salted2020 Прошу помощи с шифровальщиком rdata@onionmail.org

[Кирилл102]

Зашифровали разделы на ОС Windows, так же зашли на сетевые хранилища Synology а зашифровали бэкапы на них.

В некоторых папках лежит файл README.txt с текстом

To recover your data, contact us: rdata@onionmail.org
Use only Google mail to contact us!

Логи системы подчистили, не понятно откуда могли подключится.

Чем можно снять данные чтобы передать на анализ, вдруг есть какая то вероятность восстановить данные?

[safety]

Добавьте логи FRST из зашифрованной системы + записку о выкупе в виде файла + несколько зашифрованных файлов в архиве, без пароля.

[Кирилл102]

Зашифрованных файлов нет, зашифрованы полностью разделы. 

Файл README.txt только есть

Addition.txt FRST.txt README.txt

[safety]

Зашифрованные файлы с расширением *.rdata могут быть на системном диске, так как системный диск не шифруется полностью, шифруются только разделы.

+

если систему сканировали Cureit, KVRT, или штатным антивирусом добавьте отчеты по обнаружениям

Например из этого каталога

2026-09-07 12:56 - 2026-09-07 12:57 - 000000000 ____D C:\KVRT2020_Data

добавьте в архив папку reports, без пароля, архив добавьте в ваше сообщение

+

проверьте что в этом файле:

2026-09-06 16:26 - 2026-09-06 16:26 - 000000074 _____ C:\Users\USR1CV83.ESS\Downloads\Backup1.key

 

Изменено 8 сентября пользователем safety

[safety]

Для доп. анализа проверьте ЛС

----------

C расшифровкой файлов по данному типу шифровальщика не сможем помочь

 

Общие рекомендации:

 

Теперь, когда ваши файлы были зашифрованы, примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);

Изменено 9 сентября пользователем safety

[Кирилл102]

В 07.09.2026 в 16:29, safety сказал:

Зашифрованные файлы с расширением *.rdata могут быть на системном диске, так как системный диск не шифруется полностью, шифруются только разделы.

+

если систему сканировали Cureit, KVRT, или штатным антивирусом добавьте отчеты по обнаружениям

Например из этого каталога

2026-09-07 12:56 - 2026-09-07 12:57 - 000000000 ____D C:\KVRT2020_Data

добавьте в архив папку reports, без пароля, архив добавьте в ваше сообщение

+

проверьте что в этом файле:

2026-09-06 16:26 - 2026-09-06 16:26 - 000000074 _____ C:\Users\USR1CV83.ESS\Downloads\Backup1.key

 

C:\Users\USR1CV83.ESS\Downloads\Backup1.key прикладываю

Backup1.zip