Перейти к содержанию

Зашифровали данные на пк и серверах (возможно HEUR:Trojan-Ransom)


Рекомендуемые сообщения

Добрый день.

Зашифровали данные на пк и серверах (возможно HEUR:Trojan-Ransom)

 

Сегодня (29.04.2024) были зашифрованы данные на рабочих станциях и серверах компании.

В 28.04.2024 23:19:47 на сервере ДС была создана Групповая политика с применением ко "Всем", "Прошедшим проверку" и "СИСТЕМА" 

в настройке ГП:  

1. отключаются службы теневого копирования и Брандмауэр Windows

2. в планировщике создаются три назначенные задачи копирования, и исполнения файла

2.1 ds.exe 

powershell.exe Copy-Item "\\o*сетевая папка домена*e\netlogon\ds.exe" -Destination "C:\ProgramData"

2.2 запуск 

cmd.exe   /c c:\programdata\ds.exe -pass 12abeef955e1c76cce1c360ddd6de103 

2.3 и запуск из сетевой папки 

cmd.exe   
 Аргументы  /c \\o*сетевая папка домена*e\netlogon\ds.exe -pass 12abeef955e1c76cce1c360ddd6de103 

2.4 задачи немедленного исполнения по запуску скрипта PS и чистка логов 

Немедленная задача (Windows 7 и выше) (имя: 1)
powershell.exe   
 Аргументы  -ex bypass -f \\o*сетевая папка домена*e\netlogon\1.ps1 

Немедленная задача (Windows 7 и выше) (имя: log)
cmd.exe   
 Аргументы  /c for /F "tokens=*" %1 in ('wevtutil.exe el') DO wevtutil.exe cl "%1" 

 

после этого на зашифрованных машинах появился файл с содержимым ( весь файл приложу во вложениях)

Цитата

SAVE your company, READ attentively!

We are ★DARKSTAR★. 
All your files have been encrypted by our team. 
Fortunately, you have an option to buy our decryption tool.
It will bring your company back to life. 

 

 

Утилиты Касперского определили как HEUR:Trojan-Ransom 

ESET Определил как - Filecoder.BlackMatter.K 

 

Просьба помочь в расшифровке файлов. может получится подобрать дешифратор

 

Во вложении включил файлы зашифрованные и оригиналы файлов (уцелевшие) отдельным архивом

 

Так же есть исполняемый файл  ds.exe (пока не прикладывал)

decode.zip Addition.txt FRST.txt

Ссылка на сообщение
Поделиться на другие сайты

Судя по записке - это Darkstar, вариант шифровальщика от группы Shadow, которая работает с Lockbit v3 Black. (ESET его детектирует как Filecoder.BlackMatter*)

приложенные файлы сейчас проверю.

 

4 hours ago, ООО КИП said:

Так же есть исполняемый файл  ds.exe (пока не прикладывал)

загрузите файлы ds.exe и 1.ps1 в архиве с паролем virus на облачный диск,и дайте ссылку на скачивание в личные сообщения, в ЛС.

Изменено пользователем safety
Ссылка на сообщение
Поделиться на другие сайты

По очистке системы:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт автоматически очистит систему, и завершит работу без перезагрузки.

 

Start::
"C:\Windows\System32\Tasks\Microsoft\Windows\GroupPolicy\{3E0A038B-D834-4930-9981-E89C9BFF83AA}" был разблокирован. <==== ВНИМАНИЕ
"C:\Windows\System32\Tasks\Microsoft\Windows\GroupPolicy\{A7719E0F-10DB-4640-AD8C-490CC6AD5202}" был разблокирован. <==== ВНИМАНИЕ
Task: {1A487E64-A278-4E56-94A1-B43B441B9FFF} - System32\Tasks\copy => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [452608 2021-10-06] (Microsoft Windows -> Microsoft Corporation) -> Copy-Item "\\***\netlogon\ds.exe" -Destination "C:\ProgramData"
Task: {0D5E90B0-9CFA-466D-9E3E-52E02102BBFC} - System32\Tasks\netlogon => C:\WINDOWS\system32\cmd.exe [289792 2021-10-06] (Microsoft Windows -> Microsoft Corporation) -> /c \\***\netlogon\ds.exe -pass 12abeef955e1c76cce1c360ddd6de103
Task: {9D1C6867-3EC8-49F8-95BA-583ED7D1D466} - System32\Tasks\programdata => C:\WINDOWS\system32\cmd.exe [289792 2021-10-06] (Microsoft Windows -> Microsoft Corporation) -> /c c:\programdata\ds.exe -pass 12abeef955e1c76cce1c360ddd6de103
2024-04-29 05:16 - 2024-04-29 05:16 - 000003548 _____ C:\WINDOWS\system32\Tasks\copy
2024-04-29 05:16 - 2024-04-29 05:16 - 000003542 _____ C:\WINDOWS\system32\Tasks\netlogon
2024-04-29 05:16 - 2024-04-29 05:16 - 000003524 _____ C:\WINDOWS\system32\Tasks\programdata
End::

 

Добавьте файл Fixlog.txt из папки, откуда запускали FRST в ваше сообщение.

Заархивируйте папку C:\FRST\Quarantine с паролем virus, загрузите архив на облачный диск, и дайте ссылку на скачивание в ЛС

Изменено пользователем safety
Ссылка на сообщение
Поделиться на другие сайты
17 часов назад, safety сказал:

Судя по записке - это Darkstar, вариант шифровальщика от группы Shadow, которая работает с Lockbit v3 Black. (ESET его детектирует как Filecoder.BlackMatter*)

приложенные файлы сейчас проверю.

