proton Зашифровали компьютеры сети, похоже на Mimic

[lda]

Доброй ночи! Зашифровали компьютеры сети, похоже на Mimic. На одном из компьютеров, откуда скорей всего производили запуск, нашел папочку mimic, ее прикладываю. Архив encrypted с зашифрованным файлами с этого же компа, dunay-ut - с компа из сети. Прошу оказать помощь в расшифровке. Заранее благодарен

dunay-ut.rar Mimik.rar encrypted.rar

[safety]

Если систему уже сканировали с помощью KVRT, Cureit или штатным антивирусом добавьте отчеты по сканированию, в архиве, без пароля

Поищите на зашифрованных устройствах файлы с именем Stub.exe, Strub64.exe

Изменено 17 мая пользователем safety

[lda]

запустил сканирование KVRT, жду

[safety]

Хорошо, ждем отчет.

Mimikatz разные группы могут использовать. Это инструмент  взлома учетных записей, шифровальщик здесь другой, не Mimic.

[lda]

Антивирус ничего не нашел. Сервер 2019, запущен в виртуалке, есть копии виртуальных дисков, но старые. Так же прикладываю результат сканирования FRST, зашифрованные файлы, просилку.
По диску искал различные варианты stub(64), strub(64), ничего не нашел

sv-vm2_mimic.rar

[safety]

Для доп. анализа проверьте ЛС

----------

по файлам:

Stub.exe -- это Proton/Shinra

https://www.virustotal.com/gui/file/1eecff813a66699513a0972058e293b1c88037ccb1c80508b6e1db631c602178?nocache=1

 

С расшифровкой файлов по данному типу не сможем помочь

 

Общие рекомендации:

 

Теперь, когда ваши файлы были зашифрованы, примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);

Изменено 18 мая пользователем safety