Перейти к содержанию

Получил подарочек на Новый Год. Зараза зашифровала рабочий архив (((((((


Рекомендуемые сообщения

Опубликовано

Привет, друзья. У меня небольшая организация, 5 рабочих мест, сисадмина нет. Есть виртуальный MS Server 2019 на VMWare работающий на одной из машин. Сервер используется как файловое хранилище и еще на нем sql работает для 1С. В конце декабря обновлял лицензию антивируса, оплатил Premium, который пытался установить и на сервер тоже, конечно не вышло. Думаю когда я искал браузер для установки антивируса тогда и налетел, потому что существующий IE не поддерживался. Последний раз работал 30.12.24, всё было норм. Когда решил заскочить проверить после НГ 01.01.25 обнаружил проблему. С машиной на которой стояла VMW всё хорошо, а в виртуальной системе все плохо. Я конечно все остановил сразу, но уже поздно было. Есть бэкап от октября, поэтому есть оригинальные файлы для анализа. Бесплатные утилиты пробовал, не получилось ничего, хотя может из-за кривых рук. Виртуальные диски скопировал. Монтировал напрямую, проверял антивирусом. Экспериментировал на копиях.

Друзья, прошу помощи. Готов заплатить за работу!

 

P.S. Во вложении несколько архивов

xls, jpeg -в каждом два файла оригинал + шифрованный 

pic - скриншоты

htr - требования

RFST - отчет Farbar Recovery Scan Tool 

(местонахождение вируса выяснить не смог)

 

 

htr.rar jpeg.rar pic.rar RFST.rar xls.rar

Опубликовано (изменено)

Отчеты так же добавьте по сканированию в KVRT,

Они в этой папке:

2025-01-02 14:29 - 2025-01-02 14:29 - 000000000 ____D C:\KVRT2020_Data

и в этой папке покажите что есть:

C:\Users\Администратор\Pictures\b1

 

Изменено пользователем safety
Опубликовано
1 час назад, safety сказал:

Отчеты так же добавьте по сканированию в KVRT,

Они в этой папке:

2025-01-02 14:29 - 2025-01-02 14:29 - 000000000 ____D C:\KVRT2020_Data

и в этой папке покажите что есть:

C:\Users\Администратор\Pictures\b1

 

После обновления KAV не могу зайти по RDP на рабочий компьютер из дома. С настройками нужно разбираться. Завтра съезжу, дополню информацию. 🙏

Опубликовано
18 минут назад, a.n.d.r.e.w сказал:

C:\Users\Администратор\Pictures\b1

Папку заархивируйте, пожалуйста, с паролем virus, архив выложите на облачный диск, и дайте ссылку на скачивание здесь.

(в x64-Release должно быть тело шифровальщика, если только сканер его не прибил)

24 минуты назад, a.n.d.r.e.w сказал:

и отчет из C:\KVRT2020_Data\Reports

судя по отчету сканер ничего не нашел.

Опубликовано
2 часа назад, safety сказал:

судя по отчету сканер ничего не нашел

Да, когда он отработал то ничего не выявил.

Беда блин праздники гости... На работу забежал сегодня не надолго. Из дома не получается ничего сделать. Попробовал не запускать виртуалку а смонтировать диск С. Не пускает в папки пользователей. Никакие права не переназначаются, говорит диск защищен от записи. А когда запускаю виртуалку Касперский кричит о сетевых атаках в т.ч с ip виртуалки и отрубает сеть. Перенести только флешкой получается подключая то к виртуалке то к хосту. Соответственно удаленный стол отваливается тоже пока не остановить виртуалку. Возможно какие-то настройки антивируса нужно сделать, но отключать защиту прям не хочется. Завтра буду на работе подольше. Всё сделаю и скину (((

Опубликовано

Добрый день.

В папке в x64-Release пусто ((

Может сканер его удалил, может он сам себя.

C:\Users\Администратор\Pictures\b1 ссылка на рхив  https://disk.yandex.ru/d/gCb5V3Ct0RtZoQ

Без шансов? 

 

Из необычного еще Фаерфокс тот с помощью которого я хотел скачать и установить антивирус, периодически запускается вот с таим сообщением.

