Перейти к содержанию

Зашифровали данные на пк и серверах (возможно HEUR:Trojan-Ransom)


Рекомендуемые сообщения

Добрый день.

Зашифровали данные на пк и серверах (возможно HEUR:Trojan-Ransom)

 

Сегодня (29.04.2024) были зашифрованы данные на рабочих станциях и серверах компании.

В 28.04.2024 23:19:47 на сервере ДС была создана Групповая политика с применением ко "Всем", "Прошедшим проверку" и "СИСТЕМА" 

в настройке ГП:  

1. отключаются службы теневого копирования и Брандмауэр Windows

2. в планировщике создаются три назначенные задачи копирования, и исполнения файла

2.1 ds.exe 

powershell.exe Copy-Item "\\o*сетевая папка домена*e\netlogon\ds.exe" -Destination "C:\ProgramData"

2.2 запуск 

cmd.exe   /c c:\programdata\ds.exe -pass 12abeef955e1c76cce1c360ddd6de103 

2.3 и запуск из сетевой папки 

cmd.exe   
 Аргументы  /c \\o*сетевая папка домена*e\netlogon\ds.exe -pass 12abeef955e1c76cce1c360ddd6de103 

2.4 задачи немедленного исполнения по запуску скрипта PS и чистка логов 

Немедленная задача (Windows 7 и выше) (имя: 1)
powershell.exe   
 Аргументы  -ex bypass -f \\o*сетевая папка домена*e\netlogon\1.ps1 

Немедленная задача (Windows 7 и выше) (имя: log)
cmd.exe   
 Аргументы  /c for /F "tokens=*" %1 in ('wevtutil.exe el') DO wevtutil.exe cl "%1" 

 

после этого на зашифрованных машинах появился файл с содержимым ( весь файл приложу во вложениях)

Цитата

SAVE your company, READ attentively!

We are ★DARKSTAR★. 
All your files have been encrypted by our team. 
Fortunately, you have an option to buy our decryption tool.
It will bring your company back to life. 

 

 

Утилиты Касперского определили как HEUR:Trojan-Ransom 

ESET Определил как - Filecoder.BlackMatter.K 

 

Просьба помочь в расшифровке файлов. может получится подобрать дешифратор

 

Во вложении включил файлы зашифрованные и оригиналы файлов (уцелевшие) отдельным архивом

 

Так же есть исполняемый файл  ds.exe (пока не прикладывал)

decode.zip Addition.txt FRST.txt

Ссылка на сообщение
Поделиться на другие сайты

Судя по записке - это Darkstar, вариант шифровальщика от группы Shadow, которая работает с Lockbit v3 Black. (ESET его детектирует как Filecoder.BlackMatter*)

приложенные файлы сейчас проверю.

 

4 hours ago, ООО КИП said:

Так же есть исполняемый файл  ds.exe (пока не прикладывал)

загрузите файлы ds.exe и 1.ps1 в архиве с паролем virus на облачный диск,и дайте ссылку на скачивание в личные сообщения, в ЛС.

Изменено пользователем safety
Ссылка на сообщение
Поделиться на другие сайты

По очистке системы:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт автоматически очистит систему, и завершит работу без перезагрузки.

 

Start::
"C:\Windows\System32\Tasks\Microsoft\Windows\GroupPolicy\{3E0A038B-D834-4930-9981-E89C9BFF83AA}" был разблокирован. <==== ВНИМАНИЕ
"C:\Windows\System32\Tasks\Microsoft\Windows\GroupPolicy\{A7719E0F-10DB-4640-AD8C-490CC6AD5202}" был разблокирован. <==== ВНИМАНИЕ
Task: {1A487E64-A278-4E56-94A1-B43B441B9FFF} - System32\Tasks\copy => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [452608 2021-10-06] (Microsoft Windows -> Microsoft Corporation) -> Copy-Item "\\***\netlogon\ds.exe" -Destination "C:\ProgramData"
Task: {0D5E90B0-9CFA-466D-9E3E-52E02102BBFC} - System32\Tasks\netlogon => C:\WINDOWS\system32\cmd.exe [289792 2021-10-06] (Microsoft Windows -> Microsoft Corporation) -> /c \\***\netlogon\ds.exe -pass 12abeef955e1c76cce1c360ddd6de103
Task: {9D1C6867-3EC8-49F8-95BA-583ED7D1D466} - System32\Tasks\programdata => C:\WINDOWS\system32\cmd.exe [289792 2021-10-06] (Microsoft Windows -> Microsoft Corporation) -> /c c:\programdata\ds.exe -pass 12abeef955e1c76cce1c360ddd6de103
2024-04-29 05:16 - 2024-04-29 05:16 - 000003548 _____ C:\WINDOWS\system32\Tasks\copy
2024-04-29 05:16 - 2024-04-29 05:16 - 000003542 _____ C:\WINDOWS\system32\Tasks\netlogon
2024-04-29 05:16 - 2024-04-29 05:16 - 000003524 _____ C:\WINDOWS\system32\Tasks\programdata
End::

 

Добавьте файл Fixlog.txt из папки, откуда запускали FRST в ваше сообщение.

