lockbit v3 black Шифровальщик с раширением .MZMPDXbNS

[adm40divit]

23.11.23 ориентировочно в 0:00 файлы были зашифрованы. 
Зашифрованы сервера, сетевая папки и 2 рабочие станции. Из esxi удалены файлы виртуальных машин.
 

[adm40divit]

Shortcut.txt Addition.txt FRST.txt crypted_files.rar MZMPDXbNS.README.txt

 

5 часов назад, adm40divit сказал:

Из esxi удалены файлы виртуальных машин.

 

В Esxi все файлы зашифрованы с раcширением COMET 

[safety]

"Как и раньше злоумышленники используют в атаках зашифрованную версию программы LockBit 3 (Black), созданную с помощью одной и той же версии утекшего в открытый доступ билдера LockBit 3 (Black). Для Linux-систем атакующие используют вымогателя, созданного на основе исходных кодов Babuk".

https://xakep.ru/2023/09/26/shadow-c0met/

 

"All your files have been stolen and encrypted by C0MET"

 

Логи FRST переделайте, пожалуйста, от имени Администратора.

Quote

Запущено с помощью test3 (ВНИМАНИЕ: Пользователь не является Администратором) на WS-009 (23-11-2023 09:56:50)

+

На зашифрованных устройствах (ПК и сервера) везде шифрование с расширением *..MZMPDXbNS?

Изменено 23 ноября, 2023 пользователем safety

[adm40divit]

Shortcut.txtFRST.txtAddition.txt
Логи переделаны от имени админстратора

[safety]

Файл шифровальщика найден? Системы сканировали антивирусом? можете предоставить логи сканирования?

[adm40divit]

 

Прикрепил экзешник и кусок скрипта 

Изменено 24 ноября, 2023 пользователем safety

[safety]

Если файл на устройство был загружен через домен, то с большой вероятностью он собран с запуском через пароль, сейчас проверю. (да, он зашифрован с паролем. Warning: Data will be decrypted without helper code.) возможно, где то может быть задача с запуском этого файла, и там должен быть указан пароль с которым он должен быть запущен.

--------

файл архива можно удалить, так как не рекомендуется загружать на форум вредоносные файлы в архиве без пароля.

 

+

проверьте ЛС

Изменено 24 ноября, 2023 пользователем safety

[safety]

К сожалению, расшифровка файлов после Lockbit v3Black/CryptomanGizmo невозможна без приватного ключа.

Сохраните важные зашифрованные файлы на отдельный носитель, возможно в будущем расшифровка станет возможной.

Пока единственный способ защититься -зашита от проникновения, актуальная антивирусная защита всех узлов, наличие бэкапов.

Изменено 24 ноября, 2023 пользователем safety