Зашифрованы файлы xser@tutanota.com

[Akado 0]

В ночь с 05.06.2018 по 06.06.2018 зашифровались все файлы на сервере. Наименование файлов изменено на "xser@tutanota.com_........". В корне каждой из папок лежат README.txt. На системном диске появилась папка с названием "1", внутри которой несколько .exe-файлов (в прикрепленном архиве данная папка с .exe, файл readme.txt и несколько зашифрованных файлов).

file.7z

CollectionLog-2018.06.07-11.26.zip

[thyrex 1 468]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пунктах 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[Akado 0]

Скан FRST

Addition.txt

FRST.txt

[thyrex 1 468]

Проверьте ЛС

[Akado 0]

На зараженной машине не запускается, выскакивает пустое окно с ошибкой. На другом(рабочем) компьютере расшифровали несколько пробных файлов с зараженной машины (будем снимать hd и расшифровывать).

У нас есть еще 2 зараженных компьютера, какому алгоритму следовать для их расшифровки? 

[thyrex 1 468]

На зараженной машине не запускается, выскакивает пустое окно с ошибкой.

Возможно зашифрованы нужные файлы от .NET Framework.

 

У нас есть еще 2 зараженных компьютера, какому алгоритму следовать для их расшифровки?

Расшифровывайте информацию на них. Если повезет, ключ расшифровки будет таким же

[Akado 0]

Ключ расшифровки не подходит. PERSONAL ID из README.txt на двух зараженных машинах идентичен, но отличается от PERSONAL ID, по которому были отправлены логи и получен дешифратор.

[thyrex 1 468]

Файлы из первого сообщения этим ключом успешно расшифровались

 

Все до одного файлы README.txt от вымогателей со всех компьютеров прикрепите одним архивом к следующему сообщению

[Akado 0]

Файлы readme. Файл с Комп. 1 уже был отправлен.

README.zip

Изменено 7 июня, 2018 пользователем Akado

[thyrex 1 468]

Проверьте ЛС

[Akado 0]

Вытащили несколько зараженных файлов с Комп.3 (т.к. win server 2003) - расшифровал. Но на Комп. 2 пишет, что ключ не подходит. (на Комп.2 пытались восстановится к более ранней точке восстановление)

Изменено 7 июня, 2018 пользователем Akado

[thyrex 1 468]

Я просил прислать все до единого файлы README.txt, а не по одному с каждого компьютера

[Akado 0]

Файлы README.txt  c Комп. 2 и Комп. 3. 

Комп.1 на данный момент в процессе дешифровки.

файлы README с ПК2 и ПК3.zip

[thyrex 1 468]

И какой из них №2?

[Akado 0]

ПК № 2 = DB, ПК № 3 = KV

На ПК № 3 (KV) расшифровалась только часть файлов, по остальным пишет, что ключ не подходит