Перейти к содержанию
Destiny

Подцеплен шифровальщик. Окончание файлов [email][id1-id2].{randomЕxtension}

Рекомендуемые сообщения

Приветствую!

Утром пробудили компы от спячки и увидели, что на рабочем столе (а потом и везде по всему диску) на каждом компе

оооочень многие файлы, но не все, те же ехе, к примеру, не тронуты - зашифрованы.

Шаблон нового имени файла - Оригинальное_имя_файла[id1-id2].{randomЕxtension}

случайное трехбуквенное расширение - случайно для всех файлов. Конечно - в целом на диске - встречаются повторы,

но главное - что оно не стабильно для всех зашифрованных файлов - как для многих шифровальщиках показано в статьях,

описывающих их поведение. id1 и id2 - разные меж собой на одном компе и разные для разных компов.

CollectionLog-2019.12.12-16.23.zip

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Здравствуйте!

 

Программы удалённого управления обе известны?

 

Дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.

Когда программа запустится, нажмите Yes для соглашения с предупреждением.

 

Нажмите кнопку Scan.

После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Программы удалённого управления обе известны?

 

а о каких прогах идет речь?

в логе какие-то упомянуты? в принципе что-то когда-то ставилось, но сейчас живых ярлыков вроде нет нигде...

 

ПыСы. или вы о Teamviewer and VNC ?

 

искомые логи:

Addition.txtFRST.txt

Изменено пользователем Destiny

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Да, о них.

об этих да. есть такое. Там даже еще NeoRouter есть в списках. Того же типа ПО. т.е. эт нормально.

 

Но наверное на самом деле надо уточнить - есть ли дешифратор на наши файлы.

Т.к. судя по всему шифровальщик работал по сети на расшаренные папки.

т.е. это не основной комп заражения. На нем как я вижу - под раздачу попали тока файлы общего доступа...

А т.к. главное - это файлы, а не "есть тушка" вируса - то может примеры куда- то выложить?

Чтоб оценить их расшифровываемость?

 

ПыСы. потенциально это на какую-то версию самого Cryakl смахивает или на его форк)))), если таковые уже делают....

в теле файлов есть теги: {ENCRYPTSTART}{ENCRYPTENDED}

Изменено пользователем Destiny

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

в смысле этой версии? я ж еще сами файлы не выкладывал. откуда про версию понятно стало?

вообще же я видел, что расшифиовка каких-то первых версий точно есть. на сайте касперского

статья ж даже есть. типа ща в инете гуляет продвинутая обнова?

 

и наличие живого файла и зашифрованного не помогает делу расшифровки?

Изменено пользователем Destiny

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

откуда про версию понятно стало?

Вы не первый с подобным заражением. Это последняя версия Cryakl.

 

наличие живого файла и зашифрованного не помогает делу расшифровки?

К сожалению, нет.

 

Впрочем, при наличии лицензии на любой из продуктов Касперского создайте запрос на расшифровку.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

логи проверять смотреть еще будет кто? ну для хотя бы уверенности, что большего ничего такого нет?

Я их прикрепил - но скачиваний ноль вроде как. может еще что сделать/проверить надо?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Вы ведь сами сказали, что

это не основной комп заражения

Поэтому смысла в логах нет.

 

Тем не менее я их посмотрел, ничего плохого не видно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.


×
×
  • Создать...

Важная информация

Мы используем файлы cookie, чтобы улучшить работу сайта. Продолжая пользоваться этим сайтом, вы соглашаетесь, что некоторые из ваших действий в браузере будут записаны в файлы cookie. Подробную информацию об использовании файлов cookie на этом сайте вы можете найти по ссылке узнать больше.