hsharada HEUR:Trojan-Ransom.Win32.Generic

[Zafod]

Произошло шифрование файлом Locker.exe из под учётной записи администратора домена admin$ (создан вирусом). Время когда учётка админа (admin$) была создана удалено из логов (из логов пропали сутки). На сервере установлен Kaspersky Endpoint Security под управлением KSC, вирус был обнаружен, скопирован в карантин, удалён, но данные всё равно зашифрованы. Машина с KSC так же зашифрована и не стартует.

1.zip

[safety]

6 часов назад, Zafod сказал:

Произошло шифрование файлом Locker.exe

Хэш этого файла можете сравнить с:

9AD387A2B1D5002147AAAFD1EF89ABCEDC29AF31   ?

Можете предоставить данный файл в архиве с паролем virus через облачный диск, по ссылке в ЛС?

 

Так понимаю, зашифровано больше устройств чем эти два.

Изменено 9 августа, 2024 пользователем safety

[Zafod]

10 часов назад, safety сказал:

Можете предоставить данный файл в архиве с паролем virus через облачный диск, по ссылке в ЛС?

Как вытащить файл из карантина KES?

10 часов назад, safety сказал:

Так понимаю, зашифровано больше устройств чем эти два.

Верно.

[safety]

4 часа назад, Zafod сказал:

Как вытащить файл из карантина KES?

зайти в функцию карантина, и восстановить файл в папку (обратите внимание, куда будет восстановлен файл, скорее всего у KES нет функции куда восстановить указанный файл, а только в ту папку, откуда он был удален). Возможно, на него будет реагировать антивирус, поэтому защиту надо временно отключить. После архивации файла и загрузки архива на облачный диск, можно опять этот файл  отправить в "расход". И включить защиту.

 

проверил. Хэш другой, по сравнению со случаем от 03.08

AA4B6A653F3F5C2B66D9F5E580FFEFB94C860145

 

Изменено 10 августа, 2024 пользователем safety

[safety]

При наличие лицензии на продукты Касперского лучше сделать запрос в техническую поддержку, хотя с расшифровкой, скорее всего, не смогут помочь по данному типу шифровальщика.