Шифровальщик *@qq.com (Wadhrama)

[Addy]

Поймали шифровальщика через удаленный доступ, система Windows Server 2008 R2.

[Addy]

Подскажите как мне прикрепить данные автологера? Тут 5 мб только можно?

 

Сори, папку с самим логером прикладывал. Во вложении результаты его работы.

CollectionLog-2020.05.09-17.01.zip

 

В архив не добавляется файл, прикладываю в чистом виде один из зашифрованных файлов.

Images_2017-10-05.csv.id-126F1D8A.[3441546223@qq.com].ncov

[thyrex]

Расшифровки нет ни в одной антивирусной компании. Можем только зачистить следы мусора.

 

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Файлы FRST.txt и Addition.txt заархивируйте (в один общий архив) и прикрепите к сообщению.
 

[Addy]

Сделал

frst.zip

[thyrex]

Гора администраторов в системе. Не удивительно, что одного из них вскрыли, подобрав пароль к RDP.

Цитата

admin (S-1-5-21-1787781901-1590571576-3740444787-1003 - Administrator - Enabled) => C:\Users\admin
denigroup1 (S-1-5-21-1787781901-1590571576-3740444787-1037 - Administrator - Enabled) => C:\Users\denigroup1
denigroup2 (S-1-5-21-1787781901-1590571576-3740444787-1038 - Administrator - Enabled) => C:\Users\denigroup2
denigroup3 (S-1-5-21-1787781901-1590571576-3740444787-1039 - Administrator - Enabled) => C:\Users\denigroup3
denigroup4 (S-1-5-21-1787781901-1590571576-3740444787-1041 - Administrator - Enabled) => C:\Users\denigroup4
manager11 (S-1-5-21-1787781901-1590571576-3740444787-1025 - Administrator - Enabled) => C:\Users\manager11
manager13 (S-1-5-21-1787781901-1590571576-3740444787-1027 - Administrator - Enabled) => C:\Users\manager13
Missodri CRM (S-1-5-21-1787781901-1590571576-3740444787-1036 - Administrator - Enabled) => C:\Users\Missodri CRM
Prices (S-1-5-21-1787781901-1590571576-3740444787-1035 - Administrator - Enabled) => C:\Users\Prices
Администратор (S-1-5-21-1787781901-1590571576-3740444787-500 - Administrator - Enabled) => C:\Users\Администратор

 

 

1. Выделите следующий код:

Start::
CreateRestorePoint:
2020-05-09 11:14 - 2020-05-09 11:14 - 000000168 _____ C:\Users\Все пользователи\Desktop\FILES ENCRYPTED.txt
2020-05-09 11:14 - 2020-05-09 11:14 - 000000168 _____ C:\Users\Public\Desktop\FILES ENCRYPTED.txt
2020-05-09 11:14 - 2020-05-09 11:14 - 000000168 _____ C:\ProgramData\Desktop\FILES ENCRYPTED.txt
2020-05-09 11:14 - 2020-05-09 11:14 - 000000168 _____ C:\FILES ENCRYPTED.txt
2020-05-09 10:56 - 2018-10-09 20:08 - 000128000 _____ C:\Users\denigroup4\Documents\NS.exe
End::

2. Скопируйте выделенный текст (правая кнопка мыши – Копировать).
3. Запустите Farbar Recovery Scan Tool.
4. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: перезагрузку компьютера нужно выполнить вручную после данного скрипта.
  

 

[Addy]

Вот. Перезапустился он сам. Я снова зашел через удаленный доступ, прямого доступа нет пока к машине, к вечеру будет только.

Fixlog.txt

 

 

Какие действия мне предпринимать? Есть какая-то надежда расшифровать данные?

Изменено 11 мая, 2020 пользователем Addy

[thyrex]

Еще в сообщении #3 я написал, что расшифровки нет ни в одной антивирусной компании. Больше помочь нечем.