Перейти к содержанию

Все файлы зашифрованы jhonson@tuta.io].SHTORM. ОС не переустанавливали, все в первозданном зараженно-испорченном виде.


Рекомендуемые сообщения

Опубликовано

Зашифровано 2 диска, C и D. 
Полностью. Даже папки и файлы винды и тд... Жестко...

Обнаружено было 7.05.2023 в 16.30, после этого комп выключили и загрузиться больше не смогли.
Загрузились с флэшки, судя по измененным папкам заражение началось 5.06.2023 в 11.39 утра.

Операционка w7/

 

Комп просто стоял, на нем никто не сидел.
Попытался с флешки запустить Farbar Recovery Scan Tool, -запускается, нот ничего не ищет и не делает, так как запускается не из под родной винды.
В корневике на C имеется 2 файла info.txt и info.hta
В корневике D помимо этих двух файлов лежит AntiRb.exe, который присутствует во всяких возможных папках автозагрузок, дата создания 05.060.2023.

 

Также появился пользователь с именем fttp, создана пака также 05.06.2023

 

Файлы прикладываю..

Что делать дальше?

 




 

trebovaniya_txt, hta.7z file_virus.7z primers.7z

Опубликовано

Здравствуйте!

 

Увы, это Phobos, расшифровки нет.

  • Спасибо (+1) 1
Опубликовано

Ок, спасибо. 
скажите, а если в будущем появится дешифровщик, то какие можно ли будет расшифровать? 
и что именно нужно сохранить? Только зашифрованные файлы или что-то еще? 
 

и второй вопрос: 

могли ли быть в рамках данного заражения похищены данные? Или просто зашифровано и все?

Опубликовано

Расшифровка может появиться только после слива приватных ключей или после ареста вымогателей и изъятия серверов, на которых эти ключи хранятся.

Сохранить нужно также записки с требованием выкупа.

 

На второй вопрос труднее ответить, т.к. нет логов системы. Но исключать вариант хищения нельзя. К сожалению, такое могло произойти, раз был взлом.

  • Спасибо (+1) 1
Опубликовано

А где посмотреть логи системы? 
есть вероятность что они тоже зашифрованы, но все-таки. Хочется разобраться

12.06.2023 в 08:31, Sandor сказал:

 

На второй вопрос труднее ответить, т.к. нет логов системы. 

 

Опубликовано

Я подразумевал логи, собранные с помощью программы Farbar Recovery Scan Tool.

Но и по ним не всегда можно определить было ли хищение.

Скажу так, ранее этот вымогатель не был замечен в краже данных.

  • Спасибо (+1) 1

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • user7
      Автор user7
      Здравствуйте!
      Компьютер  с Windows 7 SP1 работал без пререканий какое-то время.
      И вот случилось это:файлы зашифрованы.
      Предположительно, взлом компьютера был через подбор пароля RDP Удалённого стола.
      Не зашифрованы остались файлы журнала Windows , но они были почищены до даты взлома. Журнал начал писаться уже после взлома.
      Поэтому  самой интересной инфы нет.
       
      password virus.7z FRST+Addition.7z
      пример зашифрованных файлов.7z
    • Evg1066
      Автор Evg1066
      Архив.7zAddition.txtFRST.txt
      Ночью было зашифровано множество файлов, Kaspersky Anti-Ransomware Tool показал присутствие Trojan.Win32.Bazon.a. Вручную обнаружить шифровальщика не получилось.
    • Gennadiy89
      Автор Gennadiy89
      Всем привет недавно зашифровали файлы на компе расширение "MZEM8GTPE" . Электронную почту в файле readme оставили почта help@room155.online или room155@tuta.io. Требуют 20-30 тысяч за восстановление файлов. Хорошо многие файлы дома на другом компе сохранены, за последние пару недель файлы остались зашифрованными только. Подскажите добрые люди можно ли как то расшифровать?
      выписка.docx
    • Run
      Автор Run
      Доброго времени суток, компьютер словил вирус шифровальщик все важные файлы переименованы и зашифрованы вида *.goodluck.k ;  *.goodluck почта mattersjack768@gmail.com в корне диска папка Keylock с файлом ky.DAT кто может помочь как можно вернуть все назад. Восстановление не помогает, файлы также не открываются.
      Логи собраны на лайф диске. Основная ОС Windows Server 2008 R2 по времени зашифрованы 25 февраля 2025 в 4:46
      FRST.txtфайлы зашифрованные.zipKeylock.zip
    • Andrey_ka
      Автор Andrey_ka
      Добрый день! Может , кто подскажет... попался диск с архивами одного предприятия , диск стоял на NAS Iomega, со временем hdd был поврежден , но данные с него я смог вытащить , файловая структура целая , но как выяснилось ни один из файлов нормально не открывается, уточни у бывших работников и выяснил , что еще до того как он умер у них начались подобные проблемы и большую часть информации они успели переписать ( все указывает на работу вируса шифровальщика) , взяв несколько файлов попытался онлайн прогнать разными анализаторами вирусов , результат один вирусов не обнаружено ... теперь о самих файлах - неважно это файлы doc, docx, pdf и т.д. тенденция прослеживается такая, начало файла смещение 0x2E0 защифрованно, в конец файла добавлено 1126 байт , код начинается D9 9D 68 и полностью одинаковы во всех файлах кроме последних 0x84 байта. Ни то, что бы информация очень востребована , любопытно, что это за вирус и тд... если кому интересно , образцы файлов выложу и дамп концовки ....    
          вставить выделенную цитату в окно ответа
            xТитульный.docx Титульный.docx titdump.txt
×
×
  • Создать...