Решена без расшифровки На сервере под логином Администратор зашифровались файлы данных, расширение GAZPROM

[Мидви]

Здравствуйте.

Ночью случилось проникновение, к сожалению, злоумышленники получили полный доступ к серверу и испортили все файлы данных (архивы в том числе). расширение зашифрованных файлов - GAZPROM.

Размещаю логи FRST и архив с зашифрованными файлами. Пароль на архив - virus
В архиве в папке "Новая папка" лежат файлы с Рабочего стола логина Администратор - там есть файл encryptor.txt - предположительно, это и есть сам шифровальщик (расширение было .exe)

Очень нужна срочная помощь с расшифровкой.
И очень хочется понять, как этот вирус проник на сервер. Где-то дырка в шлюзе?

 

[Sandor]

Скачайте специальную утилиту ESETSysVulnCheck по ссылке (скачивать необходимо в IE)

https://ftp.eset.sk/samples/svchecker/ESETSysVulnCheck.exe

и запустите её от имени администратора. После окончания работы утилиты в папке, откуда была запущенна сама утилита, появится лог - файл вида "SysVulnCheck_out.zip". Пришлите его также нам на анализ.

 

[Мидви]

Не могу запустить - "Не является приложением Win32"

 

[akok]

Только, что проверил, запускается и собирает логи. Правда у вас древняя ос работает.

 

[akok]

Откуда взяли настолько старую версию FRST? Нужны логи более свежей.

 

[Мидви]

Откуда взяли настолько старую версию FRST? Нужны логи более свежей.

По той ссылке, которая указана в теме, скачивается только 64bit - по обеим ссылкам. Нужна версия 32bit.

 

[Мидви]

Только, что проверил, запускается и собирает логи. Правда у вас древняя ос работает.

На моем Server2003 32 bit пока не смог запустить эту версию.

 

[akok]

В нашем зеркале есть 32 битная версия Farbar Recovery Scan Tool

 

[Мидви]

Новые версии отчетов

 

[akok]

По поводу расшифровки, нужно обратиться в любой удобный вирлаб, это что-то новое (или старое в новой обертке) и нужно их заключение, можно ли расшифровать файлы. Если и там не помогут, то смотрите мою подпись.

Смените пароли на RDP. Система под переустановку? Зловред уже самоудалился и можно почистить автозапуск.

 

[Мидви]

По поводу расшифровки, нужно обратиться в любой удобный вирлаб, это что-то новое (или старое в новой обертке) и нужно их заключение, можно ли расшифровать файлы. Если и там не помогут, то смотрите мою подпись.

Смените пароли на RDP. Система под переустановку? Зловред уже самоудалился и можно почистить автозапуск.

Какой вирлаб порекомендуете, чтобы запрос можно было без их лицензии на антивирус отправить?
RDP, наверное, вообще лучше отключить... по-крайней мере, вход извне в локалку.

 

[akok]

Ну или скрыть за VPN. Через личный кабинет каперских можно отправить, о др.вебе не в курсе, но первоначальный анализ должны без лицензии делать.

 

[Мидви]

Ну или скрыть за VPN. Через личный кабинет каперских можно отправить, о др.вебе не в курсе, но первоначальный анализ должны без лицензии делать.

Dr.Web на мой запрос ответил вот что:

Dr.Web® — инновационные технологии антивирусной безопасности. Комплексная защита от интернет-угроз.

«Доктор Веб» – российский разработчик антивирусных программ и сервисов для предоставления услуг информационной защиты для корпоративных и частных пользователей.

support.drweb.ru

К сожалению, резервные копии тоже зашифровались.
Вы как-то сможете помочь с расшифровкой данных? Хотя как раз с базами 1С у нас были двухдневные копии в другом месте, здесь повезло.

 

[akok]

Нет, увы. Тут только бекапы, не факт, что преступники смогут расшифровать файлы.

 

[akok]

Система под переустановку? Зловред уже самоудалился и можно почистить автозапуск.

??

 

[Мидви]

??

Пока отключил от сети, буду, конечно, переустанавливать систему.
Есть все-таки хоть какая надежда в обозримом будущем (неделя-месяц) получить программу расшифровки?

 

[akok]

Маловероятно. Сливы ключей очень редкое явление.