шифровальщик mishacat@cock.li

[RedviKING 0]

Добрый день!

Поймали шифровальщик на удаленном рабочем компе. Поражена оказалась только папка с общим доступом. Прикладываю зашифрованный и оригинальный файл, логи и записку

Addition.txt FRST.txt 111.rar ВЕРНУТЬ ВАШИ ФАЙЛЫ.txt

[RedviKING 0]

упс, логи не с того компа, прикладываю корректные

Addition.txt FRST.txt

[Sandor 1 252]

Здравствуйте!

 

Приложенный повреждённый файл забит нулями. Помочь нечем.

[RedviKING 0]

Жесть... Спасибо за оперативный ответ

[RedviKING 0]

злоумышленники успешно расшифровали рандомный присланный им файл "забитый нулями". Как так?

[thyrex 1 468]

Значит, моё предположение для другого пользователя оказалось верным.

[RedviKING 0]

Я может что не так понимаю, но на нули не похоже

[thyrex 1 468]

А вот файл из архива в первом сообщении

[RedviKING 0]

Ааа... Вот почему злоумышленник тестовый файл просил заархивировать через zip без сжатия...

 

[thyrex 1 468]

Архивирование тут не причем. Скорее всего часть файлов повреждается при шифровании, и даже сам злоумышленник об этом не имеет понятия.

[RedviKING 0]

Не совсем. Потеря информации происходит при копировании файла. Скриншот выше сделан для того же файла, что и приложенный ранее в архиве. Сейчас проверил еще раз - на исходном месте файла, он не пустой (в HEX редакторе открывается как на скриншоте), если же я его копирую на другой диск, то в HEX редакторе уже одни нули.

 

а что за удаленный файл видит Hetman при распаковке приложенного в самом начале архива?

[thyrex 1 468]

Ну тогда у каждого такого пострадавшего что-ли подобные проблемы с системой? Уже год или два подобная проблема с файлами периодически проявляется после шифровальщика Ouroboros.

[RedviKING 0]

Вот еще пример - один и тот же файл на своем месте и скопированный в корень того же диска

[thyrex 1 468]

Странный docx-файл с внутренним содержанием незашифрованного jpg-файла

[RedviKING 0]

вот у меня мысль шальная проскользнула - а не может это быть не шифрование, а "сдвиг" по файловой системе диска?