Словили вирус-шифровальщик

[nickpanoff]

Добрый день.

Сотрудник на работе запустил вирус-шифровальщик на терминальном сервере. Вирус был в письме. На сервере установлен Kaspersky Antivirus Endpoint 10, подписка активна, базы обновлены. Вирус он обнаружил, но фалов полегло много - xls, doc, pdf. Файл отчета приложен. Файл отчета создавался при отключенной сети. Интересует, возможно ли дешифровать файлы? 

 

Заранее, благодарю.

CollectionLog-2017.02.22-17.26.zip

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[nickpanoff]

Ситуация такая, что рабочая ОС там не нужна, сервер будет модернизироваться и обновляться. Все пользовательские данные с него скопировали. Часть файлов зашифрована. Нужно понять, возможно ли их дешифровать.

[thyrex]

Сначала нужно понять, что это за шифратор. Подробностей ведь Вы не сообщили

[nickpanoff]

Добрый день. Данный сервер потушили, данные сняли. И по видимому шифровальщик был запущен с другого терминала.

 

Вот лог с него. И то что обнаружил Касперский. 

Самое важное понять какой шифровальщик, и возможно ли расшифровать файлы.

CollectionLog-2017.02.27-14.48.zip

[thyrex]

Это Spora. Шансов никаких.

 

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[nickpanoff]

Сканы приложены

Desktop.zip

[thyrex]

Никаких признаков, что именно этот сервер стал источником

[nickpanoff]

Благодарю за информацию.

 

Будем проводить разъяснительные работы с сотрудниками.