Перейти к содержанию

Поймали шифровальщик

alexlaev
 Поделиться

Рекомендуемые сообщения

alexlaev

alexlaev

Опубликовано
Опубликовано

Доброго бодрого, придя на работу в понедельник пришло осознание того что на сервере происходит что-то неладное, появились файлы с расширением .[nullhex@2mail.co].0C8D0E91
Ничего не поняв, начал искать что могло произойти, один из компьютеров был подвержен атаке, в ночь с пятницы на субботу по местному времени в 3:30 утра 28.06.2025 было совершено подключение по RDP к данному компьютеру. После анализа действий программы Clipdiary (благо была установлена на компьютере) было выявлено что злоумышленник владеет всей информацией о паролях от сервера, пользователей, список пользователей в сети, и начал свою атаку глубже. Этот компьютер имел админку к серверу, поэтому злоумышленник без труда добрался до него и начал шифровать данные как и на двух других компьютерах. По итогу то ли то что злоумышленнику стало скучно, то ли из-за того что компьютер завис в этот момент (на часах было 10:03 29.06.2025 (я смотрел на время на экране уже на следующий день в понедельник 30.06.2025 в 11:30, поэтому обратил внимание сразу что время не совпадает и комп заблокирован и завис)) у злоумышленника доступ к серверу пропал, потому как по RDP только из локалки можно к нему цепляться. Файлы незначительные повреждены, но уже восстановлены из бэкапа(благо делается каждый день)
А вот с компьютерами меньше повезло, три компа полностью зашифрованы. Прилагаю файлы и проверку в программе указанной в теме правил.

vse tut.rar

safety

safety

Опубликовано
Опубликовано

Если систему проверяли Cureit, KVRT или штатным антивирусом, добавьте пожалуйста логи/отчеты сканирования в архиве, без пароля.

  • Like (+1) 1
safety

safety

Опубликовано
Опубликовано

Этот файл можете восстановить из карантина?

Цитата

30.06.2025 13:57:35    C:\Users\Пользователь\Pictures\HEX\C77L.exe    Создана резервная копия    Создана резервная копия объекта    HEUR:Trojan-Ransom.Win64.Generic        Файл    C:\Users\Пользователь\Pictures\HEX    C77L.exe    Создана резервная копия    Троянская

после восстановления, файл переименуйте в  C77L.vexe, добавьте в архив с паролем virus, архив загрузите в ваше сообщение.

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • TAMZAN
      Нужна помощь, заражён сервер и несколько пк Вирусом вымогателем
      Автор TAMZAN
      FRST.txtAddition.txt
      Добрый день утром запустили пк, а на рабочих столах вот такое сообщение с вымогателем, нужна помощь в очистке системы и возможности в дальнейшем в расшифровке файлов. Спасибо
      svr2 logi frst.rar
      SVR2_2026-02-14_15-08-15_v5.0.3v x64.7z
    • gggPlu
      Шифровальщик на windows server 2008 r2
      Автор gggPlu
      Добрый день. Сегодня утром обнаружили, что за выходные нам зашифровали сервер. Прикладываю архив с паролем virus с примерами зашифрованных файлов и письмом о выкупе и результаты сканирования. Прошу помощи с очисткой и расшифровкой
      Addition.txt FRST.txt virus.rar
    • Дмитрий Екатеринбург
      Поймал шифровальщик, помогите!!!
      Автор Дмитрий Екатеринбург
      Доброго дня. Вчера намотал шифровальщик. Вот текст что в текстовом файле-
      \\\\ All your files are encrypted... All your files have been encrypted !!! To decrypt them send e-mail to this address : nullhex@2mail.co If you do not receive a response within 24 hours, Send a TOX message Mail2 : nullhexxx@gmail.com INCASE OF NO PAYMENT IN 48 HOURS, THE PRICE WILL DOUBLE !! \\\\ Your ID : !!!!!!  Enter the ID of your files in the subject ! \\\\ What is our decryption guarantee ? Before paying you can send us up to 2 test files for free decryption ! The total size of files must be less than 2Mb.(non archived) ! Files should not contain valuable information.(databases,backups) ! Compress the file with zip or 7zip or rar compression programs and send it to us!
       
      Верю, что мир не без добрых людей. 
    • Antio
      Зашифровало компьютер
      Автор Antio
      Переустановил windows и поставил программы, после этого диски оказались зашифрованными.
      Addition.txt лог FRST
      В архиве зашифрованные файлы и требование о выкупе.
       
       
      Помогите расшифровать данные.
      FRST.txt pack.zip
    • JIuHkoP
      READ-ME-Nullhexxx.txt
      Автор JIuHkoP
      Добрый день. Зашифровали сервер с данными на 10Тб
      \\\\ All your files are encrypted...
          All your files have been encrypted !!!
          
          To decrypt them send e-mail to this address : nullhex@2mail.co
          
          If you do not receive a response within 24 hours, Send a TOX message
          TOX ID : 
              5551C47D78A6C295B805270C49D6C072095ABD5A1CD2545F1EABAA773CBF6A1C8231E8BF49CE
          You can access it from here.
          https://tox.chat

      \\\\ Your ID :  {********}
              Enter the ID of your files in the subject !

      \\\\  What is our decryption guarantee ?
          Before paying you can send us up to 2 test files for free decryption !
              
          The total size of files must be less than 2Mb.(non archived) !
              
          Files should not contain valuable information.(databases,backups) !
              
          Compress the file with zip or 7zip or rar compression programs and send it to us
      Есть возможность спасти данные?
×
×
  • Создать...