Перейти к содержанию

Шифровальщик .foster


Рекомендуемые сообщения

На сервере Windows Server 2008 R2 установлен лицензионный Касперский Small Office Security.
Вчера 13.10.2017 на сервере произошла зашифровка всех баз 1С и файлов с документами.
Шифровальщик отключил антивирус (наверно для этого использовал программу Process Hacker 2 т.к. я ее не ставил а она установлена вчерашним числом).
Поясните как так получилось?! (пароль администратора сервера очень сложный и его знаю только я и не когда его не где не сохранял не в каких файлах). Можете ли вы нам помощь в расшифровке?
К заявке приложил один зашифрованный файл и html страницу с текстом который оставил шифровальщик.
p.s.
- У нас есть еще три сервера и там тоже стоят лицензионные антивирусы Small Office Security. На этих серверах пока все в порядке, но теперь мы опасаемся что и они не защищены.
- Бэкапы доков и баз 1С есть, но есть файлы на рабочих столах юзеров которые не бэкапились и хотелось бы их расшифровать.
- Жулики запросили 1 биткоин за расшифровку

Files.zip

Ссылка на комментарий
Поделиться на другие сайты

@proficit,

1) С рассшифровкой помочь не сможем.

2)

 

 


- У нас есть еще три сервера и там тоже стоят лицензионные антивирусы Small Office Security. На этих серверах пока все в порядке, но теперь мы опасаемся что и они не защищены.
создайте тему в разделе Помощь по продуктам Лаборатории Касперского вам помогут правильно их настроить для защиты от шифровальщиков.

 

3)  - Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.
 

4) Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
 

Ссылка на комментарий
Поделиться на другие сайты

IPSec - сами настраивали?

 

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Start::
    CreateRestorePoint:
    CustomCLSID: HKU\S-1-5-21-1776525580-3596989396-2783763812-500_Classes\CLSID\{64A9418A-B6B1-4112-B75C-E61633C9A31F}\InprocServer32 -> C:\Users\836D~1\AppData\Local\Temp\2\mcse64_00.dll => No File
    CustomCLSID: HKU\S-1-5-21-1776525580-3596989396-2783763812-500_Classes\CLSID\{6775BBF1-8D9D-4D14-A999-4E78DF8DCEC6}\InprocServer32 -> C:\Users\836D~1\AppData\Local\Temp\2\mcse64_00.dll => No File
    CustomCLSID: HKU\S-1-5-21-1776525580-3596989396-2783763812-500_Classes\CLSID\{6A2E142B-EA63-433A-AC05-5223CBD26E65}\InprocServer32 -> C:\Users\836D~1\AppData\Local\Temp\2\mcse64_00.dll => No File
    CustomCLSID: HKU\S-1-5-21-1776525580-3596989396-2783763812-500_Classes\CLSID\{6AFCC535-2F12-4F50-9F0A-1CF856CFC95D}\InprocServer32 -> C:\Users\836D~1\AppData\Local\Temp\2\mcse64_00.dll => No File
    ShellIconOverlayIdentifiers: [  MailRuCloudIconOverlay0] -> {64A9418A-B6B1-4112-B75C-E61633C9A31F} => C:\Users\836D~1\AppData\Local\Temp\2\mcse64_00.dll -> No File
    ShellIconOverlayIdentifiers: [  MailRuCloudIconOverlay1] -> {6A2E142B-EA63-433A-AC05-5223CBD26E65} => C:\Users\836D~1\AppData\Local\Temp\2\mcse64_00.dll -> No File
    ShellIconOverlayIdentifiers: [  MailRuCloudIconOverlay2] -> {6AFCC535-2F12-4F50-9F0A-1CF856CFC95D} => C:\Users\836D~1\AppData\Local\Temp\2\mcse64_00.dll -> No File
    ShellIconOverlayIdentifiers-x32: [  MailRuCloudIconOverlay0] -> {64A9418A-B6B1-4112-B75C-E61633C9A31F} => C:\Users\836D~1\AppData\Local\Temp\2\mcse64_00.dll -> No File
    ShellIconOverlayIdentifiers-x32: [  MailRuCloudIconOverlay1] -> {6A2E142B-EA63-433A-AC05-5223CBD26E65} => C:\Users\836D~1\AppData\Local\Temp\2\mcse64_00.dll -> No File
    ShellIconOverlayIdentifiers-x32: [  MailRuCloudIconOverlay2] -> {6AFCC535-2F12-4F50-9F0A-1CF856CFC95D} => C:\Users\836D~1\AppData\Local\Temp\2\mcse64_00.dll -> No File
    ShortcutTarget: Cloud Mail.Ru.lnk -> C:\Users\Администратор\AppData\Local\Mail.Ru\Cloud\Cloud.exe (No File)
    GroupPolicy: Restriction <==== ATTENTION
    Reboot:
    End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически.
 
