salted2020 Шифровальщик openssl, 0004ps, bitlocker

[ferroussage]

Сегодня утром наш сервер на RDP подвергся взлому и шифрованию файлов 0004ps, а также битлокером на все диски, кроме C

В папке TEMP у пользователя USR1CV83 нашел исполняемые файлы,
прошу помощи, хоть и понимаю, что скорее всего без приватного ключа ничего не выйдет

файлы злодея.rar дескрипторы.rar

[ferroussage]

Shortcut.txtAddition.txtFRST.txt

[safety]

22 часа назад, ferroussage сказал:

прошу помощи, хоть и понимаю, что скорее всего без приватного ключа ничего не выйдет

Логи FRST посмотрю.

 

Заметим, что

применение дешифраторов всех подряд, здесь только ненужная трата времени, так как они не предназначены для расшифровки данного типа шифровальщика.

 

т.е. на сканирование Xorist

10:06:23.0466 0x4494  Trojan-Ransom.Win32.Xorist decryptor tool 2.5.6.0 Jul 24 2024 15:08:46

10:20:45.0535 0x4a00  Can't init decryptor on file C:\Users\Manager3\Documents\articles.xlsx.ooo4ps

потрачено 14 минут

на сканирование Rector

10:03:21.0039 0x4430  Trojan-Ransom.Win32.Rector decryptor tool 2.7.1.0 Jul 24 2024 14:59:43

10:20:49.0214 0x4ab8  No decrypted files

потрачено 18 минут,

 

а судя по логу FRST вы последовательно запускали целый пак дешифраторов, ушло видимо более 1-2 часов

 

Изменено 14 марта пользователем safety

[safety]

12 часов назад, ferroussage сказал:

В папке TEMP у пользователя USR1CV83 нашел исполняемые файлы,
прошу помощи, хоть и понимаю, что скорее всего без приватного ключа ничего не выйдет

Добавьте так же несколько зашифрованных файлов ooo4ps в архиве, без пароля.

[ferroussage]

зараженные_файлы.rar

[safety]

По Salted2020 /ooo4ps & Bitlocker:

По факту много лишних телодвижений, которые мало того что не приводят к решению проблемы, но и "загрязняют" анализ артефактов в памяти. В первую очередь, это касается применения пака дешифраторов вслепую, без определения типа шифрования, часть из которых была выпущена по давним типам, которые в настоящее время практически неактуальны. К расшифровке дисков под Bitlocker-ом они никак не относятся. Только тратится драгоценное время.

 

Что надо сделать:

1. Определяем дату и время последней перезагрузки. Есть такая возможность.  Есть такая возможность в образе автозапуска системы, созданного с помощью uVS

2. Так же можно получить данное время в командной строке, запущенной от Администратора

В командной строке выполнить:

Цитата

C:\Windows\System32>wmic path Win32_OperatingSystem get LastBootUpTime

Получаем значение даты и времени последней перезагрузки системы LastBootUpTime

3. Делаем полный физический дамп памяти, например с помощью Elcomsoft Forensic Disk Decryptor

загружаем дамп (лучше в архиве, без пароля) на общедоступный облачный диск, готовим ссылку на данный архив.

+

можно добавить лог с помощью  бесплатной утилиты от Emsisoft - Elcomsoft Encrypted Disk Hunter (EEDH)
Утилита покажет статус системного диска,  и статус других разделов устройства.

4. создаем логи FRST + архив без пароля с запиской о выкупе и несколькими зашифрованными файлами, желательно с известной структурой: xlsx, docx, jpg, png, pdf.

5. Далее, можно выполнить поиск скриптов cmd, bat, ps1 в %TEMP% учетной записи пользователя, под которой был выполнен запуск скриптов.

 

Изменено 17 марта пользователем safety

[safety]

Эти файлы можно вручную удалить (их очень много). Найти все и удалить. Они безопасны.

FILES_ENCRYPTED.txt

 

По очистке системы:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

Start::
Startup: C:\Users\Manager3\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\FILES_ENCRYPTED.txt [2024-08-22] () [Файл не подписан]
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\FILES_ENCRYPTED.txt [2024-08-22] () [Файл не подписан]
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
CHR HKU\S-1-5-21-1445546327-2333591378-3822689143-1050\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [pbefkdcndngodfeigfdgiodgnmbgcfha]
CHR HKU\S-1-5-21-1445546327-2333591378-3822689143-1053\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [acbchkahfmndkenefkcklofjmipghjjp]
CHR HKU\S-1-5-21-1445546327-2333591378-3822689143-1053\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [ohedcglhbbfdgaogjhcclacoccbagkjg]
CHR HKU\S-1-5-21-1445546327-2333591378-3822689143-1055\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [acbchkahfmndkenefkcklofjmipghjjp]
CHR HKU\S-1-5-21-1445546327-2333591378-3822689143-1055\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [ohedcglhbbfdgaogjhcclacoccbagkjg]
CHR HKLM-x32\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj]
CHR HKLM-x32\...\Chrome\Extension: [iifchhfnnmpdbibifmljnfjhpififfog]
CHR HKLM-x32\...\Chrome\Extension: [pbcgcpeifkdjijdjambaakmhhpkfgoec]
2025-03-13 09:39 - 2024-08-22 13:25 - 000000940 _____ C:\Users\Администратор\Downloads\FILES_ENCRYPTED.txt
2025-03-13 09:39 - 2024-08-22 13:25 - 000000940 _____ C:\Users\Администратор\Documents\FILES_ENCRYPTED.txt
2025-03-13 09:39 - 2024-08-22 13:25 - 000000940 _____ C:\Users\Администратор\Desktop\FILES_ENCRYPTED.txt
2025-03-13 09:39 - 2024-08-22 13:25 - 000000940 _____ C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\FILES_ENCRYPTED.txt
2025-03-13 09:39 - 2024-08-22 13:25 - 000000940 _____ C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\FILES_ENCRYPTED.txt
2025-03-13 09:39 - 2024-08-22 13:25 - 000000940 _____ C:\Users\Администратор\AppData\Roaming\Microsoft\FILES_ENCRYPTED.txt
2025-03-13 09:39 - 2024-08-22 13:25 - 000000940 _____ C:\Users\Администратор\AppData\Roaming\FILES_ENCRYPTED.txt
2025-03-13 09:39 - 2024-08-22 13:25 - 000000940 _____ C:\Users\Администратор\AppData\LocalLow\FILES_ENCRYPTED.txt
2025-03-13 09:39 - 2024-08-22 13:25 - 000000940 _____ C:\Users\Администратор\AppData\Local\FILES_ENCRYPTED.txt
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение