Перейти к содержанию

Зашифровали файлы через RDP [kingkong2@tuta.io]


Рекомендуемые сообщения

Поймали шифровальщик [kingkong2@tuta.io] на 2 копьютера. Пользователи сообщили, что начали пропадать файл. 1 компьютер зашифрован полностью  . 2 компьютер был сразу же выключен, на нем пострадало талька часть файлов. Есть шанс расшифровать?

логи анализа, сообщение о выкупе  и зашифрованные файл прилагаю

FRST.txt Новый1.zip ransom_message .txt

Ссылка на сообщение
Поделиться на другие сайты

На сервере не вижу в автозагрузке активных файлов шифровальщика. Вероятно при шифровании пострадали только файлы в сетевых папках. Попробуйте сделать логи из обычного режима. Для второго компьютера создайте отдельную тему. Там компьютер заражен. На клиентском компьютере заблокируйте учетную запись john и изолируйте его на время лечения. 

Изменено пользователем mike 1
Ссылка на сообщение
Поделиться на другие сайты

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

  1. Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  2. Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
    SystemRestore: ON
    CreateRestorePoint:
    HKLM\...\Winlogon: [LegalNoticeCaption] Information...
    HKLM\...\Winlogon: [LegalNoticeText] to return the Data, write to us by mail - kingkong2@tuta.io
    Startup: C:\Users\superuser\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\mystartup.lnk [2021-04-02]
    ShortcutTarget: mystartup.lnk -> C:\Users\eryzhkin\AppData\Local\Temp\RESTORE_FILES_INFO.txt (Нет файла)

     

  3. Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  4. Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму
Изменено пользователем mike 1
Ссылка на сообщение
Поделиться на другие сайты

Тогда сделайте запрос на расшифровку в техподдержку вашего вендора. В Вашем случае это Eset. На форуме с расшифровкой файлов помочь не сможем. 

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

×
×
  • Создать...