proxima Зашифрованные файлы с расширением BLackShadow

[AndreyMagiRus]

Предположительно, используя протокол RDP, злоумышленники получили доступ к нескольким ПК локальной сети (на одном из них стоял Kaspersky Security Cloud, но это его не спасло. В результате чего большинство файлов (текстовые, офисные, картинки, музыка, видео и т.д) были зашифрованы и переименованы путем добавления расширения .BLackShadow к каждому из них, ну и стандартный текстовый файлик с контактами и требованиями связаться с ними, иначе файлы пропадут и будут опубликованы в Даркнете. Компьютеры были вылечены утилитой KVRT, который обнаружил множественные заражения исполняемых файлов вирусом Virus.Win32.Neshta.a. Насколько я понимаю, именно шифрованием данный вирус не занимается, в связи с этим вопрос, как вообще узнать чем зашифрованы файлы? И каковы шансы на дешифрацию? Что можно попробовать сделать и куда обратиться с подобной проблемой, в том числе и на платной основе? Образцы зашифрованных файлов + требования злоумышленников, а также результат работы Farbar Recovery Scan Tool прилагаю. 

Addition.txtПолучение информации... Образцы BLackShadow.7zПолучение информации... FRST.txtПолучение информации...

[Sandor]

Здравствуйте!

 

  В 24.05.2023 в 15:16, AndreyMagiRus сказал:

Насколько я понимаю, именно шифрованием данный вирус не занимается

Показать  

Да, это файловый вирус и часто идет "в комплекте" с вымогателем.

 

  В 24.05.2023 в 15:16, AndreyMagiRus сказал:

на одном из них стоял Kaspersky Security Cloud

Показать  

При наличии лицензии на любой из продуктов Касперского создайте запрос на расшифровку.

Тут форум клуба и консультанты не являются сотрудниками компании.

Пока пробуем определить тип вымогателя.

[Sandor]

Предположительно, это Proxima Ransomware.

 

  В 24.05.2023 в 15:16, AndreyMagiRus сказал:

Компьютеры были вылечены утилитой KVRT

Показать  

Её отчёт - папка C:\KVRT2020_Data\Reports - упакуйте в архив и прикрепите к следующему сообщению.

 

Если оформите запрос в ЛК, сообщите здесь результат переписки, пожалуйста.

[AndreyMagiRus]

  В 25.05.2023 в 05:49, Sandor сказал:

При наличии лицензии на любой из продуктов Касперского создайте запрос на расшифровку.

Показать  

Благодарю, именно это я уже сделал. Лицензия на KIS имеется.

 

  В 25.05.2023 в 08:36, Sandor сказал:

Предположительно, это Proxima Ransomware.

 

Показать  

Отлично, хоть какая-то информация, примерно понятно в какую сторону копать! Буду сейчас сам изучать вопрос, но, на ваш взгляд, какие шансы расшифровать данные не имея нужного ключа?

 

  В 25.05.2023 в 08:36, Sandor сказал:

Её отчёт - папка C:\KVRT2020_Data\Reports - упакуйте в архив и прикрепите к следующему сообщению.

Если оформите запрос в ЛК, сообщите здесь результат переписки, пожалуйста.

Показать  

Немного ввел в заблуждение. На зараженных компах изначально запускал Kaspersky Rescue Disk с флешки, но, насколько понимаю, репорты у него и у KVRT аналогичные. Прикладываю ее отчет. Как мне ответят на запрос в ЛК, обязательно результат сообщу.

Reports.7zПолучение информации...

[Sandor]

  В 25.05.2023 в 10:08, AndreyMagiRus сказал:

какие шансы расшифровать данные не имея нужного ключа?

Показать  

Весьма призрачные.

 

  В 25.05.2023 в 10:08, AndreyMagiRus сказал:

Как мне ответят на запрос в ЛК, обязательно результат сообщу.

Показать  

Спасибо, ждём.

[AndreyMagiRus]

  В 25.05.2023 в 10:30, Sandor сказал:

Весьма призрачные.

Показать  

Тогда есть пара вопросов... При наличия ключа расшифровка возможна или же использование комплекса алгоритмов шифрования, который используется Proxima Ransomware это путь в один конец? Или пока неизвестны подробности и сказать что-то определенное невозможно? И второй вопрос - правильно ли я понимаю, что файлы пока лучше не трогать (те, которые не срочные) до момента пока, возможно, не найдут способа дешифрации?

[Sandor]

  В 25.05.2023 в 11:59, AndreyMagiRus сказал:

При наличия ключа расшифровка возможна

Показать  

Да. Но этот ключ хранится у злоумышленников на серверах.

 

  В 25.05.2023 в 11:59, AndreyMagiRus сказал:

файлы пока лучше не трогать

Показать  

Если есть возможность их отложить, сделайте это.

[AndreyMagiRus]

  В 25.05.2023 в 10:30, Sandor сказал:

Спасибо, ждём.

Показать  

Как и обещал, привожу ответ от Лаборатории Касперского:

 

Уважаемый пользователь!
Файлы зашифрованы Trojan-Ransom.Win32.Azadi.
Для шифрования используется криптографически стойкий алгоритм, поэтому расшифровка файлов, к сожалению, невозможна без приватного ключа злоумышленника.