Перейти к содержанию

Зашифровались данные

Maugli_kzn
 Поделиться

Рекомендуемые сообщения

Maugli_kzn

Maugli_kzn

Опубликовано
Опубликовано

Добрый день!

С утра на сервере обнаружили, что зашифровались все данные. Все зашифрованные файлы получили дополнение в названии в виде "id-10F0CB52.[easydecrypt666@cock.li].PLUT". К сожалению архивов не было. Пожалуйста, помогите расшифровать,

Ранее был уже топик от пользователя "italon" на который отвечал модератор "thyrex". Написали, что смогли расшифровать данные. По описанию схожая проблема. 

 

Sandor

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

Порядок оформления запроса о помощи

 

Дополнительно пару небольших зашифрованных офисных документа вместе с запиской о выкупе упакуйте в архив и тоже прикрепите к следующему сообщению.

Maugli_kzn

Maugli_kzn

Опубликовано
  • Автор
Опубликовано

Здравствуйте!

 

Порядок оформления запроса о помощи

 

Дополнительно пару небольших зашифрованных офисных документа вместе с запиской о выкупе упакуйте в архив и тоже прикрепите к следующему сообщению.

дело в том, что офисных документов там нет. есть 4 базы субд. Записка о выкупе в виде картинки всплывающей только. попробую скрин сделать.

Здравствуйте!

 

Порядок оформления запроса о помощи

 

Дополнительно пару небольших зашифрованных офисных документа вместе с запиской о выкупе упакуйте в архив и тоже прикрепите к следующему сообщению.

прикрепил два текстовых файла и файл от злоумышленников, который на рабочем столе было

virus.zip

Sandor

Sandor

Опубликовано
Опубликовано

Тип вымогателя Dharma (.cezar Family), расшифровки нет. Будет только лечение и очистка следов.

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 TerminateProcessByName('C:\ProgramData\Microsoft\DRM\Oyaxagepa\Dfori.exe');
 TerminateProcessByName('C:\ProgramData\Microsoft\DRM\Oyaxagepa\Opaxo.exe');
 QuarantineFile('C:\ProgramData\Microsoft\DRM\Oyaxagepa\Dfori.exe', '');
 QuarantineFile('C:\ProgramData\Microsoft\DRM\Oyaxagepa\Opaxo.exe', '');
 QuarantineFile('C:\ProgramData\Microsoft\DRM\Uqiqu\lnterrupts.exe', '');
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '');
 QuarantineFile('C:\Users\amm\AppData\Roaming\Info.hta', '');
 QuarantineFile('C:\Users\amm\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '');
 QuarantineFile('C:\Windows\System32\Info.hta', '');
 QuarantineFile('c:\windows\system32\wbem\123.bat', '');
 DeleteSchedulerTask('Microsoft\Windows\EntityFramework\NetFramework');
 DeleteFile('C:\ProgramData\Microsoft\DRM\Oyaxagepa\Dfori.exe', '32');
 DeleteFile('C:\ProgramData\Microsoft\DRM\Oyaxagepa\Opaxo.exe', '32');
 DeleteFile('C:\ProgramData\Microsoft\DRM\Uqiqu\lnterrupts.exe', '64');
 DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '64');
 DeleteFile('C:\Users\amm\AppData\Roaming\Info.hta', '32');
 DeleteFile('C:\Users\amm\AppData\Roaming\Info.hta', '64');
 DeleteFile('C:\Users\amm\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '64');
 DeleteFile('C:\Windows\System32\Info.hta', '64');
 DeleteFile('c:\windows\system32\wbem\123.bat', '64');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'C:\Users\amm\AppData\Roaming\Info.hta', '32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\start', 'command', '64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'BGClients', '64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'C:\Users\amm\AppData\Roaming\Info.hta', '64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'C:\Windows\System32\Info.hta', '64');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
end.
Пожалуйста, перезагрузите компьютер вручную.

 

 

 

 

Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KL-).

 

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Прикрепите к следующему сообщению свежий CollectionLog.

Maugli_kzn

Maugli_kzn

Опубликовано
  • Автор
Опубликовано

Тип вымогателя Dharma (.cezar Family), расшифровки нет. Будет только лечение и очистка следов.

 

Закройте все программы, временно выгрузите антивирус, файерволл и прочее защитное ПО.

 

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

 

