mimic/n3wwv43 ransomware Шифровальщик Trojan.Encoder.35534

[dsever 0]

Сегодня после выходных обнаружили проблему. Два сервера - все данные зашифрованы.  основная проблема с 1С файлы зашифрованы + бэкапы тоже. DrWEB пишет, что вирус попал по RDP, "Файл шифровальщика находится по пути
C:\users\администратор.win-8anssg9mkch\appdata\local\7af1be1c-1606-8166-99e6-80b4a9786b07\BABKAALYOEBALO.exe". Так же вирус зашифровал все расшаренные файлы на других серверах, но до баз SQL не добрался.

 

BABKAALYOEBALO_DECRYPTION.txt

[safety 101]

Добавьте несколько зашифрованных файлов в архиве + заархивируйте папку с телом шифровальщика с паролем virus или infected,

загрузите архив с папкой на облачный диск, и дайте ссылку на скачивание в ЛС

+

добавьте логи FRST с обоих серверов.

Quote

Подготовьте логи анализа системы при помощи Farbar Recovery Scan Tool.

 

[dsever 0]

14 часов назад, safety сказал:

Добавьте несколько зашифрованных файлов в архиве + заархивируйте папку с телом шифровальщика с паролем virus или infected,

загрузите архив с папкой на облачный диск, и дайте ссылку на скачивание в ЛС

+

добавьте логи FRST с обоих серверов.

 

Отправил в ЛС.

[safety 101]

К сожалению, по данному типу шифровальщика расшифровка файлов невозможна без приватного ключа. Сохраните важные зашифрованные документы на отдельный носитель, возможно, расшифровка в будущем станет возможной.

 

По очистке системы:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт автоматически очистит систему, без перезагрузки и завершит работу FRST.

 

Start::
() [Файл не подписан] C:\Users\Администратор.WIN-8ANSSG9MKCH\AppData\Local\7AF1BE1C-1606-8166-99E6-80B4A9786B07\gui40.exe
HKLM\...\Policies\system: [legalnoticecaption]  
HKLM\...\Policies\system: [legalnoticetext] BABKAALYOEBALO Ransomware!!!
ATTENTION!
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
C:\Users\Администратор.WIN-8ANSSG9MKCH\AppData\Local\7AF1BE1C-1606-8166-99E6-80B4A9786B07\gui40.exe
2024-01-29 11:53 - 2022-12-25 08:03 - 000000000 __SHD C:\Users\Администратор.WIN-8ANSSG9MKCH\AppData\Local\7AF1BE1C-1606-8166-99E6-80B4A9786B07
End::

Добавьте файл Fixlog.txt из папки, откуда запускали FRST в ваше сообщение.

[dsever 0]

Вот результат:

Fixlog.txt

[safety 101]

Система очищена от вирусных тел, с расшифровкой увы, не сможем помочь.

Примите к сведению рекомендации по защите серверов, чтобы избежать в будущем новых попыток шифрования.

Изменено 30 января пользователем safety

[dsever 0]

47 минут назад, safety сказал:

Система очищена от вирусных тел, с расшифровкой увы, не сможем помочь.

Примите к сведению рекомендации по защите серверов, чтобы избежать в будущем новых попыток шифрования.

Да, спасибо! Уже восстанавливаем БД из старых копий, до которых не добрались. Политику учеток уже меняю. Еще вопрос: если мы все резервные копии будем складывать в расшаренную папку на Linux, а архивы при создании будут защищены паролем, это как-то поможет от таких атак? Хотя бы в плане резервного копирования БД?

[safety 101]

Если расшаренная папка будет доступна из под системы Win, то эти меры не защитят от шифрования. Безопаснее будет, если после завершения архивации устройство будет изолировано от доступа.

[dsever 0]

30.01.2024 в 11:32, safety сказал:

Если расшаренная папка будет доступна из под системы Win, то эти меры не защитят от шифрования. Безопаснее будет, если после завершения архивации устройство будет изолировано от доступа.

Архивы делаются всю ночь до утра, как тут изолируешь. И как виндовый вирус может работать в среде Linux?

И еще сейчас делаются архивы на NAS - выживут ли при атаке?

[safety 101]

59 minutes ago, dsever said:

Архивы делаются всю ночь до утра, как тут изолируешь. И как виндовый вирус может работать в среде Linux?

И еще сейчас делаются архивы на NAS - выживут ли при атаке?

если папки с линукс-серверов подключаются как шары к устройствам под win. по шифровальщик, запущенный в win-системе пошифрует эти папки.

Для NAS надо смотреть рекомендации по настройкам, чтобы они были недоступны из внешней сети, или доступны только с белых адресов. Иначе могут быть взломаны и зашифрованы из внешней сети, если не устанавливаются вовремя обновления от производителя NAS.