Перейти к содержанию

Рекомендуемые сообщения

Опубликовано

Здравствуйте!

 

Упакуйте в архив папку C:\KVRT2020_Data\Reports и прикрепите к следующему сообщению.

Опубликовано (изменено)

Есть ли понимание того, откуда мог взяться шифровальщик на устройстве?

Что то скачали из сети, чтобы открыли из почты? Что-то другое?

 

Рабочий стол можете показать после шифрования?

 

Есть что-то подобное?

 

image.png

Изменено пользователем safety
Опубликовано

Ничего подобного на рабочем столе нет , попал в сеть путем брутфорса пароля vpn пользователя , дальше уже забрутфорсил системные учетки, параллельно создает политики в gpo с рассылкой трояна (Каспер его обнаружил, но не смог предотвратить шифрование ) 

Параллельно уничтожает службы отвечающие за теневое копирование , iis, работают только в свежих системах (windows 10-11, Ubuntu 24.04, windows server 2016 и выше), на windows 7 и старых серверах ничего не делает 

Может быть это beluga , как писали в другой ветке ? Есть ли возможность попробовать какой либо дешифратор ?

Опубликовано (изменено)
В 10.03.2026 в 17:17, Yaheni сказал:

Каспер его обнаружил, но не смог предотвратить шифрование

можете показать детект Касперского, восстановить файл из карантина, заархивировать файл с паролем virus, и добавить архив в ваше сообщение? С каким именем находится файл шифровальщика?

+

коллега попросил вас добавить отчеты из KVRT

Цитата

Упакуйте в архив папку C:\KVRT2020_Data\Reports и прикрепите к следующему сообщению.

+

Цитата

Есть ли возможность попробовать какой либо дешифратор ?

Возможность попробовать какой-либо дешифратор всегда есть, другое дело поможет ли данный дешифратор вам?

Изменено пользователем safety
Опубликовано
2 часа назад, Yaheni сказал:

параллельно создает политики в gpo с рассылкой трояна

Если вы владеете информацией, можете скинуть файл политики, или по крайней мере привести команду запуска сэмпла в политике? Возможно в командной строке будет важная и полезная информация.

  • 6 месяцев спустя...
Опубликовано (изменено)

Добрый день.

На выходных на сервер прилетел "BagIRA Ransomware". Зашифровал все до чего смог дотянуться и что было включено и работало.

Формат файлов различается, где-то на локальных машинах *.sMgJaA4a7 или что-то подобное, на серверах, NAS  - *.encrypted.

Из утилит RannohDecryptor ругается что не совпадают размеры файлов. RakhniDecryptor какие-то ключи находит, например на первом проходе находит пароль в стиле ICsZJC8hbUoY70D, на втором и последующих в группе файлов одинаковый пароль, в моем случае OHTuqkKGq7lomva. Но файлы не расшифровывает и открыть невозможно. lockbit-rescue-v2 не может расшифровать, пробовал с --phase2. Возможно это какая-то кастомная сборка LockBit 3.0. На nomoreransom.org и аналогичных не определяется.

Например техподдержка Dr.web файлы определяет как Trojan.Encoder.41432 - описания не нашел.

Изменено пользователем evo
  • safety закрыто и открыто это тема
Опубликовано (изменено)

@evo,

не пишите в чужой теме. Добавьте все необходимые логи и файлы согласно правилам в отдельной теме, данного раздела.

Какие необходимы файлы и логи вы можете увидеть так же из первого сообщения.

Изменено пользователем safety
  • safety закрыл тема
Гость
Эта тема закрыта для публикации ответов.
  • Похожий контент

    • Always_Young
      Автор Always_Young
      Здравствуйте! На ПК пришло письмо с файлом с раширением .cab. Файл находится в облаке. Скрин проверки с VirusTotal прилагается. После этого все документы JPEG, JPG,PDF,XLSX,DOCX оказались зашифрованы. Доступ на ПК осуществлялся удаленно, через AnyDesk. В сети три ПК и один ноутбук по Wi-Fi. Заражен оказался один. Есть ли возможность расшифровать? 

      Addition.txt FRST.txt y8ItHTbGJ.README.txt Файлы шифр.zip
    • AAS
      Автор AAS
      На компьютере были зашифрованы файлы. Переписка с вымогателем и зараженные файлы (с незараженными оригиналами) в приложение. 
      Если есть возможность проанализировать шифровку и в идеале сказать как дешифровать - будем БЛАГОДАРНЫ. 
      А так на будущее, для других, что появилась новая группа мошенников - упоминание про них мы не нашли
       
      kRvWxoD5n.README.txt
      зараженные_файлы.zip
    • Vertex1551
      Автор Vertex1551
      Сегодня зайдя в сервер увидел это, пароль от админа не подходит, данные хотелось бы восстановить Windows server 2008r2

    • DAV
      Автор DAV
      в пятницу лег сервер: зашифрованы все системные файлы и вся база 1С. Также файлы на зеркальном диске, а бэкапы на другом диске почему-то оказались повреждены (копировались каждый вечер).
      в закодированном файле текст в таких иероглифах: "... ৸믻䀹ᑞஞ樱惒孌ڨ쎩델꥛睟괎䦝捰㨿秡﹈贆Ŵ䣍㥶﬍ຌ̒螐꯵ॶㅈ鹧ӷ፮箈ꥦ 樟倣폃웘붾셳炼..."
      один из файлов 1С теперь с таким названием: 1Cv8.lgf.id-DEB1FBBC.[James2020m@aol.com].MUST.id[DEB1FBBC-3259].[restore1_helper@gmx.de].
       
      кто знает, как вернуться к "родной" кодировке, подскажите, пожалуйста.
       
      P.S. "доброжелатели" в сопутствующем info письме указали адреса для контакта: restore1_helper@gmx.de или restore2_helper@mein.gmx.
    • vadim.ku01
      Автор vadim.ku01
      Добрый день! Очень прошу Вашей помощи. Столкнулся с тем, что сотрудники поймали шифровальщика и уничтожили свой Пк. Плюс ко всему этому зацепили сетевой диск. Хотелось бы сетевой восстановить
      В сети про данного шифровальщика ничего нет, очень надеюсь найти помощь на данном форму, так как надежда ещё есть.
      Для примера прилагаю зашифрованный файл и сам текс вымогателей по ссылке на облаке
      И соответственно зашифрованный файл на облаке, так как тут данные файл не прицепишь : https://cloud .mail.ru/public/g9rB/dk6UQ8p8B
      Очень прошу помощи


      -----------------------------
      Good afternoon! I urgently need your help. My coworkers caught ransomware and destroyed their PC. On top of that, they also affected a network drive. I'd like to restore the network drive. There's nothing about this ransomware online, but I'm really hoping to find help on this forum, as there's still hope. As an example, I'm attaching an encrypted file and the ransomware's text via a link on the cloud. And, accordingly, the encrypted file is on the cloud, as you can't attach the file data here: https://cloud .mail.ru/public/g9rB/dk6UQ8p8B

      I urgently need your help.
      HowToRecover.txt
×
×
  • Создать...