Перейти к содержанию
Важная информация для бета-тестеров

Шифровальщик [cryptomafia@tuta.io]

kopobko
 Share

Рекомендуемые сообщения

kopobko Новичок

kopobko

Опубликовано
Опубликовано (изменено)

Добрый день. 

 

Поймал шифровальщик, зашифрованы все файлы на компьютере.

 

Все пароли изменил.

Также заметил что был создан батник в папке Win/System32/1.bat

в батнике 1 файл, чтобы установить из рядомлежащего файла(1.inf) содержимое.

Содержимое файла:

 

[unicode]
Unicode=yes
[Registry Values]
[Privilege Rights]
SeDenyRemoteInteractiveLogonRight = "Administrator"
[Version]
signature="$CHICAGO$"
Revision=1
[Profile Description]
Description=Local Security Template

 

Скачал Farbar Recovery Scan Tool

Просканировал им, лог прикладываю

 

Возможно как то расшифровать файлы?

enc.zip

Изменено пользователем kopobko
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteRepair(9);
end.
Пожалуйста, перезагрузите компьютер вручную.

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Прикрепите к следующему сообщению свежий CollectionLog.

 

 

Текстовое сообщение с требованием выкупа есть? Если да, его вместе с парой зашифрованных документов упакуйте и тоже прикрепите к следующему сообщению.

Ссылка на комментарий
Поделиться на другие сайты
kopobko Новичок

kopobko

Опубликовано
  • Автор
Опубликовано

Текстовое сообщение с требованием выкупа есть? Если да, его вместе с парой зашифрованных документов упакуйте и тоже прикрепите к следующему сообщению.

Файл и текст приложил, пошел выполнять скрипт и ребут

text and file.zip

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Скрипт закрыл дыру, через которую зловред попал в систему. Меняйте пароли на RDP и программы удаленного доступа.

 

С расшифровкой, к сожалению, помочь не сможем.

 

Для очистки следов:

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:

    Start::
CreateRestorePoint:
2018-01-27 03:50 - 2018-01-27 03:50 - 000000113 _____ C:\Program Files\How Recovery Files.txt
2018-01-27 03:41 - 2018-01-27 03:42 - 000000113 _____ C:\Program Files (x86)\How Recovery Files.txt
2018-01-27 03:37 - 2018-01-27 07:16 - 000000113 _____ C:\Users\MSSQLServerOLAPService\How Recovery Files.txt
2018-01-27 03:37 - 2018-01-27 07:16 - 000000113 _____ C:\Users\MSSQLServerOLAPService\Documents\How Recovery Files.txt
2018-01-27 03:37 - 2018-01-27 07:16 - 000000113 _____ C:\Users\MSSQLSERVER\How Recovery Files.txt
2018-01-27 03:37 - 2018-01-27 07:16 - 000000113 _____ C:\Users\MSSQLSERVER\Documents\How Recovery Files.txt
2018-01-27 03:37 - 2018-01-27 07:16 - 000000113 _____ C:\Users\MSSQLFDLauncher\How Recovery Files.txt
2018-01-27 03:37 - 2018-01-27 07:16 - 000000113 _____ C:\Users\MSSQLFDLauncher\Documents\How Recovery Files.txt
2018-01-27 03:37 - 2018-01-27 07:16 - 000000113 _____ C:\Users\MsDtsServer110\How Recovery Files.txt
2018-01-27 03:37 - 2018-01-27 07:16 - 000000113 _____ C:\Users\MsDtsServer110\Documents\How Recovery Files.txt
2018-01-27 03:37 - 2018-01-27 07:16 - 000000113 _____ C:\Users\How Recovery Files.txt
2018-01-27 03:37 - 2018-01-27 07:16 - 000000113 _____ C:\Users\Default\How Recovery Files.txt
2018-01-27 03:37 - 2018-01-27 07:16 - 000000113 _____ C:\Users\Default\Documents\How Recovery Files.txt
2018-01-27 03:37 - 2018-01-27 07:16 - 000000113 _____ C:\Users\Default User\Documents\How Recovery Files.txt
2018-01-27 03:37 - 2018-01-27 07:16 - 000000113 _____ C:\Users\Administrator\How Recovery Files.txt
2018-01-27 03:37 - 2018-01-27 07:16 - 000000113 _____ C:\Users\Administrator\Documents\How Recovery Files.txt
2018-01-27 03:37 - 2018-01-27 07:16 - 000000113 _____ C:\Users\Administrator\Desktop\How Recovery Files.txt
2018-01-27 03:37 - 2018-01-27 07:16 - 000000113 _____ C:\Users\Administrator\AppData\Roaming\How Recovery Files.txt
2018-01-27 03:37 - 2018-01-27 07:16 - 000000113 _____ C:\ProgramData\How Recovery Files.txt
2018-01-27 03:37 - 2018-01-27 03:37 - 000000113 _____ C:\Users\Administrator\Downloads\How Recovery Files.txt
2018-01-27 03:35 - 2018-01-27 07:15 - 000000113 _____ C:\Users\vlad\How Recovery Files.txt
2018-01-27 03:35 - 2018-01-27 07:15 - 000000113 _____ C:\Users\vlad\Documents\How Recovery Files.txt
2018-01-27 03:35 - 2018-01-27 07:15 - 000000113 _____ C:\Users\vlad\Desktop\How Recovery Files.txt
2018-01-27 03:35 - 2018-01-27 07:15 - 000000113 _____ C:\Users\USR1CV8\How Recovery Files.txt
2018-01-27 03:35 - 2018-01-27 07:15 - 000000113 _____ C:\Users\USR1CV8\Documents\How Recovery Files.txt
2018-01-27 03:35 - 2018-01-27 07:15 - 000000113 _____ C:\Users\SQLSERVERAGENT\How Recovery Files.txt
2018-01-27 03:35 - 2018-01-27 07:15 - 000000113 _____ C:\Users\SQLSERVERAGENT\Documents\How Recovery Files.txt
2018-01-27 03:35 - 2018-01-27 07:15 - 000000113 _____ C:\Users\ReportServer\How Recovery Files.txt
2018-01-27 03:35 - 2018-01-27 07:15 - 000000113 _____ C:\Users\ReportServer\Documents\How Recovery Files.txt
2018-01-27 03:35 - 2018-01-27 07:15 - 000000113 _____ C:\Users\Public\Documents\How Recovery Files.txt
2018-01-27 03:35 - 2018-01-27 07:15 - 000000113 _____ C:\Users\Public\Desktop\How Recovery Files.txt
2018-01-27 03:35 - 2018-01-27 07:15 - 000000113 _____ C:\Users\nik\How Recovery Files.txt
2018-01-27 03:35 - 2018-01-27 07:15 - 000000113 _____ C:\Users\nik\Downloads\How Recovery Files.txt
2018-01-27 03:35 - 2018-01-27 07:15 - 000000113 _____ C:\Users\nik\Documents\How Recovery Files.txt
2018-01-27 03:35 - 2018-01-27 07:15 - 000000113 _____ C:\Users\nik\Desktop\How Recovery Files.txt
2018-01-27 03:35 - 2018-01-27 07:15 - 000000113 _____ C:\How Recovery Files.txt
2018-01-27 03:35 - 2018-01-27 03:35 - 000000113 _____ C:\Users\vlad\Downloads\How Recovery Files.txt
2018-01-27 03:35 - 2018-01-27 03:35 - 000000113 _____ C:\Users\USR1CV8\Desktop\How Recovery Files.txt
2018-01-27 03:35 - 2018-01-27 03:35 - 000000113 _____ C:\Users\Public\How Recovery Files.txt
2018-01-27 03:35 - 2018-01-27 03:35 - 000000113 _____ C:\Users\Public\Downloads\How Recovery Files.txt
2018-01-27 03:35 - 2018-01-27 03:35 - 000000113 _____ C:\Users\Administrator\AppData\Roaming\recovery.txt
2018-01-27 03:35 - 2018-01-27 03:35 - 000000068 _____ C:\Windows\system32\1___.bat
End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Подробнее читайте в этом руководстве.
  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Меняйте пароли на RDP и программы удаленного доступа

