sauron Прошу помочь расшифровать. Есть Исходник и расшифрованный вариант от злоумышленника.

[Orbeatt]

В архиве 2 файла упакованные шифровальщиком и они же расшифрованные злоумышленником. Прошу помочь со средством для расшифровки остальных файлов

files2.rar
 

[safety]

Для уточнения типа шифровальщика добавьте записку о выкупе

+

4.  Что необходимо сделать:

• Подготовьте логи анализа системы при помощи Farbar Recovery Scan Tool. Если система была переустановлена, то предупредите консультантов в своей теме об этом.

Изменено 10 марта пользователем safety

[Orbeatt]

Система да, переустановлена.  Отве  drweb Здравствуйте! Файлы зашифрованы Trojan.Encoder.35209. Расшифровать не смогут
 

[safety]

Судя по шаблону зашифрованного файла это может быть Sauron по нашей классификации

FN.[ID-E5DAFA5D].[Telegram ID @Malware_dev2].XRIYJZ

Пример из предыдущего случая.

https://www.virustotal.com/gui/file/88079b659ee6543a75ec8756e09147c227358a7765f340e7236eee975f4ed070/behavior

записка о выкупе может быть такой:

#README-TO-DECRYPT-FILES.txt

И да, пара здесь не поможет для получения приватного ключа.

 

теперь, когда ваши файлы были зашифрованы, примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);

 

Если сохранились логи сканирования из зашифрованной системы, или были найдены сэмпл шифровальщика добавьте по ссылке в архиве с паролем virus

Изменено 10 марта пользователем safety