Перейти к содержанию

Шифровальщик, меняющий расширение файлов на 54a8afd423597a


Рекомендуемые сообщения

Добрый день. Столкнулся с шифровальщиком, который зашифровал множество важных файлов и изменил их расширение на 54a8afd423597a. Операционная система была Windows server 2019.  Farbar Recovery Scan Tool применить нет возможности, так как заражённая машина является контролером домена, залогиниться невозможно. 2 зашифрованных файла и файл с требованиями злоумышленников прилагаю. Буду благодарен за любую помощь. Заранее спасибо.

Файлы.rar

Ссылка на комментарий
Поделиться на другие сайты

Возможно это HsHarada но это неточное определение. Желательно попытаться получить доступ к устройству и найти сэмпл шифровальшика. Это второй случай за последние два дня здесь, пока информации недостаточно для определения типа.

Ссылка на комментарий
Поделиться на другие сайты

  • Пока что файл шифровальщика не был обнаружен. Дело в том, что я не могу залогиниться на пораженной машине. Она была контролером домена. Каким образом вирус попал на эту машину так же неизвестно. Спасибо за советы, попробую присоединить диск от этого компа к другому и поискать нужный файл. 
Ссылка на комментарий
Поделиться на другие сайты

Проверьте подозрительную активность в локальной сети, возможно было проникновение на одном из устройств. Как правило, злоумышленники пытаются получить доступ к DC чтобы нанести максимальный ущерб.

11 minutes ago, Алексей_DML said:

Спасибо за советы, попробую присоединить диск от этого компа к другому и поискать нужный файл. 

если подключите системный диск с DC чистому устройству, можно сделать образ автозапуска в uvS с выбором каталога Win на присоединенном диске.

 

1. Скачать архив программы можно отсюда:

2. Распакуйте данный архив с программой в отдельный каталог и запустите файл Start.exe
(для Vista, W7, W8, W10, W11 запускаем с правами администратора)
3. В стартовом окне программы (выбираем каталог Windows на присоединенном диске) - нажмите "запустить под текущим пользователем"
(если текущий пользователь с правами администратора).

4. Далее, меню "Файл" / Сохранить Полный образ автозапуска.

5. дождитесь, пока процесс создания файла образа завершится.
Сохраненный файл образа автозапуска (с именем Ваш_компьютер_дата_время.txt) автоматически добавится в архив 7z или rar.
6. Файл архива с образом автозапуска прикрепите к вашему сообщению на форуме. Ждем ответ.

Изменено пользователем safety
Ссылка на комментарий
Поделиться на другие сайты

Этот файл имеет подпись Майкрософт. Он есть на нескольких наших компах, как зараженных, так и нет. Дата его появления разная и всегда сильно в прошлом. Не думаю, что это вирус. Антивирус не обнаруживает его

Ссылка на комментарий
Поделиться на другие сайты

Возможно, что чист.  Других подозрительных файлов не обнаружил судя по образу. Но шифровальщик мог быть запущен вручную, без включения в автозапуск. Тут бы FRST помог отследить вновь созданные файлы на диске.

-------

 

 

Изменено пользователем safety
Ссылка на комментарий
Поделиться на другие сайты

Эта программа сканит только в рамках той системы, где запущена, а мы диск от пораженного компа к другому присоединили. Поэтому она ничего не находит, фалы то создавались под другой исстемой. Может есть ещё варианты?

Ссылка на комментарий
Поделиться на другие сайты

Да, FRST не умеет работать с неактивной системой.

 

А подключиться к DC вы не можете по причине шифрования файлов или модификации паролей?

Изменено пользователем safety
Ссылка на комментарий
Поделиться на другие сайты

Думаю да, ведь наши логины и пароли не подходят, просто не получается залогиниться. Может файлы AD зашифрованы. Я сейчас уточню этот момент

Изменено пользователем Алексей_DML
Ссылка на комментарий
Поделиться на другие сайты

Как вариант, можно попробовать на присоединенной системе по какому-нибудь акку сбросить пароль, есть такая функция в uVs, если он покажет список учетных записей.

 

Похоже, что это новая версия HsHarada, есть уже и на других форумах примеры с подобным шифрованием.

