chaos шифровальщик azot

[qwedrew 0]

всем добрый день. утром обнаружили сию бяку. read.zipпо словам it " мастера " был установлен еще и какой-то удаленный доступ левый а-ля vnc. 
прикладываю логи, архив с зашифрованными файлами и найденный запароленый архив с расшифровщиком.
 

Addition.txt FRST.txt 7730-decrypter.rar

[thyrex 1 408]

Что в папке C:\DEC?

[qwedrew 0]

Только что, thyrex сказал:

Что в папке C:\DEC?

как раз декрипотор в архиве ( приложен )

[thyrex 1 408]

Идентифицировать шифровальщик не получается, да и скорее всего расшифровки все равно нет. Похоже каждый файл шифруется своим ключом.

 

Чистка мусора в системе нужна или система под переустановку?

[qwedrew 0]

40 минут назад, thyrex сказал:

Чистка мусора в системе нужна или система под переустановку?

под переустановку и нормальной настройкой под бухгалтера(

[safety 112]

5 часов назад, qwedrew сказал:

под переустановку и нормальной настройкой под бухгалтера(

тело шифровальщика не смогли найти? антивирусные проверки выполняли в системе после шифрования?

[qwedrew 0]

9 часов назад, safety сказал:

тело шифровальщика не смогли найти? антивирусные проверки выполняли в системе после шифрования?

не успел. мне отдали комп уже после обработки антивирусом, который все поудалял. 

[safety 112]

7 минут назад, qwedrew сказал:

мне отдали комп уже после обработки антивирусом, который все поудалял. 

Может в карантине антивируса осталась информация по тому что было удалено? Это важно для определения типа шифровальщика.

[qwedrew 0]

1 минуту назад, safety сказал:

Может в карантине антивируса осталась информация по тому что было удалено? Это важно для определения типа шифровальщика.

как на руки комп получу, если получу, дать информацию. спасибо за помощь)

[safety 112]

Хорошо, ждем ваш ответ.

Тип шифровальщика возможно что-то новое, или известный, но пока без определения, записки о выкупе и зашифрованного файла недостаточно сейчас для определения типа.

[rregedit 0]

Такую же гадость поймал один из сотрудников. 

Шифрование проводилось через RDP, по журналу видно как брутился пароль, и вошли в систему. Большие папки упакованы в RAR и запаролены. Вся остальная мелочь зашифрована с расширением .azot.

Так же был обнаружен в папке DEC, запароленный дешифратор как и у автора поста.

 

30.07.2024 в 13:07, safety сказал:

Хорошо, ждем ваш ответ.

Тип шифровальщика возможно что-то новое, или известный, но пока без определения, записки о выкупе и зашифрованного файла недостаточно сейчас для определения типа.

 

Я нашел исполняемый файл шифровальщика, назывался surprise.exe. Запустил на виртуалке, так же все зашифровал.

Если вам поможет этот exe могу скинуть. 

Изменено Вторник в 09:22 пользователем rregedit

[safety 112]

6 минут назад, rregedit сказал:

Я нашел исполняемый файл шифровальщика, назывался surprise.exe. Запустил на виртуалке, так же все зашифровал.

Если вам поможет этот exe могу скинуть. 

Загрузите в архиве с паролем virus на облачный диск и дайте ссылку на скачивание в ЛС.

Если есть возможность, добавьте здесь пару зашифрованный - чистый, если это будет файл рисунка или офисный документ.

[safety 112]

28 минут назад, rregedit сказал:

Если вам поможет этот exe могу скинуть. 

Chaos.

https://www.virustotal.com/gui/file/a34420684f2cac84d72ed9ce886e22327e8d316cb13b177076b6eac639149499?nocache=1

похоже это может быть вайпер, т.е. его невозможно расшифровать.