salted2020 Шифровальщик ooo4ps

[NSI2022]

добрый день, столкнулся с аналогичной проблемой, сможете помочь? активная подписка имеется

 

Сообщение от модератора Mark D. Pearlstone

Перемещено из темы.

[Mark D. Pearlstone]

Порядок оформления запроса о помощи

[NSI2022]

прикрепляю файлы пароль virus

зашифрованый.rar файл требование FILES_ENCRYPTED.rar логи FRST.rar

[safety]

Система перегружалась после шифрования?

+

Ориентировочное время начала шифрования:

2025-01-18 21:50 - 2024-08-22 15:25 - 000000940 _____ C:\ProgramData\Microsoft\Windows\Start Menu\FILES_ENCRYPTED.txt

в TEMP пользователя USR1CV83:

проверьте наличие скриптов *cmd. созданных к моменту шифрования, можно так же по всему системному диску выполнить поиск подобных файлов.

[NSI2022]

12 минут назад, safety сказал:

Система перегружалась после шифрования?

+

Ориентировочное время начала шифрования:

2025-01-18 21:50 - 2024-08-22 15:25 - 000000940 _____ C:\ProgramData\Microsoft\Windows\Start Menu\FILES_ENCRYPTED.txt

в TEMP пользователя USR1CV83:

проверьте наличие скриптов *cmd. созданных к моменту шифрования, можно так же по всему системному диску выполнить поиск подобных файлов.

 

да, сервер был выключен сегодня утром. так и обнаружилось

Изменено 19 января, 2025 пользователем NSI2022

[safety]

проверьте наличие скриптов *cmd. созданных к моменту шифрования, можно так же выполнить поиск по всему системному диску подобных файлов.

[NSI2022]

39 минут назад, safety сказал:

проверьте наличие скриптов *cmd. созданных к моменту шифрования, можно так же выполнить поиск по всему системному диску подобных файлов.

 

выполняю.

 

они каспера удалили, kvrt прогнал ни чего не нашел.

 

 

Изменено 19 января, 2025 пользователем safety

[safety]

ок, можно так же по подстроке в текстовых файлах *.cmd, *.bat выполнить поиск:

"openssl.exe enc -e -aes-256-cbc"

Изменено 19 января, 2025 пользователем safety

[NSI2022]

пока не получается найти

11 минут назад, safety сказал:

ок, можно так же по подстроке в текстовых файлах *.cmd, *.bat выполнить поиск:

"openssl.exe enc -e -aes-256-cbc"

 

нет активных скриптов

[safety]

а и не нужны активные. нужны те, что были созданы до момента шифрования. Пробуйте через Everything поискать.

Изменено 19 января, 2025 пользователем safety

[NSI2022]

диски еще bitlockerom закрыты

[safety]

да, все это в комплексе происходит, системный диск шифруется salted2020, другие диски шифруются битлокером.

Изменено 19 января, 2025 пользователем safety

[NSI2022]

everything тоже не находит *cmd *bat с датой шифрования

Изменено 19 января, 2025 пользователем NSI2022

[safety]

увы, не сможем помочь по данному типу шифровальщика.

 

теперь, когда ваши данные были зашифрованы, примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);

[NSI2022]

на самом деле всё это было сделано все пункты, через довереные ip без vpn правда,

пока не понял как пролезли через USR1CV83

Изменено 19 января, 2025 пользователем NSI2022