Перейти к содержанию

WnCry на сервере

mcko
 Поделиться

Рекомендуемые сообщения

mcko Новичок

mcko

Опубликовано
Опубликовано

Заразился старый файловый сервер и через смонтированные сетевые диски заразился соседний файловый сервер. Предположительно из под администраторской учетной записи. Прикладываю лог и образцы зашифрованных данных с предполагаемого источника заражения.

Посодействуйте, пожалуйста, в расшифровке и удалении угрозы.

Files.zip

CollectionLog-2017.11.28-10.06.zip

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 TerminateProcessByName('c:\windows\hhsm\svhosts.exe');
 StopService('AdobeFlashPlayerHash');
 QuarantineFile('C:\Users\rykov\AppData\Roaming\guide.exe', '');
 QuarantineFile('C:\Users\rykov\Как расшифровать данные.TXT', '');
 QuarantineFile('c:\windows\hhsm\svhosts.exe', '');
 DeleteFile('C:\Users\rykov\AppData\Roaming\guide.exe', '32');
 DeleteFile('C:\Users\rykov\Как расшифровать данные.TXT', '32');
 DeleteFile('c:\windows\hhsm\svhosts.exe', '32');
 DeleteService('AdobeFlashPlayerHash');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', '{083B6F1B-0E70-B2F8-6920-02F7A10E7046}');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\RunOnce', '{083B6F1B-0E70-B2F8-6920-02F7A10E7046}');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(20);
end.
Пожалуйста, перезагрузите компьютер вручную.

 

 

 

 

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте отправьте по адресу newvirus@kaspersky.com

 

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

 

Поищите пару - зашифрованный и его не зашифрованный оригинал (ищите такой в резервных копиях, на других ПК, в почте и т.п.)

Упакуйте в архив и тоже прикрепите к следующему сообщению.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Полученный ответ сообщите здесь (с указанием номера KLAN)

И желательно с пояснениями по файлам.

 

Далее:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Отметьте галочкой также "Shortcut.txt".

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

 

(В предыдущем сообщении я поторопился, виноват :))

Ссылка на комментарий
Поделиться на другие сайты
mcko Новичок

mcko

Опубликовано
  • Автор
Опубликовано

Итак FRST отработал, результаты прилагаю в одноименном архиве.

Вот что пришло с newvirus@kaspersky.com:

 

"[KLAN-7234075495]

В антивирусных базах информация по присланным вами файлам отсутствует:
Как расшифровать данные.TXT

В следующих файлах обнаружен вредоносный код:
svhosts.exe - HEUR:Trojan.Win32.Blouiroet.gen

Файлы переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте."


Не совсем понял, какие пояснения по файлам требуются.

Ссылка на комментарий
Поделиться на другие сайты
mcko Новичок

mcko

Опубликовано
  • Автор
Опубликовано (изменено)

Вы их уже процитировали, спасибо.

 

Теперь жду

отчеты FRST.txt, Addition.txt, Shortcut.txt

Мне казалось я прикладывал их в архиве FRST.zip

Изменено пользователем mcko
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
2017-11-27 15:32 - 2017-11-28 11:32 - 000000000 ____D C:\Program Files\Reimage
2017-11-27 15:30 - 2017-11-27 11:31 - 000605424 _____ (Reimage) C:\ReimageRepair.exe
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Администратор\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Администратор\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\userdata\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\userdata\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\rykov\Downloads\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Public\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\mcko\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\mcko.MCKO\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\mcko.MCKO\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\mamaev\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\mamaev\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\KlScSvc\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\KlScSvc\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\KlScSvc.S-PS\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\KlScSvc.S-PS\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\KL-AK-EF6B276D476A83\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\KL-AK-EF6B276D476A83\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\KL-AK-D1972BC75CC16C\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\KL-AK-D1972BC75CC16C\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\kav\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\kav\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Default\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Default\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Default User\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Classic .NET AppPool\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Classic .NET AppPool\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\chenin\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\chenin\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Administrator\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Administrator\Downloads\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Administrator\Desktop\Как расшифровать данные.TXT
2017-11-27 06:04 - 2017-11-27 06:04 - 000006238 _____ C:\Как расшифровать данные.TXT
2017-11-27 06:03 - 2017-11-28 11:22 - 000000000 ____D C:\Windows\HhSm
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Перезагрузите компьютер вручную.

