Перейти к содержанию

Сервер поймал Щифровальщика


Рекомендуемые сообщения

По очистке в FRST:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу без перезагрузки системы.

 

Start::
HKLM\...\Run: [systemsg.exe] => C:\Users\Зейнаб\AppData\Local\Decrypt_ELPACO-team_info.txt [967 2024-09-21] () [Файл не подписан]
HKLM-x32\...\Run: [] => [X]
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiSpyware] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
HKLM\...\Policies\system: [legalnoticetext] Hello my dear friend (Do not scan the files with antivirus in any case. In case of data loss, the consequences
IFEO\CompatTelRunner.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\logoff.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\perfmon.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\SearchApp.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\SearchIndexer.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\SearchProtocolHost.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\sethc.exe: [Debugger] c:\windows\system32\cmd.exe
IFEO\shutdown.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\taskkill.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\tasklist.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\taskmgr.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\wsqmcons.exe: [Debugger] C:\Windows\System32\Systray.exe
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
2024-09-21 09:55 - 2024-09-21 09:55 - 000000967 _____ C:\Users\Зейнаб\Desktop\Decrypt_ELPACO-team_info.txt
2024-09-21 09:50 - 2024-09-21 09:53 - 000000967 _____ C:\Users\Зейнаб\AppData\Local\Decrypt_ELPACO-team_info.txt
2024-09-21 09:49 - 2024-09-21 09:55 - 000000967 _____ C:\Decrypt_ELPACO-team_info.txt
2024-09-21 09:49 - 2024-09-21 09:49 - 000000000 ____D C:\temp
2024-09-21 10:07 - 2022-08-25 15:15 - 000000000 __SHD C:\Users\Зейнаб\AppData\Local\BFB39C3B-80E3-D2AA-3AB8-6CBE04FD21C7
End::

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Заархивируйте папку C:\FRST\Quarantine с паролем virus, загрузите архив на облачный диск и дайте ссылку на скачивание в ЛС.

Ссылка на комментарий
Поделиться на другие сайты

Для ПК с подключением к зашифрованному серверу риска нет, так как процесс шифрования завершен. Обычно злоумышленники запускают консоль с шифрованием, где автоматически могут быть добавлены (некоторые вручную исключены) доступные по сети устройства и шары. После запуска консоли запускается общий процесс шифрования всех добавленных устройств. Либо он полностью завершается, либо останавливается по разным причинам. Другое дело, что злоумышленники если получили доступ в локальную сеть, могут еще некоторое время в ней находиться, и запустить новые процессы шифрования.

 

Уточните, пожалуйста, это легальная задача?

 

Path,Actions,Description,ID
\Hkbsse,Author   D C:\Users\Dom\19e4adb2ae\Hkbsse.exe,,{D1017410-ACEB-4159-BC00-387FE5D21F96}

 

теперь, когда были зашифрованы ваши данные, примите серьезные меры безопасности:


1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);

 

 

 

Изменено пользователем safety
Ссылка на комментарий
Поделиться на другие сайты

28 минут назад, safety сказал:

Уточните, пожалуйста, это легальная задача?

 

Path,Actions,Description,ID
\Hkbsse,Author   D C:\Users\Dom\19e4adb2ae\Hkbsse.exe,,{D1017410-ACEB-4159-BC00-387FE5D21F96}

Если честно даже не в курсе, что это за задача.

Ссылка на комментарий
Поделиться на другие сайты

Сделайте, пожалуйста, проверку этого файла на virustotal.com

C:\Users\Dom\19e4adb2ae\Hkbsse.exe

и дайте ссылку здесь на результат проверки

Возможно, что файл является вредоносным

Ссылка на комментарий
Поделиться на другие сайты

 

Цитата

 

Если это стилер, значит  пароли с подключением к серверу могли утечь.

 

ESET-NOD32 A Variant Of Win32/TrojanDownloader.Ama

Kaspersky HEUR:Trojan-Spy.Win32.Stealer.gen

---------------

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу без перезагрузки системы.

 

Start::
Task: {D1017410-ACEB-4159-BC00-387FE5D21F96} - System32\Tasks\Hkbsse => C:\Users\Dom\19e4adb2ae\Hkbsse.exe [444928 2024-08-15] () [Файл не подписан]
2024-08-31 04:42 - 2024-09-21 05:10 - 000000240 _____ C:\Windows\Tasks\Hkbsse.job
2024-08-31 04:42 - 2024-08-31 04:42 - 000002924 _____ C:\Windows\system32\Tasks\Hkbsse
2024-08-31 04:42 - 2024-08-31 04:42 - 000000000 ____D C:\Users\Dom\AppData\Roaming\8cadd6e0860cae
2024-08-31 04:42 - 2024-08-31 04:42 - 000000000 ____D C:\Users\Dom\AppData\Local\PeerDistRepub
2024-08-31 04:42 - 2024-08-31 04:42 - 000000000 ____D C:\Users\Dom\19e4adb2ae
End::

 

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Заархивируйте папку C:\FRST\Quarantine с паролем virus, загрузите архив на облачный диск и дайте ссылку на скачивание в ЛС.