 

загрузите файлы ds.exe и 1.ps1 в архиве с паролем virus на облачный диск,и дайте ссылку на скачивание в личные сообщения, в ЛС.

в ЛС скинул архив с ds, скрипта ps1 нет...  :(

Ссылка на сообщение
Поделиться на другие сайты

Если скрипт очистки был выполнен,

добавьте, пожалуйста, файл Fixlog.txt из папки, откуда запускали FRST в ваше сообщение.

 

С расшифровкой файлов по данному типу шифрования, к сожалению, не сможем помочь. Сохраните важные зашифрованные файлы на отдельный носитель, возможно в будущем расшифровка станет возможной.

 

Примите серьезные меры безопасности:


1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);

Изменено пользователем safety
Ссылка на сообщение
Поделиться на другие сайты
23 часа назад, safety сказал:

По очистке системы:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт автоматически очистит систему, и завершит работу без перезагрузки.

 


Start::
"C:\Windows\System32\Tasks\Microsoft\Windows\GroupPolicy\{3E0A038B-D834-4930-9981-E89C9BFF83AA}" был разблокирован. <==== ВНИМАНИЕ
"C:\Windows\System32\Tasks\Microsoft\Windows\GroupPolicy\{A7719E0F-10DB-4640-AD8C-490CC6AD5202}" был разблокирован. <==== ВНИМАНИЕ
Task: {1A487E64-A278-4E56-94A1-B43B441B9FFF} - System32\Tasks\copy => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [452608 2021-10-06] (Microsoft Windows -> Microsoft Corporation) -> Copy-Item "\\***\netlogon\ds.exe" -Destination "C:\ProgramData"
Task: {0D5E90B0-9CFA-466D-9E3E-52E02102BBFC} - System32\Tasks\netlogon => C:\WINDOWS\system32\cmd.exe [289792 2021-10-06] (Microsoft Windows -> Microsoft Corporation) -> /c \\***\netlogon\ds.exe -pass 12abeef955e1c76cce1c360ddd6de103
Task: {9D1C6867-3EC8-49F8-95BA-583ED7D1D466} - System32\Tasks\programdata => C:\WINDOWS\system32\cmd.exe [289792 2021-10-06] (Microsoft Windows -> Microsoft Corporation) -> /c c:\programdata\ds.exe -pass 12abeef955e1c76cce1c360ddd6de103
2024-04-29 05:16 - 2024-04-29 05:16 - 000003548 _____ C:\WINDOWS\system32\Tasks\copy
2024-04-29 05:16 - 2024-04-29 05:16 - 000003542 _____ C:\WINDOWS\system32\Tasks\netlogon
2024-04-29 05:16 - 2024-04-29 05:16 - 000003524 _____ C:\WINDOWS\system32\Tasks\programdata
End::

 

Добавьте файл Fixlog.txt из папки, откуда запускали FRST в ваше сообщение.

Заархивируйте папку C:\FRST\Quarantine с паролем virus, загрузите архив на облачный диск, и дайте ссылку на скачивание в ЛС

Сделал, ссылку на результат скину в ЛС 
но задания в планировщике были удалены мной ранее в ручную.  

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • EXPO_savvin
      От EXPO_savvin
      Здравствуйте, поймали шифровальщика, зашифрованы файлы на компьютере жертвы и на сетевом диске (куда был доступ).
      Антивирус только встроенный на вин 10. 
      Можно ли что-то сделать?
      FRST.txtXcLxE89tJ.README.txtЗашифрованный файл.rarAddition.txt
    • baha
      От baha
      Добрый день. Зашифровали файлы с расширением QllsD3Soa, можете помочь?
    • Alexander1308
      От Alexander1308
      Добрый день, якобы из налоговой пришло письмо на почту о задолженности (отправитель ФССП РОССИИ <fssp.ru.gov@mail.ru>), с текстом: "
      ФССП РОССИИ Автоматической системой мониторинга задолженностей управления ФССП была обнаружена задолженность по налогам и сборам (в том числе по транспортному, земельному или подоходному налогу) за расчетный период: 2022 г. Сумма задолженностей за 2022 год: 29 278 рублей 91 коп. Во избежание блокировки ваших счетов и банковских карт, согласно п. 1 ст. 395 гк рф и ч. 1 ст. 70, а также, руководствуясь федеральным законом № 229 «об исполнительном производстве» передачи вашего долга в производство принудительного взыскания в отдел судебных приставов по вашему региону, вам необходимо погасить задолженность до 25 апреля 2023 г. Подробная информация в прикрепленных документах." Скачали прикрепленный архив и все файлы зашифровались - огромное количество семейных фото, видео, документов. Прошу помощи специалистов! Логи Farbar.rar Поврежденные файлы и файл запроса.rar
       
      У всех файлов на конце расширение ".YQxJ912aP"
    • Настя а-411
      От Настя а-411
      В письме от имени налоговой прислали сообщение о задолженности и образец заявления. Файл разумеется открыли. В итоге всё зашифровано(
      Addition.txt FRST.txt записка.txt
      зараженные файлы.rar
    • Игорь777777
      От Игорь777777
      при открытии вложения письма, оказались зашифрованы файлы, добавилось расширение файлов KIUDwbi3u. Каким дешифратором можно воспользоваться для восстановления файлов? Размещенные на сайте утилиты не помогли.
      Desktop.rar Addition.txt FRST.txt
×
×
  • Создать...