Решена без расшифровки 3441546223@qq.com

[niksar]

Доброго времени суток.

Виртуальная машина с ос windows, подключение к ней возможно только после установки VPN туннеля, никаких проброшенных портов. Подключались только с одного определенного ноутбука, в пятницу завершили работу с не завершенным сеансом на самой ос, в субботу в 15 отработал шифровальщик. Работа велась под учетной записью пользователя с ограниченными правами, шифровалось все до чего у пользователя был доступ. Все логи собраны под учетной записью администратора. Восстановление данных при помощи программ сканирующих диски на наличие удаленных файлов не привела к успеху. В архиве virus предположительные источники. На диске D множество 1с баз, они являются основной задачей восстановления.
Прошу помочь с расшифровкой и выявлением источника.

 

[akok]

По шифровальщику: Для этого вымогателя пока нет способа дешифровки данных. Теневые копии использовались на виртуальной машине? Если да, то данные можно восстановить.

По источнику, нужно изучать логи. Вероятно всего первоисточником был ноутбук пользователя. У него был включен RDP? (но для выяснения нужно изучать системные логи виртуальной машины).

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  CreateRestorePoint:
  Startup: C:\Users\July\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Info.hta [2020-05-23] () [File not signed]
  Startup: C:\Users\July\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\svhost.exe [2020-05-23] (Microsoft Corporation -> Microsoft Corporation)
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

[akok]

На диске D множество 1с баз, они являются основной задачей восстановления.

Их можно попробовать восстановить (смотрите мою подпись).

 

[niksar]

Подключение к системе производилось только по RDP. Теневые копии не использовались.
Проанализировав состояние обнаружил найденные встроенным антивирусом Windows файлы и трояны см. архив Screenshot (внутри несколько скриншотов из журнала антивируса с указанием пути, названия файлов и уязвимости)

 

[akok]

только по RDP

RDP через VPN? В любом случае смените пароли на проверьте, что все обновления безопасности установлены.

Подготовьте лог SecurityCheck by glax24

 

[niksar]

Да, сервер находится в локальной сети за маршрутизатором. Без установки VPN туннеля до маршрутизатора сервер не доступен. Туннель от пользователя до маршрутизатора не постоянный, устанавливается пользователем при необходимости работы.
Вопрос в устранении уязвимости зараженной Windows машины не стоит. Она точно будет сноситься после решения вопроса с данными.

 

[akok]

Значит нужно смотреть в сторону машины пользователя, очень уж ограничено шифровало. Аудит доступа к файлам настроен?

 

[niksar]

Ограниченно в каком плане? Выше писал у пользователя ограниченные права в системе, то есть там где требовалось повышение привилегий для доступа к файлам шифровальщик не отработал. Я выяснил в какое время и имя пк с которого производилось подключение. По поводу получения доступов злоумышленника к серверу это отдельный вопрос. Подключение произошло под учетной записью пользователя с первой попытки. Хочется понять намеренно это было сделано или заражен пк второй стороны. Могут ли быть автоматически запущенны исполняемые файлы шифровальщика при подключении посредству RDP, ведь по умолчанию прокидываются устройства, буфер и т.д. Пути file:\\tsclient\B\CRY\1cj.exe явно указывают что у кого то созданы директории отдельные для исполняемых файлов и как то осознанно названы.
Аудит не настраивался.

 

[niksar]

Имя ПК злоумышленника кстати NEFGECTYMRF

 

[akok]

Ограниченно в каком плане?

Зашифровало только файлы к которым имеет доступ конкретный пользователь.

Могут ли быть автоматически запущенны исполняемые файлы шифровальщика при подключении посредству RDP

Нет их запускают или преступники (в случае взлома/подбора пароля на RDP) или пользователи в случае если получили письмо с вредоносом. В вашем случае скорее всего ручной доступ т.к. (если судить по созданным папкам). В любом из случае будет проводиться поиск доступных файлов в сети. Как получен доступ, вопрос открыт, особенно если ноутбук пользователя не под подозрением.

 

[niksar]

Вы хотите сказать это было целенаправленное действие? Кто вот прям руками по рдп запусти exe ?

 

[akok]

Обычно так и есть. Если рассматривать атаку на RDP преступники получают доступ к взломанной машине и проводят разведку (вручную или при помощи софта) и запускают шифровальщик который шифрует все доступные файлы (включая "доступные на запись" по сети). Разобрались как им удалось войти через vpn?

 

[niksar]

Обычно так и есть. Если рассматривать атаку на RDP преступники получают доступ к взломанной машине и проводят разведку (вручную или при помощи софта) и запускают шифровальщик который шифрует все доступные файлы (включая "доступные на запись" по сети). Разобрались как им удалось войти через vpn?

Нет. Подключений через VPN нет. Есть подозрение на проброшенный порт до этой машины. Но там точно не 3389. Вопрос оставляю на социальную инженерию. На шлюзе нет информации, все как говорит пользователь в пт закончил в пн начался новый туннель. По виртуальным машинам я уверен, они изолированы друг от друга.

 

[niksar]

Или кто то нашел уязвимость в сетях Hyper-V

 

[akok]

Или кто то нашел уязвимость в сетях Hyper-V

Что-то подобное?

Microsoft исправила непризнанную сначала уязвимость в RDP

Компания выпустила патч, когда стало известно, что уязвимость также затрагивает Hyper-V.

www.securitylab.ru

 

[niksar]

Что-то подобное?

Microsoft исправила непризнанную сначала уязвимость в RDP

Компания выпустила патч, когда стало известно, что уязвимость также затрагивает Hyper-V.

www.securitylab.ru

В статье не описываются следы, возможно. Машина на win 7 была. Ну опять же она за шлюзом, там хоть хп, какбл. Хосты в первом квартале 20 обновлялись.

 

[akok]

Понятно. Если будут новости, пишите. Я тему не закрываю