c77l Шифровальщик на windows server 2008 r2

[gggPlu]

Добрый день. Сегодня утром обнаружили, что за выходные нам зашифровали сервер. Прикладываю архив с паролем virus с примерами зашифрованных файлов и письмом о выкупе и результаты сканирования. Прошу помощи с очисткой и расшифровкой

Addition.txt FRST.txt virus.rar

[safety]

Здесь что в архиве?

2026-02-09 09:55 - 2026-02-09 09:55 - 047978826 _____ C:\Users\rescueadmin1\Desktop\system32 - 12345.rar

и здесь:

2026-02-09 08:58 - 2026-02-09 08:58 - 000218399 _____ C:\Users\Public\Desktop\Desktop.rar

Поищите так же папку Pictures\HEX

Если папка найдется, заархивируйте папку Pictures (вместе с HEX и другими подкаталогами) с паролем virus, загрузите архив на облачный диск и дайте ссылку на скачивание.

[gggPlu]

Эти архивы мы создавали сегодня сами, там копии зашифрованных файлов. В Pictures пусто, только файл READ-ME с требованием выкупа

 

нашли папку pictures. ссылка на скачивание:

Изменено 9 февраля пользователем gggPlu

[safety]

По очистке системы:

 

Папку с Pictures удалите вручную - это папка с инструментарием злоумышленника.

 

По очистке системы:

 

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

Start::
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
GroupPolicy\User: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
Policies: C:\Users\rescueadmin1\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
Policies: C:\Users\TEMP\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
Policies: C:\Users\TEMP.WIN-TS\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
2026-02-08 14:52 - 2026-02-08 14:52 - 002359350 _____ C:\ProgramData\Eclipse.bmp
2026-02-06 23:39 - 2026-02-06 23:39 - 000000784 _____ C:\Windows\sysinfo01.bios
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Папку C:\FRST\Quarantine заархивируйте с паролем virus, архив загрузите на облачный диск, и дайте ссылку на скачивание здесь

[gggPlu]

Добрый день. При просьбе провести тестовую расшифровку злоумышленник провел расшифровку, но не отослал расшифрованный файл, а прислал скриншоты. На скриншотах он замазал путь к папке в командной строке, но забыл замазать то же слово (vaqankir) с свойствах файла. Подскажите, не может ли нам быть полезна эта информация в расшифровке?

Изменено 24 февраля пользователем gggPlu
опечатка

[safety]

52 минуты назад, gggPlu сказал:

Подскажите, не может ли нам быть полезна эта информация в расшифровке?

:),

наверное это его имя.

Вот если бы он по ошибке прислал бы файл DecryptionKeys.bin, тогда бы это помогло в расшифровке.

Изменено 24 февраля пользователем safety