02.png.a98a14d80d8d589872132c5ce4b94e82.png

 

и еще вот эти два раздела, которые обычно скрыты (системные) теперь видимые

в проводнике и переименованы

image.thumb.png.df53a5ae0b5cb6cf23c724f75ca3b16e.png

image.thumb.png.888467fd0b947cb50f7d49a419e845cf.png

 

 

Опубликовано (изменено)

Да, мог Proton скрытые разделы прмонтировать.

 

Цитата

В конце декабря обновлял лицензию антивируса, оплатил Premium, который пытался установить и на сервер тоже, конечно не вышло

 

По очистке системы:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

Start::
(explorer.exe ->) (voidtools -> ) C:\Users\Администратор\Pictures\b1\Everything.exe
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore: [DisableConfig] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore: [DisableSR] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
HKLM\...\Policies\system: [legalnoticecaption] Your computer is encrypted
HKLM\...\Policies\system: [legalnoticetext] We encrypted and stolen all of your files.
S4 IObitUnlocker; C:\Program Files (x86)\IObit\IObit Unlocker\IObitUnlocker.sys [41536 2022-08-16] (Microsoft Windows Hardware Compatibility Publisher -> IObit Information Technology)
2024-12-31 23:33 - 2024-12-31 23:33 - 000001213 _____ C:\Users\Public\Desktop\IObit Unlocker.lnk
2024-12-31 23:33 - 2024-12-31 23:33 - 000000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\IObit Unlocker
2024-12-31 23:33 - 2024-12-31 23:33 - 000000000 ____D C:\ProgramData\IObit
2024-12-31 23:33 - 2024-12-31 23:33 - 000000000 ____D C:\Program Files (x86)\IObit
2024-12-31 23:28 - 2024-12-31 23:28 - 003481654 _____ C:\ProgramData\CD1D5C9BFBC66034FCE7BD49A365A38F.bmp
2024-12-31 23:28 - 2024-12-31 23:28 - 000000469 _____ C:\Users\Андрей\Downloads\#HowToRecover.txt
2024-12-31 23:28 - 2024-12-31 23:28 - 000000469 _____ C:\Users\Андрей\Documents\#HowToRecover.txt
2024-12-31 23:28 - 2024-12-31 23:28 - 000000469 _____ C:\Users\Андрей\AppData\Roaming\Microsoft\Windows\Start Menu\#HowToRecover.txt
2024-12-31 23:28 - 2024-12-31 23:28 - 000000469 _____ C:\Users\Андрей\AppData\Local\#HowToRecover.txt
2024-12-31 23:28 - 2024-12-31 23:28 - 000000469 _____ C:\Users\Андрей\#HowToRecover.txt
2024-12-31 23:28 - 2024-12-31 23:28 - 000000469 _____ C:\Users\Администратор\Downloads\#HowToRecover.txt
2024-12-31 23:28 - 2024-12-31 23:28 - 000000469 _____ C:\Users\Администратор\Documents\#HowToRecover.txt
2024-12-31 23:28 - 2024-12-31 23:28 - 000000469 _____ C:\Users\Администратор\Desktop\#HowToRecover.txt
2024-12-31 23:28 - 2024-12-31 23:28 - 000000469 _____ C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\#HowToRecover.txt
2024-12-31 23:28 - 2024-12-31 23:28 - 000000469 _____ C:\Users\Администратор\AppData\Local\#HowToRecover.txt
2024-12-31 23:28 - 2024-12-31 23:28 - 000000469 _____ C:\Users\Администратор\#HowToRecover.txt
2024-12-31 23:28 - 2024-12-31 23:28 - 000000469 _____ C:\Users\USRSQL\Downloads\#HowToRecover.txt
2024-12-31 23:28 - 2024-12-31 23:28 - 000000469 _____ C:\Users\USRSQL\Documents\#HowToRecover.txt
2024-12-31 23:28 - 2024-12-31 23:28 - 000000469 _____ C:\Users\USRSQL\Desktop\#HowToRecover.txt
2024-12-31 23:28 - 2024-12-31 23:28 - 000000469 _____ C:\Users\USRSQL\AppData\Roaming\Microsoft\Windows\Start Menu\#HowToRecover.txt
2024-12-31 23:28 - 2024-12-31 23:28 - 000000469 _____ C:\Users\USRSQL\AppData\Local\#HowToRecover.txt
2024-12-31 23:28 - 2024-12-31 23:28 - 000000469 _____ C:\Users\USRSQL\#HowToRecover.txt
2024-12-31 23:28 - 2024-12-31 23:28 - 000000469 _____ C:\Users\Public\Downloads\#HowToRecover.txt
2024-12-31 23:28 - 2024-12-31 23:28 - 000000469 _____ C:\Users\Public\Documents\#HowToRecover.txt
2024-12-31 23:28 - 2024-12-31 23:28 - 000000469 _____ C:\Users\Public\#HowToRecover.txt
2024-12-31 23:28 - 2024-12-31 23:28 - 000000469 _____ C:\ProgramData\Microsoft\Windows\Start Menu\#HowToRecover.txt
2024-12-31 23:28 - 2024-12-31 23:28 - 000000469 _____ C:\ProgramData\#HowToRecover.txt
2024-12-31 23:25 - 2024-12-31 23:25 - 000000469 _____ C:\Users\#HowToRecover.txt
2024-12-31 23:25 - 2024-12-31 23:25 - 000000469 _____ C:\Program Files\#HowToRecover.txt
2024-12-31 23:25 - 2024-12-31 23:25 - 000000469 _____ C:\Program Files (x86)\#HowToRecover.txt
2024-12-31 23:25 - 2024-12-31 23:25 - 000000469 _____ C:\#HowToRecover.txt
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Изменено пользователем safety
Опубликовано (изменено)
41 минуту назад, safety сказал:

