шифровальщик .Granit

[nsrnso]

Добрый день.

Перед тем как написать запрос в техподдержку Касперского на расшифровку, есть рекомендация создать тему тут:

 

:

5. Опишите максимально подробно Вашу проблему и прикрепите необходимые файлы. Желательно перед выполнением этого пункта проконсультироваться с консультантом на форуме. Консультант Вам подскажет, какие файлы могут оказаться полезными для вирусной лаборатории, что в конечном счете может сказаться на успехе расшифровки Ваших файлов.

 

 

во вложении - пример зашифрованного файла.

 

С безопасностью вообще беда в организации, до сервера у всех был доступ. Ну и естественно кто-то запустил у себя шифратор, пока нет возможности выяснить кто (в ближайшее время выясним), и зашифровал все файлы на сервере, ну и наверно у себя.

 

Помогите, пожалуйста, какие наши действия дальше.

 

hamil8642@gmail.com___.rar

[thyrex]

Порядок оформления запроса о помощи

Выполнять на машине, ставшей источником шифрования

[nsrnso]

Не нашли источник...

Подскажите, что в этом случае предпринять?

[thyrex]

Смотрите логи сервера. Возможно был несанкционированный вход по RDP

[nsrnso]

Да был, доступ прикрыли. В логах - IP откуда заходили не указан... пустое поле...

файл протоколов (логов) 

CollectionLog-2017.02.06-15.59.zip

[Sandor]

Здравствуйте!

 

Дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[nsrnso]

Вот

Addition.txt

FRST.txt

Shortcut.txt

[Sandor]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
GroupPolicy: Restriction <======= ATTENTION
FF NewTab: Mozilla\Firefox\Profiles\qvhe3oad.default -> yafd:tabs
CHR Extension: (No Name) - C:\Users\s1ash\AppData\Local\Google\Chrome\User Data\Default\Extensions\aohghmighlieiainnegkcijnfilokake [2015-02-17]
CHR Extension: (No Name) - C:\Users\s1ash\AppData\Local\Google\Chrome\User Data\Default\Extensions\apdfllckaahabafndbhieahigkjlhalf [2016-02-02]
CHR Extension: (No Name) - C:\Users\s1ash\AppData\Local\Google\Chrome\User Data\Default\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo [2016-02-02]
CHR Extension: (No Name) - C:\Users\s1ash\AppData\Local\Google\Chrome\User Data\Default\Extensions\coobgpohoikkiipiblmjeljniedjpjpf [2016-02-02]
CHR Extension: (No Name) - C:\Users\s1ash\AppData\Local\Google\Chrome\User Data\Default\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi [2016-04-01]
CHR Extension: (No Name) - C:\Users\s1ash\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjkljhegncpnkpknbcohdijeoejaedia [2015-04-20]
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

 

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[nsrnso]

Вот

Fixlog.txt

[Sandor]

Компьютер будет перезагружен автоматически.

Я по ошибке не поправил шаблон. Перегрузить следовало вручную.

 

Попробуйте найти пару небольших по объему (зашифрованный/не зашифрованный) файлов и прикрепите к следующему сообщению вместе с текстом вымогателей (если такой есть).

[nsrnso]

В архиве 2 файла - зашифрованный и оригинал.

 

Текста, к сожалению, нет.

ещё парочка

шифр+нешифр.rar

зашифров+оригинал.rar

Изменено 8 февраля, 2017 пользователем nsrnso

[Sandor]

К сожалению, с расшифровкой помочь не сможем.

[nsrnso]

Как касперский скинет расшифровщик - сюда выложу...

[mike 1]

А почему решили, что скинет? Насколько я знаю дешифровки RotorCrypt в техподдержке нет. 

[nsrnso]

Сказали, как появится расшифровщик - нам его пришлют