Шифровальщик зашифровал все данные сервера

[Андрей Шанин]

На сервере зашифрованы и программы и файлы.

Чтобы разархивировать Сборщика логов пришлось устанавливать архиватор заново.

Как вирус попал на сервер не известно.

CollectionLog-2018.01.21-06.59.zip

Изменено 21 января, 2018 пользователем Андрей Шанин

[thyrex]

С расшифровкой помочь не сможем. Будет только зачистка следов мусора.

 

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[Андрей Шанин]

Спасибо!

Отчеты готовы в Архиве

Архив.7z

[thyrex]

Судя по времени появления файлов с сообщением вымогателей шифрование прошло после входа по RDP. Пароль от него смените.

 

C:\Users\systems\AppData\Roaming\info.exe

C:\Windows\TEMP\y1.bat

заархивируйте с паролем virus, выложите на dropmefiles.com и пришлите ссылку мне в личные сообщения.

 

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
2018-01-19 05:21 - 2018-01-19 05:21 - 000000109 _____ C:\Program Files\How Recovery Files.txt
2018-01-19 05:19 - 2018-01-19 05:19 - 000000109 _____ C:\Program Files (x86)\How Recovery Files.txt
2018-01-19 05:12 - 2018-01-19 05:12 - 000000109 _____ C:\Users\Administrator\AppData\Local\How Recovery Files.txt
2018-01-19 05:11 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Administrator\How Recovery Files.txt
2018-01-19 05:11 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Administrator\Documents\How Recovery Files.txt
2018-01-19 05:11 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Administrator\Desktop\How Recovery Files.txt
2018-01-19 05:11 - 2018-01-19 05:31 - 000000109 _____ C:\ProgramData\How Recovery Files.txt
2018-01-19 05:11 - 2018-01-19 05:11 - 000000109 _____ C:\Users\Administrator\Downloads\How Recovery Files.txt
2018-01-19 05:09 - 2018-01-19 05:09 - 000000109 _____ C:\Users\Buh\AppData\Local\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\test\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\test\Documents\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\test\AppData\Local\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\systems\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\systems\Documents\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\systems\Desktop\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\systems\AppData\Roaming\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\RDV GRAPHICS SERVICE\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\RDV GRAPHICS SERVICE\Documents\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Public\Documents\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Public\Desktop\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Olga\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Olga\Documents\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Olga\Desktop\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Default\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Default\Documents\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Default\AppData\Local\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Default User\Documents\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Default User\AppData\Local\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Buh\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Buh\Downloads\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Buh\Documents\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Buh\Desktop\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:08 - 000000109 _____ C:\Users\test\Downloads\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:08 - 000000109 _____ C:\Users\test\Desktop\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:08 - 000000109 _____ C:\Users\systems\Downloads\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:08 - 000000109 _____ C:\Users\systems\AppData\Local\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:08 - 000000109 _____ C:\Users\RDV GRAPHICS SERVICE\Downloads\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:08 - 000000109 _____ C:\Users\RDV GRAPHICS SERVICE\Desktop\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:08 - 000000109 _____ C:\Users\RDV GRAPHICS SERVICE\AppData\Local\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:08 - 000000109 _____ C:\Users\Public\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:08 - 000000109 _____ C:\Users\Public\Downloads\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:08 - 000000109 _____ C:\Users\Olga\Downloads\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:08 - 000000109 _____ C:\Users\Olga\AppData\Local\How Recovery Files.txt
2018-01-19 05:05 - 2018-01-19 05:05 - 000000109 _____ C:\Users\Генеральный директор\AppData\Local\How Recovery Files.txt
2018-01-19 05:03 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Генеральный директор\How Recovery Files.txt
2018-01-19 05:03 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Генеральный директор\Downloads\How Recovery Files.txt
2018-01-19 05:03 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Генеральный директор\Documents\How Recovery Files.txt
2018-01-19 05:03 - 2018-01-19 05:03 - 000000109 _____ C:\Users\Генеральный директор\Desktop\How Recovery Files.txt
2018-01-19 05:02 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Менеджер по развитию\How Recovery Files.txt
2018-01-19 05:02 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Менеджер по развитию\Documents\How Recovery Files.txt
2018-01-19 05:02 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Менеджер по развитию\Desktop\How Recovery Files.txt
2018-01-19 05:02 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Менеджер по развитию\AppData\Local\How Recovery Files.txt
2018-01-19 05:02 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Км. директор\How Recovery Files.txt
2018-01-19 05:02 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Км. директор\Documents\How Recovery Files.txt
2018-01-19 05:02 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Км. директор\Desktop\How Recovery Files.txt
2018-01-19 05:02 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Км. директор\AppData\Local\How Recovery Files.txt
2018-01-19 05:02 - 2018-01-19 05:02 - 000000109 _____ C:\Users\Менеджер по развитию\Downloads\How Recovery Files.txt
2018-01-19 05:02 - 2018-01-19 05:02 - 000000109 _____ C:\Users\Км. директор\Downloads\How Recovery Files.txt
2018-01-19 04:53 - 2018-01-19 04:53 - 000000109 _____ C:\Users\systems\AppData\Roaming\recovery.txt
2018-01-19 04:53 - 2018-01-10 21:33 - 000921088 _____ C:\Users\systems\AppData\Roaming\info.exe
Task: {504E53B3-6BDA-467B-991E-19E1F6BCB58C} - System32\Tasks\yastcat => C:\Windows\TEMP\y1.bat [2018-01-10] () <==== ATTENTION

2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: перезагрузку компьютера нужно выполнить вручную.

[Андрей Шанин]

Не могу выполнить задачу из прошлого вашего письма.

Вирус шифрует вновь установленные программы, включая утилиту Farbar Recovery Scan Tool

[thyrex]

Отключите компьютер от сети, загрузитесь в безопасном режиме и попробуйте снова собрать логи Farbar. Перенесите с помощью флешки на другой компьютер и прикрепите к сообщению.