dchelp Зашифрованы диски на 20 серверах в одном домене. Выводится следующее сообщение - FOR UNLOCK - CONTACT TELEGRAM @BeGood327

[real_admin]

Пришли с утра в офис и обнаружили, что некоторые компьютеры не включаются. Есть сервер виртуализации на котором несколько серверов - там висит сообщение - FOR UNLOCK - CONTACT TELEGRAM @BeGood327. При этом некоторые пользовательские ПК включились и работают нормально. Касперский антивирус установлен на серверах. В архиве в скриншотах прикладываю переписку с мошенниками. Зашифрованных файлов нет - зашифрованы разделы на дисках с помощью dcrypt и MeshAgent. 

Архив.zip FRST (1).txt Addition (1).txt

[safety]

Логи FRST сделаны из расшифрованной системы, или система осталась не зашифрована?

Изменено 6 марта пользователем safety

[real_admin]

FRST с ПК которого не успела

 

В данный момент сижу за этим ПК видимо до конца не успел зашифровать, убил процессы, в program file вот такие папки в скрине.
В домене на каких то ПК есть такие папки в program files на каких то нет.
Так же есть вот такая папка tmp

[safety]

Следует удалить задачу перезагрузки системы.

Task: {357A8846-3371-4446-A23D-F4B1DB9B9126} - System32\Tasks\PUpdate => C:\WINDOWS\system32\shutdown.exe [57344 2025-11-11] (Microsoft Windows ->

 

где то в это время, и в этом месте был запуск скрипта подготовки к шифрованию

 

2026-03-06 05:44 - 2026-03-06 05:44 - 000000000 ____D C:\Program Files\dcrypt
2026-03-06 05:44 - 2014-07-09 10:42 - 000210632 _____ C:\WINDOWS\system32\Drivers\dcrypt.sys
2026-03-06 05:43 - 2026-03-06 05:43 - 000000000 ____D C:\Program Files\Mesh Agent
2026-03-06 05:42 - 2026-03-06 05:38 - 000000000 ____D C:\tmp

 

Проверьте в C:\tmp что осталось, в том числе и среди удаленных файлов.

 

Возможно что диск зашифрован, но не было еще перезагрузки системы? Проверили?

 

[safety]

12 минут назад, real_admin сказал:

Так же есть вот такая папка tmp

да, это стандартный набор: установщик meshagent, установщик dcrypt, clear - очистка журналов.

скорее всего, если процесс шифрования был начат, значит часть диска уже зашифрована, и при перезагрузке системы, зашифрованная часть диска будет недоступна. А возможно что и загрузчик заблокирует доступ к диску.

т.е. надо будет удалить бутлоадер через меню из программы dcrypt! Если он добавлен уже.

 

Стоит  сделать полный дамп памяти, возможно в дампе найдется пароль шифрования.

Изменено 6 марта пользователем safety

[real_admin]

По данному пути нашли ключ расшифровки от этого ПК
WS000181 
192.168.2.115 
i4h99iroi38t399n9 

[safety]

Вот хорошо бы еще найти скрипт, который был запущен для формирования данного пароля.

те. после того как скрипт отработал, и пароль был задействован в dcrypt, данная запись "улетает" злоумышленникам.

---------

+ проверьте ЛС.

Изменено 6 марта пользователем safety

[safety]

С расшифровкой файлов по данному типу не сможем помочь.

 

Общие рекомендации:

 

Теперь, когда ваши файлы были зашифрованы, примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);

 

обратите внимание что активность этой группы возросла с начала 2026 года.

 

 

 

По сути это все что можно было сделать с нашей стороны, со стороны консультантов форума.

 

Далее уже вам решать как поступить - прямо пойти, налево, или направо.

Прямо пойти - значит восстанавливать данные из бэкапов, если хотя бы старые сохранились, улучшить безопасность, защититься от новых атак.

Налево пойти - значит оплачивать пароли доступа злоумышленникам,

Направо пойти - значить оплачивать услуги поиска и восстановления информации антивирусным компаниям или киберагентствам, без гарантии, что они смогут по данной информации получить пароли доступа.

Изменено 10 марта пользователем safety