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 TerminateProcessByName('C:\ProgramData\Microsoft\DRM\Oyaxagepa\Dfori.exe');
 TerminateProcessByName('C:\ProgramData\Microsoft\DRM\Oyaxagepa\Opaxo.exe');
 QuarantineFile('C:\ProgramData\Microsoft\DRM\Oyaxagepa\Dfori.exe', '');
 QuarantineFile('C:\ProgramData\Microsoft\DRM\Oyaxagepa\Opaxo.exe', '');
 QuarantineFile('C:\ProgramData\Microsoft\DRM\Uqiqu\lnterrupts.exe', '');
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '');
 QuarantineFile('C:\Users\amm\AppData\Roaming\Info.hta', '');
 QuarantineFile('C:\Users\amm\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '');
 QuarantineFile('C:\Windows\System32\Info.hta', '');
 QuarantineFile('c:\windows\system32\wbem\123.bat', '');
 DeleteSchedulerTask('Microsoft\Windows\EntityFramework\NetFramework');
 DeleteFile('C:\ProgramData\Microsoft\DRM\Oyaxagepa\Dfori.exe', '32');
 DeleteFile('C:\ProgramData\Microsoft\DRM\Oyaxagepa\Opaxo.exe', '32');
 DeleteFile('C:\ProgramData\Microsoft\DRM\Uqiqu\lnterrupts.exe', '64');
 DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '64');
 DeleteFile('C:\Users\amm\AppData\Roaming\Info.hta', '32');
 DeleteFile('C:\Users\amm\AppData\Roaming\Info.hta', '64');
 DeleteFile('C:\Users\amm\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '64');
 DeleteFile('C:\Windows\System32\Info.hta', '64');
 DeleteFile('c:\windows\system32\wbem\123.bat', '64');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'C:\Users\amm\AppData\Roaming\Info.hta', '32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\start', 'command', '64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'BGClients', '64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'C:\Users\amm\AppData\Roaming\Info.hta', '64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'C:\Windows\System32\Info.hta', '64');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
end.
Пожалуйста, перезагрузите компьютер вручную.

 

 

 

 

Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KL-).

 

 

 

 

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger.

Прикрепите к следующему сообщению свежий CollectionLog.

 

удалить следы и лечение в моем случае просто - удалением самого сервера. Вопрос именно в возможности расшифровки.

Sandor

Sandor

Опубликовано
Опубликовано

Не цитируйте всё предыдущее сообщение, пожалуйста.

Maugli_kzn

Maugli_kzn

Опубликовано
  • Автор
Опубликовано

скрипт в avz выполнил, сервер перезагрузил.




Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KL-).

номер KL - это номер лицензии или что?

 

thyrex

thyrex

Опубликовано
Опубликовано

Это номер, который идентифицирует номер обращения в вирлаб. Он приходит в теме письма из вирлаба.

Maugli_kzn

Maugli_kzn

Опубликовано
  • Автор
Опубликовано

Это номер, который идентифицирует номер обращения в вирлаб. Он приходит в теме письма из вирлаба.

я оформлял заявку через личный кабинет на касперском. там присудили номер INC000010825016 - его отправлять?

Sandor

Sandor

Опубликовано
Опубликовано

Нет. В письме из вирлаба должен быть номер KLAN, в ответ на отправленный вами карантин.

 

Не дожидаясь этого ответа, вы можете

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. Прикрепите к следующему сообщению свежий CollectionLog.

Sandor

Sandor

Опубликовано
Опубликовано

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.

Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Maugli_kzn

Maugli_kzn

Опубликовано
  • Автор
Опубликовано

в итоге оплатили некую сумму и прислали дешифровку.... скопировал нужные файлы, проверил с помощью всех доступных антивирусов и перенес на новую машину. старую просто удалил

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Дмитрий С1990
      Зашифровали данные
      Автор Дмитрий С1990
      Был зашифрован ПК по средствам подключения по rdp  к учетной записи администратора и подобранному паролю.
      Addition.txt virus.7z FRST.txt
    • Илья-Р
      Surtr зашифровал данные
      Автор Илья-Р
      Surtr зашифровал данные.
       
      Ниже сообщение.
       
      What happened to your files?
      Unfortunately, your server was compromised, 
      using a security hole in your server.
      All your files are encrypted with a military algorithm .
      in order to contact us you can email this address
      dectokyo@onionmail.org
      use this ID( l0s9viwsc8if5y ) for the title of your email.
      if you weren't able to contact us within 24 hours please email :
      dectokyo@cock.li , TELEGRAM :@tokyosupp
      Only we can decrypt your files.
      Please do not contact separate fraudulent sites.
      You can use freeand even paid software on the Internet, 
      but it is uselessand will cause you to lose filesand timeand money.
       
      В приложении архив RAR. 
       
      Подскажите, пожалуйста, как расшифровать?
      Surtr.rar
    • Zakot
      Вирус зашифровал данные на сервере
      Автор Zakot
      На сервере вчера вирус зашифровал данные, возможно через RDP попал, сегодня обнаружили.
      virus.zipFRST.txtAddition.txt
    • Инфлюенсер
      Данные зашифрованные с помощью diskCriptor
      Автор Инфлюенсер
      Добрый день, произошел взлом системы. Пострадали пк и сервера, злоумышленник зашифровал данные. Так же попросил выкуп. для теста дал пароль от одного из дисков с помощью которого удалось расшифровать диск с которого собраны логи по запросу, в данный момент диски заблокированы. Требуется ли с помощью программы R.Saver   попытаться вытащить какиет-о файлы, так как в настоящий момент  диски являются роу
      Addition.txtFRST.txt
    • Shystrik
      Шифровальщик зашифровал данные на ПК
      Автор Shystrik
      Добрый день, на одном из наших ПК появился шифровальщик, и зашифровал данные. Подскажите как от него избавиться и остановить его работу для начала. Нужно ли переустанавливать ОС на ПК ?
×
×
  • Создать...