proxima Заразился сервер шифровщиком-вымогателем Hercul

[Apotka 0]

Доброго времени суток, 08.04.24 в 00:45 по МСК (судя по дате создания файла записки вымогателей) *.exe файлы не пострадали, под удар попали различные БД 1С, сервис Забота, аудио видео файлы и MS office

Корневой файл заражения нам найти не удалось при ручном поиске, KVRT показал наличие 1 угрозы

В сервисе "крипто шериф" декприптора на наш случай не нашлось,

Следовал инструкции найденной на одном из порталов 

Спойлер

https://id-ransomware.blogspot.com/2017/03/first-steps-victim.html

Также изучил похожую тему на наш случай на этом форуме
 

Спойлер

https://forum.kasperskyclub.ru/topic/447426-pomogite-opredelit-shifrovalshhik/

и выполнил сканирование утилитой Farbar Recovery Scan Tool. а также по инструкции по созданию обращения AutoLogger внутри архива report1.log и report2.log
зашифрованные файлы не содержат конфиденциальных данных, находятся в архиве Encripted с таким же паролем, внутри также записка вымогателя

Addition.txt Encripted.zip FRST.txt CollectionLog-2024.04.08-15.34.zip

Изменено 8 апреля пользователем Apotka

[safety 123]

Добавьте логи из журнала обнаружения штатного антивируса.

[Apotka 0]

5 часов назад, safety сказал:

Добавьте логи из журнала обнаружения штатного антивируса.

Спасибо что ознакомились с моим обращением, ничего к сожалению найти не удалось, у нас стоит eset в котором отсутствуют журналы
единственное он предложил создать слепок системы который представляет собой xml отчёт на 18мб
в штатном защитнике тоже ничего не нашёл, в просмотре событий в разделе журналов "Журналы приложений служб>Microsoft>Windows"
надеялся найти журналы Defender или Windows Defender но увы, могу предложить только выгрузки различных журналов связанных с RDP подключениями
и раздела Firewall

Спойлер

 

 

 

 

Извиняюсь что не в одном сообщении, очень долго прогружался анализатор, вот итоговые замечания
Возможно это всё совсем не то конечно
 

Спойлер

 

CallUxxProvider.zip

Изменено 8 апреля пользователем Apotka

[safety 123]

Если вы создали ELC, тогда лучше его и загрузите, чтобы посмотреть все журналы, в частности журнал обнаружения угроз включен в общий журнал ELC. Если размер журнала будет большим, загрузите его на облачный диск, и дайте здесь ссылку на скачивание.

Изменено 9 апреля пользователем safety