+

Выполните скрипт в AVZ при наличии доступа в интернет:

 

var
LogPath : string;
ScriptPath : string;
begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';
  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить.

В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

 

Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления (если таковые будут).

Перезагрузите компьютер.

Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты
kopobko Новичок

kopobko

Опубликовано
  • Автор
Опубликовано

 

Меняйте пароли на RDP и программы удаленного доступа

+

Выполните скрипт в AVZ при наличии доступа в интернет:

 

var
LogPath : string;
ScriptPath : string;
begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';
  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить.

В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

 

Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления (если таковые будут).

Перезагрузите компьютер.

Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

 

Спасибо. Жаль что не расшифровать никак :(

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • denis_01r
      Шифровальщик [ID-CTIKC_Mail-Vertalic@Tuta.io].HAA
      От denis_01r
      Добрый день!
      На сервер 1С попал вирус. 1С серверная, УТ11. Стоит на mssql. Вирус - шифровальщик. Зашифровал все файлы mdf и ldf. Теперь к концу файла после расширения приписано _[ID-CTIKC_mail-Veryic@Tuta.io].haa
      Ничем не открывается естественно
      На текущий момент система переустановлена. Но есть бекап.
      Addition (1).txt FRST (1).txt
    • hafer
      Поймали шифровальщик. Расширение файлов _[ID-KTRKI_Mail-Vertalic@Tuta.io].LKH
      От hafer
      Windows Server 2012 Standart
      Зашифрованы документы, базы 1с на диске С и D
      FRST.zip
    • Thunderer
      Шифровальщик
      От Thunderer
      Зашифровали файлы на компьютере и все общие папки 
      Подключились к компьютеру по RDP 
      В архиве логи frst, зашифрованный и расшифрованный файлы
      -Файлы.zip
    • Пользователь 1551
      Шифровальщик
      От Пользователь 1551
      Добрый день! У нас аналогичная ситуация? Удалось расшифровать?
       
      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.
    • Korwin312
      Шифровальщик ooo4ps.
      От Korwin312
      Добрый день.
      Зашифрованы файлы на диске C. Полностью заблокирован диск D.
      Атака совершена 22.02 около полуночи.
      Файлы прилагаю.
       
      FRST.txt Addition.txt Shortcut.txt FILES_ENCRYPTED.txt logo_TF_2016_222px (1).png.rar
×
×
  • Создать...