Шифровальщик на Windows 2008 R2

[zvonchuk]

Доброго вечера.

 

Сегодня столкнулся с проблемой Windows 2008 R2 Standard, которая в свою очередь установлена на VMware Esxi 5.5.

 

Файлы на сервере зашифрованы.

 

Буду очень признателен, если подскажите метод, по которому можно расшифровать файлы.

Хотя бы конфигурационные файлы.

 

В корне директорий лежит файл след. содержания:

 

Сообщение:

 

===============================# aes-ni ransomware #===============================

 

                   █████╗ ███████╗███████╗      ███╗   ██╗██╗

                  ██╔══██╗██╔════╝██╔════╝      ████╗  ██║██║

                  ███████║█████╗  ███████╗█████╗██╔██╗ ██║██║

                  ██╔══██║██╔══╝  ╚════██║╚════╝██║╚██╗██║██║

                  ██║  ██║███████╗███████║      ██║ ╚████║██║

                  ╚═╝  ╚═╝╚══════╝╚══════╝      ╚═╝  ╚═══╝╚═╝

 

SPECIAL VERSION: NSA EXPLOIT EDITION

 

INTRO: If you are reading it, your server was attacked with NSA exploits.

Make World Safe Again.

 

SORRY! Your files are encrypted.

File contents are encrypted with random key (AES-256 bit; ECB mode).

Random key is encrypted with RSA public key (2048 bit).

 

We STRONGLY RECOMMEND you NOT to use any "decryption tools".

These tools can damage your data, making recover IMPOSSIBLE.

 

Also we recommend you not to contact data recovery companies.

They will just contact us, buy the key and sell it to you at a higher price.

 

If you want to decrypt your files, you have to get RSA private key.

In order to get private key, write here:

 

0xc030@protonmail.ch

0xc030@tuta.io

aes-ni@scryptmail.com

 

IMPORTANT: In some cases malware researchers can block our e-mails.

If you did not receive any answer on e-mail in 48 hours,

 please do not panic and write to BitMsg (https://bitmsg.me) address:

 BM-2cVgoJS8HPMkjzgDMVNAGg5TG3bb1TcfhN

 or create topic on https://www.bleepingcomputer.com/and we will find you there.

 

If someone else offers you files restoring, ask him for test decryption.

 Only we can successfully decrypt your files; knowing this can protect you from fraud.

 

You will receive instructions of what to do next.

You MUST refer this ID in your message:

 

WIN-FN8A3BN3MM9#43C5A8EEAB914719B97BFEFFECF1C5EB

 

Also you MUST send all ".key.aes_ni_0day" files from C:\ProgramData if there are any.

 

 

===============================# aes-ni ransomware #===============================

 

 

 

CollectionLog-2017.04.17-07.40.zip

Изменено 17 апреля, 2017 пользователем zvonchuk

[Mark D. Pearlstone]

Порядок оформления запроса о помощи

[zvonchuk]

Простите меня, я подготовил файл и видимо забыл его загрузить. Добавил в первое сообщение файл.

Изменено 17 апреля, 2017 пользователем zvonchuk

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[zvonchuk]

Пожалуйста.

farbar_report.zip

[thyrex]

Логи в порядке. Ожидайте

[Nirox]

аналогичная проблема, заражение было предположительно в период с 15-17 апреля, т.к. 14-го система была в полном порядке. Очень актуальная тема, прошу помочь.

[regist]

@Nirox,

1) создайте отдельную тему, а не пишите в чужую.

2) Прикрепите логи по правилам раздела.

3) Укажите свой ID.

[Nirox]

это долго, а решение нужно было  сейчас, оно было найдено.

[thyrex]

@zvonchuk, информация для Вас

 

Работа с дешифратором:

 

1. Скачайте архив с дешифратором и инструкцией на английском (все от авторов шифровальщика) по ссылке https://yadi.sk/d/NdMGw3jU3H7HMZи разархивируйте в отдельную папку.

Архив под паролем, чтобы не было ложных срабатываний антивируса. Пароль отправлен в ЛС.

2. Скачайте архив с ключом по ссылке https://www.sendspace.com/file/mea65vи разархивируйте в папку с дешифратором (для удобства).

3. Следуйте указаниям в файле с инструкцией для расшифровки.

 

Если ключей несколько, повторите п. 3 для каждого из них.

 

По окончании расшифровки сообщите результат.