Перейти к содержанию

Шифровальщик зашифровал все данные сервера

Андрей Шанин

Автор Андрей Шанин
в Помощь в борьбе с шифровальщиками-вымогателями

 Поделиться

Рекомендуемые сообщения

Андрей Шанин

Андрей Шанин

Опубликовано
Опубликовано (изменено)

На сервере зашифрованы и программы и файлы.

Чтобы разархивировать Сборщика логов пришлось устанавливать архиватор заново.

Как вирус попал на сервер не известно.

CollectionLog-2018.01.21-06.59.zip

Изменено пользователем Андрей Шанин
thyrex

thyrex

Опубликовано
Опубликовано

С расшифровкой помочь не сможем. Будет только зачистка следов мусора.

 

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3munStB.png

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

thyrex

thyrex

Опубликовано
Опубликовано

Судя по времени появления файлов с сообщением вымогателей шифрование прошло после входа по RDP. Пароль от него смените.

 

C:\Users\systems\AppData\Roaming\info.exe

C:\Windows\TEMP\y1.bat

заархивируйте с паролем virus, выложите на dropmefiles.com и пришлите ссылку мне в личные сообщения.

 

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
2018-01-19 05:21 - 2018-01-19 05:21 - 000000109 _____ C:\Program Files\How Recovery Files.txt
2018-01-19 05:19 - 2018-01-19 05:19 - 000000109 _____ C:\Program Files (x86)\How Recovery Files.txt
2018-01-19 05:12 - 2018-01-19 05:12 - 000000109 _____ C:\Users\Administrator\AppData\Local\How Recovery Files.txt
2018-01-19 05:11 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Administrator\How Recovery Files.txt
2018-01-19 05:11 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Administrator\Documents\How Recovery Files.txt
2018-01-19 05:11 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Administrator\Desktop\How Recovery Files.txt
2018-01-19 05:11 - 2018-01-19 05:31 - 000000109 _____ C:\ProgramData\How Recovery Files.txt
2018-01-19 05:11 - 2018-01-19 05:11 - 000000109 _____ C:\Users\Administrator\Downloads\How Recovery Files.txt
2018-01-19 05:09 - 2018-01-19 05:09 - 000000109 _____ C:\Users\Buh\AppData\Local\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\test\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\test\Documents\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\test\AppData\Local\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\systems\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\systems\Documents\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\systems\Desktop\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\systems\AppData\Roaming\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\RDV GRAPHICS SERVICE\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\RDV GRAPHICS SERVICE\Documents\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Public\Documents\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Public\Desktop\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Olga\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Olga\Documents\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Olga\Desktop\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Default\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Default\Documents\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Default\AppData\Local\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Default User\Documents\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Default User\AppData\Local\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Buh\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Buh\Downloads\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Buh\Documents\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Buh\Desktop\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:08 - 000000109 _____ C:\Users\test\Downloads\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:08 - 000000109 _____ C:\Users\test\Desktop\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:08 - 000000109 _____ C:\Users\systems\Downloads\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:08 - 000000109 _____ C:\Users\systems\AppData\Local\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:08 - 000000109 _____ C:\Users\RDV GRAPHICS SERVICE\Downloads\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:08 - 000000109 _____ C:\Users\RDV GRAPHICS SERVICE\Desktop\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:08 - 000000109 _____ C:\Users\RDV GRAPHICS SERVICE\AppData\Local\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:08 - 000000109 _____ C:\Users\Public\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:08 - 000000109 _____ C:\Users\Public\Downloads\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:08 - 000000109 _____ C:\Users\Olga\Downloads\How Recovery Files.txt
2018-01-19 05:08 - 2018-01-19 05:08 - 000000109 _____ C:\Users\Olga\AppData\Local\How Recovery Files.txt
2018-01-19 05:05 - 2018-01-19 05:05 - 000000109 _____ C:\Users\Генеральный директор\AppData\Local\How Recovery Files.txt
2018-01-19 05:03 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Генеральный директор\How Recovery Files.txt
2018-01-19 05:03 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Генеральный директор\Downloads\How Recovery Files.txt
2018-01-19 05:03 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Генеральный директор\Documents\How Recovery Files.txt
2018-01-19 05:03 - 2018-01-19 05:03 - 000000109 _____ C:\Users\Генеральный директор\Desktop\How Recovery Files.txt
2018-01-19 05:02 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Менеджер по развитию\How Recovery Files.txt
2018-01-19 05:02 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Менеджер по развитию\Documents\How Recovery Files.txt
2018-01-19 05:02 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Менеджер по развитию\Desktop\How Recovery Files.txt
2018-01-19 05:02 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Менеджер по развитию\AppData\Local\How Recovery Files.txt
2018-01-19 05:02 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Км. директор\How Recovery Files.txt
2018-01-19 05:02 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Км. директор\Documents\How Recovery Files.txt
2018-01-19 05:02 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Км. директор\Desktop\How Recovery Files.txt
2018-01-19 05:02 - 2018-01-19 05:31 - 000000109 _____ C:\Users\Км. директор\AppData\Local\How Recovery Files.txt
2018-01-19 05:02 - 2018-01-19 05:02 - 000000109 _____ C:\Users\Менеджер по развитию\Downloads\How Recovery Files.txt
2018-01-19 05:02 - 2018-01-19 05:02 - 000000109 _____ C:\Users\Км. директор\Downloads\How Recovery Files.txt
2018-01-19 04:53 - 2018-01-19 04:53 - 000000109 _____ C:\Users\systems\AppData\Roaming\recovery.txt
2018-01-19 04:53 - 2018-01-10 21:33 - 000921088 _____ C:\Users\systems\AppData\Roaming\info.exe
Task: {504E53B3-6BDA-467B-991E-19E1F6BCB58C} - System32\Tasks\yastcat => C:\Windows\TEMP\y1.bat [2018-01-10] () <==== ATTENTION
2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

