Перейти к содержанию
Набор на стажировку в «Лабораторию Касперского»! Пробуй сам и зови друзей

Шифровальщик Tizer77234 Tizer78224

grimturs
 Share Подписчики 1

Рекомендуемые сообщения

grimturs

grimturs 0

Опубликовано
Опубликовано (изменено)

Добры день.
В ночь с 30.04.2018 на 01.05.2018 на одном из серверов произошла шифровка всех рабочих фалов, включая исполняемые. Откуда взялся не понятно, все компы чистые. При локальной авторизации обнаружил, что последняя авторизация была под учёткой admin, которую никто не использовал (возможно была создана трояном), не исключаю диверсию изнутри. Пароли все изменил. на рабочем столе учётки admin были найдены пакетные файлы Windows (bat), которые указывали на папку с вирусом. Логов нет, понимание куда копать тоже пропало.

В каждой папке инструкция от злодея:

"Hi friend...
    :)
For instructions on how to recovery the files, write to me:
 
Tizer78224@gmx.de
Tizer78224@india.com
Tizer77234@protonmail.com
 
In the letter, indicate your personal ID (see the file format).
If you have not received an answer, write to me again."
 

Прошу оказать содействие в дешифровке файлов.

CollectionLog-2018.05.04-12.50.zip

Изменено пользователем grimturs
Ссылка на сообщение
Поделиться на другие сайты
SQ

SQ 785

Опубликовано
Опубликовано

Здравствуйте,



AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
 QuarantineFile('C:\Users\admin\Music\Mozilla Firefox\start_notepad.bat', '');
 QuarantineFile('C:\Users\admin\Music\Mozilla Firefox\svhosts.exe', '');
 QuarantineFileF('C:\Users\admin\Music\Mozilla Firefox', '*.exe,*.dll,*.sys', false,'', 0, 0);
 DeleteFile('C:\Users\admin\Music\Mozilla Firefox\start_notepad.bat', '32');
 DeleteFile('C:\Users\admin\Music\Mozilla Firefox\svhosts.exe', '32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\BatNotepad','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SystemCrp','command');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.

После выполнения скрипта перезагрузите сервер вручную.

После перезагрузки:
- Выполните в AVZ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com.
1. В заголовке письма напишите "Запрос на исследование вредоносного файла".
2. В письме напишите "Выполняется запрос хэлпера".
3. Прикрепите файл карантина и нажмите "Отправить"
4. Полученный ответ сообщите здесь (с указанием номера KLAN)

Ссылка на сообщение
Поделиться на другие сайты
SQ

SQ 785

Опубликовано
Опубликовано

Сообщите результат.

- Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
    B92LqRQ.png
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.



 

Ссылка на сообщение
Поделиться на другие сайты
SQ

SQ 785

Опубликовано
Опубликовано

Сообщите результат.

А где результат отправки карантина, ответное письмо?

  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CreateRestorePoint:
File: C:\Windows\SysWOW64\srvany.exe
File: C:\Windows\KMService.exe
FF HKLM\...\Thunderbird\Extensions: [eplgTb@eset.com] - C:\Program Files\ESET\ESET File Security\Mozilla Thunderbird => not found
File: C:\Windows\System32\slanAccel.exe
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Администратор\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Администратор\Downloads\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Администратор\Documents\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Public\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Public\Downloads\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Public\Documents\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KlScSvcD0FAB33758A5A\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KlScSvcD0FAB33758A5A\Downloads\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KlScSvcD0FAB33758A5A\Documents\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KlScSvcD0FAB33758A5A\Desktop\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KlScSvcD0FAB33758A5A\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KL-AK-90C199E76DEB0D\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KL-AK-90C199E76DEB0D\Downloads\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KL-AK-90C199E76DEB0D\Documents\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\KL-AK-90C199E76DEB0D\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp\Downloads\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp\Documents\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp.MGT\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp.MGT\Downloads\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp.MGT\Documents\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp.MGT\Desktop\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\it.sp.MGT\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Default\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Default\Downloads\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Default\Documents\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Default User\Downloads\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Default User\Documents\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Default User\Desktop\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\admin\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\admin\Downloads\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\admin\Documents\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\Users\admin\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\ProgramData\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\ProgramData\How_return_files.txt
2018-04-30 21:48 - 2018-04-30 21:48 - 000000278 _____ C:\How_return_files.txt
Filder: C:\Users\admin\AppData\Roaming\Process Hacker 2
MSCONFIG\startupreg: BatNotepad => "C:\Users\admin\Music\Mozilla Firefox\start_notepad.bat"
MSCONFIG\startupreg: SystemCrp => "C:\Users\admin\Music\Mozilla Firefox\svhosts.exe"
Folder: C:\Users\admin\Music\Mozilla Firefox
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
  • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что сервер возможен будет перезагружен.
Ссылка на сообщение
Поделиться на другие сайты
SQ

