Перейти к содержанию

Шифровальщик da vinci code [Shade Ransomware]


Рекомендуемые сообщения

В организации админ имеется?

 

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
3munStB.png
Ссылка на комментарий
Поделиться на другие сайты

В организации админ имеется?

 

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
3munStB.png

 

я и есть админ)

Addition.txt

FRST.txt

Ссылка на комментарий
Поделиться на другие сайты

Platform: Microsoft Windows XP Professional Service Pack 2 (X86) Language: Русский
Internet Explorer Version 6 (Default browser: Chrome)
Почему вы обновления на систему не ставите? Ваш компьютер дырявый как решето и никакой антивирус такую дырявую систему не спасет. Все сетевые черви будут вашими. По сути из-за вашей халатности файлы зашифровались.

 

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

  • Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CreateRestorePoint:
    CloseProcesses:
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README8.txt
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README7.txt
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README6.txt
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README5.txt
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README4.txt
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README3.txt
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README2.txt
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README10.txt
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README1.txt
    2016-11-02 16:56 - 2016-11-03 08:25 - 00000000 __SHD C:\Documents and Settings\All Users\Application Data\Windows
    
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
  • Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму
Ссылка на комментарий
Поделиться на другие сайты

Именно админ отвечает за обслуживание рабочих станций, а тот факт что ты:

 

1. Не ставишь обновления на Windows;

2. Не ограничиваешь своих пользователей в правах;

3. Не делаешь резервных копий важных данных;

4. Не настроил должным образом сетевые папки.

 

Вызывает недоумение. Будь я начальником, я бы гнал в шею таких "админов", уж извините.

Ссылка на комментарий
Поделиться на другие сайты

Сочту за совет, если "админу" объясните, как оградить систему от того, что у пользователя на ПК стоит почтовый клиент. Ему приходит письмо с вложением "счет-фактура.rar". Он не доходит мозгом, что это архив, что там нет той самой счет-факуры (все документы либо в форматах Excel, PDF, JPEG присылаются). И вуаля, шифровальщик пошел делать свою работу. Почему у меня на четырех компьютерах, где нет антивируса, ни разу даже банера не вылезло? Потому что думаю, куда лезу в интернете и что открываю. Дело не в работе админа, а, еще раз повторю, в "грамотности" юзера. Обновления на винду ставить смысла нет, т.к. железо там Г, другое купить не дают. Касперский вполне ограничивает пользователей на запуск сетапников, экзешников и прочей "самодеятельности" юзера. Общего резервного копирования нет. так как нет и сетевых папок. Уж простите, на иную структуру предприятия средств не выделяют. По делу: Файлы будут позже.

Ссылка на комментарий
Поделиться на другие сайты

Platform: Microsoft Windows XP Professional Service Pack 2 (X86) Language: Русский
Internet Explorer Version 6 (Default browser: Chrome)
Почему вы обновления на систему не ставите? Ваш компьютер дырявый как решето и никакой антивирус такую дырявую систему не спасет. Все сетевые черви будут вашими. По сути из-за вашей халатности файлы зашифровались.

 

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

  • Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CreateRestorePoint:
    CloseProcesses:
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README8.txt
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README7.txt
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README6.txt
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README5.txt
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README4.txt
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README3.txt
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README2.txt
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README10.txt
    2016-11-02 16:57 - 2016-11-02 16:57 - 00004186 _____ C:\README1.txt
    2016-11-02 16:56 - 2016-11-03 08:25 - 00000000 __SHD C:\Documents and Settings\All Users\Application Data\Windows
    
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
  • Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

 

Fixlog.txt

Ссылка на комментарий
Поделиться на другие сайты

Исправляйте недочеты. Смените все пароли (почта, ftp, аська, скайп, пароли сохраненные в браузерах, RDP, доступ к админке если держите сайт). Пишите запрос https://forum.kasperskyclub.ru/index.php?showtopic=48525

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Warlocktv
      Автор Warlocktv
      Добрый день,
      Через RDP словили шифровальщик Phobos (на основании ID Ransomware https://id-ransomware.malwarehunterteam.com/identify.php?case=52c4281ece07330467137e30a150ae4130e52132).
      Отчеты Recorded Future Triangle https://tria.ge/241216-tdxdrsvpek и Joe Sand Cloud https://www.joesandbox.com/analysis/1576226/1/executive.
      Зараженные системы удалены. Остались зараженные файлы которые требуется дешифровать. Необходима помощь. В архиве два зараженных файла и сообщения от шифровальщиков.Encrypted.zip
    • specxpilot
    • KL FC Bot
      Автор KL FC Bot
      Ransomware-группировка Interlock начала использовать технику ClickFix для проникновения в инфраструктуру своих жертв. В одном из недавних постов мы уже рассказывали об общей идее ClickFix, а сегодня поговорим о конкретном примере использования этой тактики одной из группировок. Исследователи кибербезопасности обнаружили, что Interlock использует поддельную CAPTCHA якобы от Cloudflare на странице, маскирующейся под сайт Advanced IP Scanner — популярного бесплатного сетевого сканера.
      Исходя из этого можно предположить, что атаки нацелены на ИТ-специалистов, работающих в потенциально интересующих группировку организациях. Судя по всему, Interlock находится на этапе тестирования новых инструментов, в частности техники ClickFix.
      Как Interlock использует ClickFix для распространения вредоносного ПО
      Злоумышленники из Interlock заманивают жертву на страницу, адрес которой имитирует адрес сайта Advanced IP Scanner. Описавшие атаку исследователи нашли одну и ту же страницу, размещенную по нескольким адресам в Сети.
      При переходе по ссылке пользователь видит извещение о необходимости пройти CAPTCHA, якобы от Cloudflare. В сопутствующем тексте мошенники рассказывают жертве о том, что Cloudflare «помогает компаниям восстановить контроль над своими технологиями». За этим достаточно типичным бизнесовым текстом, скопированным со страницы «Что такое Cloudflare?» настоящего веб-сайта компании, следует указание: нажать сочетание [Win] + [R], затем [Ctrl] + [V] и, наконец, [Enter]. После этой инструкции находятся кнопки Fix it (Исправить проблему) и Retry (Повторить попытку).
      Внизу следует объяснение: якобы ресурс, на который пытается войти жертва, должен проверить безопасность соединения.
      На практике, когда жертва нажимает кнопку Fix it, в буфер обмена автоматически копируется вредоносная команда
      PowerShell. После этого пользователь сам открывает консоль с помощью сочетания клавиш [Win] + [R] и сам же вставляет эту команду через [Ctrl] + [V]. После нажатия [Enter] вредоносная команда выполняется.
      В результате выполнения команды на компьютер жертвы загружается 36-мегабайтный файл поддельного установщика PyInstaller,. Для отвлечения внимания жертвы при этом в браузере открывается окно с настоящим сайтом Advanced IP Scanner.
       
      View the full article
    • 08Sergey
      Автор 08Sergey
      Всем привет! Помогите пожалуйста, зашифровало файловый сервер, много текстовых документов, стандартные средства не помогли, есть оригинал файла и зашифрованный (в архиве), система переустановлена, письмо с требованиями не найдено...
      eking.zip
    • Павел Бурдейный
      Автор Павел Бурдейный
      Сегодня схватили шифровальщика. Имя файла изменилось на Лист Microsoft Office Excel.xlsx.[ID-6E9103E8].[Telegram ID @Cherchil_77777].WMRWXK . Прошу помочь в решении проблемы
      Лист Microsoft Office Excel.xlsx
×
×
  • Создать...