Перейти к содержанию

Рекомендуемые сообщения

26.12.24 На файловом сервере (комп с Debian) в расшареных каталогах заметил текстовый файл !want_to_cry.txt 

Просканировал все каталоги доступные по сети (SMB) зашифрованные файлы с расширением .want_to_cry по времени создания файлов видно что шифровальщик проработал примерно с 24.12.24 20:05  по 25.12.24 03:05 после чего сервер "завис". Сейчас шифровщик не активен (новые шифрованные файлы не появляются). Доступа к сети извне нет, кроме SSH с ключом шифрования. В сети кроме моего во время активности были еще 2 компьютера под управление Windows.

 

!want_to_cry.txt

Изменено пользователем FineGad
Ссылка на комментарий
Поделиться на другие сайты

Файлы

Addition.txt FRST.txt files.zip

 

Зашифрованные файлы:  crypted_files.zip

Могу приложить их же, не зашифрованные если нужно.

Изменено пользователем FineGad
Ссылка на комментарий
Поделиться на другие сайты

Судя по логам FRST на этом устройстве нет следов запуска шифровальщика. Проверьте на оставшихся двух других было ли шифрование на них или нет.

Ссылка на комментарий
Поделиться на другие сайты

Следующая часть (марлезонского балета)

Может самому можно посмотреть (куда смотреть?)

Addition.txtFRST.txt

Изменено пользователем FineGad
Ссылка на комментарий
Поделиться на другие сайты

Смотреть можно в логи FRST по вновь созданным файлам.

Смотрите файлы, созданные по дате и времени, которые соответствуют дате и времени шифрования. Так же можно обратиться в ТП PRO32, если вы являетесь лицензионным пользователем данного продукта.

Ссылка на комментарий
Поделиться на другие сайты

13 минут назад, safety сказал:

можно обратиться в ТП PRO32, если вы являетесь лицензионным пользователем данного продукта

Я являюсь 30 дневным пользователем :)  

Ссылка на комментарий
Поделиться на другие сайты

1 час назад, FineGad сказал:

Следующая часть (марлезонского балета)

На этом устройстве так же не видны следы запуска шифровальщика.

(Если только данный шифровальщик не настроен исключительно на шифрование сетевых дисков).

Ссылка на комментарий
Поделиться на другие сайты

10 минут назад, safety сказал:

Если только данный шифровальщик не настроен исключительно на шифрование сетевых дисков

Судя по всему так и есть, шифровались только файлы из сетевых папок файлового сервера. Сейчас активности нет, но хотелось бы прояснить 2 момента. 
1. Остался ли вирус на какой либо машине (просто сейчас не активен но через какое-то время может опять начать работать).

2. Учитывая что доступа извне нет, хотелось бы узнать хотя бы на какой машине было заражение.

Ссылка на комментарий
Поделиться на другие сайты

Как вариант, просканировать устройства штатным антивирусом, или KVRT, но сэмплы WTC еще не встречались. В каком виде они используются: скрипты, исполняемые exe не могу сказать.

Ссылка на комментарий
Поделиться на другие сайты

Гость
Эта тема закрыта для публикации ответов.
  • Похожий контент

    • BOBO
      Автор BOBO
      Попросили создать новую тему не знаю почему ту закрыли вот создаю. Меня тоже взломали 25 числа hdd весит на роутере, smb открыт был. Покапалься в файлах были несколько оригинальных файлов и вроде шифрование AES в режиме ECB. Встал вопрос можно ли найти ключ шифрования если например нашел зашифрованный блок пробелов 16 байт. 
    • Игорь_Белов
      Автор Игорь_Белов
      Доброго времени суток. 
      Прошу помощи, словил вирус шифровальщик, недавно созданный сервер для теста 1с, поймал вирус, файлы баз данных зашифровались. 
      Прошу помочь в определение вируса, по возможности расшифровать. И как его побороть.
       
      scan.zip
    • __Михаил__
      Автор __Михаил__
      Добрый! 
      Пожалуйста, помогите расшифровать файлы на компьютере.
      Шифровальщик IxehUe8Rg.
      Файлы образцы и требование выкупа во вложении.
      Анализ_2.xlsx.rar
       
      Я так понимаю это CriptomanGizmo и с ним проблема.
      У меня есть несколько копий файлов не зашифрованных , с другого устройства.
      Может это поможет?
    • Stanislav42
      Автор Stanislav42
      Добрый день! Пострадало несколько windows-устройств от действий шифровальщика и вымогает за расшифровку деньги.
      Прошу оказать помощь в расшифровке файлов.
      Отправляю архив с образцами файлов и с текстом требований, а также логи FRST.
      Шифрование произошло в ночное время. Журнал событий Windows очищен. Устройства перезагружались.
      Системы изолированы на данный момент. Исполняемый файл найден и подготовлен к отправке. 
      образцы файлов.zip Addition.txt FRST.txt
    • foroven
      Автор foroven
      Добрый день. Схватили шифровальщика. Предположительно взломали подбором пароля к RDP. В сети Logs$files.7zна компьютере с установленным антивирусом Касперского, выдал предупреждение об атаке, брутфорс на порт 3389
×
×
  • Создать...