proton Поймал шифровальщика через RDP .r9Zw10Hg

[Антон.Б]

Установлен корпоративный KES . через RDP перебором (слабый пароль был  ) добрались до учетки с правами админа и зашифровали комп, KES  отключили. подскажите что дальше делать.

С Уважением Антон

Xyd3RcAk4M.rar

Изменено 15 июня пользователем Антон.Б

[safety]

Если систему сканировали KVRT, Cureit, штатным антивирусом добавьте отчеты по обнаружению, в архиве, без пароля.

Так же выполните поиск на системном диске файлов с именем Stub,exe, Stub64.exe, Stub*.exe

Если будут найдены, добавьте в архив с паролем virus, архив добавьте в ваше сообщение.

[Антон.Б]

4 часа назад, safety сказал:

Если систему сканировали KVRT, Cureit, штатным антивирусом добавьте отчеты по обнаружению, в архиве, без пароля.

Так же выполните поиск на системном диске файлов с именем Stub,exe, Stub64.exe, Stub*.exe

Если будут найдены, добавьте в архив с паролем virus, архив добавьте в ваше сообщение.

Нашел данный файл.

Stub.rar

 

Обнаружили зашифрованный сервер. тем же шифровальщиком  файлы прилагаю.файлов Stub не обнаружено

Server.7z

[safety]

Сэмпо уже засветился на Vrusyototal, это Proton,

#Proton / #Shinra #Ransomware

https://www.virustotal.com/gui/file/332c01b04aa83ef1ebf998e9ac055bc97d3da6d7c291646df5b8c36ceefa4e5e/detection

 

по серверу:

 

В этой папке смотрели что там есть?

2026-06-15 02:58 - 2026-06-15 05:36 - 000000000 ____D C:\Users\Администратор\Desktop\24122024

 

по очистке системы:

 

Выполнить очистку в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

Start::
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore: [DisableConfig] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore: [DisableSR] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
S3 vwifibus; \SystemRoot\System32\drivers\vwifibus.sys (Нет файла)
2026-06-15 05:38 - 2026-06-15 05:38 - 002899254 _____ C:\ProgramData\EB24AF392015C035.bmp
2026-06-15 02:58 - 2026-06-15 05:36 - 000000000 ____D C:\Users\Администратор\Desktop\24122024
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Папку C:\FRST\Quarantine заархивируйте с паролем virus, архив загрузите на облачный диск, и дайте ссылку на скачивание здесь

Изменено 15 июня пользователем safety

[Антон.Б]

15 часов назад, safety сказал:

В этой папке смотрели что там есть?

2026-06-15 02:58 - 2026-06-15 05:36 - 000000000 ____D C:\Users\Администратор\Desktop\24122024

****

папка 24122024

 

Добавил папку Quuarantine и Fixlog

 

****

Fixlog.txt

Изменено 16 июня пользователем safety
архив загружен, ссылка удалена

[safety]

34 минуты назад, Антон.Б сказал:

папка 24122024

В этой папке все и лежит, в том числе и Stub.exe

 

С расшифровкой по данному типу, к сожалению, не сможем помочь без приватного ключа.

Цитата

Обнаружили зашифрованный сервер. тем же шифровальщиком

Обратите внимание, что на каждом из зашифрованных устройств будут разные ключи шифрования.

 

Важные зашифрованные файлы сохраните на отдельный носитель, возможно что расшифровка будет возможной в будущем.

Если будет слив ключей, или полиция доберется когда-нибудь до серверов злоумышленников.

 

Общие рекомендации:

 

Теперь, когда ваши файлы были зашифрованы, примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);

 

Изменено 16 июня пользователем safety

[Антон.Б]

2 часа назад, safety сказал:

В этой папке все и лежит, в том числе и Stub.exe

 

С расшифровкой по данному типу, к сожалению, не сможем помочь без приватного ключа.

Обратите внимание, что на каждом из зашифрованных устройств будут разные ключи шифрования.

 

Важные зашифрованные файлы сохраните на отдельный носитель, возможно что расшифровка будет возможной в будущем.

Если будет слив ключей, или полиция доберется когда-нибудь до серверов злоумышленников.

 

Общие рекомендации:

 

Теперь, когда ваши файлы были зашифрованы, примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);

 

Спасибо за помощь, отрицательный опыт получен. будем умнее

[safety]

по файлу Stub64.exe

https://www.virustotal.com/gui/file/5aa3bd7b8512b0d7e81bb862799c17e86dbcad0afb146ce4bd9b728ae540323f?nocache=1

 

Лучше на чужих ошибках учиться, видите сколько страниц в разделе с отрицательным опытом. :). Но видимо так устроен человек, что понимание обостряется только в результате личного опыта.

Изменено 16 июня пользователем safety