SQ 785

Опубликовано
Опубликовано

Могли бы следующий файл архивировать в zip с паролем virus:
 

C:\Users\admin\Music\Mozilla Firefox\config.cfg

 и отправить мне личным сообщением.

Ссылка на сообщение
Поделиться на другие сайты
SQ

SQ 785

Опубликовано
Опубликовано

Я Вам ответил в личном сообщение. Сообщите пожалуйста у Вас есть купленная лицензий антивируса Касперского?

Ссылка на сообщение
Поделиться на другие сайты
SQ

SQ 785

Опубликовано
Опубликовано

С расшифровкой не поможем. Однако я могу попробовать создать запрос за Вас, для этого мне необходимо все содержимое каталога в архиве zip с паролем virus:
 

C:\Users\admin\Music\Mozilla Firefox

Также полученный карантин утилитой AVZ:
 

quarantine.zip

И 2-3 зашифрованных файлов (не содержащие некакие конфиденциальные данные).

Все эти данные отправьте пожалуйста в личным сообщение как ссылку для скачивания.

P.S. Главное необходимо понимать, что не каких гарантий предоставить не могу, что удачно удастся расшифровать файлы.

Ссылка на сообщение
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Подписчики 1
Перейти к списку тем

  • Похожий контент

    • Tadmin
      [РАСШИФРОВАНО] Помощь с восстановлением файлов после шифровальщика hopeandhonest@smime.ninja
      От Tadmin
      Около года или двух назад один из наших корпоративных пк был заражен шифровальщиком, на нем хранилось множество фотографий, которые зашифровались, тот пк был сразу отформатирован, но перед этим зашифрованные файлы были перемещены, сейчас в них появилась нужда, прикрепляю пример зашифрованных файлов.
      hopeandhonest@smime.ninja.zip
    • DimonD
      [РАСШИФРОВАНО] Поймали шифровальщик
      От DimonD
      Добрый день. Помогите пожалуйста с расшифровкой файлов? так же на сервак ктото споймал эту гадость. 
       
      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.
    • iLuminate
      Подозрение на взлом сервера
      От iLuminate
      Есть подозрение на взлом, так как при переходе C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Administrative Tools\Администрирование - Ярлык появляется ярлык которые указан на скриншоте.

      FRST.txt Addition.txt
    • JhonD
      шифровальщик Jami_decryptionguy
      От JhonD
      Добрый день, посмотрите, есть ли надежда на восстановление файлов. 
      Addition.txt CONTACT_US.txt FRST.txt АКТ на списание ГСМ.DOCX
    • upvpst
      DCHELP.org
      От upvpst
      Добрый день! В сеть проник зловред подробно описанный по ссылке https://id-ransomware.blogspot.com/2023/04/dchelp-ransomware.html.
      Возможности зайти на сервер нет, так как файловые системы отображаются как нечитаемые. Пробуем вытащить файлы через R-Studio, Disk Drill и иные утилиты восстановления данных. Сталкивался ли кто-то еще с этими гадами? Есть ли выход?

×
×
  • Создать...