Перейти к содержанию

Рекомендуемые сообщения

на сервере расшариные папки и в этих папках все зашифровано. в основном картинки. В других папках и дисках вроде все норма только везде файл how_to_decrypt.hta

FRST запускал на сервере. Подозрение что вирус схватили компьютеры в сети, а эти папки были подключены как сетевые диски.

 

2.rar Addition.txt FRST.txt

Изменено пользователем jankas
добавил вложение
Ссылка на сообщение
Поделиться на другие сайты
Цитата

Администратор (S-1-5-21-4013951740-3160013732-2958741134-500 - Administrator - Enabled)

а почему встроенный Администратор даже не отключен?

 

Пароль от RDP смените на более сложный. Потому как доступ к компьютеру с этим шифровальщиком получают после него. Шифровали Вас под учеткой USER-1.

 

Зачем Вам столько утилит удаленного доступа: AnyDesk, Radmin, TeamViewer?

 

MediaGet удалите через Установку программ.

 

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мышиКопировать)

Start::
CreateRestorePoint:
HKU\S-1-5-21-1866048529-1479512438-1126473740-1186\...\Run: [E30D09FC-CD77FA34hta] => D:\Users\USER-1\AppData\Local\Temp\4\how_to_decrypt.hta [1792 2021-11-23] () [Файл не подписан] <==== ВНИМАНИЕ
2021-11-23 19:00 - 2021-11-23 19:00 - 000001792 _____ D:\Users\USER-1\how_to_decrypt.hta
2021-11-23 19:00 - 2021-11-23 19:00 - 000001792 _____ D:\Users\USER-1\Downloads\how_to_decrypt.hta
2021-11-23 19:00 - 2021-11-23 19:00 - 000001792 _____ D:\Users\USER-1\Documents\how_to_decrypt.hta
2021-11-23 19:00 - 2021-11-23 19:00 - 000001792 _____ D:\Users\USER-1\Desktop\how_to_decrypt.hta
2021-11-23 19:00 - 2021-11-23 19:00 - 000001792 _____ D:\Users\USER-1\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2021-11-23 19:00 - 2021-11-23 19:00 - 000001792 _____ D:\Users\USER-1\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2021-11-23 19:00 - 2021-11-23 19:00 - 000001792 _____ D:\Users\USER-1\AppData\Roaming\how_to_decrypt.hta
2021-11-23 19:00 - 2021-11-23 19:00 - 000001792 _____ D:\Users\USER-1\AppData\LocalLow\how_to_decrypt.hta
2021-11-23 19:00 - 2021-11-23 19:00 - 000001792 _____ D:\Users\USER-1\AppData\Local\how_to_decrypt.hta
2021-11-23 19:00 - 2021-11-23 19:00 - 000001792 _____ D:\Users\USER-1\AppData\how_to_decrypt.hta
2021-11-23 19:00 - 2021-11-23 19:00 - 000001792 _____ D:\Users\Public\how_to_decrypt.hta
2021-11-23 18:55 - 2021-11-23 19:00 - 000000851 _____ D:\Users\USER-1\Desktop\ClearLock.ini[paybackformistake@qq.com].[E30D09FC-CD77FA34]
FirewallRules: [{286F190E-5265-470A-9637-EC9814752E8F}] => (Allow) C:\Programs\LiteManager\ROMServer.exe => Нет файла
FirewallRules: [{9BE85269-4D7C-44C3-A81B-F30D1EC20629}] => (Allow) C:\Programs\LiteManager\ROMServer.exe => Нет файла
End::


2. Запустите Farbar Recovery Scan Tool.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

 

  • Обратите внимание: перезагрузку компьютера нужно выполнить вручную после данного скрипта.
     
Ссылка на сообщение
Поделиться на другие сайты
11 часов назад, thyrex сказал:

а почему встроенный Администратор даже не отключен?

 

Пароль от RDP смените на более сложный. Потому как доступ к компьютеру с этим шифровальщиком получают после него. Шифровали Вас под учеткой USER-1.

 

Зачем Вам столько утилит удаленного доступа: AnyDesk, Radmin, TeamViewer?

 

MediaGet удалите через Установку программ.

 

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мышиКопировать)


