Перейти к содержанию

Шифровальщик da vinci code [Shade Ransomware]


Рекомендуемые сообщения

В организации админ имеется?

 

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
3munStB.png
Ссылка на комментарий
Поделиться на другие сайты

В организации админ имеется?

 

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
3munStB.png

 

я и есть админ)

Addition.txt

FRST.txt

Ссылка на комментарий
Поделиться на другие сайты

Platform: Microsoft Windows XP Professional Service Pack 2 (X86) Language: Русский
Internet Explorer Version 6 (Default browser: Chrome)
Почему вы обновления на систему не ставите? Ваш компьютер дырявый как решето и никакой антивирус такую дырявую систему не спасет. Все сетевые черви будут вашими. По сути из-за вашей халатности файлы зашифровались.

 

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

  • Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CreateRestorePoint:
    CloseProcesses:
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README8.txt
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README7.txt
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README6.txt
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README5.txt
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README4.txt
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README3.txt
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README2.txt
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README10.txt
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README1.txt
    2016-11-02 16:56 - 2016-11-03 08:25 - 00000000 __SHD C:\Documents and Settings\All Users\Application Data\Windows
    
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
  • Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму
Ссылка на комментарий
Поделиться на другие сайты

Именно админ отвечает за обслуживание рабочих станций, а тот факт что ты:

 

1. Не ставишь обновления на Windows;

2. Не ограничиваешь своих пользователей в правах;

3. Не делаешь резервных копий важных данных;

4. Не настроил должным образом сетевые папки.

 

Вызывает недоумение. Будь я начальником, я бы гнал в шею таких "админов", уж извините.

Ссылка на комментарий
Поделиться на другие сайты

Сочту за совет, если "админу" объясните, как оградить систему от того, что у пользователя на ПК стоит почтовый клиент. Ему приходит письмо с вложением "счет-фактура.rar". Он не доходит мозгом, что это архив, что там нет той самой счет-факуры (все документы либо в форматах Excel, PDF, JPEG присылаются). И вуаля, шифровальщик пошел делать свою работу. Почему у меня на четырех компьютерах, где нет антивируса, ни разу даже банера не вылезло? Потому что думаю, куда лезу в интернете и что открываю. Дело не в работе админа, а, еще раз повторю, в "грамотности" юзера. Обновления на винду ставить смысла нет, т.к. железо там Г, другое купить не дают. Касперский вполне ограничивает пользователей на запуск сетапников, экзешников и прочей "самодеятельности" юзера. Общего резервного копирования нет. так как нет и сетевых папок. Уж простите, на иную структуру предприятия средств не выделяют. По делу: Файлы будут позже.

Ссылка на комментарий
Поделиться на другие сайты

Platform: Microsoft Windows XP Professional Service Pack 2 (X86) Language: Русский
Internet Explorer Version 6 (Default browser: Chrome)
Почему вы обновления на систему не ставите? Ваш компьютер дырявый как решето и никакой антивирус такую дырявую систему не спасет. Все сетевые черви будут вашими. По сути из-за вашей халатности файлы зашифровались.

 

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

  • Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CreateRestorePoint:
    CloseProcesses:
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README8.txt
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README7.txt
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README6.txt
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README5.txt
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README4.txt
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README3.txt
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README2.txt
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README10.txt
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README1.txt
    2016-11-02 16:56 - 2016-11-03 08:25 - 00000000 __SHD C:\Documents and Settings\All Users\Application Data\Windows
    
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
  • Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

 

Fixlog.txt

Ссылка на комментарий
Поделиться на другие сайты

Исправляйте недочеты. Смените все пароли (почта, ftp, аська, скайп, пароли сохраненные в браузерах, RDP, доступ к админке если держите сайт). Пишите запрос https://forum.kasperskyclub.ru/index.php?showtopic=48525

