликовано

Понял. Ссылку с логами frst с одного из компьютером, который удалось включить и архив с обнаруженным файлом шифровальщика выложил на файлообменнике и ссылку скинул в личку.

 

Попробовали связаться с вымогателями по телеграму. Те ответили, что могут расшифровать 2 файла размером до 2 мегабайт в качестве подтверждения.

Отправили им 2 файла на расшифровку и началось "виляние"- то некогда, то позже и т.д.  Сутки уже прошли, расшифрованных файлов так и не скинули. Ощущение, что они и сами не могут расшифровать, только деньги собирают с пострадавших... 

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • velykov
      Активность Trojan.Encoder.37448
      Автор velykov
      Здравствуйте, возможно ли расшифровать данные предположительно после Trojan.Encoder.37448, судя по всему что-то в размере 1кб дописано в каждый файл, расширения у всех офисных файлов, картинок стали с расширением *.1cxz рядом лежит файл #HowToRecover.txt с содержимым:
       
       
      Есть пример зашифрованных стандартных картинок, например хризантема и в зип архиве пример зашифрованного файла. Иконка у зашифрованного файла в виде черного символа биткойна.

      #HowToRecover.txt t8TcrwidL6.zip
      Addition.txt FRST.txt
    • Ч_Александр
      Поймал шифровальщик Trojan.Encoder.37448
      Автор Ч_Александр
      Добрый день.
      Шифровальщик Trojan.Encoder.37448. Каспер у юзера был старый и не активный.
      Зашифрован HDD, "exe" файлы не зашифрованы. Зашифрованы документы и базы 1С.
      Есть скрин "Резервного хранилища", к сожалению очищено.
      Пример имени зашифрованного файла "д о г о в о р №30 04.doc.elpaco-team-54idcqynrhwlpsxf_krvfq_dgtrabof-vdlmydcjdxy.[Rdpdik6@gmail.com].lockedfile".
      Скрин и файл с требованием во вложении.
      Могу предоставить зашифрованные файлы.
      Есть ли шанс на расшифровку?
       
      П.С.
      Ответ DRWEB
       Файлы зашифрованы Trojan.Encoder.37448 Расшифровка нашими силами невозможна.

      #Read-for-recovery.txt
    • trambler3
      Поймал шифровальщика (предположительно Trojan.Encoder.37448)
      Автор trambler3
      1. ОС переустановлена т.к. необходимо рабочее место.
      2. Атака произошла ночью в выходной день через компьютер пользователя. Сервер 1С не смогли зашифровать, только общедоступные папки (шару). Однако на сервере касперский нашел ransomware (к сожалению в панике удалил даже не записав точное название), так же почти на всех пользовательских компах был файл , определяющийся как вирус "AA_v3". При попытке восстановления с помощью, например, recuva видно удаленный файл, но он повреждён. Теневых копий нет. 
      F.7z
    • Orbeatt
      Делюсь деширатором Sauron или Trojan.Encoder.35209. Может поможет комуто.
      Автор Orbeatt
      Ранее писал, поймали шифратор.
      Получили от злоумышленников дешифратор, делюсь с вами, может кому то поможет не платить деньги как мы.
       
      [ID-E5DAFA5D].zip
    • DmitriyDy
      Зашифрованы файлы *.goodluck.k ; mattersjack768@gmail.com ; Trojan.Encoder.37506
      Автор DmitriyDy
      ПК на Windows11, Windows 10, Windows 7
      Примерная дата шифрования с 17.01.2025
      На некоторых ПК на которых установлен Dr.Web, вирус удали практически все, даже сам Dr.Web.
      На некоторых ПК на которых установлен Dr.Web, вирус зашифровал часть файлов.
      На некоторых ПК на которых установлен Dr.Web, при загрузке Windows автоматом загружается пользователь HIguys
      На некоторых ПК на которых установлен Dr.Web, Dr.Web сработал и остановил вирус (отчеты прилагаю)
       
      Ответ поддержки Dr.Web: 
      В данном случае файл зашифрован Trojan.Encoder.37506.
      Расшифровка нашими силами невозможна
       
      Во вложеных файлах: 1. Zip архив в котором: Скрин письма о выкупе, скрин загрузки пользователя HIguys, отчеты Dr.Web, Зашиврованные файлы. 2. логи, собранные Farbar Recovery Scan
      Зашифрованные файлы+скрины+отчеты Dr.Web.zip Addition.txt FRST.txt
×
×
  • Создать...