lockbit v3 black Очень похоже на lockbit 3.0

[Jafar_e]

Поймали паразита который зашифровал все файлы кроме программ и скриптов. С помощью ПО отловили нахождение.
К компьютеру в был подключен NAS - результат зашифрован весь архив рабочий.
В приложении образцы зашифрованных файлов, зловреда, отчет FRST и письмо счастья, в котом на удивление нет уникального ID и обои не были сменены на рабочем столе.

pass: virus

Mimik.zip

[safety]

3 часа назад, Jafar_e сказал:

и письмо счастья, в котом на удивление нет уникального ID и обои не были сменены на рабочем столе.

Это все может быть настроено через config.json на этапе создания сэмпла шифровлаьщика. Сам сэмпл не нашли? Сканировали систему сканерами?

[Jafar_e]

3 часа назад, safety сказал:

Это все может быть настроено через config.json на этапе создания сэмпла шифровлаьщика. Сам сэмпл не нашли? Сканировали систему сканерами?

 

Судя по отчетам, осталось только то, что я уже прикреплял в архиве.

Отчет о проверке 2024-12-03 065153.txt kapersky.txt

[safety]

Может в этой папке и каталог Build сохранился?

C:\USERS\DELL\MUSIC

 

С расшифровкой файлов по данному типу шифровальщика не сможем помочь без приватного ключа.

Изменено 3 декабря, 2024 пользователем safety

[Jafar_e]

30 минут назад, safety сказал:

Может в этой папке и каталог Build сохранился?

C:\USERS\DELL\MUSIC

 

С расшифровкой файлов по данному типу шифровальщика не сможем помочь без приватного ключа.

увы нет, все что в нем было - прислал в архиве. Там по CMD файлам видно что были exe-шники под 64 и 32 бита, тоже с названием mimik но на момент обнаружения они уже отсутствовали. 
По итогу ось поднимать из резервной копии, а рабочие файлы похоронить?

[safety]

В папке Build могли быть файлы, которые генерит билдер при создании сэмпла шифрования, в том числе pub.key и priv.key. Нам было бы достаточно priv.key для того чтобы все расшифровать. Но спустя два года с момента утечки билдера, уже почти никто не делает этого: не генерит сэмпл шифровальщика на машине своей потенциальной жертвы. Делают это на своей стороне.

Mimikatz. так же как и ns.exe - это часть инструментария злоумышленников, чтобы получить пароли к учетным записям для продвижения в ЛС.

 

Важные зашифрованные рабочие документы можно сохранить на будущее, может наступит когда нибудь свет с расшифровкой файлов.

А пока помогут только бэкапы, и восстановление из архивных копий,

+

превентивные меры, чтобы шифрование не повторилось в ближайшем будущем.

 

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);

Изменено 3 декабря, 2024 пользователем safety