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Warlocktv
      Автор Warlocktv
      Добрый день,
      Через RDP словили шифровальщик Phobos (на основании ID Ransomware https://id-ransomware.malwarehunterteam.com/identify.php?case=52c4281ece07330467137e30a150ae4130e52132).
      Отчеты Recorded Future Triangle https://tria.ge/241216-tdxdrsvpek и Joe Sand Cloud https://www.joesandbox.com/analysis/1576226/1/executive.
      Зараженные системы удалены. Остались зараженные файлы которые требуется дешифровать. Необходима помощь. В архиве два зараженных файла и сообщения от шифровальщиков.Encrypted.zip
    • specxpilot
    • KL FC Bot
      Автор KL FC Bot
      Ransomware-группировка Interlock начала использовать технику ClickFix для проникновения в инфраструктуру своих жертв. В одном из недавних постов мы уже рассказывали об общей идее ClickFix, а сегодня поговорим о конкретном примере использования этой тактики одной из группировок. Исследователи кибербезопасности обнаружили, что Interlock использует поддельную CAPTCHA якобы от Cloudflare на странице, маскирующейся под сайт Advanced IP Scanner — популярного бесплатного сетевого сканера.
      Исходя из этого можно предположить, что атаки нацелены на ИТ-специалистов, работающих в потенциально интересующих группировку организациях. Судя по всему, Interlock находится на этапе тестирования новых инструментов, в частности техники ClickFix.
      Как Interlock использует ClickFix для распространения вредоносного ПО
      Злоумышленники из Interlock заманивают жертву на страницу, адрес которой имитирует адрес сайта Advanced IP Scanner. Описавшие атаку исследователи нашли одну и ту же страницу, размещенную по нескольким адресам в Сети.
      При переходе по ссылке пользователь видит извещение о необходимости пройти CAPTCHA, якобы от Cloudflare. В сопутствующем тексте мошенники рассказывают жертве о том, что Cloudflare «помогает компаниям восстановить контроль над своими технологиями». За этим достаточно типичным бизнесовым текстом, скопированным со страницы «Что такое Cloudflare?» настоящего веб-сайта компании, следует указание: нажать сочетание [Win] + [R], затем [Ctrl] + [V] и, наконец, [Enter]. После этой инструкции находятся кнопки Fix it (Исправить проблему) и Retry (Повторить попытку).
      Внизу следует объяснение: якобы ресурс, на который пытается войти жертва, должен проверить безопасность соединения.
      На практике, когда жертва нажимает кнопку Fix it, в буфер обмена автоматически копируется вредоносная команда
      PowerShell. После этого пользователь сам открывает консоль с помощью сочетания клавиш [Win] + [R] и сам же вставляет эту команду через [Ctrl] + [V]. После нажатия [Enter] вредоносная команда выполняется.
      В результате выполнения команды на компьютер жертвы загружается 36-мегабайтный файл поддельного установщика PyInstaller,. Для отвлечения внимания жертвы при этом в браузере открывается окно с настоящим сайтом Advanced IP Scanner.
       
      View the full article
    • KL FC Bot
      Автор KL FC Bot
      12 мая — Всемирный день борьбы с шифровальщиками. В 2025 году в этот памятный день, учрежденный Интерполом и «Лабораторией Касперского», мы хотим обсудить тенденции, которые прослеживаются в ransomware-инцидентах и служат доказательством того, что с каждым годом идея вести переговоры со злоумышленниками и совершать переводы в криптовалюте становится все хуже.
      Низкое качество расшифровщиков
      Когда инфраструктура компании зашифрована в результате атаки, бизнес в первую очередь хочет вернуться к нормальной деятельности, как можно быстрее восстановив данные на рабочих станциях и серверах. Из записок вымогателей может сложиться впечатление, что после оплаты компания получит приложение, которое быстро вернет всю информацию на свои места и можно будет практически безболезненно продолжить работу. На практике этого почти никогда не случается.
      Во-первых, часть вымогателей просто обманывает своих жертв и вообще не присылает расшифровщик. Такие случаи стали широко известны, например благодаря утечке внутренней переписки вымогателей Black Basta.
      Во-вторых, бизнес вымогателей — это шифрование, а не расшифровка, поэтому написанию декрипторов уделяется минимум внимания: они плохо и медленно работают. Может оказаться, что восстановление данных из резервной копии пройдет значительно быстрее, чем восстановление при помощи утилиты злоумышленников. Часто присланные вымогателями расшифровщики сбоят при встрече с экзотическими именами файлов, из-за конфликтов прав доступа или просто без видимой причины и при этом не имеют механизма продолжения расшифровки с того места, где она прервалась. Иногда, из-за некорректной обработки, они просто портят файлы.
      В результате образовался целый сегмент ИТ-бизнеса — нормальная расшифровка. Легитимные компании берут полученный от вымогателей сырой расшифровщик и переписывают его так, чтобы он работал нормально. Но быстро найти такую компанию и дождаться улучшенную версию утилиты — опять потери денег и времени.
       
      View the full article
    • 08Sergey
      Автор 08Sergey
      Всем привет! Помогите пожалуйста, зашифровало файловый сервер, много текстовых документов, стандартные средства не помогли, есть оригинал файла и зашифрованный (в архиве), система переустановлена, письмо с требованиями не найдено...
      eking.zip
×
×
  • Создать...