Вирус зашифровал файлы с расширением .crypton

[Apo Ucoz 0]

Добрый день. Вчера был взломан один из наших серверов и все важные файлы на нём были зашифрованы... Просим помочь расшифровать файлы. Там у нас всё, что необходимо для работы фирмы. Пожалуйста, не откажите в помощи!

 

В прикреплении логи + образец зашированного файла + текст вымогателя. Заранее огромное вам спасибо за любую помощь!

Прикрепляю логи с Farbar Recovery Scan Tool

CollectionLog-2019.04.22-15.21.zip

DECRIPT_FILES.zip

Addition.txt

FRST.txt

[Sandor 793]

Здравствуйте!

 

Расшифровки этого типа вымогателя нет, увы.

 

Смените пароль на RDP. Проверьте уязвимые места:

Выполните скрипт в AVZ при наличии доступа в интернет:

 

var
LogPath : string;
ScriptPath : string;
begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';
  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить.

В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

 

Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления (если таковые будут).

Перезагрузите компьютер.

Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

[Apo Ucoz 0]

Здравствуйте!

 

Расшифровки этого типа вымогателя нет, увы.

 

Смените пароль на RDP. Проверьте уязвимые места:

Выполните скрипт в AVZ при наличии доступа в интернет:

 

var
LogPath : string;
ScriptPath : string;
begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';
  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить.

В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

 

Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления (если таковые будут).

Перезагрузите компьютер.

Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

 

Уязвимости не обнаружены... То есть мы можем попрощаться со своим сервером? Что, если заплатить вымогателю? 

И да, вот ещё что: подскажите название этого вируса и существует ли защита от подобного вида вирусов для Windows Server 2008 R2 и Windows Server 2012? Спасибо!

[Sandor 793]

Crypton Ransomware

 

существует ли защита

Да, существует.

[Apo Ucoz 0]

В общем, заплатили деньги. Выслали дешифратор и инструкции, как закрыть уязвимости системы. Дешифратор работает, ключом шифровки и списком утилит, которыми шифровали, тоже обладаем. Рад, что хоть не обманули и охотно поддерживали диалог, а ведь могли тупо кинуть...

[Sandor 793]

инструкции, как закрыть уязвимости системы

И как же?

[Apo Ucoz 0]

 

инструкции, как закрыть уязвимости системы

И как же?

Вот выдержка из письма:

 

!!!Be sure to fix it!!!

 

Delete the administration of the 1C server from the external network, port: 1540! Delete all test databases from the 1C server! Hide all 1c users so that they enter their logins manually and set very complex passwords. Replace the service account with an account without administrator rights!

Configure the security profile on the 1C server. Set the Server Administrator 1C

 

https://its.1c.ru/db/metod8dev/content/5816/hdoc