возможно proton компьютер-сервер 1С поймал шифровальщик

[Bek777]

Здравствуйте! Коллеги поймали шифровальщик, отключили от сети убрали через KVRT. Далее установили (после пожара) KES. Логи с KVRT нет. Прилагаю только с FRST и само сообщение во втором архиве. Зашифровано практически все форматы и оба (С, D) диска. Закидывал в шерифа не найдено. Надеюсь вы поможете.

FRST.rarHowToRecover.rar

[Bek777]

10 минут назад, Bek777 сказал:

Здравствуйте! Коллеги поймали шифровальщик, отключили от сети убрали через KVRT. Далее установили (после пожара) KES. Логи с KVRT нет. Прилагаю только с FRST и само сообщение во втором архиве. Зашифровано практически все форматы и оба (С, D) диска. Закидывал в шерифа не найдено. Надеюсь вы поможете.

FRST.rar 43.74 kB · 0 загрузок HowToRecover.rar 286.39 kB · 0 загрузок

Извините, добавляю логи с KVRT ниже...

 

https://cloud.mail.ru/public/VPn9/qK4kwynHL

[safety]

13 минут назад, Bek777 сказал:

Извините, добавляю логи с KVRT ниже...

Обнаружений много, в том числе и среди инструментов злоузмышленников, например Mimikatz, но детект Ransom не виден. Возможно это это был Proton. и возможно что сэмпл сэмпл был заражен вирусом, судя по детектам:

Win32.DarkKomet.hqxy

Имеет смысл проверить/пролечить полностью системный диск с загрузочного диска KRD,

 

В этой папке больше ничего не осталось?

C:\Users\direktor\Documents\[tools]

 

Изменено 1 час назад пользователем safety

[Bek777]

33 минуты назад, safety сказал:

Обнаружений много, в том числе и среди инструментов злоузмышленников, например Mimikatz, но детект Ransom не виден. Возможно это это был Proton. и возможно что сэмпл сэмпл был заражен вирусом, судя по детектам:

Win32.DarkKomet.hqxy

Имеет смысл проверить/пролечить полностью системный диск с загрузочного диска KRD,

 

В этой папке больше ничего не осталось?

C:\Users\direktor\Documents\[tools]

 

Что-то есть. Пароль к архиву тот же.

 

Изменено 38 минут назад пользователем safety
архив загружен, ссылка удалена

[safety]

В архиве вспомогательные инструменты для подбора паролей и продвижения по локальной сети.

 

Поищите на системном диске файлы с именем Stub.exe, Stub64.exe

 

Возможно что в этой папке должны быть

C:\Users\direktor\Documents\

Изменено 36 минут назад пользователем safety

[Bek777]

25 минут назад, safety сказал:

В архиве вспомогательные инструменты для подбора паролей и продвижения по локальной сети.

 

Поищите на системном диске файлы с именем Stub.exe, Stub64.exe

 

Возможно что в этой папке должны быть

C:\Users\direktor\Documents\

При первом поиске было два обнаружения, при повторном не обнаружились. Может ли быть, что касперски их удалил?