 

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
mcko Новичок

mcko

Опубликовано
  • Автор
Опубликовано

 

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
2017-11-27 15:32 - 2017-11-28 11:32 - 000000000 ____D C:\Program Files\Reimage
2017-11-27 15:30 - 2017-11-27 11:31 - 000605424 _____ (Reimage) C:\ReimageRepair.exe
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Администратор\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Администратор\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\userdata\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\userdata\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\rykov\Downloads\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Public\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\mcko\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\mcko.MCKO\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\mcko.MCKO\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\mamaev\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\mamaev\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\KlScSvc\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\KlScSvc\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\KlScSvc.S-PS\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\KlScSvc.S-PS\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\KL-AK-EF6B276D476A83\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\KL-AK-EF6B276D476A83\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\KL-AK-D1972BC75CC16C\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\KL-AK-D1972BC75CC16C\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\kav\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\kav\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Default\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Default\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Default User\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Classic .NET AppPool\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Classic .NET AppPool\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\chenin\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\chenin\Desktop\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Administrator\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Administrator\Downloads\Как расшифровать данные.TXT
2017-11-27 06:05 - 2017-11-27 06:05 - 000006238 _____ C:\Users\Administrator\Desktop\Как расшифровать данные.TXT
2017-11-27 06:04 - 2017-11-27 06:04 - 000006238 _____ C:\Как расшифровать данные.TXT
2017-11-27 06:03 - 2017-11-28 11:22 - 000000000 ____D C:\Windows\HhSm
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Перезагрузите компьютер вручную.

 

Подробнее читайте в этом руководстве.

 

Код выполнять в AVZ?

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Нет:

Скопируйте выделенный текст (правой кнопкой - Копировать). Запустите FRST (FRST64) от имени администратора. Нажмите Fix один раз (!) и подождите.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • paradox197755
      Зашифрованы диски на сервере.
      Автор paradox197755
      Зашифрованы диски на сервере.

    • KasatkinMihail
      Зашифровали рабочий сервер
      Автор KasatkinMihail
      Доброго всем дня, в нерабочий день путем взлома RDP зашифровали сервер, поиск подобных случаев не дал результат, на письма по адресам в письме не отвечаю на вопрос сколько денег просят.
       
      ШИФР.rar Logs.rar
    • Fly13
      зашифрованы ДИСКИ на серверах
      Автор Fly13
      Не очень добрый день)
       
      Есть несколько серверов на Винде. Некоторые утром показывают то, что на скрине.  Далее текст со скрина:
       
      contact email ukrhq@proton.me or dhelp@mailfence.com 
      send id
       
      Фактически на системных дисках и дисках с данными нет разделов, живая винда предлагает их форматировать. Есть предположение, что плохиши подключались по rdp и шифровали диски программой dcrypt.
       
      Прошу помощи, готов к тратам
       

    • Анди25
      Замена сертификата на сервере ksc
      Автор Анди25
      День добрый,
       
      Сменился сервер и имя, из бэкап восстановил, но все сертификаты естественно указывают на прежний.
      Подскажите как сертификат сменить непосредственно на Kaspersky Security Center (не для работы мобильных клиентов и web, они легко меняются через mmc)
       
      Нашел описание по утилите klsetsrvcert, но чего-то не хватает, не проходит создание.
      "C:\Program Files (x86)\Kaspersky Lab\Kaspersky Security Center\klsetsrvcert.exe" -t C -i C:\0\klserver.cer -p testpass -o NoCA
    • foroven
      Шифровальщик ooo4ps зашифровал сервер.
      Автор foroven
      Добрый день. Столкнулись с шифровальщиком. Заражение по-видимому произошло ещё в субботу 22.02.2025 около 19 часов вечера. Зашифрованы документы и базы. 
      Mega.7z
×
×
  • Создать...