шифровальщик на контролере домена

[a.kashirin@inbox.ru 0]

Поймали шифровальщик на контролер домена, в корне С файл с текстом "write your country and server ip to tapok@tuta.io" В AD у пользователей изменены пароли, изменить не получается, создать нового пользователя тоже не получается. Win 2012 R2. Курейт ничего не нашёл.

CollectionLog-2019.03.13-12.16.zip

[Sandor 1 296]

Здравствуйте!

 

Сделайте внешними средствами (например, Акронисом) резервную копию системы, затем:

"Пофиксите" в HijackThis:

O7 - TroubleShooting: (EV) HKCU\..\Environment: [TEMP] = C:\Windows\system32\config\systemprofile\AppData\Local\Temp (folder missing)
O7 - TroubleShooting: (EV) HKCU\..\Environment: [TMP] = C:\Windows\system32\config\systemprofile\AppData\Local\Temp (folder missing)
O7 - TroubleShooting: (EV) HKU\.DEFAULT\..\Environment: [TEMP] = C:\Windows\system32\config\systemprofile\AppData\Local\Temp (folder missing)
O7 - TroubleShooting: (EV) HKU\.DEFAULT\..\Environment: [TMP] = C:\Windows\system32\config\systemprofile\AppData\Local\Temp (folder missing)
O7 - TroubleShooting: (EV) HKU\S-1-5-19\..\Environment: [TEMP] = C:\Windows\system32\config\systemprofile\AppData\Local\Temp (folder missing)
O7 - TroubleShooting: (EV) HKU\S-1-5-19\..\Environment: [TMP] = C:\Windows\system32\config\systemprofile\AppData\Local\Temp (folder missing)
O7 - TroubleShooting: (EV) HKU\S-1-5-20\..\Environment: [TEMP] = C:\Windows\system32\config\systemprofile\AppData\Local\Temp (folder missing)
O7 - TroubleShooting: (EV) HKU\S-1-5-20\..\Environment: [TMP] = C:\Windows\system32\config\systemprofile\AppData\Local\Temp (folder missing)
O7 - TroubleShooting: (EV) HKU\S-1-5-21-2351134484-3091384311-792247948-1122\..\Environment: [TEMP] = C:\Windows\system32\config\systemprofile\AppData\Local\Temp (folder missing)
O7 - TroubleShooting: (EV) HKU\S-1-5-21-2351134484-3091384311-792247948-1122\..\Environment: [TMP] = C:\Windows\system32\config\systemprofile\AppData\Local\Temp (folder missing)

Перезагрузите компьютер и соберите новый CollectionLog.

[a.kashirin@inbox.ru 0]

сделал 

CollectionLog-2019.03.13-14.36.zip

[Sandor 1 296]

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.

Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[a.kashirin@inbox.ru 0]

по данному серверу проблема не актуальна, восстановили из бэкапа. Данная проблема осталась на др сервере, по нему новую тему создавать?

[Sandor 1 296]

по нему новую тему создавать?

Да.