proton компьютер-сервер 1С поймал шифровальщик

[Bek777]

Здравствуйте! Коллеги поймали шифровальщик, отключили от сети убрали через KVRT. Далее установили (после пожара) KES. Логи с KVRT нет. Прилагаю только с FRST и само сообщение во втором архиве. Зашифровано практически все форматы и оба (С, D) диска. Закидывал в шерифа не найдено. Надеюсь вы поможете.

FRST.rarHowToRecover.rar

[Bek777]

10 минут назад, Bek777 сказал:

Здравствуйте! Коллеги поймали шифровальщик, отключили от сети убрали через KVRT. Далее установили (после пожара) KES. Логи с KVRT нет. Прилагаю только с FRST и само сообщение во втором архиве. Зашифровано практически все форматы и оба (С, D) диска. Закидывал в шерифа не найдено. Надеюсь вы поможете.

FRST.rar 43.74 kB · 0 загрузок HowToRecover.rar 286.39 kB · 0 загрузок

Извините, добавляю логи с KVRT ниже...

 

https://cloud.mail.ru/public/VPn9/qK4kwynHL

[safety]

13 минут назад, Bek777 сказал:

Извините, добавляю логи с KVRT ниже...

Обнаружений много, в том числе и среди инструментов злоузмышленников, например Mimikatz, но детект Ransom не виден. Возможно это это был Proton. и возможно что сэмпл сэмпл был заражен вирусом, судя по детектам:

Win32.DarkKomet.hqxy

Имеет смысл проверить/пролечить полностью системный диск с загрузочного диска KRD,

 

В этой папке больше ничего не осталось?

C:\Users\direktor\Documents\[tools]

 

Изменено Понедельник в 13:52 пользователем safety

[Bek777]

33 минуты назад, safety сказал:

Обнаружений много, в том числе и среди инструментов злоузмышленников, например Mimikatz, но детект Ransom не виден. Возможно это это был Proton. и возможно что сэмпл сэмпл был заражен вирусом, судя по детектам:

Win32.DarkKomet.hqxy

Имеет смысл проверить/пролечить полностью системный диск с загрузочного диска KRD,

 

В этой папке больше ничего не осталось?

C:\Users\direktor\Documents\[tools]

 

Что-то есть. Пароль к архиву тот же.

 

Изменено Понедельник в 14:16 пользователем safety
архив загружен, ссылка удалена

[safety]

В архиве вспомогательные инструменты для подбора паролей и продвижения по локальной сети.

 

Поищите на системном диске файлы с именем Stub.exe, Stub64.exe

 

Возможно что в этой папке должны быть

C:\Users\direktor\Documents\

Изменено Понедельник в 14:18 пользователем safety

[Bek777]

25 минут назад, safety сказал:

В архиве вспомогательные инструменты для подбора паролей и продвижения по локальной сети.

 

Поищите на системном диске файлы с именем Stub.exe, Stub64.exe

 

Возможно что в этой папке должны быть

C:\Users\direktor\Documents\

При первом поиске было два обнаружения, при повторном не обнаружились. Может ли быть, что касперски их удалил?

[safety]

Может. Добавьте отчеты по обнаружению угроз из антивируса Касперского. В архиве, без пароля.

[Bek777]

1 час назад, safety сказал:

Может. Добавьте отчеты по обнаружению угроз из антивируса Касперского. В архиве, без пароля.

Отчет прилагаю.

отчет.rar

[safety]

11 часов назад, Bek777 сказал:

При первом поиске было два обнаружения, при повторном не обнаружились

В отчетах по обнаружению нет обнаружений Stub*.exe

 

Какой поиск вы  имеете ввиду? Антивирусной программой или об обычном поиске файлов?

[Bek777]

27 минут назад, safety сказал:

В отчетах по обнаружению нет обнаружений Stub*.exe

 

Какой поиск вы  имеете ввиду? Антивирусной программой или об обычном поиске файлов?

Вчера когда я делал поиск, делал поиск диск С. Обычным поиском. В первый раз когда делал поиск было два обнаружения Stub.exe. прошел по расположению файла (хотел сделать скрин) был только файл текстовик который лежит во всех папках. А второй и третий раз уже не обнаружил в поиске.

[safety]

Возможно, что Windef мог зачистить файлы после обнаружения. Хотя он должен был быть отключен после установки KES. Это единственное устройство у вас которое было зашифровано?

 

Для доп. анализа проверьте ЛС.

[Bek777]

38 минут назад, safety сказал:

Возможно, что Windef мог зачистить файлы после обнаружения. Хотя он должен был быть отключен после установки KES. Это единственное устройство у вас которое было зашифровано?

 

Для доп. анализа проверьте ЛС.

Да, в локальной сети этот компьютер единственный.

[safety]

С расшифровкой файлов по данному типу не сможем помочь без приватного ключа.

 

Важные зашифрованные файлы сохраните на отдельный носитель, возможно что расшифровка будет возможной в будущем.

Если будет слив ключей, или полиция доберется до серверов злоумышленников.

 

Общие рекомендации:

 

Теперь, когда ваши файлы были зашифрованы, примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);

[Bek777]

2 часа назад, safety сказал:

С расшифровкой файлов по данному типу не сможем помочь без приватного ключа.

 

Важные зашифрованные файлы сохраните на отдельный носитель, возможно что расшифровка будет возможной в будущем.

Если будет слив ключей, или полиция доберется до серверов злоумышленников.

 

Общие рекомендации:

 

Теперь, когда ваши файлы были зашифрованы, примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);

Понял. Благодарю за уделенное время!