Санёк Коваленко 0 Опубликовано 13 февраля, 2018 Share Опубликовано 13 февраля, 2018 (изменено) Доброго всем дня! Некий вредитель закинул нам шифровальщик. К сожалению, взлом бы произведён поздно ночью и не смогли вовремя среагировать. Антивирус и резервные копии системы были затёрты. Так же были полностью удалены теневые копии файлов. В данное время остановили вирусную активность, но осталась проблема шифровки файлов. При анализе повреждений наткнули на скрытые папки информация которых как не странно не зашифровалась (архив Bworking73). Папок с аналогичным наполнением но хаотичными названиями на диске порядком 10-15 штук. Все папки где были зашифрованы файлы, имеют один HTML файл названия "HOW_TO_BACK_FILES" Сам зашифрованный файл так же прикладываю. Шифровальщик добрался и до бэкапа текстовых баз. Но SQL не тронул. Прошу помочь, подсказать, показать. Сижу уже сутки в поисках решения. В долгу не останусь. PS Cryptosearch определил файлы как Wininicrypt Сам файл winini.exe переместили в карантин HOW_TO_BACK_FILES.html Bworking73.rar Загрузка данныхСз.epf.cho.dambler@yandex.rar Загрузка данныхСз.epf.cho.dambler@yandex.rar HOW_TO_BACK_FILES.html Bworking73.rar Изменено 13 февраля, 2018 пользователем Санёк Коваленко Ссылка на сообщение Поделиться на другие сайты
thyrex 1 412 Опубликовано 13 февраля, 2018 Share Опубликовано 13 февраля, 2018 Порядок оформления запроса о помощи Ссылка на сообщение Поделиться на другие сайты
Санёк Коваленко 0 Опубликовано 13 февраля, 2018 Автор Share Опубликовано 13 февраля, 2018 Вот пожалуйста. Получили 3 расшифрованных файла от вредителя. Пишет прямиком на личную почту. Оригиналы и зашифрованные файлы в архиве CollectionLog-2018.02.13-14.52.zip Новая папка (2).rar Ссылка на сообщение Поделиться на другие сайты
thyrex 1 412 Опубликовано 13 февраля, 2018 Share Опубликовано 13 февраля, 2018 Это GlobeImposter 2 и с расшифровкой помочь не сможем. Будет только зачистка следов вирусов. Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе. Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением. 2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files. 3. Нажмите кнопку Scan. 4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. 5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt). 6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению. Ссылка на сообщение Поделиться на другие сайты
Санёк Коваленко 0 Опубликовано 13 февраля, 2018 Автор Share Опубликовано 13 февраля, 2018 Готово. Печально что не возможно восстановить файлы. Пол года работы бухгалтера уничтожены frst and addition.rar Ссылка на сообщение Поделиться на другие сайты
thyrex 1 412 Опубликовано 13 февраля, 2018 Share Опубликовано 13 февраля, 2018 Задание в Планировщике и связанный с ним файл Вам известны? Task: C:\Windows\Tasks\my1.job => c:\windows\system\my1.bat 1. Откройте Блокнот и скопируйте в него приведенный ниже текст CreateRestorePoint: Task: {130EAF5C-B615-4BC3-BF4E-C9F00D3DFBBB} - \SYSTEM ALERT3 -> No File <==== ATTENTION Task: {8F4C0B1A-9015-4F2B-9ECF-A757E5123732} - \SYSTEM ALERT1 -> No File <==== ATTENTION Task: {D89C5F1B-27C7-4DE7-827B-4BD7E68289A6} - \SYSTEM ALERT2 -> No File <==== ATTENTION 2. Нажмите Файл – Сохранить как3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool 4. Укажите Тип файла – Все файлы (*.*) 5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить 6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении. Обратите внимание: перезагрузку компьютера нужно выполнить вручную. Ссылка на сообщение Поделиться на другие сайты
Санёк Коваленко 0 Опубликовано 14 февраля, 2018 Автор Share Опубликовано 14 февраля, 2018 Доброго всем дня! Нашел логи шифровальщика и публичный ключ. Всё лежало в папке ProgramData Если это как то может помочь, выкладываю. Взломщик бедный истерит что ему закрыли доступы. Угрожает удалить всё ))) На письма ему не отвечаю. WindowsNT.rar Ссылка на сообщение Поделиться на другие сайты
thyrex 1 412 Опубликовано 14 февраля, 2018 Share Опубликовано 14 февраля, 2018 Самого шифратора там все равно нет. Публичный ключ тоже ничем не поможет Ссылка на сообщение Поделиться на другие сайты
Санёк Коваленко 0 Опубликовано 14 февраля, 2018 Автор Share Опубликовано 14 февраля, 2018 Самого шифратора там все равно нет. Публичный ключ тоже ничем не поможет Установочные файлы шифратора тоже нашли, но тут парадокс, он сам себя зашифровал Ссылка на сообщение Поделиться на другие сайты
thyrex 1 412 Опубликовано 15 февраля, 2018 Share Опубликовано 15 февраля, 2018 В любом случае все бесполезно Ссылка на сообщение Поделиться на другие сайты
Санёк Коваленко 0 Опубликовано 15 февраля, 2018 Автор Share Опубликовано 15 февраля, 2018 В любом случае все бесполезно Тему прошу не закрывать. Дождёмся ответа службы поддержки, может что полезного напишут для пользователей кто так же пострадал от данного зверька. Вам огромное спасибо. Ночью восстановил полностью работу сервера и антивирусного ПО. Ссылка на сообщение Поделиться на другие сайты
thyrex 1 412 Опубликовано 21 февраля, 2018 Share Опубликовано 21 февраля, 2018 Строгое предупреждение от модератора thyrex Тема почищена.Все нарушения правил раздела, в т.ч. и переписка в ЛС, будет наказываться блокировкой и просителя, и раздающего @Санёк Коваленко, все попытки использовать ключи расшифровки, предназначенные не для Вашего компьютера, чреваты окончательной потерей информации Ссылка на сообщение Поделиться на другие сайты
Санёк Коваленко 0 Опубликовано 21 февраля, 2018 Автор Share Опубликовано 21 февраля, 2018 thyrex, всю информацию передаю по тикету в лабораторию. Ссылка на сообщение Поделиться на другие сайты
djuz 0 Опубликовано 3 июля, 2018 Share Опубликовано 3 июля, 2018 thyrex, всю информацию передаю по тикету в лабораторию. День добрый! Пол года прошло, есть решение? Ссылка на сообщение Поделиться на другие сайты
thyrex 1 412 Опубликовано 3 июля, 2018 Share Опубликовано 3 июля, 2018 Увы, нет Ссылка на сообщение Поделиться на другие сайты
Рекомендуемые сообщения