 

Ссылка на комментарий
Поделиться на другие сайты

Hkbsse.exe - A Variant Of Win32/TrojanDownloader.Amadey/HEUR:Trojan-Spy.Win32.Stealer.gen

clip64.vdll - A Variant Of Win32/ClipBanker.SJ

cred64.dll - A Variant Of Win64/PSW.Agent.CW/HEUR:Trojan-PSW.Win32.Convagent.gen

 

Очистка завершена.

Изменено пользователем safety
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • alexlaev
      Автор alexlaev
      Доброго бодрого, придя на работу в понедельник пришло осознание того что на сервере происходит что-то неладное, появились файлы с расширением .[nullhex@2mail.co].0C8D0E91
      Ничего не поняв, начал искать что могло произойти, один из компьютеров был подвержен атаке, в ночь с пятницы на субботу по местному времени в 3:30 утра 28.06.2025 было совершено подключение по RDP к данному компьютеру. После анализа действий программы Clipdiary (благо была установлена на компьютере) было выявлено что злоумышленник владеет всей информацией о паролях от сервера, пользователей, список пользователей в сети, и начал свою атаку глубже. Этот компьютер имел админку к серверу, поэтому злоумышленник без труда добрался до него и начал шифровать данные как и на двух других компьютерах. По итогу то ли то что злоумышленнику стало скучно, то ли из-за того что компьютер завис в этот момент (на часах было 10:03 29.06.2025 (я смотрел на время на экране уже на следующий день в понедельник 30.06.2025 в 11:30, поэтому обратил внимание сразу что время не совпадает и комп заблокирован и завис)) у злоумышленника доступ к серверу пропал, потому как по RDP только из локалки можно к нему цепляться. Файлы незначительные повреждены, но уже восстановлены из бэкапа(благо делается каждый день)
      А вот с компьютерами меньше повезло, три компа полностью зашифрованы. Прилагаю файлы и проверку в программе указанной в теме правил.
      vse tut.rar
    • komma77
      Автор komma77
      Добрый день. Зашифрованы сервер и компьютеры.  
      файлы и записка.zip Addition.txt FRST.txt
    • DeniTornado
      Автор DeniTornado
      Доброго всем!
      Коллеги, а кто-нибудь использует KES на своих RDS серверах? Все нормально с работой серверов?
       
      Дано:
      - несколько RDS на Windows Server 2019
      - на них установлен KES 12.1.0.506
       
      Проблема:
      Вот уже в течении нескольких дней подряд наблюдаю утром проблему пока только на RDS (на остальных серверах пока все нормально - служебные серверы для определенных целей). То один сервер, то второй, то третий - утром когда все пользователи заходят на свои рабочие столы (почти все у нас работают на терминальных серверах со своих тонких клиентов), зайти не могут! Сервер тупо не отвечает на запросы. RDSы - это виртуальные машины на Hyper-V. Приходится через консоль Hyper-V перезагружать виртуалку и тогда она или после первой перезагрузки или после второй начинает пускать пользователей.
      Самое интересное что в логах ни чего такого, что указало бы на проблему. ТП в собранных логах ни чего криминального не видит
       
      До установки KES такого не было ни когда! Раньше пользовались другим известным антивирусом вообще не знали таких симптомов и проблем.
      Есть у кого схожие проблемы на RDS?
       
      И еще такой вопрос: на RDS серверах я использую скрытый режим работы KES - в настройках политики для RDSов отключил интерфейс. Не за чем пользователям его видеть в трее Windows. Но при такой настройке становится недоступна проверка из контекстного меню WIndows файлов на вирусы - эти менюшки серые и их не нажать. Можно как-то и скрыть KES, но при этом и функция проверки из контекстного меню была доступна?
    • user344
      Автор user344
      Здравствуйте! Недавно компьютер в простое начинает переодически нагружаться до 100%, вентиляторы начинают крутить на полную в течении 5-10 минут, только начинаешь водить мышкой по рабочему столу, то сразу же нагрузка падает до дефолтных значений. Проверял лечащай утилитой др.веб и kvrt они вирусов не нашли.
      CollectionLog-2025.06.25-21.11.zip
    • dpk
      Автор dpk
      Ночью к серверу подключились по rdp. На рабочем столе обнаружились папки злоумышленника. Одна из них hi в ней лежал stub.exe. Все журналы событий были почищены.
      В безопасном режиме прошелся cureit, а так же лог FRST в безопасном режиме был сделан. Папка hi под паролем virus. Папка files под паролем shifr.
      hi.zip files.zip
×
×
  • Создать...