Перейти к содержанию
it4

Шифровальщик id-EEB9C926.[cryptocash@aol.com].CASH

Рекомендуемые сообщения

Добрый день.


 


 


Словили шифровальщик, попал на расшаренные диски и папки. 


Файлы приняли вид --------.pdf.id-EEB9C926.[cryptocash@aol.com].CASH


 


логи собирали с сервера, где и зашифровались файлы 


 


Проверка с помощью kaspersky virus removal tool не дала результатов.


Прикрепляю лог из autologger'а.


дополнительно отчеты FRST


 


Буду благодарен за любую помощь.


 


 

CollectionLog-2019.11.06-10.37.zip

FRST.zip

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Здравствуйте!

 

Тип вымогателя Dharma (.cezar Family) или Crusis по терминологии ЛК. Расшифровки нет.

Смените пароли на RDP.

Проверьте уязвимые места:

Выполните скрипт в AVZ при наличии доступа в интернет:

 

var
LogPath : string;
ScriptPath : string;
begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';
  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить.

В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

 

Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления (если таковые будут).

Перезагрузите компьютер.

Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Возможно ли выявить источник заражения (ПК с которого был запущен вирус?)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Смените пароли на RDP

Скорее всего был взломан. Это один из наиболее популярных методов проникновения вредоноса в последнее время.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

На данном сервере не поднят RDP, доступ к нему ограничен правами

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Еще видно, что первое появление вредоноса произошло 2019-11-05 22:54

Посмотрите по событиям сервера.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.


×
×
  • Создать...