Перейти к содержанию

Нужна помощь в восстановлении файлов после шифровальщика


Рекомендуемые сообщения

На сервер проник вирус шифровальшик. Никакие файлы не запускались, поскольку произошло в ночное время, когда пользователи точно не работают. Все файлы зашифрованы с расширением FSOCIETY. LicData_10РМ.txt.Id = [FF67A2A] Send To Email=[Elliot.Alderson@mailfence.com].FSOCIETY. Что с этим можно сделать? Какие способы решения? Имеется текстовый файл с запросом выкупа.

Запрос в антивирус.7z FRST.txt Addition.txt

Ссылка на сообщение
Поделиться на другие сайты
11 часов назад, Sandor сказал:

Здравствуйте!

 

Пока пытаемся определить тип вымогателя.

Добрый вечер, если поможет то есть ответ от dr.web Файлы зашифрованы Trojan.Encoder.28501

 

11 часов назад, Sandor сказал:

Здравствуйте!

 

Пока пытаемся определить тип вымогателя.

Вам в любом случае заранее спасибо

Ссылка на сообщение
Поделиться на другие сайты
11 часов назад, Sandor сказал:

Здравствуйте!

 

Пока пытаемся определить тип вымогателя.

И еще вопрос задам. Если есть точная копия нескольких файлов до вируса, то они могут помочь в расшифровке?

Ссылка на сообщение
Поделиться на другие сайты

Шифровалось дважды.

 

Похоже на этот вымогатель.

Предположу, что пара файлов ничем не поможет.

При наличии лицензии на любой из продуктов Касперского создайте запрос на расшифровку.

Ссылка на сообщение
Поделиться на другие сайты
27.02.2021 в 09:10, Sandor сказал:

Шифровалось дважды.

 

Похоже на этот вымогатель.

Предположу, что пара файлов ничем не поможет.

При наличии лицензии на любой из продуктов Касперского создайте запрос на расшифровку.

Спасибо, воспользовался советом, отправил запрос, взяли в обработку.

6 часов назад, Sandor сказал:

Попробуйте найти тело вируса. Возможно в карантине антивируса или среди удалённых файлов.

Как его опознать? Закончилось тестирование программой восстановления файлов, там есть много удаленных незашифрованных файлов. Что будет отличать файл с телом?

Ссылка на сообщение
Поделиться на другие сайты
27.02.2021 в 08:10, Sandor сказал:

Похоже на этот вымогатель.

Ссылку смотрели? Там есть пример.

 

24 минуты назад, Shumach сказал:

отправил запрос, взяли в обработку

Ответ сообщите здесь, пожалуйста.

Ссылка на сообщение
Поделиться на другие сайты
10 часов назад, Sandor сказал:

Ссылку смотрели? Там есть пример.

 

Ответ сообщите здесь, пожалуйста.

Смотрел, но все равно не понимаю, что искать. Можете поточнее указать, под каким заголовком искать?

Ссылка на сообщение
Поделиться на другие сайты
7 часов назад, Sandor сказал:

 

есть файл Windows_explorer.exe. Удален за несколько минут до времени указанном в перекодированных файлах. Вроде бы похож на подозрительный?

Ссылка на сообщение
Поделиться на другие сайты

Проверьте его на https://www.virustotal.com/gui/home/upload

Ссылку на результат покажите.

Изменено пользователем Sandor
Ссылка на сообщение
Поделиться на другие сайты
14 минут назад, Sandor сказал:

Проверьте его на https://www.virustotal.com/gui/home/upload

Ссылку на результат покажите.

т.е. его восстановить и затем закинуть по ссылке?

Ссылка на сообщение
Поделиться на другие сайты

Да, только будьте осторожны, не запустите случайно.

Либо упакуйте его в архив с паролем и через файлообменник ссылку на скачивание отправьте мне в ЛС.

Ссылка на сообщение
Поделиться на другие сайты
2 минуты назад, Sandor сказал:

Да, только будьте осторожны, не запустите случайно.

Либо упакуйте его в архив с паролем и через файлообменник ссылку на скачивание отправьте мне в ЛС.

Собственно этого и боюсь))

 

В общем на данный момент в папке C:\Windows\Vss\Writers\Application лежит как раз приложение Windows_explorer.exe созданный в 0:53 и в удаленных числится файл Windows_explorer.exe тем же временем.

Может сначала забросить на проверку тот файл что лежит?

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • От Радибор
      Здравствуйте! зашифровал все файлы , убил доступ к профилям пользователей. Доступа к системе нет.  Может есть лечение файлов
      Венгер.xlsx[honestandhope@qq.com].rar худ мат .xlsx[honestandhope@qq.com].rar
    • От sp1rtagun
      Вирус поразил рдп. С перепугу переустановил виндоус-сервер. файлы зашифрованы, прикладываю архив.
      Файл с вирусом не нашел - искал с помощью DrWeb CureIt.
      Закодированные.7z Addition.txt FRST.txt
    • От it4
      Вымогатель-шифровальщик зашифровал абсолютно всё и файлы бэкап и файлы образов всё что можно было. Подскажите пожалуйста что делать?
      Зашифрованные файлы и требование удалось вытащить подключив диск к другому ПК
      Все данные прикреплены в архиве.
      Что можно с этим сделать?
      29-12-2020_11-07-29.zip
    • От Robo
      На комп с общей папкой для обмена документами (serv 2008) поймал шифровальщик. В сети работало около 10 пользователей. у одного из них те же симптомы. Подозреваю, что атака на сервер была именно с него(хотя админ прав у пользователя нет), потому что остальные пользователи ничего не подцепили. Зашифровал именно 1 папку(самую нужную), хотя там было еще 2 расшаренные. Скорей всего у пользователя была в момент запуска вируса открыта расшаренная папка.
                Сам вирус имена файлов никак не изменял, размер тоже, в конце расширения файлов изменились на некий персональный ID 16C-98D-477(как я понимаю это гораздо хуже чем если бы расширение было общее как в большинстве тем) поэтому не знал что указать в названии темы. Нашел пару копий файлов на другом компьютере, которые были в папке и зашифровались, то есть могу, если надо, предоставить оригинал и зашифроввнный файл.
                Оба компа проверял 3мя антивирусами(Касперсий, др.веб, нод), которые не нашли вируса в системе.
      Шифр.rar
    • От I-Scorpion
      На терминальный сервер (виртуалка) под Win2008R2 попал шифровальщик. Возможно отбрутфорсили пароль. Все зашифровано, система не грузится - запустить диагностику невозможно. На сервере стоял Kaspersky Small Office Security 7 ве рсии - дVirus.zipаже не мяукнул (возможно, что отключили, если забрутфорсили). вынуть зашифрованные файлы удалось, из архива достались не шифрованные. Все в архиве. При проверки этого диска KIS 21.1.15 нашел файл самого вируса. Расширение его тоже, т.ч зашифрован он или нет непонятно. Но KIS его сразу удалил. пришлось восстанавливать из хранилища, что б прислать. Пароль на архив с вирусом - как в требованиях. Текстовый файл - записка о выкупе, есть и в архиве.
      Если есть возможность - помогите.
      Files.rar #ReadThis.TXT
×
×
  • Создать...