Start::
CreateRestorePoint:
HKU\S-1-5-21-1866048529-1479512438-1126473740-1186\...\Run: [E30D09FC-CD77FA34hta] => D:\Users\USER-1\AppData\Local\Temp\4\how_to_decrypt.hta [1792 2021-11-23] () [Файл не подписан] <==== ВНИМАНИЕ
2021-11-23 19:00 - 2021-11-23 19:00 - 000001792 _____ D:\Users\USER-1\how_to_decrypt.hta
2021-11-23 19:00 - 2021-11-23 19:00 - 000001792 _____ D:\Users\USER-1\Downloads\how_to_decrypt.hta
2021-11-23 19:00 - 2021-11-23 19:00 - 000001792 _____ D:\Users\USER-1\Documents\how_to_decrypt.hta
2021-11-23 19:00 - 2021-11-23 19:00 - 000001792 _____ D:\Users\USER-1\Desktop\how_to_decrypt.hta
2021-11-23 19:00 - 2021-11-23 19:00 - 000001792 _____ D:\Users\USER-1\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2021-11-23 19:00 - 2021-11-23 19:00 - 000001792 _____ D:\Users\USER-1\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2021-11-23 19:00 - 2021-11-23 19:00 - 000001792 _____ D:\Users\USER-1\AppData\Roaming\how_to_decrypt.hta
2021-11-23 19:00 - 2021-11-23 19:00 - 000001792 _____ D:\Users\USER-1\AppData\LocalLow\how_to_decrypt.hta
2021-11-23 19:00 - 2021-11-23 19:00 - 000001792 _____ D:\Users\USER-1\AppData\Local\how_to_decrypt.hta
2021-11-23 19:00 - 2021-11-23 19:00 - 000001792 _____ D:\Users\USER-1\AppData\how_to_decrypt.hta
2021-11-23 19:00 - 2021-11-23 19:00 - 000001792 _____ D:\Users\Public\how_to_decrypt.hta
2021-11-23 18:55 - 2021-11-23 19:00 - 000000851 _____ D:\Users\USER-1\Desktop\ClearLock.ini[paybackformistake@qq.com].[E30D09FC-CD77FA34]
FirewallRules: [{286F190E-5265-470A-9637-EC9814752E8F}] => (Allow) C:\Programs\LiteManager\ROMServer.exe => Нет файла
FirewallRules: [{9BE85269-4D7C-44C3-A81B-F30D1EC20629}] => (Allow) C:\Programs\LiteManager\ROMServer.exe => Нет файла
End::


2. Запустите Farbar Recovery Scan Tool.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

 

  • Обратите внимание: перезагрузку компьютера нужно выполнить вручную после данного скрипта.
     

Достался недавно сервер по наследству.

сделал.

Fixlog.txt

Ссылка на сообщение
Поделиться на другие сайты

Он самоудаляется, как и большинство других шифровальщиков. Тем более, даже имея его, расшифровки не будет.

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • Less
      От Less
      Добрый день!
       
      Требуется помощь в расшифровке файлов.
       
      Вирус пробрался через RDP соединение, создал нового пользователя, администратора видимо заблокировал, т.к. в его учетную запись зайти не удается.
       
      Addition.txt FRST.txt Вирус и примеры файлов.rar
    • Anton70
      От Anton70
      Добрый день!
       
      Словил шифровальщик.
      Похоже что зашли на сервер по RDP.
      Зашифровано всё, в том числе и бэкапы. 
      Файлы имеют вид - [WinLock@keemail.me][код]имя файла.Loki
       
      Есть способ расшифровать такие файлы ?
       
      [mod]Не надо выкладывать вирусы на форуме[/mod] 
      FRST.zip files.zip
    • Алексейtime
      От Алексейtime
      Доброе время суток. Вчера зашифровался большой объём данных на файлообменнике. Подскажите пожалуйста есть ли возможность восстановить данные, если система не windows?
      ОС Платформы: FreeBSD 12.2-RELEASE-p7 #0 r369900M: Sun May 30 01:42:50 CEST 2021
      Версия: 12.2.0.4 - Ornithopter (сборка 8458)
      Соответственно программу Farbar Recovery Scan Tool для собора логов запустить не могу. В архиве прикрепил два зашифрованных файла, how_to_decrypt.hta файл и скрин описания системы.
      Поскольку это файлообменник доступы были открыты по всем версиям SMB.
      Не понятно каким образом был запущен вирус, если с самого файлообменника нет возможности выполнить исполняемые файлы. Есть ли смысл начинать диалог с вымогателями? Заранее спасибо за помощь
      Зашифрованные файлы.rar
    • diox
      От diox
      Через удалённый рабочий стол зашифровали все данные на сервере (Windows Server 2008 R2 Standard).
      Файлы стали иметь вид: ИМЯ.РАСШИРЕНИЕ.(MJ-XH3481609725)(Decryption.helper@aol.com).Cj.id[A8027869].[unlockdeer@gmail.com].optimus
      Сканированием с помощью Malwarebytes, в папке Musik обнаружилось два вируса Ransom.Artemis (unlockdeer@gmail.com.exe) и Ransom.FileCryptor (decryptcj@gmail.com.exe). Так же там лежат две программы Advanced_IP_Scanner_2.5.3850.exe и mimikatz_trunk (5).zip.
      Связывались с мошенниками, они просили прислать файлы из ProgramData, там какой-то ключ лежит, так что их тоже прикрепляю архивом без пароля.
      FRST.txt Addition.txt Trojan.rar Файлы и требование.rar ProgramData.rar
    • Екатерина Зуб
      От Екатерина Зуб
      Добрый день!
      Были зашифрованы файлы на компьютера в локальной сети. Шифровальщик неизвестен, тело вируса найдено не было. 
      В архиве записка с требованиями, шифрованные файлы, файл-оригинал и его шифрованная версия. 
      Логи взяты с незараженного ПК
       
      Возможно ли расшифровать зашифрованные файлы?
      !файлы.rar FRST.txt Addition.txt
×
×
  • Создать...