Перейти к содержанию

Рекомендуемые сообщения

Товарищ на работе поймал  helps@tutanota.com. 

Позвали специалиста, он сказал что вылечить нельзя, сохранил папки с документами и базами 1С и переустановил систему.

Базы не открываются, бэкапы 1С - зашифрованы, система с вирусом уничтожена.

Можно ли дешифровать файлы если нет зараженной системы.

У меня есть доступ к машине через TeamViewer

WindowsServer 2012 R2 Standart x64

 

Можно чем-то помочь или все?

 
Ссылка на комментарий
Поделиться на другие сайты

Нет, не сохранились, но я нашел на D:\Windows.old\FRST\Logs

Похоже "специалист" что-то пытался сделать ... (он недоступен, телефон выключен, он из другого города и еще праздники).

 

Addition_28-05-2018 10.38.10.txt

FRST_28-05-2018 10.38.10.txt

Ссылка на комментарий
Поделиться на другие сайты

Это хуже.

Образцы зашифрованных файлов прикрепите в архиве к следующему сообщению.

Перечень предпочтительных файлов

C:\Users\backup\Downloads\helps@tutanota.com_4E4C20427275746520312E322E726172
C:\Users\Бухгалтер дет.сад\Documents\helps@tutanota.com_31323636346D313830352E646266
C:\Users\Бухгалтер дет.сад\Desktop\helps@tutanota.com_D0B0D0BFD180D0B5D0BBD18C2E786C73

 

Ссылка на комментарий
Поделиться на другие сайты

нашел в сохраненных с зараженного диска папках (поиск по маске "readme.hta") 1130 файлов, одинаковая дата, примерно одинаковое время создания, одинаковый размер.

readme-hta.rar

Ссылка на комментарий
Поделиться на другие сайты

странное дело, похоже на двойное шифрование - расшифровались только зашифрованные файлы нулевой длины, остальные - нет.

проверял на двух разных папках - тоже самое...

CryptConsoleDecrypter-log.txt

Ссылка на комментарий
Поделиться на другие сайты

Присланные Вами ранее файлы успешно расшифровались этим ключом.

 

Значит не все файлы README.hta были сохранены. Если есть и другие пострадавшие компьютеры, искать нужно и на них.

 

А пока пробуйте расшифровать информацию по максимуму имеющимся ключом.

Ссылка на комментарий
Поделиться на другие сайты

ничего полезного не дешифруется...

нашел еще readme.hta в сетевой папке.

высылаю несколько небольших файлов не поддающихся дешифрованию.

 


извините, моя ошибка....

я не подгружал ключевой файл, думал он сам подхватит, невнимательно прочел письмо...

запустил декриптор заново....

это надолго, отпишусь по завершению...

readme_hta2.rar

crypt.rar

Ссылка на комментарий
Поделиться на другие сайты

декодировались базы 1С и ее бэкапы, остальное уже не так критично, буду декодировать по мере необходимости.

 

ОГРОМНОЕ СПАСИБО ВАМ!

 

какие будут рекомендации по предупреждению подобного?

Изменено пользователем bigz
Ссылка на комментарий
Поделиться на другие сайты

пароли первым делом после переустановки всем поменяли, но виновника бы найти, в локалке зараженных машин нет - все проверили AVP Free, извне две учетки есть, где бы логи сесссий rdp посмотреть?

 

видел в похожих сообщениях - можно через avz проверить уязвимости - для MS Server 2012 R2 Standart это сработает ?

Изменено пользователем bigz
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Svejhiy
      От Svejhiy
      Проникся чувством ностальгии и решил скачать одну игрушку, а в ней троян был
      Игрушку удалил, лечение сделал, думал дело в шляпе, но вирус возвращается снова и снова после каждой перезагрузки
      Логи прикрепил
      CollectionLog-2024.10.22-18.04.zip
    • dkhilobok
      От dkhilobok
      Этим летом на Камчатке нам очень много что повезло. В том числе пройти по следам турмарштура №264, которые нас привели в Долину гейзеров.
       
      Обычно туристов водят по Долине по другой стороне ручья, мы же пришли ногами со стороны кальдеры Узон. Соответственно получилось взглянуть на ряд картинок, доступных в основном медведям.
       
      От кордона «Глухой» до Долины примерно 10-12км. Первую половину пути топать по прямой с небольшим набором высоты. Даже немного скучно Меньше, чем полтора часа в пути - и мы на перевале.
       
      В 2007г здесь сошел оползень, который засыпал большое количество гейзеров, перегородил реку дамбой и образовалось озеро.
      Потом река постепенно размыла дамбу, озеро исчезло, а вода продолжает промываться к старому руслу.
       
      Прошло время, засыпанные гейзеры и пульсирующие источники местами пробили нанесённый грунт и получились вот такие симпатичные котлы с подземным кипятком.

      Видео посмотреть на других платформах:
      https://dzen.ru/shorts/673f3f8359f0ad5be841082e?share_to=link
      https://vk.com/clip302262930_456239251
       
      v2 Долина Гейзеров.mp4
    • GlibZabiv
      От GlibZabiv
      Здравствуйте, Касперский нашёл троян, который после лечения восстанавливается. Пытался бороться своими силами, ничего не вышло.
      CollectionLog-2024.10.20-18.37.zip
    • barank1n
      От barank1n
      Висит примерно уже две недели. Руки дошли только сегодня. Установлен Kaspersky Anti-Virus. Kaspersky обнаруживает этот троян после каждого запуска ПК, даже после лечения.  Образ Windows не официальный. Прикрепляю к данной теме файл с логами.
      CollectionLog-2024.10.22-22.01.zip report1.log report2.log
    • KL FC Bot
      От KL FC Bot
      Серьезные ИБ-инциденты порой затрагивают многих участников, зачастую и тех, кто повседневно не занимается вопросами ИТ и ИБ. Понятно, что в первую очередь усилия сосредоточиваются на выявлении, сдерживании и восстановлении, но, когда пыль немного осядет, наступает время для еще одного важного этапа реагирования — извлечения уроков. Чему можно научиться по итогам инцидента? Как улучшить шансы на успешное отражение подобных атак в будущем? На эти вопросы очень полезно ответить, даже если инцидент не принес существенного ущерба из-за эффективного реагирования или просто удачного стечения обстоятельств.
      Немного о людях
      Разбор инцидента важен для всей организации, поэтому к нему обязательно привлекать не только команды ИТ и ИБ, но также высшее руководство, бизнес-владельцев ИТ-систем, а также подрядчиков, если они были затронуты инцидентом или привлекались к реагированию. На встречах этой рабочей группы нужно создать продуктивную атмосферу: важно донести, что это не поиск виноватых (хотя ошибки будут обсуждаться), поэтому перекладывание ответственности и манипулирование информацией исказят картину, повредят анализу и ухудшат позицию организации в долгосрочной перспективе.
      Еще один важный момент: многие компании скрывают детали инцидента в страхе за репутацию или опасаясь повторной кибератаки по тому же сценарию. И хотя это вполне объяснимо и некоторые подробности действительно конфиденциальны, нужно стремиться к максимальной прозрачности в реагировании и делиться подробностями атаки и реагирования если не с широкой публикой, то как минимум с узким кругом коллег из сферы ИБ, которые могут предотвратить похожие атаки на свои организации.
       
      View the full article
×
×
  • Создать...