Решена без расшифровки Бухгалтерия в панике!

[Gornostay]

Доброго дня!
С утра бухгалтера пришли на работу, а там такой отвратный сюрприз...
Прошу помощи с дешифрацией.
В архиве 20251114 три файла после шифровальщика и результат сканирования программой Farbar Recovery Scan Tool.
На заражённой машине (windows 2016 server) два диска, C и D. Приоритетная важность информации на диске D.
С надеждой и благодарностью к Вам.

 

[akok]

Вымогателя пока не удалось опознать, значит и шансов особо нет. Бекапы?

 

[akok]

систему будем лечить, или там переустановка?

 

[Gornostay]

Нашел текстовый файл от вымогателя. Поможет?

 

[akok]

Попросил коллег посмотреть, может они сталкивались.

 

[Sandor]

@Gornostay, до обращения сюда чем-то уже пробовали лечить систему? Логов такого лечения не сохранилось?

 

[Gornostay]

Доброго дня.
Есть два сохраненных состояния машины: без лечения и с лечением.
ESET Nod32 SERVER SECURITY. Лог во вложении.

 

[akok]

В логе только реакция на записку

 

[Sandor]

Есть два сохраненных состояния машины: без лечения и с лечением

В состоянии "без лечения" поищите файл Stub.exe или E4C1E90CCFDA065A1504E5DC8AE33F61.exe
Если найдёте, упакуйте его в архив с паролем, закачайте на облако и дайте ссылку на скачивание (лучше личным сообщением).

 

[Gornostay]

Поискал. Оба файла: Stub.exe или E4C1E90CCFDA065A1504E5DC8AE33F61.exe
отсутствуют на всех дисках.

 

[Sandor]

Да, файлы шифровальщика скорее всего были удалены по окончании шифрования. Мы пытались уточнить тип вымогателя.
Вероятнее всего это очередная версия Proton. К сожалению, расшифровка невозможно без приватного ключа, который находится у злоумышленников.

 

[Gornostay]

Благодарю Вас. По крайней мере выяснили ситуацию.

 

[Sandor]

Теперь, когда ваши файлы были зашифрованы, примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга;
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к Рабочему столу;
8. доступ к Рабочему столу из внешней сети (если необходим для работы) либо через VPN подключение, либо только с доверенных IP (белый лист)