VladimirZZZ 0 Опубликовано 14 августа, 2018 Share Опубликовано 14 августа, 2018 (изменено) Здравствуйте. Похоже что зашли на сервер по RDP. Есть их IP. Зашифровано всё, в том числе и бэкапы. Shadowcopy тоже отключили. Имена файлов имеют вид 6465736B746F702E696E69 без расширения CollectionLog-2018.08.14-11.33.zip FRST.zip README.txt Изменено 14 августа, 2018 пользователем VladimirZZZ Ссылка на сообщение Поделиться на другие сайты
Sandor 1 296 Опубликовано 14 августа, 2018 Share Опубликовано 14 августа, 2018 Здравствуйте! Логи сделаны в терминальной сессии, сделайте их из консоли. А также пару зашифрованных офисных документов упакуйте в архив и тоже прикрепите к следующему сообщению. Ссылка на сообщение Поделиться на другие сайты
VladimirZZZ 0 Опубликовано 14 августа, 2018 Автор Share Опубликовано 14 августа, 2018 Переделал. Добавлю что сканирование сервера через KAV removal tool вообще ничего не нашло docs.zip CollectionLog-2018.08.14-13.43.zip FRST.zip Ссылка на сообщение Поделиться на другие сайты
Sandor 1 296 Опубликовано 14 августа, 2018 Share Опубликовано 14 августа, 2018 Да, активного заражения и следов вымогателя не видно. Отключите до перезагрузки антивирус. Выделите следующий код: Start:: CreateRestorePoint: Startup: C:\Users\administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\README.txt [2018-08-14] () 2018-08-14 01:47 - 2018-08-14 01:47 - 000001224 _____ C:\Windows\SysWOW64\README.txt 2018-08-14 01:47 - 2018-08-14 01:47 - 000001224 _____ C:\Windows\SysWOW64\Drivers\README.txt 2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Windows\README.txt 2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\Администратор\README.txt 2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\Администратор\AppData\Roaming\README.txt 2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\Администратор\AppData\README.txt 2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\Администратор\AppData\LocalLow\README.txt 2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\user\README.txt 2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\user\AppData\Roaming\README.txt 2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\user\AppData\README.txt 2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\Public\README.txt 2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\office\README.txt 2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\office\AppData\Roaming\README.txt 2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\office\AppData\README.txt 2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\ivantsova\README.txt 2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\ivantsova\AppData\Roaming\README.txt 2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\ivantsova\AppData\README.txt 2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\info\README.txt 2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\info\AppData\Roaming\README.txt 2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\info\AppData\README.txt 2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\Default\README.txt 2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\Default\AppData\Roaming\README.txt 2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\Default\AppData\README.txt 2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\Default User\AppData\Roaming\README.txt 2018-08-14 01:38 - 2018-08-14 01:38 - 000001224 _____ C:\Users\Default User\AppData\README.txt 2018-08-14 01:33 - 2018-08-14 01:33 - 000001224 _____ C:\Users\BackUp_GW\README.txt 2018-08-14 01:33 - 2018-08-14 01:33 - 000001224 _____ C:\Users\administrator.ELM\Downloads\README.txt 2018-08-14 01:32 - 2018-08-14 01:32 - 000001224 _____ C:\Users\administrator.ELM\AppData\Roaming\README.txt 2018-08-14 01:32 - 2018-08-14 01:32 - 000001224 _____ C:\Users\administrator.ELM\AppData\LocalLow\README.txt 2018-08-14 01:31 - 2018-08-14 01:31 - 000001224 _____ C:\Users\administrator\README.txt 2018-08-14 01:31 - 2018-08-14 01:31 - 000001224 _____ C:\Users\administrator\AppData\Roaming\README.txt 2018-08-14 01:31 - 2018-08-14 01:31 - 000001224 _____ C:\Users\administrator\AppData\README.txt 2018-08-14 01:31 - 2018-08-14 01:31 - 000001224 _____ C:\Users\administrator.ELM\README.txt 2018-08-14 01:31 - 2018-08-14 01:31 - 000001224 _____ C:\Users\administrator.ELM\AppData\README.txt 2018-08-14 01:31 - 2018-08-14 01:31 - 000001224 _____ C:\Users\Admin\README.txt 2018-08-14 01:31 - 2018-08-14 01:31 - 000001224 _____ C:\Users\Admin\AppData\Roaming\README.txt 2018-08-14 01:31 - 2018-08-14 01:31 - 000001224 _____ C:\Users\Admin\AppData\README.txt 2018-08-14 01:31 - 2018-08-14 01:31 - 000001224 _____ C:\Users\Admin\AppData\LocalLow\README.txt 2018-08-14 