goodmorning Шифровальщик kilook200@gmail.com

[Denis2023 0]

Привет, шифровальщик пролез через RDP.
Зашифровал windows 2003 и windows 2008
Virustotal распознал так:

Цитата

76b4b1350af292866fd3cba111c5809453f879e6def4c82b00b8e46ae5e532e2
kilook200@gmail.com_Manual.exe

Kaspersky
HEUR:Trojan-Ransom.Win32.Generic
Lionic
Trojan.Win32.Generic.4!c

e20eed5a214a9dc87115225992fb6247306a4ba01c983464228025287216687a
kilook200@gmail.com_Official.exe

Kaspersky
HEUR:Trojan-Ransom.Win32.Generic
Malwarebytes
Malware.AI.3561248560

2eacea92686f336d2d9f83cb9b392ffdd62cf5ef713bfb039dd6335199ac7156
kilook200@gmail.com_Fast.exe

Kaspersky
HEUR:Trojan-Ransom.Win32.Generic
Malwarebytes
Malware.AI.3561248560

2eacea92686f336d2d9f83cb9b392ffdd62cf5ef713bfb039dd6335199ac7156
Xinfecter.exe

Kaspersky
HEUR:Trojan-Ransom.Win32.Generic
Malwarebytes
Malware.AI.3561248560

Сервер 2003 зашифровался до потери загрузки системы, Сервер 2008 удалось выключить до окончания шифрования.
В обоих случаях имею такие файлы:
N-Save.sys - похоже на ssh-ключи для подключения к серверам шифровальщика
Restore_Your_Files.txt - файл с требованиями
S-2153.bat - запускает S-8459.vbs
S-8459.vbs - запускает S-6748.bat
S-6748.bat - тут вся логика шифрования с несколькими циклами  и проверками
В коне диска лежит R_cfg.ini с таким содержимым

Цитата

Spath=C:\test.txt
Mode=1::1
AlterEncSz=2

И сам файл test.txt - возможно это ключ шифрования, либо дешифровки test.txt

 

Кроме того, зловред закинул целый архив kilook200@gmail.com.zip с содержимым

и его же впоследствии зашифровал в kilook200@gmail.com.zip_[ID-HKHVN_Mail-kilook200@gmail.com].JDB
Получается, что у меня есть обе версии архива (нешифрованная и шифрованная) с возможным ключем шифрования, вдруг это чем-то поможет.

Логи сканера приложить не могу, т.к. оба сервера выключены, диски извлечены.
  

Restore_Your_Files.txt test.txt

Изменено 18 июня, 2023 пользователем Denis2023

[Denis2023 0]

Забыл приложить примеры шифрованных файлов.
 

Пример_файлов.7z

[Sandor 1 254]

Здравствуйте!

 

6 часов назад, Denis2023 сказал:

зловред закинул целый архив kilook200@gmail.com.zip

Этот архив упакуйте ещё раз с паролем, выложите на файлообменник (или облако) и отправьте ссылку на скачивание мне личным сообщением, пожалуйста.

 

Тип вымогателя - GoodMorning Ransomware. Расшифровки нет, к сожалению.

[Denis2023 0]

2 часа назад, Sandor сказал:

Здравствуйте!

 

Этот архив упакуйте ещё раз с паролем, выложите на файлообменник (или облако) и отправьте ссылку на скачивание мне личным сообщением, пожалуйста.

 

Тип вымогателя - GoodMorning Ransomware. Расшифровки нет, к сожалению.

В личке ответил

[Sandor 1 254]

Пока ничего не получил.