lockbit v3 black Неизвестный шифровальщик с расширением файлов .m0D0cQNMb

[talga_mprint]

Доброго времени суток, нужна помощь в определении или расшифровке файлов.

В пятницу вечером (070225) на компьютере сотрудника были зашифрованный файлы, предположительно через RDP(!rdp осуществляется через vpn с 2 ключами безопасности).

Так же присутствует readme файл с email для контактов и выкупа. 

Addition.txt FRST.txt encrypt-files.rar

m0D0cQNMb.README.txt

Изменено Понедельник в 10:33 пользователем talga_mprint

[safety]

Здесь покажите что есть в этой папке:

2025-02-07 19:47 - 2024-10-16 08:44 - 000000000 ____D C:\Users\olga\Downloads\win64

 

Систему сканировали уже антивирусными утилитами: KVRT или Cureit? Добавьте отчеты о сканировании.

[talga_mprint]

Добрый день, в папке win64 лежали установочные файлы платформы 1С:бухгалтерия
По поводу KVRT, сейчас сканируется, компьютер слабый поэтому все еще идет

 

 

 

Изменено Понедельник в 12:21 пользователем talga_mprint

[safety]

Ок, пострадал один из ПК или более?

[talga_mprint]

Проверка все еще идет, пострадал один пк и сетевые ресурсы к которым был доступ у этого пользователя

 

Cureit ничего не нашел, поделил файл на 2 части, выкладываю вторю часть, т.к. файл слишком тяжелый для прикрепления

 

 

cureit2.txt

[safety]

Можно было полный отчет добавить в архив без пароля. Будет небольшой размер.

Судя по отчету:

There are no infected objects detected

 

Ранее с шифровальщиками уже сталкивались?

 

[talga_mprint]

Извиняюсь за долгий ответ, нет, до этого не сталкивались. Я так понял исходя из отчета FRST что файлы зашифрованы lockbit и для дешифровки нужен приватный ключ который есть только у мошенников которые нас зашифровали?

[safety]

Да, все верно.

Шифрование файлов выполнено шифровальщиком Lockbit v3 Black.

Сэмпл шифровальщика создан на основе утекшего в публичный доступ Lockbit V3 Black Builder.

Который при генерации создает сэмпл, шифрующий публичным RSA ключом, и дешифратор с приватным ключом.

Генерация сэмпла происходит на стороне злоумышленников, поэтому и дешифратор с приватным ключом остается у них.

Понятно, что при каждом процессе генерации сэмпла, создается новая, уникальная пара ключей.

Т.е. расшифровка файлов невозможна без дешифратора или приватного ключа.

+

Проверьте ЛС.

Изменено вчера в 04:56 пользователем safety