c77l Поймали шифровальщик

[alexlaev]

Доброго бодрого, придя на работу в понедельник пришло осознание того что на сервере происходит что-то неладное, появились файлы с расширением .[nullhex@2mail.co].0C8D0E91
Ничего не поняв, начал искать что могло произойти, один из компьютеров был подвержен атаке, в ночь с пятницы на субботу по местному времени в 3:30 утра 28.06.2025 было совершено подключение по RDP к данному компьютеру. После анализа действий программы Clipdiary (благо была установлена на компьютере) было выявлено что злоумышленник владеет всей информацией о паролях от сервера, пользователей, список пользователей в сети, и начал свою атаку глубже. Этот компьютер имел админку к серверу, поэтому злоумышленник без труда добрался до него и начал шифровать данные как и на двух других компьютерах. По итогу то ли то что злоумышленнику стало скучно, то ли из-за того что компьютер завис в этот момент (на часах было 10:03 29.06.2025 (я смотрел на время на экране уже на следующий день в понедельник 30.06.2025 в 11:30, поэтому обратил внимание сразу что время не совпадает и комп заблокирован и завис)) у злоумышленника доступ к серверу пропал, потому как по RDP только из локалки можно к нему цепляться. Файлы незначительные повреждены, но уже восстановлены из бэкапа(благо делается каждый день)
А вот с компьютерами меньше повезло, три компа полностью зашифрованы. Прилагаю файлы и проверку в программе указанной в теме правил.

vse tut.rar

[safety]

Если систему проверяли Cureit, KVRT или штатным антивирусом, добавьте пожалуйста логи/отчеты сканирования в архиве, без пароля.

[alexlaev]

logs.txtlogs2.txt

[safety]

Этот файл можете восстановить из карантина?

Цитата

30.06.2025 13:57:35    C:\Users\Пользователь\Pictures\HEX\C77L.exe    Создана резервная копия    Создана резервная копия объекта    HEUR:Trojan-Ransom.Win64.Generic        Файл    C:\Users\Пользователь\Pictures\HEX    C77L.exe    Создана резервная копия    Троянская

после восстановления, файл переименуйте в  C77L.vexe, добавьте в архив с паролем virus, архив загрузите в ваше сообщение.

[alexlaev]

C77L.rarВот файлик

[safety]

Сэмпл трехмесячной давности

Creation Time

2025-04-01 19:59:45 UTC

https://www.virustotal.com/gui/file/5c4a51547d18d0643de774de430d66f626231668eddf99685c02d2538eb61aae/detection

Проверьте ЛС