 

Есть уже пример файла

https://www.virustotal.com/gui/file/16551ad26d93352ff6e50ddcb7e3d3bb744a3cf0091ba278d06851e273fa7258

Locker.exe

 

Ссылка на комментарий
Поделиться на другие сайты

Посмотрел по ссылке ключи и программу дешифратор. Всё запустил, но расшифровать к сожалению не получилось. Может уже ключ поменялся

Ссылка на комментарий
Поделиться на другие сайты

6 hours ago, Алексей_DML said:

Всё запустил, но расшифровать к сожалению не получилось

Я и не писал вам, что теми файлами по ссылке вы сможете расшифровать ваши файлы.Написал лишь с целью, что тип шифрования определен - новая версия HsHarada. Дешифратор там указан для определенного случая и ключа. Т.е. он может работать. только при наличие приватного ключа (которого нет в вашем случае).

Изменено пользователем safety
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Ig0r
      Автор Ig0r
      Накапливай баллы — меняй на лицензии и сувениры!
      В клубе «Лаборатории Касперского» действует бонусная программа «Накапливай баллы — меняй на лицензии и сувениры!». Получайте баллы (BAL) за свою активность в клубе, накапливайте и меняйте их в магазине на лицензии для продуктов «Лаборатории Касперского» и эксклюзивные сувениры с символикой компании с бесплатной доставкой!
      Кто может участвовать в бонусной программе?
       
      За что и сколько баллов можно получить?


      В какие сроки начисляются баллы?

      За что баллы могут снять?

      Где можно посмотреть количество накопленных баллов и есть ли у них срок действия?

      Предусмотрены ли в магазине скидки и как их получить?

      Что делать, если очень хочется получить лицензию или сувенир, а баллов не хватает?

      Где узнать подробности о характеристиках сувениров?

      Как сделать заказ и узнать, правильно ли он оформлен?

      Где я могу проверить статус заказа?

      Сколько стоит доставка и в какие регионы и страны она возможна? Есть ли территориальные ограничения на доставку сувениров?

      Есть ли минимальный заказ?

      В каких случаях сувенир может быть заменён или не отправлен вовсе?

      Какими способами можно получить заказ?

      Какие сроки доставки заказа?

      Как правильно принять посылку и что делать, если они повреждены?

      Где ещё можно потратить баллы, кроме магазина?

      Можно ли расплатиться за заказ клабами, накопленными в рамках участия в рейтинговой системе мотивации участников клуба?

      Заключительные положения
       
    • KOMK
      Автор KOMK
      Доброго времени суток.
      Поймали шифровальщик.Атакована вся организация. Выясняем источник откуда и как,но раскидался он по рдп на как минимум 7 рабочих мест, включая серв  АД и 1С. Так же на одном из предполагаемых источников заражения была обнаружена программа Everything API и крипто-программа КАРМА,мб оно как-то даст какую-то полезность?
      А так же папка с файлами именованная как "automim1"?
      Скажите вообще есть ли надежда что как-то можно найти остатки шифровальщика? Шифрованные файлы и файл записку прилагаю в архиве с паролем "virus":
      Остальное не знаю как добавить,вес больше 5мб получается.
       
      sekr_2.7z
    • Saul
      Автор Saul
      Добрый день!
      Вот такое поймали, зашифрованы все файлы на сетевой шаре.
      Есть способы для расшифровки?
       
      Все ваши файлы были зашифрованы!
          Все ваши файлы были зашифрованы из -за проблемы безопасности с вашим ПК.
          Если вы хотите их восстановить
          Установите программу для общения https://tox.chat/clients.html
      https://github.com/uTox/uTox/releases/
      https://github.com/uTox/uTox/releases/download/v0.18.1/utox_x86_64.exe
      и добавьте нас
       
      2C6D0C2F49F19EAE34A558AC646E5C75230928DA64B46DBD6087B036ED651146575435EFEFFC
      ВНИМАНИЕ!
          !!!Не трогайте зашифрованные файлы.!!!
          !!!Не пытайтесь расшифровать ваши данные, используя стороннее программное обеспечение, это может вызвать потерю данных.!!!
      1.zip
    • АндрейП
      Автор АндрейП
      Здравствуйте. Зашифровали два стареньких сервера терминалов, источник не понятен- ещё разбираемся. Подскажите есть шанс на расшифровку? На одном сервере у одного пользователя нашел в папке Pictures остатки вредоносного ПО, на втором в новой созданной злоумышленником учетке system32 почти такие же файлы, пришлю по запросу.
       
      файлы.rar
    • Юрий Ч
×
×
  • Создать...