salted2020 Шифровальщик .ooo4ps

[Ivan_S]

Добрый день. Пойммали вирус-шифровальщик на сервер. выяснили что все действия проводились через пользователя под которым крутилась 1с, однако была создана его копия, в которой хранится файл DiskCryptor. Ниже прикрепляю файл логов, а так же пара зашифрованных файлов вместе с архивом вируса

 

Files.rar FRST.txt virus.rar

Изменено 9 января пользователем Ivan_S

[safety]

Только одно устройство зашифровано? Дополнительные диски зашифрованы? можете показать на скрине, что происходит при попытке открыть зашифрованный дополнительный диск?

Изменено 9 января пользователем safety

[Ivan_S]

[safety]

Не понял ваш ответ.

Дополнительные локальные диски зашифрованы или нет? Открываются или нет?

Изменено 9 января пользователем safety

[Ivan_S]

Все диски на нашем сервере зашифрованы (кроме системного)

 

Изменено 9 января пользователем Ivan_S

[safety]

Что происходит, если вы пытаетесь открыть зашифрованный диск? Запрашивает пароль? или предлагает использовать приложение для открытия?

Изменено 9 января пользователем safety

[Ivan_S]

Винда говорит что не значет чем открывать этот файл, и прдлагает выбрать проограмму для запуска (Второй скриншот из моего ответа выше)

[safety]

А если вы выбираете 1cestart запускается DiskCryptor?

Цитата

однако была создана его копия, в которой хранится файл DiskCryptor

Это поясните, что означает

Изменено 9 января пользователем safety

[Ivan_S]

Не рискнул этого делать 

[safety]

Цитата

однако была создана его копия, в которой хранится файл DiskCryptor

Это поясните, что означает

[Ivan_S]

На профиле USR1C83 при открытии программы diskcryptor видим эту картину 

[safety]

Для доп. анализа проверьте, пожалуйста, ЛС

[Ivan_S]

У нас был пользователь USR1CV8, под ним работает 1с в фоне. После заражения в папке со всеми пользователсями появися точно такой же пользователь но с цифрой 3 на конце

[safety]

Понятно.