xorist Шифровальщик fun07306

[levinyui]

Добрый день!
Сервер взломали по RDP и запустили шифровальщик из исполняемого файла на рабочем столе 1.exe. Минут через 10 активность была замечена, процесс остановили, пароль от взломанной учетки изменили, закрыли RDP. От шифровальщика остался исполняемый файл 1.exe, папка в профиле взломанной учетки 1 и текстовые файлы со следующим содержанием:
 
Все файлы на вашем ПК зашифрованы!
Для расшифровки файлов, вам необходимо написать на email: funox@ya.ru
В письме необходимо указать ваш id: fun07306
 
Стоимость расшифровки файлов 12500 руб., спешите! Скоро цена будет выше!
 
Проверка Kaspersky Virus Removal Tool 2015 не обнаружила угроз.
Прилагаю exe файл шифровальщика, папку, созданную шифровальщиком в профиле, зараженный файл, текст с требованием, CollectionLog

 

Строгое предупреждение от модератора Mark D. Pearlstone

Не загружайте вредоносные файлы на форум..

КАК РАСШИФРОВАТЬ ФАЙЛЫ.txt

распискаБрук.doc.fun07306.7z

CollectionLog-2017.05.28-23.30.zip

[thyrex]

C:\ProgramData\System64\mscaut.exe проверьте на virustotal.com и пришлите ссылку на результат проверки

[levinyui]

https://virustotal.com/ru/file/311204424ea605439d5c2e4452c9a0ede2e3fa255e1aaebf279e7147da1252bd/analysis/1495991111/

[thyrex]

Заархивируйте этот файл с паролем virus, выложите на dropmefiles.com и пришлите ссылку мне в личные сообщения

[levinyui]

Скинул в ЛС.

[thyrex]

Отвечу вечером

[thyrex]

Обменник пока не доступен, скачаю файл позже.

 

Проверьте ЛС

[levinyui]

Помогло, спасибо вам огромное! Расскажу про базу 1С, вдруг кому пригодится.

При восстановлении файловой базы 1cv7 столкнулся с тем, что файлы DBF(не все) были зашифрованы по содержанию, но не переименованы. Шифровальщик работал по базе, в которой работали пользователи, и не смог переименовать эти файлы, однако смог зашифровать содержимое. Пришлось из конфигуратора запускать отладчик базы - он ругнулся на 170 битых файлов DBF. Взяв из отчета об ошибках имена DBF файлов, я создал батник вида

ren XXXXXX.DBF XXXXXX.DBF.fun07306
ren YYYYYY.DBF YYYYYY.DBF.fun07306

 

(макросы notepad++ в помощь). После переименования битых файлов их корректно отработал дешифровальщик, и база, пройдя проверку и восстановление, заработала.

Еще раз спасибо! Пойду наводить порядок.