По очистке системы:

если просто очистка системы от вируса, но мне не надо, у меня копия виртуальных дисков есть.

или еще есть шанс восстановить данные?

 

Fixlog.txt

Изменено пользователем a.n.d.r.e.w
Опубликовано (изменено)

увы, по данному типу шифровальщика расшифровка файлов невозможна без приватного ключа. Которого у нас нет.

 

теперь, когда ваши файлы были зашифрованы, примите серьезные меры безопасности:


1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);

 

Изменено пользователем safety
  • safety закрыл тема
Гость
Эта тема закрыта для публикации ответов.
  • Похожий контент

    • Petr02
      Автор Petr02
      Здравствуйте!

      Пошу помощи. Проник в систему и зашифровал файловый архив. Предположительно, остался сессионный ключ, т.к комп был выключен принудительно до завершения работы вируса, и больше не включался. Если есть возможность помочь, напишите пожалуйста что от меня требуется.

      Заранее спасибо. 
      txt_session_tmp.7z
       
      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.
    • KL FC Bot
      Автор KL FC Bot
      12 мая — Всемирный день борьбы с шифровальщиками. В 2025 году в этот памятный день, учрежденный Интерполом и «Лабораторией Касперского», мы хотим обсудить тенденции, которые прослеживаются в ransomware-инцидентах и служат доказательством того, что с каждым годом идея вести переговоры со злоумышленниками и совершать переводы в криптовалюте становится все хуже.
      Низкое качество расшифровщиков
      Когда инфраструктура компании зашифрована в результате атаки, бизнес в первую очередь хочет вернуться к нормальной деятельности, как можно быстрее восстановив данные на рабочих станциях и серверах. Из записок вымогателей может сложиться впечатление, что после оплаты компания получит приложение, которое быстро вернет всю информацию на свои места и можно будет практически безболезненно продолжить работу. На практике этого почти никогда не случается.
      Во-первых, часть вымогателей просто обманывает своих жертв и вообще не присылает расшифровщик. Такие случаи стали широко известны, например благодаря утечке внутренней переписки вымогателей Black Basta.
      Во-вторых, бизнес вымогателей — это шифрование, а не расшифровка, поэтому написанию декрипторов уделяется минимум внимания: они плохо и медленно работают. Может оказаться, что восстановление данных из резервной копии пройдет значительно быстрее, чем восстановление при помощи утилиты злоумышленников. Часто присланные вымогателями расшифровщики сбоят при встрече с экзотическими именами файлов, из-за конфликтов прав доступа или просто без видимой причины и при этом не имеют механизма продолжения расшифровки с того места, где она прервалась. Иногда, из-за некорректной обработки, они просто портят файлы.
      В результате образовался целый сегмент ИТ-бизнеса — нормальная расшифровка. Легитимные компании берут полученный от вымогателей сырой расшифровщик и переписывают его так, чтобы он работал нормально. Но быстро найти такую компанию и дождаться улучшенную версию утилиты — опять потери денег и времени.
       
