Шифровальщик helps@tutanota.com

[alexiy4ever]

Вирус сработал терминально в ночь с 24 на 25 мая

На компе стоял Kaspersky Free. На сервере ничего. Файлы зашифровал только на сервере и в сетевых папках которые были доступны данному пользователю

Сегодня проверил комп DrWeb CureIt - ничего не нашел

 

Прикрепляю архив логами и второй с парой зашифрованных файлов и readme.hta

tutanova.rar

CollectionLog-2018.05.28-13.23.zip

Изменено 28 мая, 2018 пользователем alexiy4ever

[thyrex]

Логи делали на компьютере, ставшем источником бед?

[alexiy4ever]

Да. Надо с сервера?

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пунктах 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[alexiy4ever]

Сделано

FRST.rar

Изменено 28 мая, 2018 пользователем alexiy4ever

[thyrex]

Не похоже, что этот компьютер стал источником бед. Логи сервера сделайте.

[alexiy4ever]

Логи надо из-под админа или пользователя, который запустил вирус?

UPD: Лог собран из-под админа

FRST из-под пользователя

CollectionLog-2018.05.29-11.00.zip

FRST.rar

Изменено 29 мая, 2018 пользователем alexiy4ever

[thyrex]

C:\Users\secret\Desktop\smsssA.exe удалите вручную.

 

Логи FRST тоже сделайте под администратором

[alexiy4ever]

Удалил

 

Держите FRST

FRST.rar

[alexiy4ever]

upd 

[thyrex]

Ожидайте.

[alexiy4ever]

эх (

[thyrex]

Отвечу позже

[thyrex]

Проверьте ЛС

[alexiy4ever]

File can be renamed, but not decrypted. Original name:

 

Эти переименовывать вручную?