возможно proxima шифровальщик .Abram

[RomanNamor]

после проникновения злоумышленников в сеть все файлы зашифрованы с расширением  .Abram

[RomanNamor]

пример файлов

Abram_Help.txt Desktop.7z

[thyrex]

Правила оформления запроса о помощи

[RomanNamor]

отчет  Farbar Recovery Scan Tool

FRST.txt

[safety]

Нужен так же второй файл лога - Addition.txt

 

Систему проверяли сканерами: Cureit или KVRT (или штатным антивирусом)? Тело шифровальщика найдено?

[RomanNamor]

проверял kis, штатный убили. тело не найдено. есть еще зараженные пк, может оттуда взять логи Farbar?

Addition.txt

[safety]

да, сделайте, пожалуйста, логи FRST еще с пары машин, чтобы определить тип шифровальщика.

хотя возможно что сэмпл мог самоудалиться.

Возможно, это PROXIMA/BlackShadow

Изменено 27 мая пользователем safety

[RomanNamor]

у меня архив есть со скриншотами хронологии взлома, с действиями злоумышленников. как вам лично его переправить?

[safety]

Напишите в ЛС

[RomanNamor]

логи с другой машины иеще один файлик оставленный после

Files-.7z

[safety]

Файл чистый, возможно вспомогательный (скорее всего файл отчета), сэмпла к сожалению нет.

по данному типу шифровальщика не сможем помочь с расшифровкой без приватного ключа.

 

примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);

Изменено 28 мая пользователем safety

[RomanNamor]

на одной из машин нашел набор не удаленных файлов, внизу архив с ними. пароль к архиву virus

vir.zip