dchelp Шифровальщик (вымогатель) @BeGood327

[АлександрВат]

Поймали шифровальщика на серверах и АРМ АРМ сотрудинков перезагрузились ,зашифровались диски, при загрузке пытается выйти на восстановление системы Сервера при загрузки пишут сообщение: "for unlock - contact telegram @degood327"

на одном АРМ похоже нашли программу и метод распространение

 

есть исходники запакованные в zip могу прикрепить.

 

Можете помочь ? 

 

 

 

Изменено 7 июля пользователем АлександрВат

[safety]

2 часа назад, АлександрВат сказал:

есть исходники запакованные в zip могу прикрепить.

Добавьте файлы в архив с паролем virus, загрузите в ваше сообщение.

[АлександрВат]

направляю 

dcrypt.7z Mesh Agent.7z

[safety]

Добавьте так же логи FRST из данной системы.

[АлександрВат]

готово

FRST.txt Addition.txt

 

еще нашли на этом компьютере подозрительный фал, похоже он был создан подозрительно. пароль так же как на других архивах

notepad.7z

[safety]

По файлам:

notepad.exe - это установочный файл DiskCryptor

dcrypt - это файлы Diskcryptor после установки

Mesh Agent - это легальное ПО для удаленного управления, которое используют в том числе и злоумышленники.

 

проверьте что в этом файле:

C:\Windows\Temp\is-SMMQL.tmp\notepad.tmp

этот файл заархивируйте с паролем virus, добавьте в ваше сообщение

2026-07-07 19:56 - 2026-07-07 19:52 - 000010744 _____ C:\collect_ir_pack_bitgood327.ps1

Проверьте что в этих папках:

2026-07-07 20:13 - 2026-07-07 20:13 - 000000000 ____D C:\Users\1\Desktop\11112
2026-07-07 19:56 - 2026-07-07 20:42 - 000000000 ____D C:\IR_Pack

2026-07-06 06:22 - 2026-07-06 06:22 - 000000000 ____D C:\tmp

 

Изменено 8 июля пользователем safety

[АлександрВат]

38 минут назад, safety сказал:

2026-07-07 19:56 - 2026-07-07 19:52 - 000010744 _____ C:\collect_ir_pack_bitgood327.ps1

это наш файл, собирали данные, пробовали анализировать самостоятельно. 

39 минут назад, safety сказал:

2026-07-07 19:56 - 2026-07-07 20:42 - 000000000 ____D C:\IR_Pack

это архив, который сделал наш файл скрипт collect_ir_pack_bitgood327.ps1 (собрал данные для анализа)

[safety]

6 минут назад, АлександрВат сказал:

это наш файл, собирали данные, пробовали анализировать самостоятельно. 

Что то смогли найти, кроме установщика Diskcryptor и MeshAgent?

[АлександрВат]

2 часа назад, safety сказал:

2026-07-06 06:22 - 2026-07-06 06:22 - 000000000 ____D C:\tmp

в этой директории nortpad файл

1 час назад, safety сказал:

Что то смогли найти, кроме установщика Diskcryptor и MeshAgent?

другой информации нет. 

Изменено 8 июля пользователем safety

[safety]

18 минут назад, АлександрВат сказал:

это архив, который сделал наш файл скрипт collect_ir_pack_bitgood327.ps1 (собрал данные для анализа)

Можете этот архив добавить? с паролем или без пароля. Если архив большой, загрузите на облачный диск и дайте ссылку в ЛС.

[АлександрВат]

10 часов назад, safety сказал:

C:\Windows\Temp\is-SMMQL.tmp\notepad.tmp

 

 

в этом архиве все 

***

notepad.7z

 

пароль от архива infectet

Изменено 8 июля пользователем safety
архив загружен, ссылка удалена

[safety]

Для доп. анализа проверьте ЛС

[safety]

Общие рекомендации:

 

Теперь, когда ваши файлы были зашифрованы, примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);