proxima шифровальщик инок на сервере

[luzifi]

windows server 2019 standart 1809  зашифровано все. помогите с решением проблемы

 

log.rar innok.rar

[safety]

По очистке системы:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

Start::
HKLM\...\Winlogon: [LegalNoticeCaption] innok Ransomware
HKLM\...\Winlogon: [LegalNoticeText]  - All your files are stolen and encrypted - Find innok_Help.txt file - and follow instructions
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
IFEO\CompatTelRunner.exeSecurityHealthHost: [Debugger] Hotkey Disabled
IFEO\ConfigSecurityPolicy: [Debugger] Hotkey Disabled
IFEO\DlpUserAgent: [Debugger] Hotkey Disabled
IFEO\MpDefenderCoreService: [Debugger] Hotkey Disabled
IFEO\MpDlpCmd: [Debugger] Hotkey Disabled
IFEO\MpDlpService: [Debugger] Hotkey Disabled
IFEO\mpextms: [Debugger] Hotkey Disabled
IFEO\MRT.exe: [Debugger] Hotkey Disabled
IFEO\MsMpEng: [Debugger] Hotkey Disabled
IFEO\NisSrv: [Debugger] Hotkey Disabled
IFEO\SecurityHealthService: [Debugger] Hotkey Disabled
IFEO\SecurityHealthSystray: [Debugger] Hotkey Disabled
IFEO\smartscreen.exe: [Debugger] Hotkey Disabled
IFEO\Veeam.Backup.CloudService.exe: [Debugger] Hotkey Disabled
IFEO\Veeam.Backup.MountService.exe: [Debugger] Hotkey Disabled
IFEO\Veeam.Backup.Service.exe: [Debugger] Hotkey Disabled
IFEO\Veeam.Backup.WmiServer.exe: [Debugger] Hotkey Disabled
IFEO\Veeam.EndPoint.Service.exe: [Debugger] Hotkey Disabled
IFEO\Veeam.VssHwSnapshotProvider.exe: [Debugger] Hotkey Disabled
IFEO\VeeamDeploymentSvc.exe: [Debugger] Hotkey Disabled
IFEO\VeeamHvIntegrationSvc.exe: [Debugger] Hotkey Disabled
IFEO\VeeamNFSSvc.exe: [Debugger] Hotkey Disabled
IFEO\VeeamTransportSvc.exe: [Debugger] Hotkey Disabled
IFEO\vmcompute.exe: [Debugger] Hotkey Disabled
IFEO\vmms.exe: [Debugger] Hotkey Disabled
IFEO\vmwp.exe: [Debugger] Hotkey Disabled
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
2025-01-25 09:38 - 2025-01-25 09:38 - 001572918 _____ C:\ProgramData\1b.mp
2025-01-25 09:38 - 2025-01-25 09:38 - 000006656 _____ C:\ProgramData\df.exe
2025-01-25 06:49 - 2025-01-25 09:37 - 000001592 _____ C:\Users\Администратор\advanced_ip_scanner_MAC.bin.innok
2025-01-25 06:49 - 2025-01-25 09:37 - 000000087 _____ C:\Users\Администратор\advanced_ip_scanner_Comments.bin.innok
2025-01-25 06:49 - 2025-01-25 09:37 - 000000087 _____ C:\Users\Администратор\advanced_ip_scanner_Aliases.bin.innok
2025-01-25 06:48 - 2025-01-25 06:48 - 000000541 _____ C:\Users\Диспетчер\innok_Help.txt
2025-01-25 06:48 - 2025-01-25 06:48 - 000000541 _____ C:\Users\Диспетчер\Downloads\innok_Help.txt
2025-01-25 06:48 - 2025-01-25 06:48 - 000000541 _____ C:\Users\Диспетчер\AppData\LocalLow\innok_Help.txt
2025-01-25 06:48 - 2025-01-25 06:48 - 000000541 _____ C:\Users\Диспетчер\AppData\Local\innok_Help.txt
2025-01-25 06:48 - 2025-01-25 06:48 - 000000541 _____ C:\Users\Диспетчер\AppData\innok_Help.txt
2025-01-25 06:48 - 2025-01-25 06:48 - 000000541 _____ C:\innok_Help.txt
2025-01-25 09:38 - 2025-01-25 09:38 - 000006656 _____ () C:\ProgramData\df.exe
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Папку C:\FRST\Quarantine  заархивируйте с паролем virus, архив загрузите на облачный диск и дайте ссылку на скачивание в вашем сообщении.

[luzifi]

https://cloud.mail.ru/public/ihon/nZRY2ZVox

Fixlog.txt

[safety]

C:\ProgramData\df.exe

https://www.virustotal.com/gui/file/8e3ff1907d973d91167c2d74ac8414496d7f430687eef52e3201721e01513761/detection

Систему не сканировали с помощью KVRT или Cureit? Можете предоставить логи сканирования

[luzifi]

В настоящий момент это осуществляется с помощью KVRT. как закончит, пришлем сразу же.

[safety]

ок, ждем результат проверки

[luzifi]

https://cloud.mail.ru/public/tifH/AT7zGkMvG

[safety]

Этот файл восстановите из карантина в папку, заархивируйте с паролем virus, загрузите на облачный диск, и дайте ссылку на скачивание

            <Event33 Action="Quarantined" Time="133822846138288778" Object="C:\Users\1\Desktop\Новая папка\system.exe" Info="" />

файл затем можно удалить

 

[luzifi]

https://cloud.mail.ru/public/Wuzb/KWWtqZgKP

[safety]

Инструмент взлома, возможно для брутфорса паролей к учетным записям используется.

https://www.virustotal.com/gui/file/3fa65f17518d10af9ed316fbd0395bf39b3b75a63a5374ff071cbba4b642e4a3/detection

сам файл шифровальщика возможно самоудалился.

 

Проверьте ЛС.

[safety]

С расшифровкой файлов по данному типу шифровальщика не сможем помочь.

 

теперь, когда ваши файлы были зашифрованы, примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);

[luzifi]

спасибо за информацию