Перейти к содержанию

Зашифровали файлы на сервере *.red


Рекомендуемые сообщения

В понедельник, 17.02.2025, все файлы на сервере зашифрованы.
Прилагаю файлы сканирования и требование оплаты дешифрования...

Очень надеюсь на Вашу помощь!!!

Спасибо!!!Virus.rarFRST.txtAddition.txt

Ссылка на комментарий
Поделиться на другие сайты

пароль какой на архив с зашифрованными? virus не проходит.

Систему сканировали сканерами KVRT или Cureit? Можете предоставить логи сканирования в архиве, без пароля?

Изменено пользователем safety
Ссылка на комментарий
Поделиться на другие сайты

Систему сканировали сканерами KVRT или Cureit? Можете предоставить логи сканирования в архиве, без пароля?

 

Здесь было двойное шифрование файла: Proton+ поверх Mimic, но это единственный файл, с признаком шифрования Mimic

2025-02-15 20:39 - 2024-12-19 14:12 - 1353152338 _____ C:\Users\admin\Desktop\qnXIlzNyuv.red.datastore@cyberfear.com

 

По очистке системы:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

Start::
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore: [DisableConfig] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore: [DisableSR] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiSpyware] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiVirus] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
HKLM\...\Policies\system: [legalnoticecaption] Your computer is encrypted
HKLM\...\Policies\system: [legalnoticetext] We encrypted and stolen all of your files.
IFEO\mpcmdrun.exe: [Debugger] C:\Windows\System32\systray.exe
IFEO\sethc.exe: [Debugger] C:\windows\eventlog.exe
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
2025-02-15 10:53 - 2025-02-15 10:53 - 014336054 _____ C:\ProgramData\6F6C4F5A2AE0CC2FC1EA829E30C4C217.bmp
2025-02-15 10:15 - 2025-02-15 10:15 - 000001053 _____ C:\#HowToRecover.txt
2025-02-15 10:16 - 2024-12-23 14:28 - 000000000 ____D C:\Program Files (x86)\Advanced IP Scanner
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Папку C:\FRST\Quarantine  заархивируйте с паролем virus, архив загрузите на облачный диск и дайте ссылку на скачивание в вашем сообщении.

Изменено пользователем safety
Ссылка на комментарий
Поделиться на другие сайты

По этому файлу есть у вас соображения, откуда появилась приставка datastore@cyberfear.com?

2025-02-15 20:39 - 2024-12-19 14:12 - 1353152338 _____ C:\Users\admin\Desktop\qnXIlzNyuv.red.datastore@cyberfear.com

Ссылка на комментарий
Поделиться на другие сайты

Инциндент произошёл в субботу.

Сотрудники обменивались pdf файлами по сети, и в какойто момент начали получать файлы с таким добавлением...

Меня больше файловый сервер беспокоит...

Там все файлы - *.red

 

Ссылка на комментарий
Поделиться на другие сайты

  В 18.02.2025 в 04:34, Valeriy_Chirchik сказал:

Инциндент произошёл в субботу.

Сотрудники обменивались pdf файлами по сети, и в какойто момент начали получать файлы с таким добавлением...

Показать  

Это значит, что злоумышленники с Mimic ransomware гуляют в вашей сети.

Систему сканировали сканерами KVRT или Cureit? Можете предоставить логи сканирования в архиве, без пароля?

+

по расшифровке *.red, как по другим вариантам Proton-а нет решения без приватного ключа.

+

проверьте ЛС.

Изменено пользователем safety
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • paradox197755
      Автор paradox197755
      Зашифрованы диски на сервере.

    • KasatkinMihail
      Автор KasatkinMihail
      Доброго всем дня, в нерабочий день путем взлома RDP зашифровали сервер, поиск подобных случаев не дал результат, на письма по адресам в письме не отвечаю на вопрос сколько денег просят.
       
      ШИФР.rar Logs.rar
    • Fly13
      Автор Fly13
      Не очень добрый день)
       
      Есть несколько серверов на Винде. Некоторые утром показывают то, что на скрине.  Далее текст со скрина:
       
      contact email ukrhq@proton.me or dhelp@mailfence.com 
      send id
       
      Фактически на системных дисках и дисках с данными нет разделов, живая винда предлагает их форматировать. Есть предположение, что плохиши подключались по rdp и шифровали диски программой dcrypt.
       
      Прошу помощи, готов к тратам
       

    • VaDima32
      Автор VaDima32
      Ночью зашифровали сервер на Windows Server 2019 с базой 1С. Все файлы с расширением .SyMat. Есть хоть какой-то шанс восстановить данные?
      Заранее спасибо. 
      Файлы Логов программы Farbar Recovery Scan Tool, а так же архив с двумя зашифрованными файлами и фаллом письма вымогателей прикрепляю.    
      Логи.zip Архив.zip
    • timmonn
      Автор timmonn
      Здравствуйте, шифровальщик зашифровал все файлы и переименовал файлы "Примерфайла.xml.[ID-6F6D95A2].[blackdecryptor@gmail.com].9w8ww
      Не смог найти название этого шифровальщика чтоб поискать дешифровщик.
      Прошу помочь с расшифровкой.
      Addition.txt FRST.txt файлы.zip
×
×
  • Создать...