dchelp Шифровальщик (вымогатель) @BeGood327

[АлександрВат]

Поймали шифровальщика на серверах и АРМ АРМ сотрудинков перезагрузились ,зашифровались диски, при загрузке пытается выйти на восстановление системы Сервера при загрузки пишут сообщение: "for unlock - contact telegram @degood327"

на одном АРМ похоже нашли программу и метод распространение

 

есть исходники запакованные в zip могу прикрепить.

 

Можете помочь ? 

 

 

 

Изменено 18 часов назад пользователем АлександрВат

[safety]

2 часа назад, АлександрВат сказал:

есть исходники запакованные в zip могу прикрепить.

Добавьте файлы в архив с паролем virus, загрузите в ваше сообщение.

[АлександрВат]

направляю 

dcrypt.7z Mesh Agent.7z

[safety]

Добавьте так же логи FRST из данной системы.

[АлександрВат]

готово

FRST.txt Addition.txt

 

еще нашли на этом компьютере подозрительный фал, похоже он был создан подозрительно. пароль так же как на других архивах

notepad.7z

[safety]

По файлам:

notepad.exe - это установочный файл DiskCryptor

dcrypt - это файлы Diskcryptor после установки

Mesh Agent - это легальное ПО для удаленного управления, которое используют в том числе и злоумышленники.

 

Для расшифровки дисков необходимы пароли, которые были созданы для ваших устройств с помощью скриптов, которые и есть в данном случае "исходники". Без этих файлов/паролей восстановить  данные будет невозможно.

 

проверьте что в этом файле:

C:\Windows\Temp\is-SMMQL.tmp\notepad.tmp

этот файл заархивируйте с паролем virus, добавьте в ваше сообщение

2026-07-07 19:56 - 2026-07-07 19:52 - 000010744 _____ C:\collect_ir_pack_bitgood327.ps1

Проверьте что в этих папках:

2026-07-07 20:13 - 2026-07-07 20:13 - 000000000 ____D C:\Users\1\Desktop\11112
2026-07-07 19:56 - 2026-07-07 20:42 - 000000000 ____D C:\IR_Pack

2026-07-06 06:22 - 2026-07-06 06:22 - 000000000 ____D C:\tmp

 

[АлександрВат]

38 минут назад, safety сказал:

2026-07-07 19:56 - 2026-07-07 19:52 - 000010744 _____ C:\collect_ir_pack_bitgood327.ps1

это наш файл, собирали данные, пробовали анализировать самостоятельно. 

39 минут назад, safety сказал:

2026-07-07 19:56 - 2026-07-07 20:42 - 000000000 ____D C:\IR_Pack

это архив, который сделал наш файл скрипт collect_ir_pack_bitgood327.ps1 (собрал данные для анализа)

[safety]

6 минут назад, АлександрВат сказал:

это наш файл, собирали данные, пробовали анализировать самостоятельно. 

Что то смогли найти, кроме установщика Diskcryptor и MeshAgent?

[АлександрВат]

48 минут назад, safety сказал:

2026-07-06 06:22 - 2026-07-06 06:22 - 000000000 ____D C:\tmp

в этой директории nortpad файл

1 минуту назад, safety сказал:

Что то смогли найти, кроме установщика Diskcryptor и MeshAgent?

нашли что пароли длинной 23 символов.
другой информации нет. 

Изменено 1 час назад пользователем АлександрВат

[safety]

5 минут назад, АлександрВат сказал:

нашли что пароли длинной 23 символов.
другой информации нет. 

А алфавит, который используется для паролей известен?

[АлександрВат]

2 минуты назад, safety сказал:

А алфавит, который используется для паролей известен?

уточню, знаю что не обсуждали направление алфавита. 

 

Только что, АлександрВат сказал:

уточню, знаю что не обсуждали направление алфавита. 

Английский, цифры, символы. 

[safety]

18 минут назад, АлександрВат сказал:

это архив, который сделал наш файл скрипт collect_ir_pack_bitgood327.ps1 (собрал данные для анализа)

Можете этот архив добавить? с паролем или без пароля. Если архив большой, загрузите на облачный диск и дайте ссылку в ЛС.

[АлександрВат]

1 час назад, safety сказал:

C:\Windows\Temp\is-SMMQL.tmp\notepad.tmp

 

 

в этом архиве все 

***

notepad.7z

Изменено только что пользователем safety
архив загружен, ссылка удалена

[АлександрВат]

пароль от архива infectet