crysis Windows Server 2008 подцепил шифровальщик, все файлы на сервере оказались зашифрованы

[megabublik]

Windows Server 2008, схватили шифровальщик который зашифровал все файлы и попросил денег:( Требуется помощь в решении проблемы. Пользователи на этой системе фактически не работают, видимо просочился через RDP или еще какую-нибудь уязвимость...

 

CollectionLog-2020.10.29-11.48.zip

[Sandor]

Здравствуйте!

 

Расшифровки этой версии вымогателя нет. Но он пока активен в системе.

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '');
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\_adobe.tmp.259461.exe', '');
 QuarantineFile('C:\Users\Wialon\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '');
 QuarantineFile('C:\Users\Wialon\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\_adobe.tmp.259461.exe', '');
 QuarantineFile('C:\Windows\System32\_adobe.tmp.259461.exe', '');
 QuarantineFile('C:\Windows\System32\Info.hta', '');
 QuarantineFile('C:\Users\Wialon\AppData\Roaming\Info.hta', '');
 QuarantineFile('C:\Users\All Users\Start Menu\Programs\Startup\_adobe.tmp.259461.exe', '');
DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '64');
 DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\_adobe.tmp.259461.exe', '64');
 DeleteFile('C:\Users\Wialon\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta', '64');
 DeleteFile('C:\Users\Wialon\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\_adobe.tmp.259461.exe', '64');
 DeleteFile('C:\Windows\System32\_adobe.tmp.259461.exe', '64');
 DeleteFile('C:\Windows\System32\Info.hta', '64');
 DeleteFile('C:\Users\Wialon\AppData\Roaming\Info.hta', '64');
 DeleteFile('C:\Users\Wialon\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\_adobe.tmp.259461.exe', '');
 DeleteFile('C:\Users\All Users\Start Menu\Programs\Startup\_adobe.tmp.259461.exe', '');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','_adobe.tmp.259461.exe', '64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','C:\Windows\System32\Info.hta', '64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','C:\Users\Wialon\AppData\Roaming\Info.hta', '64');
ExecuteSysClean;
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.

 

Пожалуйста, перезагрузите компьютер вручную.

 

Файл quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com
Полученный ответ сообщите здесь (с указанием номера KL-).

 

 

Дополнительно:

Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

Изменено 29 октября, 2020 пользователем Sandor

[megabublik]

Сделал все по инструкции:))

FRST.txt Addition.txt

 

А вообще шансы спасти данные есть или уже без вариантов? Потому что сама система то меня мало интересует :))

[Sandor]

Прочтите ЛС и сообщите, нужна ли дальнейшая очистка системы.

[megabublik]

Спасибо, нет, система не очень интересует, ее быстрее и правильнее переустановить.

Сообщение от модератора Soft

Часть сообщений выделено в отдельную тему.