      View the full article
    • KasatkinMihail
      Автор KasatkinMihail
      Доброго всем дня, в нерабочий день путем взлома RDP зашифровали сервер, поиск подобных случаев не дал результат, на письма по адресам в письме не отвечаю на вопрос сколько денег просят.
       
      ШИФР.rar Logs.rar
    • E.K.
      Автор E.K.
      Всем привет!
       
      Как вы уже, наверное, догадались - новогоднее полнолуние этого сезона я наблюдаю откуда-то из экваториальных земель. А конкретно - Индонезия. Именно здесь прямо сейчас совершается очередная экспедиция по списку самых замечательных мест на этом земном шарике. Мы примерно в половине маршрута, многое уже отхожено, отсмотрено и уфотографировано. Но еще половина примерно впереди. Времени разобрать материал и рассказать подробности и прикольности - это пока нет. Так что, сейчас можно подготовиться к дальнейшим повествованиям. Рекомендуется потыркать по интернетам и поизучать Индонезию пока немного виртуально. Конкретнее будет чуть-чуть позже. Ура!
    • Elly
      Автор Elly
      Друзья!
       
      Наш клуб много лет подряд увлекательно отмечает Новый Год. Предлагаем вам пройти новогоднюю викторину о праздновании клубом Нового Года и узнать, какие мероприятия проводились в разные периоды. В ходе викторины участникам необходимо будет предварительно разгадать кроссворд и ответить на вопросы о том, какая буква в правильно разгаданном кроссворде должна находиться на соответствующем месте (обозначенном следующим образом: клетка закрашена красным, на ней в кружке красная цифра), а также составить из этих букв одно слово.

      Новогодний кроссворд.pdf
       
      НАГРАЖДЕНИЕ
      Без ошибок — 1 000 баллов Одна ошибка — 800 баллов Две ошибки — 600 баллов Баллами можно оплатить лицензии и сувениры в магазине Клуба. 
       
      ПРАВИЛА ПРОВЕДЕНИЯ

      Викторина проводится до 20:00 22 декабря 2024 года (время московское).
      Правильные ответы будут опубликованы не позднее 10 дней с момента окончания викторины. Публичное обсуждение вопросов и ответов викторины запрещено. Итоги будут подведены в течение десяти дней с момента публикации правильных ответов. Баллы будут начислены в течение двадцати дней с момента опубликования итогов викторины.

      Все вопросы, связанные с корректностью проведения викторины, необходимо отправлять пользователю @Mrak(пользователей @Машуня и @Elly включать в копию адресатов) через систему личных сообщений с подробным описанием ситуации. Ответ будет дан коллегиальным решением организаторов викторины и дальнейшего обсуждения не предполагает.
      Вопросы по начислению баллов направлять пользователю @Elly через систему личных сообщений.

      Вопросы по викторине принимаются только через личные сообщения в течение срока проведения викторины и не позднее трёх дней после публикации ответов (время московское). Ответы направляются представителем от организаторов викторины через личные сообщения в рамках созданной переписки.

      Администрация, официально уведомив, может в любой момент внести изменения в правила викторины, перезапустить или вовсе прекратить её проведение, а также отказать участнику в получении приза, применить иные меры (вплоть до блокировки аккаунта) в случае выявления фактов его недобросовестного участия в ней и/или нарушения правил викторины, передачи ответов на викторину иным участникам. При ответе на вопросы викторины запрещается использовать анонимайзеры и другие технические средства для намеренного сокрытия реального IP-адреса.

      Вопросы по начислению баллов, принимаются в течение 30 дней с момента подведения итогов викторины. Викторина является собственностью клуба «Лаборатории Касперского», её использование на сторонних ресурсах без разрешения администрации клуба запрещено.

      Участие в викторине означает безоговорочное согласие с настоящими правилами. Для перехода к вопросам викторины нажмите ЗДЕСЬ.
       
×
×
  • Создать...