lockbit v3 black Зашифровали данные на пк и серверах (возможно HEUR:Trojan-Ransom)

[ООО КИП]

Добрый день.

Зашифровали данные на пк и серверах (возможно HEUR:Trojan-Ransom)

 

Сегодня (29.04.2024) были зашифрованы данные на рабочих станциях и серверах компании.

В 28.04.2024 23:19:47 на сервере ДС была создана Групповая политика с применением ко "Всем", "Прошедшим проверку" и "СИСТЕМА" 

в настройке ГП:  

1. отключаются службы теневого копирования и Брандмауэр Windows

2. в планировщике создаются три назначенные задачи копирования, и исполнения файла

2.1 ds.exe 

powershell.exe Copy-Item "\\o*сетевая папка домена*e\netlogon\ds.exe" -Destination "C:\ProgramData"

2.2 запуск 

cmd.exe   /c c:\programdata\ds.exe -pass 12abeef955e1c76cce1c360ddd6de103 

2.3 и запуск из сетевой папки 

cmd.exe   
 Аргументы  /c \\o*сетевая папка домена*e\netlogon\ds.exe -pass 12abeef955e1c76cce1c360ddd6de103 

2.4 задачи немедленного исполнения по запуску скрипта PS и чистка логов 

Немедленная задача (Windows 7 и выше) (имя: 1)
powershell.exe   
 Аргументы  -ex bypass -f \\o*сетевая папка домена*e\netlogon\1.ps1 

Немедленная задача (Windows 7 и выше) (имя: log)
cmd.exe   
 Аргументы  /c for /F "tokens=*" %1 in ('wevtutil.exe el') DO wevtutil.exe cl "%1" 

 

после этого на зашифрованных машинах появился файл с содержимым ( весь файл приложу во вложениях)

Цитата

SAVE your company, READ attentively!

We are ★DARKSTAR★. 
All your files have been encrypted by our team. 
Fortunately, you have an option to buy our decryption tool.
It will bring your company back to life. 

 

 

Утилиты Касперского определили как HEUR:Trojan-Ransom 

ESET Определил как - Filecoder.BlackMatter.K 

 

Просьба помочь в расшифровке файлов. может получится подобрать дешифратор

 

Во вложении включил файлы зашифрованные и оригиналы файлов (уцелевшие) отдельным архивом

 

Так же есть исполняемый файл  ds.exe (пока не прикладывал)

decode.zip Addition.txt FRST.txt

[safety]

Судя по записке - это Darkstar, вариант шифровальщика от группы Shadow, которая работает с Lockbit v3 Black. (ESET его детектирует как Filecoder.BlackMatter*)

приложенные файлы сейчас проверю.

 

4 hours ago, ООО КИП said:

Так же есть исполняемый файл  ds.exe (пока не прикладывал)

загрузите файлы ds.exe и 1.ps1 в архиве с паролем virus на облачный диск,и дайте ссылку на скачивание в личные сообщения, в ЛС.

Изменено 29 апреля, 2024 пользователем safety

[safety]

По очистке системы:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт автоматически очистит систему, и завершит работу без перезагрузки.

 

Start::
"C:\Windows\System32\Tasks\Microsoft\Windows\GroupPolicy\{3E0A038B-D834-4930-9981-E89C9BFF83AA}" был разблокирован. <==== ВНИМАНИЕ
"C:\Windows\System32\Tasks\Microsoft\Windows\GroupPolicy\{A7719E0F-10DB-4640-AD8C-490CC6AD5202}" был разблокирован. <==== ВНИМАНИЕ
Task: {1A487E64-A278-4E56-94A1-B43B441B9FFF} - System32\Tasks\copy => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [452608 2021-10-06] (Microsoft Windows -> Microsoft Corporation) -> Copy-Item "\\***\netlogon\ds.exe" -Destination "C:\ProgramData"
Task: {0D5E90B0-9CFA-466D-9E3E-52E02102BBFC} - System32\Tasks\netlogon => C:\WINDOWS\system32\cmd.exe [289792 2021-10-06] (Microsoft Windows -> Microsoft Corporation) -> /c \\***\netlogon\ds.exe -pass 12abeef955e1c76cce1c360ddd6de103
Task: {9D1C6867-3EC8-49F8-95BA-583ED7D1D466} - System32\Tasks\programdata => C:\WINDOWS\system32\cmd.exe [289792 2021-10-06] (Microsoft Windows -> Microsoft Corporation) -> /c c:\programdata\ds.exe -pass 12abeef955e1c76cce1c360ddd6de103
2024-04-29 05:16 - 2024-04-29 05:16 - 000003548 _____ C:\WINDOWS\system32\Tasks\copy
2024-04-29 05:16 - 2024-04-29 05:16 - 000003542 _____ C:\WINDOWS\system32\Tasks\netlogon
2024-04-29 05:16 - 2024-04-29 05:16 - 000003524 _____ C:\WINDOWS\system32\Tasks\programdata
End::

