Решена без расшифровки 1С сервер подвергся шифрованию Trojan.encoder.35534

[AlexG0r]

Добрый день.
Доступ к системе ограничен трояном. Достаточно ли будет если я соберу логи frst и остальную информацию используя загрузку с внешнего носителя через WinPE (сборка Сергея Стрельца)?

 

[Sandor]

Здравствуйте!

Пока прикрепите образцы зашифрованных документов (2-3 достаточно) в архиве вместе с запиской о выкупе.

 

[AlexG0r]

в архиве file.zip - документ, картинка и записка
есть еще папка в которой предположительно лежит сам вирус, но она весит почти 20 мб, поэтому закинул в облако: virus.zip

 

[Sandor]

Это N3ww4v3 Ransomware. К сожалению, расшифровки нет.

 

[AlexG0r]

Очень жаль. Пытаюсь хотя бы обнаружить сам вирус. Из под winpe пробовал kvrt и live диск от dr.web. Пишут, что угроз не обнаружено, хотя файлы зашифрованы и при старте системы выдавалась записка с требованиями. Можете подсказать как его обнаружить? Я предполагаю, что то что я выкладывал в облако это стартовый набор для развертывания, а когда он уже обосновался в системе, то стартовый набор был тоже зашифрован.

 

[Sandor]

Можете подсказать как его обнаружить?

Соберите логи по правилам раздела.
Не исключено, что после шифрования вредоносный файл был удалён, но проверим.

 

[AlexG0r]

Спасибо большое за участие. Руководство приняло решение о перезапуске сервера с нуля. Зашифрованный диск положу на полку. Может что то произойдет в обозримом будущем.

 

[Sandor]

Появиться может в двух случаях:

• злоумышленников ловят, изымают серверы и приватные ключи передают антивирусным вендорам, которые обновляют свои утилиты расшифровки
• злоумышленники сами прекращают свою деятельность и выкладывают ключи на общий доступ

И то и другое случается, но крайне редко.

 

[AlexG0r]

Появиться может в двух случаях:

• злоумышленников ловят, изымают серверы и приватные ключи передают антивирусным вендорам, которые обновляют свои утилиты расшифровки
• злоумышленники сами прекращают свою деятельность и выкладывают ключи на общий доступ

И то и другое случается, но крайне редко.

Как отследить данные события?

 

[Sandor]

Когда такое происходит, об этом "трубят" все СМИ, особенно те, что причастны к безопасности.
Ну и мы не будем в стороне. Напишем вам в этой же теме.