Перейти к содержанию
Конкурс по разработке Telegram-бота Kaspersky Club

Шифровальщик зашифровал все данные сервера

Андрей Шанин

Автор Андрей Шанин
в Помощь в борьбе с шифровальщиками-вымогателями

 Поделиться

Рекомендуемые сообщения

Андрей Шанин Новичок

Андрей Шанин

Опубликовано
Опубликовано (изменено)

На сервере зашифрованы и программы и файлы.

Чтобы разархивировать Сборщика логов пришлось устанавливать архиватор заново.

Как вирус попал на сервер не известно.

CollectionLog-2018.01.21-06.59.zip

Изменено пользователем Андрей Шанин
Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

С расшифровкой помочь не сможем. Будет только зачистка следов мусора.

 

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3munStB.png

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Судя по времени появления файлов с сообщением вымогателей шифрование прошло после входа по RDP. Пароль от него смените.

 

C:\Users\systems\AppData\Roaming\info.exe

C:\Windows\TEMP\y1.bat

заархивируйте с паролем virus, выложите на dropmefiles.com и пришлите ссылку мне в личные сообщения.

 

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
2018-01-19 05:21 - 2018-01-19 05:21 - 000000109 _____ C:\Program Files\How Recovery Files.txt
2018-01-19 05:19 - 2018-01-19 05:19 - 000000109 _____ C:\Program Files (x86)\How Recovery Files.txt
2018-01-19 05:12 - 2018-01-19 05:12 - 000000109 _____ C:\Users\Administrator\AppData\Local\How Recovery Files.txt
2018-01-19 05:11 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Administrator\How Recovery Files.txt
2018-01-19 05:11 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Administrator\Documents\How Recovery Files.txt
2018-01-19 05:11 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Administrator\Desktop\How Recovery Files.txt
2018-01-19 05:11 - 2018-01-19 05:31 - 000000109 _____ C:\ProgramData\How Recovery Files.txt
2018-01-19 05:11 - 2018-01-19 05:11 - 000000109 _____ C:\Users\Administrator\Downloads\How Recovery Files.txt
2018-01-19 05:09 - 2018-01-19 05:09 - 000000109 _____ C:\Users\Buh\AppData\Local\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\test\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\test\Documents\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\test\AppData\Local\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\systems\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\systems\Documents\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\systems\Desktop\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\systems\AppData\Roaming\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\RDV GRAPHICS SERVICE\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\RDV GRAPHICS SERVICE\Documents\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Public\Documents\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Public\Desktop\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Olga\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Olga\Documents\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Olga\Desktop\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Default\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Default\Documents\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Default\AppData\Local\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Default User\Documents\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Default User\AppData\Local\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Buh\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Buh\Downloads\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Buh\Documents\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Buh\Desktop\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:08 - 000000109 _____ C:\Users\test\Downloads\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:08 - 000000109 _____ C:\Users\test\Desktop\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:08 - 000000109 _____ C:\Users\systems\Downloads\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:08 - 000000109 _____ C:\Users\systems\AppData\Local\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:08 - 000000109 _____ C:\Users\RDV GRAPHICS SERVICE\Downloads\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:08 - 000000109 _____ C:\Users\RDV GRAPHICS SERVICE\Desktop\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:08 - 000000109 _____ C:\Users\RDV GRAPHICS SERVICE\AppData\Local\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:08 - 000000109 _____ C:\Users\Public\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:08 - 000000109 _____ C:\Users\Public\Downloads\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:08 - 000000109 _____ C:\Users\Olga\Downloads\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:08 - 000000109 _____ C:\Users\Olga\AppData\Local\How Recovery Files.txt
2018-01-19 05:05 - 2018-01-19 05:05 - 000000109 _____ C:\Users\Генеральный директор\AppData\Local\How Recovery Files.txt
2018-01-19 05:03 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Генеральный директор\How Recovery Files.txt
2018-01-19 05:03 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Генеральный директор\Downloads\How Recovery Files.txt
2018-01-19 05:03 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Генеральный директор\Documents\How Recovery Files.txt
2018-01-19 05:03 - 2018-01-19 05:03 - 000000109 _____ C:\Users\Генеральный директор\Desktop\How Recovery Files.txt
2018-01-19 05:02 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Менеджер по развитию\How Recovery Files.txt
2018-01-19 05:02 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Менеджер по развитию\Documents\How Recovery Files.txt
2018-01-19 05:02 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Менеджер по развитию\Desktop\How Recovery Files.txt
2018-01-19 05:02 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Менеджер по развитию\AppData\Local\How Recovery Files.txt
2018-01-19 05:02 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Км. директор\How Recovery Files.txt
2018-01-19 05:02 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Км. директор\Documents\How Recovery Files.txt
2018-01-19 05:02 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Км. директор\Desktop\How Recovery Files.txt
2018-01-19 05:02 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Км. директор\AppData\Local\How Recovery Files.txt
2018-01-19 05:02 - 2018-01-19 05:02 - 000000109 _____ C:\Users\Менеджер по развитию\Downloads\How Recovery Files.txt
2018-01-19 05:02 - 2018-01-19 05:02 - 000000109 _____ C:\Users\Км. директор\Downloads\How Recovery Files.txt
2018-01-19 04:53 - 2018-01-19 04:53 - 000000109 _____ C:\Users\systems\AppData\Roaming\recovery.txt
2018-01-19 04:53 - 2018-01-10 21:33 - 000921088 _____ C:\Users\systems\AppData\Roaming\info.exe
Task: {504E53B3-6BDA-467B-991E-19E1F6BCB58C} - System32\Tasks\yastcat => C:\Windows\TEMP\y1.bat [2018-01-10] () <==== ATTENTION
2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

