cryptconsole Снова о helps@tutanota.com

[bigz]

Товарищ на работе поймал  helps@tutanota.com. 

Позвали специалиста, он сказал что вылечить нельзя, сохранил папки с документами и базами 1С и переустановил систему.

Базы не открываются, бэкапы 1С - зашифрованы, система с вирусом уничтожена.

Можно ли дешифровать файлы если нет зараженной системы.

У меня есть доступ к машине через TeamViewer

WindowsServer 2012 R2 Standart x64

 

Можно чем-то помочь или все?

 

[thyrex]

Файлы сообщений вымогателя для связи сохранились?

[bigz]

Нет, не сохранились, но я нашел на D:\Windows.old\FRST\Logs

Похоже "специалист" что-то пытался сделать ... (он недоступен, телефон выключен, он из другого города и еще праздники).

 

Addition_28-05-2018 10.38.10.txt

FRST_28-05-2018 10.38.10.txt

[thyrex]

Это хуже.

Образцы зашифрованных файлов прикрепите в архиве к следующему сообщению.

Перечень предпочтительных файлов

C:\Users\backup\Downloads\helps@tutanota.com_4E4C20427275746520312E322E726172
C:\Users\Бухгалтер дет.сад\Documents\helps@tutanota.com_31323636346D313830352E646266
C:\Users\Бухгалтер дет.сад\Desktop\helps@tutanota.com_D0B0D0BFD180D0B5D0BBD18C2E786C73

 

[bigz]

нашел 2 из 3

111.rar

[thyrex]

Теперь ждите, потому как процесс поиска будет длительным

[bigz]

... жду ...

[bigz]

нашел в сохраненных с зараженного диска папках (поиск по маске "readme.hta") 1130 файлов, одинаковая дата, примерно одинаковое время создания, одинаковый размер.

readme-hta.rar

[thyrex]

Замечательно.

 

Проверьте ЛС

[bigz]

странное дело, похоже на двойное шифрование - расшифровались только зашифрованные файлы нулевой длины, остальные - нет.

проверял на двух разных папках - тоже самое...

CryptConsoleDecrypter-log.txt

[thyrex]

Присланные Вами ранее файлы успешно расшифровались этим ключом.

 

Значит не все файлы README.hta были сохранены. Если есть и другие пострадавшие компьютеры, искать нужно и на них.

 

А пока пробуйте расшифровать информацию по максимуму имеющимся ключом.

[bigz]

ничего полезного не дешифруется...

нашел еще readme.hta в сетевой папке.

высылаю несколько небольших файлов не поддающихся дешифрованию.

 

извините, моя ошибка....

я не подгружал ключевой файл, думал он сам подхватит, невнимательно прочел письмо...

запустил декриптор заново....

это надолго, отпишусь по завершению...

readme_hta2.rar

crypt.rar

[bigz]

декодировались базы 1С и ее бэкапы, остальное уже не так критично, буду декодировать по мере необходимости.

 

ОГРОМНОЕ СПАСИБО ВАМ!

 

какие будут рекомендации по предупреждению подобного?

Изменено 12 июня, 2018 пользователем bigz

[thyrex]

Пароль от RDP смените

[bigz]

пароли первым делом после переустановки всем поменяли, но виновника бы найти, в локалке зараженных машин нет - все проверили AVP Free, извне две учетки есть, где бы логи сесссий rdp посмотреть?

 

видел в похожих сообщениях - можно через avz проверить уязвимости - для MS Server 2012 R2 Standart это сработает ?

Изменено 12 июня, 2018 пользователем bigz