zeppelin Шифровальщик .16C-98D-477

[Robo]

         На комп с общей папкой для обмена документами (serv 2008) поймал шифровальщик. В сети работало около 10 пользователей. у одного из них те же симптомы. Подозреваю, что атака на сервер была именно с него(хотя админ прав у пользователя нет), потому что остальные пользователи ничего не подцепили. Зашифровал именно 1 папку(самую нужную), хотя там было еще 2 расшаренные. Скорей всего у пользователя была в момент запуска вируса открыта расшаренная папка.

          Сам вирус имена файлов никак не изменял, размер тоже, в конце расширения файлов изменились на некий персональный ID 16C-98D-477(как я понимаю это гораздо хуже чем если бы расширение было общее как в большинстве тем) поэтому не знал что указать в названии темы. Нашел пару копий файлов на другом компьютере, которые были в папке и зашифровались, то есть могу, если надо, предоставить оригинал и зашифроввнный файл.

          Оба компа проверял 3мя антивирусами(Касперсий, др.веб, нод), которые не нашли вируса в системе.

Шифр.rar

[Sandor]

Здравствуйте!

 

Какой пароль на архив?

[Robo]

Прошу прощения, пароль 111

[Sandor]

Похоже на Phobos. Если так, то расшифровки нет, к сожалению.

[Robo]

А в самой системе его видно, нужно ли сносить все? Или он самоустранился? Написал чисто ради интереса по одному из мейлов, запросили 0.22 БТ то есть 10 тыс. долларов.

[Sandor]

Для ответа на ваши вопросы нужны логи по правилам - Порядок оформления запроса о помощи

[Robo]

Оо, извините. был уверен,что прикрепил еще в 1м сообщении.

 

asd.rar

[Sandor]

51 минуту назад, Robo сказал:

Или он самоустранился?

Как правило, так и есть.

В логах порядок. Только вы верно предположили, что не эта система была заражена.

[Robo]

Комп на который у меня упали подозрения я вырубил сразу и все там снес. собюственно там кроме почтовика и пары некритичных файлов ничего не было. Стало быть расшифровать сейчас никак и скорей всего никогда? Спасибо за помощь.

[Sandor]

10 минут назад, Robo сказал:

скорей всего никогда?

Боюсь, что так. Впрочем, дождитесь подтверждения (или опровержения) @thyrex

[thyrex]

https://id-ransomware.blogspot.com/2019/11/zeppelin-ransomware.html

 

Расшифровки нет.