 

Добавьте файл Fixlog.txt из папки, откуда запускали FRST в ваше сообщение.

Заархивируйте папку C:\FRST\Quarantine с паролем virus, загрузите архив на облачный диск, и дайте ссылку на скачивание в ЛС

Изменено 29 апреля, 2024 пользователем safety

[ООО КИП]

17 часов назад, safety сказал:

Судя по записке - это Darkstar, вариант шифровальщика от группы Shadow, которая работает с Lockbit v3 Black. (ESET его детектирует как Filecoder.BlackMatter*)

приложенные файлы сейчас проверю.

 

загрузите файлы ds.exe и 1.ps1 в архиве с паролем virus на облачный диск,и дайте ссылку на скачивание в личные сообщения, в ЛС.

в ЛС скинул архив с ds, скрипта ps1 нет... 

[safety]

Если скрипт очистки был выполнен,

добавьте, пожалуйста, файл Fixlog.txt из папки, откуда запускали FRST в ваше сообщение.

 

С расшифровкой файлов по данному типу шифрования, к сожалению, не сможем помочь. Сохраните важные зашифрованные файлы на отдельный носитель, возможно в будущем расшифровка станет возможной.

 

Примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);

Изменено 30 апреля, 2024 пользователем safety

[ООО КИП]

23 часа назад, safety сказал:

По очистке системы:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт автоматически очистит систему, и завершит работу без перезагрузки.

 

Start::
"C:\Windows\System32\Tasks\Microsoft\Windows\GroupPolicy\{3E0A038B-D834-4930-9981-E89C9BFF83AA}" был разблокирован. <==== ВНИМАНИЕ
"C:\Windows\System32\Tasks\Microsoft\Windows\GroupPolicy\{A7719E0F-10DB-4640-AD8C-490CC6AD5202}" был разблокирован. <==== ВНИМАНИЕ
Task: {1A487E64-A278-4E56-94A1-B43B441B9FFF} - System32\Tasks\copy => C:\Windows\system32\WindowsPowerShell\v1.0\powershell.exe [452608 2021-10-06] (Microsoft Windows -> Microsoft Corporation) -> Copy-Item "\\***\netlogon\ds.exe" -Destination "C:\ProgramData"
Task: {0D5E90B0-9CFA-466D-9E3E-52E02102BBFC} - System32\Tasks\netlogon => C:\WINDOWS\system32\cmd.exe [289792 2021-10-06] (Microsoft Windows -> Microsoft Corporation) -> /c \\***\netlogon\ds.exe -pass 12abeef955e1c76cce1c360ddd6de103
Task: {9D1C6867-3EC8-49F8-95BA-583ED7D1D466} - System32\Tasks\programdata => C:\WINDOWS\system32\cmd.exe [289792 2021-10-06] (Microsoft Windows -> Microsoft Corporation) -> /c c:\programdata\ds.exe -pass 12abeef955e1c76cce1c360ddd6de103
2024-04-29 05:16 - 2024-04-29 05:16 - 000003548 _____ C:\WINDOWS\system32\Tasks\copy
2024-04-29 05:16 - 2024-04-29 05:16 - 000003542 _____ C:\WINDOWS\system32\Tasks\netlogon
2024-04-29 05:16 - 2024-04-29 05:16 - 000003524 _____ C:\WINDOWS\system32\Tasks\programdata
End::

 

Добавьте файл Fixlog.txt из папки, откуда запускали FRST в ваше сообщение.

Заархивируйте папку C:\FRST\Quarantine с паролем virus, загрузите архив на облачный диск, и дайте ссылку на скачивание в ЛС

Сделал, ссылку на результат скину в ЛС 
но задания в планировщике были удалены мной ранее в ручную.