Перейти к содержанию

Заражение crypted000007 на двух серверах.


KJIayD

Рекомендуемые сообщения

Доброго времени суток. 

 

No заказа/лицензии:

**********************

 

В одной из фирм на обслуживание произошла следующая ситуация: 

Секретарь словил через почту данный вирус. Заражение его компьютера не интересно, вирус зашифровал небольшую часть данных на общих дисках на двух серверах, благо вовремя спохватились, бэки в 95% случаев есть.  

Вопросы:

Исполняемый файл вируса остался только на компе секретаря?

Если да то почему на сервере есть зараженные файлы в системных папках и они датой на следующий день? (Рис. 2 во вложении)

Можно ли по паре зараженный файл и оригинал подобрать ключ для расшифровки? Не могу выложить в открытый доступ, но могу выслать на почту. 

 

 

Скан Kaspersky Virus Removal Tool произвел - Рис. 1.

Результаты работы FRST - arch.zip.

автоматического сборщика логов - report1.log, report2.log, CollectionLog-2017.09.05-23.39.zip.

 

Всё манипуляции производились на клоне зараженной виртуальной машине, боевой сервер восстановлен из бэков, но небольшие потери файлов есть. 

Всего было заражено 382 из несколько десятков тыс. На втором сервере ситуация хуже, подобную информацию отправлю завтра после сбора. 

Готов выполнить дополнительные тесты, сбор логов и т.д., по запросу.

CollectionLog-2017.09.05-23.39.zip

post-47193-0-80689700-1504646677_thumb.png

post-47193-0-50903700-1504646687_thumb.png

report1.log

report2.log

arch.zip

Ссылка на комментарий
Поделиться на другие сайты

К сведению

Т.к. в лечении нет необходимости, тема перенесена в Беседку

 

 

 


Исполняемый файл вируса остался только на компе секретаря?
По сети передача исполняемого файла не происходит.

 

 

 


Если да то почему на сервере есть зараженные файлы в системных папках и они датой на следующий день?
Значит до сервера вирус добрался только на второй день, Возможно даже, что после перезагрузки компьютера-источника.

 

 

 


Можно ли по паре зараженный файл и оригинал подобрать ключ для расшифровки?
Невозможно.
Ссылка на комментарий
Поделиться на другие сайты

 

 

Если да то почему на сервере есть зараженные файлы в системных папках и они датой на следующий день?
Значит до сервера вирус добрался только на второй день, Возможно даже, что после перезагрузки компьютера-источника.

Что это значит? Что исполняемый файл вируса запустился на сервере на второй день? Компьютер после заражения был выключен и не включался. 

Вы смотрели логи? 

Ссылка на комментарий
Поделиться на другие сайты

 

 


Вы смотрели логи? 
Конечно. В них ничего интересного по нашей части.

 

 

 


Компьютер после заражения был выключен и не включался. 
Значит источником шифрования был иной компьютер.
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Asya
      От Asya
      Здравствуйте, уважаемые консультанты. Появилась необходимость обратиться к вам за советом. Очень надеюсь на вашу помощь. 
      Ситуация следующая:
      На смартфон в телеге было скачано два файла epub (электронные книги) из чата по англо-китайским книжкам. После, через соцсети файлы переброшены на ноутбук. 
      27.09 - скачана первая книга. Проверка Kaspersky Security Cloud дала добро, и файл был открыт. 
      20.10 - скачана вторая книга. Проверка Касперского - окей, но ещё закидываю файл на Virustotal - и вот тут обнаруживается единственное (1/64) срабатывание у китайского Kingsoft - пишет что в файле HTA trojan. Сразу удаляю файл и перепроверяю первую книгу - результат такой же, Kingsoft ругается, остальные антивирусы молчат.
      Другие файлы, из того же чата, скачанные ранее - все целиком чистые, реакт есть только на те два файла.     
      Я бы подумала на ложное срабатывание, но вдруг вспомнила, что:
      15.10 - на мой номер телефона пришло смс с кодом верификации от китайского Wechat (которым не пользуюсь уже 10 лет) и который, естественно, не запрашивала. 
      Плюсом последние несколько дней на одну из почт (моего основного гугл-аккаунта) сыпется нервирующий иностранный спам (раньше такого не было). 

      Ноутбук проверяла своим Kaspersky Security Cloud, KVRT, Dr.Web Cureit - в них всё чисто, ничего не обнаруживается. 
       
      И теперь сомневаюсь, то ли это просто совпадение, то ли мне попался какой-то хитрый китайский вирус, который ещё никто из антивирусов не видит. И где его теперь искать: на компьютере или на смартфоне (и вот с последним я вообще не знаю, что делать)? Не очень хочется думать, что какие-то китайцы таскают мои данные. 
      Буду очень благодарна, если сможете помочь и подсказать, есть ли следы вирусной активности. Заранее спасибо за уделённое время. 
      CollectionLog-2024.11.02-23.04.zip
    • Dwight
      От Dwight
      Думаю заразил Пк вирусами, так-как при банальном открытии браузера вентиляторы начинают активно набирать обороты, а работать в программах для монтажа стало просто невозможно, но все проблемы меня покидают после открытия диспетчера задач
       
      CollectionLog-2024.10.24-13.20.zip
    • whoamis
      От whoamis
      Добрый день зашифровало сервер, предположительно кто-то скачал картинку на сервере и открыл.
      Addition.txt FRST.txt 11.rar
    • website9527633
      От website9527633
      Добрый день! Возник вопрос при обращении агентов удаленно посредством запуска скрипта на рабочих станциях, вопрос: как в Агенте администрирования 15 на рабочих станциях, в скрипте указать пароль от удаления Агента администрирования?
      К примеру у меня скрипт отрабатывал таким образом, но в случае версии Агента администрирования 15, он запрашивает дополнительно пароль от удаления
      @echo off
      start "" "C:\Program Files (x86)\Kaspersky Lab\NetworkAgent\klmover.exe" -address 192.168.1.1 -silent
    • Alexandr_XML
      От Alexandr_XML
      Добрый день. Сегодня с утра запустил полную проверку системы и обнаружил Trojan.Win32.SEPEH.gen и никак не могу удалить. После попытки удаления выбрасывает в BSOD и система перезагружается. Судя по отчёту Касперского, этот вирус заразил более 84 программ.
      CollectionLog-2024.11.12-07.12.zip
×
×
  • Создать...