Заархивируйте папку C:\FRST\Quarantine с паролем virus, загрузите архив на облачный диск, и дайте ссылку на скачивание в ЛС

Изменено пользователем safety
  • Like (+1) 1
Ссылка на сообщение
Поделиться на другие сайты
17 часов назад, safety сказал:

Судя по записке - это Darkstar, вариант шифровальщика от группы Shadow, которая работает с Lockbit v3 Black. (ESET его детектирует как Filecoder.BlackMatter*)

приложенные файлы сейчас проверю.

 

загрузите файлы ds.exe и 1.ps1 в архиве с паролем virus на облачный диск,и дайте ссылку на скачивание в личные сообщения, в ЛС.

в ЛС скинул архив с ds, скрипта ps1 нет...  :(

Ссылка на сообщение
Поделиться на другие сайты

Если скрипт очистки был выполнен,

добавьте, пожалуйста, файл Fixlog.txt из папки, откуда запускали FRST в ваше сообщение.

 

С расшифровкой файлов по данному типу шифрования, к сожалению, не сможем помочь. Сохраните важные зашифрованные файлы на отдельный носитель, возможно в будущем расшифровка станет возможной.

 

Примите серьезные меры безопасности:


1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);

Изменено пользователем safety
  • Like (+1) 1
Ссылка на сообщение
Поделиться на другие сайты
23 часа назад, safety сказал:

По очистке системы:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт автоматически очистит систему, и завершит работу без перезагрузки.

 


Start::
"C:\Windows\System32\Tasks\Microsoft\Windows\GroupPolicy\{3E0A038B-D834-4930-9981-E89C9BFF83AA}" был разблокирован. <==== ВНИМАНИЕ
"C:\Windows\System32\Tasks\Microsoft\Windows\GroupPolicy\{A7719E0F-10DB-4640-AD8C-490CC6AD5202}" был разблокирован. <==== ВНИМАНИЕ
Task: {1A487E64-A278-4E56-94A1-B43B441B9FFF} - System32\Tasks\copy => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [452608 2021-10-06] (Microsoft Windows -> Microsoft Corporation) -> Copy-Item "\\***\netlogon\ds.exe" -Destination "C:\ProgramData"
Task: {0D5E90B0-9CFA-466D-9E3E-52E02102BBFC} - System32\Tasks\netlogon => C:\WINDOWS\system32\cmd.exe [289792 2021-10-06] (Microsoft Windows -> Microsoft Corporation) -> /c \\***\netlogon\ds.exe -pass 12abeef955e1c76cce1c360ddd6de103
Task: {9D1C6867-3EC8-49F8-95BA-583ED7D1D466} - System32\Tasks\programdata => C:\WINDOWS\system32\cmd.exe [289792 2021-10-06] (Microsoft Windows -> Microsoft Corporation) -> /c c:\programdata\ds.exe -pass 12abeef955e1c76cce1c360ddd6de103
2024-04-29 05:16 - 2024-04-29 05:16 - 000003548 _____ C:\WINDOWS\system32\Tasks\copy
2024-04-29 05:16 - 2024-04-29 05:16 - 000003542 _____ C:\WINDOWS\system32\Tasks\netlogon
2024-04-29 05:16 - 2024-04-29 05:16 - 000003524 _____ C:\WINDOWS\system32\Tasks\programdata
End::

 

Добавьте файл Fixlog.txt из папки, откуда запускали FRST в ваше сообщение.

Заархивируйте папку C:\FRST\Quarantine с паролем virus, загрузите архив на облачный диск, и дайте ссылку на скачивание в ЛС

Сделал, ссылку на результат скину в ЛС 
но задания в планировщике были удалены мной ранее в ручную.  

  • Like (+1) 1
Ссылка на сообщение
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • mappey3
      От mappey3
      все файлы зашифрованы как быть с этим?

    • Muhamor
      От Muhamor
      собственно зашифровало нужные файлы. Прошу помощи. 
      Addition.txt FRST.txt бухгал. письма на передвижку.docx.rar
    • S14Y3R
      От S14Y3R
      При попытке скачать программу VoiceMod с телеграм-канала Voicemod Pro и запуске из него файла Voicemod_setup.exe поймал вирус-шифровальщик вымогатель LockBit 3.0, который зашифровал всё содержимое Рабочего стола, папок Загрузки, Документы, Музыка, Изображения, Видео, и насоздавал кучу текстовых файлов с требованиями злоумышленников в каждой папке, включая App Data. Помимо зашифрования файлов был отключён и сделан неактивным Windows Defender, и теперь периодически (после каждого перезапуска (перезагрузки) системы поначалу всё хорошо, но оптом вылезает эта надпись в правом нижнем углу) слетает активация самой Windows с ошибкой "Не удаётся активировать Windows на этом устройстве, так как наши серверы активации на данный момент недоступны...", код ошибки - 0x80072EE7
      FRST.txt Addition.txt 3R9qG8i3Z.README.txt зашифрованные файлы.zip
    • ершик
    • RAUMANAGOYA
      От RAUMANAGOYA
      Поймал вирус шифровальщика-вымогателя, скачивая с телеграмма VoiceModPro. Файлы из папок видео, документы, изображения, appdata зашифрованы
      Формат любого с этих файлов - .3R9qG8i3Z
      3R9qG8i3Z.README.txt FRST.txt Addition.txt WinRAR ZIP archive.zip
×
×
  • Создать...