Ссылка на комментарий
Поделиться на другие сайты

IPSec - не настраивал. Сервер в аренде в дата центре.


а зачем вы пофиксили Cloud Mail.Ru? с помощью его я бэкапы в облако загоняю...

Fixlog.txt

Ссылка на комментарий
Поделиться на другие сайты

 

 


а зачем вы пофиксили Cloud Mail.Ru?
Потому что эти записи реестра ссылались на пустоту.

 


Temp\2\mcse64_00.dll => No File


Возможно вирус задел его. Если он вам нужен, то лучше переустановить его.

 


IPSec - не настраивал.
Выполните тогда ещё такой скрипт

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Павел Ф.
      Автор Павел Ф.
      Виртуальную машину с открытым извне не стандартным рдп портом зашифровал вирус KOZANOSTRA. Был установлен антивирус kaspersku Endpoint Securitu. 
      Помогите с расшифровкой. Система под переустановку, нужны файлы и базы
    • valkovaleksandr
      Автор valkovaleksandr
      Добрый день! Просьба помочь с  Шифровальщик cyberfear.
      Вот такая фигня вылазит при открытии текстовиков:
      Hello my dear friend (Do not scan the files with antivirus in any case. In case of data loss, the consequences are yours)
      Your data is encrypted
      Your personal ID: *****sJm4WtmxxeX8*datastore@cyberfear.com
      Unfortunately for you, a major IT security weakness left you open to attack, your files have been encrypted
      The only method of recovering files is to purchase decrypt tool and unique key for you.
      If you want to recover your files, write us to this e-mail: datastore@cyberfear.com
      In case of no answer in 24 hours write us to this backup e-mail: back2up@swismail.com
      Check your e-mail "Spam" or "Junk" folder if you don't get answer more than 6 hours.
      Contact us soon, because those who don't have their data leaked in our press release blog and the price they'll have to pay will go up significantly.
      Attention!
      Do not rename encrypted files. 
      Do not try to decrypt your data using third party software - it may cause permanent data loss. 
      We are always ready to cooperate and find the best way to solve your problem. 
      The faster you write - the more favorable conditions will be for you. 
      Our company values its reputation. We give all guarantees of your files decryption.
      FRST.txt Addition.txt README_SOLVETHIS.txt Привет.docx Текстовый документ.txt
       
      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.
    • Caine
      Автор Caine
      Добрый день.  
      Поймал шифровальщика KOZANOSTRA. На ПК был открыт RDP.  Прошу помощи в расшифровке данных
    • AlexYarm
      Автор AlexYarm
      Зашифровались файлы. Расширение файлов hardbit4. Прилагаю необходимые архивы. Прошу помочь с расшифровкой.
      Hardbit4Virus.zip
    • vasia15
      Автор vasia15
      вирус блокирует возможность скачать антивирус,все программы заполняет кракозябрами,установить нет возможности.прошу помощи.сам не справляюсь.
×
×
  • Создать...