Перейти к содержанию

Рекомендуемые сообщения

Привет, шифровальщик пролез через RDP.
Зашифровал windows 2003 и windows 2008
Virustotal распознал так:

Цитата

76b4b1350af292866fd3cba111c5809453f879e6def4c82b00b8e46ae5e532e2
kilook200@gmail.com_Manual.exe

Kaspersky
HEUR:Trojan-Ransom.Win32.Generic
Lionic
Trojan.Win32.Generic.4!c

e20eed5a214a9dc87115225992fb6247306a4ba01c983464228025287216687a
kilook200@gmail.com_Official.exe

Kaspersky
HEUR:Trojan-Ransom.Win32.Generic
Malwarebytes
Malware.AI.3561248560

2eacea92686f336d2d9f83cb9b392ffdd62cf5ef713bfb039dd6335199ac7156
kilook200@gmail.com_Fast.exe

Kaspersky
HEUR:Trojan-Ransom.Win32.Generic
Malwarebytes
Malware.AI.3561248560

2eacea92686f336d2d9f83cb9b392ffdd62cf5ef713bfb039dd6335199ac7156
Xinfecter.exe

Kaspersky
HEUR:Trojan-Ransom.Win32.Generic
Malwarebytes
Malware.AI.3561248560

Сервер 2003 зашифровался до потери загрузки системы, Сервер 2008 удалось выключить до окончания шифрования.
В обоих случаях имею такие файлы:
N-Save.sys - похоже на ssh-ключи для подключения к серверам шифровальщика
Restore_Your_Files.txt - файл с требованиями
S-2153.bat - запускает S-8459.vbs
S-8459.vbs - запускает S-6748.bat
S-6748.bat - тут вся логика шифрования с несколькими циклами  и проверками
В коне диска лежит R_cfg.ini с таким содержимым

Цитата

Spath=C:\test.txt
Mode=1::1
AlterEncSz=2

И сам файл test.txt - возможно это ключ шифрования, либо дешифровки test.txt

image.png.d408b91c1353353df1f89eeaf0a92ffe.png

 

Кроме того, зловред закинул целый архив kilook200@gmail.com.zip с содержимым
image.png.6f8579b852f6df00d27dc7ee57d982c6.png

и его же впоследствии зашифровал в kilook200@gmail.com.zip_[ID-HKHVN_Mail-kilook200@gmail.com].JDB
Получается, что у меня есть обе версии архива (нешифрованная и шифрованная) с возможным ключем шифрования, вдруг это чем-то поможет.

Логи сканера приложить не могу, т.к. оба сервера выключены, диски извлечены.
  

Restore_Your_Files.txt test.txt

Изменено пользователем Denis2023
Ссылка на комментарий
Поделиться на другие сайты

Здравствуйте!

 

6 часов назад, Denis2023 сказал:

зловред закинул целый архив kilook200@gmail.com.zip

Этот архив упакуйте ещё раз с паролем, выложите на файлообменник (или облако) и отправьте ссылку на скачивание мне личным сообщением, пожалуйста.

 

Тип вымогателя - GoodMorning Ransomware. Расшифровки нет, к сожалению.

Ссылка на комментарий
Поделиться на другие сайты

2 часа назад, Sandor сказал:

Здравствуйте!

 

Этот архив упакуйте ещё раз с паролем, выложите на файлообменник (или облако) и отправьте ссылку на скачивание мне личным сообщением, пожалуйста.

 

Тип вымогателя - GoodMorning Ransomware. Расшифровки нет, к сожалению.

В личке ответил

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • evgeny_f
      От evgeny_f
      Addition.txtVirus.rarREAD.txtFRST.txt
       
      Здравствуйте. 8 сентября были зашифрованы файлы на сервере с 1с. Копии баз на этой же машине на другом диске. Тоже зашифрованы. Помогите пожалуйста!
    • Александр94
      От Александр94
      Поймаи шифровальщик один в один как в теме  
       
      csb.log.[MJ-UE8059316472](decodehop@gmail.com ).rar csb.log.[MJ-UE8059316472](decodehop@gmail.com ).rar FRST.txt Addition.txt
    • FineGad
      От FineGad
      26.12.24 На файловом сервере (комп с Debian) в расшареных каталогах заметил текстовый файл !want_to_cry.txt 
      Просканировал все каталоги доступные по сети (SMB) зашифрованные файлы с расширением .want_to_cry по времени создания файлов видно что шифровальщик проработал примерно с 24.12.24 20:05  по 25.12.24 03:05 после чего сервер "завис". Сейчас шифровщик не активен (новые шифрованные файлы не появляются). Доступа к сети извне нет, кроме SSH с ключом шифрования. В сети кроме моего во время активности были еще 2 компьютера под управление Windows.
       
      !want_to_cry.txt
    • IrinaC
      От IrinaC
      Здравствуйте!
      Сегодня утром появился шифровальщик, при том в такое время, когда никто не работает, в 6.13 по Москве. Никто не признается, что скачал и запустил зараженный файл, допускаем, что было подключение извне.
      Базы данных, документы, архивы - все файлы получили расширение *.Bpant. При этом, зашифровано всё только на диске D. Диск С остался нетронутым. Логи, зашифрованные данные, письмо от злоумышленников прилагаю.
      Addition.txt FRST.txt Шифровки.rar
    • ad_art
      От ad_art
      Здравствуйте, требуется помощь в расшифровке файлов.
      Прилагаю образец вируса в запароленном архиве, ключи реестра содержащие данные для шифрации.
      First.txt Addition.txt Зашифрованные файлы.7z Оригинальные файлы.7z virus_sample.7z Требования вируса.7z reg_keys.7z
×
×
  • Создать...