  • Обратите внимание: перезагрузку компьютера нужно выполнить вручную.
Андрей Шанин

Андрей Шанин

Опубликовано
  • Автор
Опубликовано

Не могу выполнить задачу из прошлого вашего письма.

Вирус шифрует вновь установленные программы, включая утилиту Farbar Recovery Scan Tool

thyrex

thyrex

Опубликовано
Опубликовано

Отключите компьютер от сети, загрузитесь в безопасном режиме и попробуйте снова собрать логи Farbar. Перенесите с помощью флешки на другой компьютер и прикрепите к сообщению.

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • dostupnaya-sreda
      Вирус вымогатель на Windows Server 2008R2, файлы зашифрованы с расширением rapid
      Автор dostupnaya-sreda
      Здравствуйте! 
      Опишу как было дело.
       
      Утром в 9:00 запустил рабочий комп и 1С, минут 5 работало всё хорошо, затем 1С перестала отвечать.
      Попытался по RDP подключится к серверу выдало мол сервер не отвечает.
       
      Подошёл к серверу, запустил под админом и вижу открытый блокнот с надписью 
       
      Вырубил сетку, чтобы зараза дальше не пошла.
      Убедился что все файлы на 3 жёстких дисках зашифрованы.
       
      Нашёл Ваш форум и правила оформления заявки. Далее старался делать как указано в правилах, прогнал kvrt и cureit.
      cureit ругнулся на Tool.HideFolders.4 Путь: С:\Windows\System32\Drivers\FSPFLtd2.sys
       
      Далее запустил AutoLogger.exe и  Farbar Recovery Scan Tool
      Их отчёты а так же примеры зашифрованных файлов  прикрепляю. Пароль на архив с заражёнными файлами 0000.
      Shortcut.rar
    • рсн
      Шифровальшик Trojan-Ransom.Win32.Agent
      Автор рсн
      Поймали на сервер шифровальщик. в техподдержке определили как Trojan-Ransom.Win32.Agent.
      Помогите удалить записи с ним ( сервер отключили от сети), тк надо переустанавливать программы.
      шифровальшик с требованием выплатить для расшифровки бит-коин в размере 0,4 на адрес
      frenkmoddy@tuta.io. На сервере и локалках стоит лицензионный Касперский
      файлы имеют расширение rapid. зашифровало как документы там и другие типы файлов.
      Прогнал FRST сканирование. 
       
      FRST.txt
      Addition.txt
    • kopobko
      Шифровальщик [cryptomafia@tuta.io]
      Автор kopobko
      Добрый день. 
       
      Поймал шифровальщик, зашифрованы все файлы на компьютере.
       
      Все пароли изменил.
      Также заметил что был создан батник в папке Win/System32/1.bat
      в батнике 1 файл, чтобы установить из рядомлежащего файла(1.inf) содержимое.
      Содержимое файла:
       
      [unicode]
      Unicode=yes
      [Registry Values]
      [Privilege Rights]
      SeDenyRemoteInteractiveLogonRight = "Administrator"
      [Version]
      signature="$CHICAGO$"
      Revision=1
      [Profile Description]
      Description=Local Security Template
       
      Скачал Farbar Recovery Scan Tool
      Просканировал им, лог прикладываю
       
      Возможно как то расшифровать файлы?
      enc.zip
    • Kenu
      шифровальщик rapid
      Автор Kenu
      Здравствуйте,словили этот шифратор сегодня ночью,хотелось бы что бы вы помогли в убирании последствий этого вируса,а так же в помощи расшифровки этих файлов,kvrt и cureit проверил,что-то удалил,но мне кажется не всё,заранее благодарен за потраченное время.
       
      Текст записки:
      Hello! All your files have been encrypted by us If you want restore files write on e-mail - frenkmoddy@tuta.io CollectionLog-2018.01.24-11.51.zip
    • Alexey Krikun
      Шифровальщик trojan.win32.Generic
      Автор Alexey Krikun
      Прошу помощи. Зашифрован весь винчестер. Все файлы стали с расширением .jpg
      Прилагаю запароленый архив в котором две папки с оригиналами и зашифроваными файлами.
      Пароль 1
      Если нужно могу прислать сам вирус noputana.exe
      Krikun.zip
×
×
  • Создать...