01:30 - 2018-08-14 01:30 - 000001224 _____ C:\Users\Все пользователи\README.txt 2018-08-14 01:30 - 2018-08-14 01:30 - 000001224 _____ C:\ProgramData\README.txt 2018-08-14 01:30 - 2018-08-14 01:30 - 000001224 _____ C:\ProgramData\Microsoft\Windows\Start Menu\README.txt 2018-08-14 01:30 - 2018-08-14 01:30 - 000001224 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Programs\README.txt 2018-08-14 01:26 - 2018-08-14 01:26 - 000001224 _____ C:\Program Files (x86)\README.txt 2018-08-14 01:25 - 2018-08-14 01:25 - 000001224 _____ C:\Program Files\README.txt 2018-08-14 01:25 - 2018-08-14 01:25 - 000001224 _____ C:\Program Files\Common Files\README.txt 2018-08-14 01:24 - 2018-08-14 01:24 - 000001224 _____ C:\README.txt End:: Скопируйте выделенный текст (правой кнопкой - Копировать). Запустите FRST (FRST64) от имени администратора. Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению. Перезагрузите компьютер вручную. Подробнее читайте в этом руководстве. Ссылка на сообщение Поделиться на другие сайты
VladimirZZZ 0 Опубликовано 14 августа, 2018 Автор Share Опубликовано 14 августа, 2018 Дело в том, что зашифровано много всего на диске С. Я боюсь что сервер не перезагрузится. А он удаленный и это будет ещё хуже чем сейчас есть. Можно как-то выполнить скрипт без перезагрузки? Ссылка на сообщение Поделиться на другие сайты
Sandor 1 296 Опубликовано 14 августа, 2018 Share Опубликовано 14 августа, 2018 Да, можно. Ничего из системных файлов не затрагивается. Скрипт только удалит разбросанные записки с реквизитами злодеев. Ссылка на сообщение Поделиться на другие сайты
thyrex 1 412 Опубликовано 14 августа, 2018 Share Опубликовано 14 августа, 2018 (изменено) Вопрос: Вы файл README.txt перед прикреплением к сообщению не редактировали? В нем напрочь отстутствует ID. ==== update ==== Вопрос снят. По несовпадению размера с подобным файлом в логе вижу, что редактировали. Изменено 14 августа, 2018 пользователем thyrex Ссылка на сообщение Поделиться на другие сайты
VladimirZZZ 0 Опубликовано 14 августа, 2018 Автор Share Опубликовано 14 августа, 2018 (изменено) Я его удалил, ID присутствует Он нужен? Изменено 14 августа, 2018 пользователем VladimirZZZ Ссылка на сообщение Поделиться на другие сайты
thyrex 1 412 Опубликовано 14 августа, 2018 Share Опубликовано 14 августа, 2018 Не нужен. С расшифровкой помочь не сможем. Это CryptConsole 3. Ссылка на сообщение Поделиться на другие сайты
Sandor 1 296 Опубликовано 14 августа, 2018 Share Опубликовано 14 августа, 2018 зашли на сервер по RDPПароль смените. Проверьте уязвимые места: Выполните скрипт в AVZ при наличии доступа в интернет: var LogPath : string; ScriptPath : string; begin LogPath := GetAVZDirectory + 'log\avz_log.txt'; if FileExists(LogPath) Then DeleteFile(LogPath); ScriptPath := GetAVZDirectory +'ScanVuln.txt'; if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!'); exit; end; end; if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false) end. После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить.В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player. Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления (если таковые будут). Перезагрузите компьютер. Снова выполните этот скрипт и убедитесь, что уязвимости устранены. Ссылка на сообщение Поделиться на другие сайты
VladimirZZZ 0 Опубликовано 14 августа, 2018 Автор Share Опубликовано 14 августа, 2018 спасибо и на этом. Если заплатить, какие шансы на получение дешифратора? Ссылка на сообщение Поделиться на другие сайты
thyrex 1 412 Опубликовано 14 августа, 2018 Share Опубликовано 14 августа, 2018 Все зависит от честности злоумышленников. 1 Ссылка на сообщение Поделиться на другие сайты
VladimirZZZ 0 Опубликовано 15 августа, 2018 Автор Share Опубликовано 15 августа, 2018 Заплатили 700$, прислали декриптор через 15 часов после оплаты. Он не запустился на том сервере где зашифровались файлы. Пришлось всё копировать на другой сервер. Файлы восстановились. Расшифровывает всё очень быстро. Ссылка на сообщение Поделиться на другие сайты
Nyart 0 Опубликовано 29 августа, 2018 Share Опубликовано 29 августа, 2018 Добрый день. Столкнулся с той же проблемой. Однако, в моем случае у меня есть папки с зашифрованными файлами, точно такие же папки (в другом месте) с целыми файлами (было 2 копии, зашифровали только одну), а также ID из файла README. Возможно ли по этим данным расшифровать всё остальное? Ссылка на сообщение Поделиться на другие сайты
regist 618 Опубликовано 29 августа, 2018 Share Опубликовано 29 августа, 2018 Возможно ли по этим данным расшифровать всё остальное? нет.+ не надо писать в чужой теме. Создайте отдельную тему. Ссылка на сообщение Поделиться на другие сайты
Рекомендуемые сообщения