globeimposter 2.0 Вирус шифровальщик Zuzya_next

[mikasher]

Добрый день,

 

Два сервера словили вирус, на одном установлен Касперский Endpoint Security 10, файлы имеют расширение zuzya, ссылается на сайт zuzya_next.aol.com, попробывали бесплатную утилиту от касперского по удалению вируса- шифровальщика, он сказал что продукт касперского уже установлен.

 

 

Кто-нибудь сталкивался с таким вирусом? Подскажите в каком направлении копать.

 

Один сервак доменный репликатор, второй 1с, базы sql тоже зашифровал.

[SQ]

Порядок оформления запроса о помощи.

[mikasher]

Произвели проверку, утилитой Kaspersky Virus Removal Tool 2015, поиск ничего не дал, Угроз не обнаружено,

Лог во вложении

CollectionLog-2017.08.14-12.32.zip

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[mikasher]

Отчеты в архиве

FRST.rar

[thyrex]

Скорее всего это GlobeImposter2 и расшифровки не будет.

 

Образец зашифрованного файла и сообщение вымогателя how_to_back_files.html в одном архиве прикрепите к следующему сообщению.

[mikasher]

Примеры файлов в прикрепленном архиве.

how to back.rar

Изменено 14 августа, 2017 пользователем mikasher

[thyrex]

Да, это GlobeImposter2. С расшифровкой помочь не сможем.

[mikasher]

Это просто выстрел в голову, а по части остановки распространения илечения компов не информации ? По файлам понятно , а как оградить остальные компы?

[thyrex]

Сменить пароль от RDP на более сложный, сменить стандартный порт RDP.

 

Активного вируса в логах нет.