  • Обратите внимание: перезагрузку компьютера нужно выполнить вручную.
Ссылка на комментарий
Поделиться на другие сайты
Андрей Шанин Новичок

Андрей Шанин

Опубликовано
  • Автор
Опубликовано

Не могу выполнить задачу из прошлого вашего письма.

Вирус шифрует вновь установленные программы, включая утилиту Farbar Recovery Scan Tool

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Отключите компьютер от сети, загрузитесь в безопасном режиме и попробуйте снова собрать логи Farbar. Перенесите с помощью флешки на другой компьютер и прикрепите к сообщению.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Zakot
      Вирус зашифровал данные на сервере
      Автор Zakot
      На сервере вчера вирус зашифровал данные, возможно через RDP попал, сегодня обнаружили.
      virus.zipFRST.txtAddition.txt
    • Pristan
      Шифровальщик зашифровал сервера Window Server
      Автор Pristan
      Зашифровались почти все сервера на MS Windows server.
      Пример зашифрованных файлов, требования и логи во вложении.
       
      По логам событий windows был найден вредоносный файл, при необходимости могу предоставить.
       
      Спасибо.
      Addition.txt files.7z FRST.txt a77ce0eadd58f2-README.txt
    • evg-gaz
      зашифровали сервер
      Автор evg-gaz
      Зашифровали все файлы на сервереAddition.txtvirus.rarFRST.txt
    • Albina
      На сервер попал шифровальщик ((
      Автор Albina
      Добрый день. Словили шифровальщик. Помогите восстановить файлы. Бэкапов не делали((
      Анализ системы при помощи Farbar сделали. Архив с файлами прилагаем.
      С надеждой, Альбина
      Shortcut_23-04-2025 17.30.07.txt Logs.zip
    • Keldenis
      Вирус-шифровальщик. Сервер 1с.
      Автор Keldenis
      Здравствуйте! Наш сервер был поражен вирусом-шифровальщиком. Все зараженные файлы приобрели вид блокнота при нажатии на который выходило сообщение от мошенников. Мы воспользовались утилитой от Касперского Rakhni Decryptor. Она смогла подобрать пароль и (по её мнению) расшифровать файлы. Но ни один из "расшифрованных" файлов не открывался. При этом, мы использовали утилиту дважды. В первый раз мы не использовали функцию удаления пораженных файлов, расшифрованная копия которых уже была сделана. Таким образом, после первого использования утилиты, у нас на сервере появились копии практически всех зашифрованных файлов. При этом, сам зашифрованный файл имел вид блокнотика, а его расшифрованная копия имела обычный для такого типа файла внешний вид. У зашифрованных файлов и их расшифрованной копии, при этом, был одинаковый размер файла. Мы решили, что, возможно нам нужно было поставить галочку для функции "Удалять зашифрованные файлы после успешной расшифровки", чтобы после расшифровки файлы открывались. Кроме того, дубляж файлов съел практически всё свободное место на наших жестких дисках. Поэтому, мы удалили наиболее тяжелые копии расшифрованных файлов и запустили утилиту повторно, поставив галочку для удаления зашифрованных файлов. Утилита вновь успешно подобрала пароль и расшифровала файлы, удалив все зашифрованные. Но файлы так и не начали открываться. Как описано выше, мы удалили копии только тяжелых файлов. Те зашифрованные файлы, расшифрованные копии которых мы не удалили после первого применения утилиты, при втором использовании утилиты остались нетронутыми. Поэтому мы прикрепляем в архиве именно такие файлы, т.е. сам зашифрованный файл и его расшифрованную утилитой копию, чтобы понять на примере зашифрованного файла, можно ли его расшифровать; а на примере "расшифрованного" утилитой файла, действительно ли он был расшифрован, но не открывается, потому что испорчен и не подлежит или подлежит восстановлению, либо он не был на самом деле расшифрован, и его всё еще можно расшифровать в будущем, хоть он уже и не имеет вид того самого блокнотика. Кроме того, мы установили антивирус от Касперсого на сервер и он, вероятно, уже удалил сам файл шифровальщик.
      Зашифрованные файлы.zip Addition.txt FRST.txt
×
×
  • Создать...