Решена с расшифровкой. Помощь в расшифровке 3nity@tuta.io ver-CL 1.5.1.0

Askoid · 23 Июн 2019

Здравствуйте.
Клиенты поймали шифровальщика по протоколу RDP.
Обнаружили в общем-то случайно работающую сессию на одном из серверов.

Также обнаружили сам запущенный шифровальщик. К сожалению обнаружили поздно - зашифрованы практически все внутренние документы, зашифрованы базы 1с.
А все пути поиска помощи ведут к уважаемому тов. Thyrex

Прикладываю архивы с самим шифровальщиком с одного из серверов (virus.zip). К сожалению второй клиенты погасили почти сразу как увидели, что и на нем тоже есть активный шифровщик.
Логами Autologger`а (CollectionLog)
Логами FarBar (Logs.zip)
Один из зашифрованных документов

thyrex · 23 Июн 2019

admin-buh (S-1-5-21-3283108977-2217041274-939592837-500 - Administrator - Enabled)
scheduler (S-1-5-21-3283108977-2217041274-939592837-1018 - Administrator - Enabled)
sql (S-1-5-21-3283108977-2217041274-939592837-1017 - Administrator - Enabled)

эти три учетки с правами Администратора Ваши?

Увы, и в Вашем случае используется измененный алгоритм генерации ключа, что делает невозможным его подбор для текущего состояния системы.

Будет только зачистка мусора.

1. Выделите следующий код:

Код:

Start::
CreateRestorePoint:
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\USR1CV82\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\USR1CV82\Downloads\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\USR1CV82\Documents\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\USR1CV82\Desktop\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\USR1CV82\AppData\Roaming\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\USR1CV82\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\USR1CV82\AppData\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\USR1CV82\AppData\LocalLow\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\USR1CV82\AppData\Local\Temp\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\TEMP\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\TEMP\Downloads\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\TEMP\Documents\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\TEMP\Desktop\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\TEMP\AppData\Roaming\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\TEMP\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\TEMP\AppData\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\TEMP\AppData\LocalLow\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\TEMP\AppData\Local\Temp\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\scheduler\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\scheduler\Downloads\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\scheduler\Documents\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\scheduler\Desktop\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\scheduler\AppData\Roaming\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\scheduler\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\scheduler\AppData\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\scheduler\AppData\LocalLow\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\scheduler\AppData\Local\Temp\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\Public\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\Public\Downloads\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\klimkin.a\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\klimkin.a\Downloads\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\klimkin.a\Documents\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\klimkin.a\Desktop\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\klimkin.a\AppData\Roaming\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\klimkin.a\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\klimkin.a\AppData\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\klimkin.a\AppData\LocalLow\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\klimkin.a\AppData\Local\Temp\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\Default\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\Default\Downloads\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\Default\Documents\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\Default\Desktop\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\Default\AppData\Roaming\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\Default\AppData\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\Default\AppData\Local\Temp\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\Default User\Downloads\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\Default User\Documents\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\Default User\Desktop\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\Default User\AppData\Roaming\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\Default User\AppData\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\Default User\AppData\Local\Temp\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\cheduler1c\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\cheduler1c\Downloads\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\cheduler1c\Documents\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\cheduler1c\Desktop\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\cheduler1c\AppData\Roaming\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\cheduler1c\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\cheduler1c\AppData\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\cheduler1c\AppData\LocalLow\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\cheduler1c\AppData\Local\Temp\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\administrator\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\administrator\Downloads\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\administrator\Documents\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\administrator\Desktop\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\administrator\AppData\Roaming\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\administrator\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\administrator\AppData\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\administrator\AppData\LocalLow\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\administrator\AppData\Local\Temp\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\admin1c\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\admin1c\Downloads\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\admin1c\Documents\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\admin1c\Desktop\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\admin1c\AppData\Roaming\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\admin1c\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\Users\admin1c\AppData\README.txt
2019-06-22 20:57 - 2019-06-22 20:57 - 000000061 _____ C:\README.txt
2019-06-22 20:56 - 2019-06-22 20:57 - 000001259 _____ C:\Users\Все пользователи\README.txt
2019-06-22 20:56 - 2019-06-22 20:57 - 000001259 _____ C:\Users\Все пользователи\email-3nity@tuta.io.ver-CL 1.5.1.0.id-.fname-README.txt.doubleoffset
2019-06-22 20:56 - 2019-06-22 20:57 - 000001259 _____ C:\Users\Public\Documents\email-3nity@tuta.io.ver-CL 1.5.1.0.id-.fname-README.txt.doubleoffset
2019-06-22 20:56 - 2019-06-22 20:57 - 000001259 _____ C:\Users\Public\Desktop\email-3nity@tuta.io.ver-CL 1.5.1.0.id-.fname-README.txt.doubleoffset
2019-06-22 20:56 - 2019-06-22 20:57 - 000001259 _____ C:\ProgramData\README.txt
2019-06-22 20:56 - 2019-06-22 20:57 - 000001259 _____ C:\ProgramData\email-3nity@tuta.io.ver-CL 1.5.1.0.id-.fname-README.txt.doubleoffset
2019-06-22 20:56 - 2019-06-22 20:57 - 000000061 _____ C:\Users\Public\Documents\README.txt
2019-06-22 20:56 - 2019-06-22 20:57 - 000000061 _____ C:\Users\Public\Desktop\README.txt
2019-06-22 20:56 - 2019-06-22 20:56 - 000000061 _____ C:\Users\admin1c\AppData\LocalLow\README.txt
2019-06-22 20:56 - 2019-06-22 20:56 - 000000061 _____ C:\Users\admin1c\AppData\Local\Temp\README.txt
2019-06-22 20:56 - 2019-06-22 20:56 - 000000061 _____ C:\Users\1cbit\README.txt
2019-06-22 20:56 - 2019-06-22 20:56 - 000000061 _____ C:\Users\1cbit\Downloads\README.txt
2019-06-22 20:56 - 2019-06-22 20:56 - 000000061 _____ C:\Users\1cbit\Documents\README.txt
2019-06-22 20:56 - 2019-06-22 20:56 - 000000061 _____ C:\Users\1cbit\Desktop\README.txt
2019-06-22 20:56 - 2019-06-22 20:56 - 000000061 _____ C:\Users\1cbit\AppData\Roaming\README.txt
2019-06-22 20:56 - 2019-06-22 20:56 - 000000061 _____ C:\Users\1cbit\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2019-06-22 20:56 - 2019-06-22 20:56 - 000000061 _____ C:\Users\1cbit\AppData\README.txt
2019-06-22 20:56 - 2019-06-22 20:56 - 000000061 _____ C:\Users\1cbit\AppData\LocalLow\README.txt
2019-06-22 20:56 - 2019-06-22 20:56 - 000000061 _____ C:\Users\1cbit\AppData\Local\Temp\README.txt
2019-06-22 20:56 - 2019-06-22 20:56 - 000000061 _____ C:\ProgramData\Microsoft\Windows\Start Menu\README.txt
2019-06-22 20:56 - 2019-06-22 20:56 - 000000061 _____ C:\Program Files\README.txt
2019-06-22 20:56 - 2019-06-22 20:56 - 000000061 _____ C:\Program Files (x86)\README.txt
2019-06-22 20:54 - 2019-06-22 20:57 - 000001259 _____ C:\Users\email-3nity@tuta.io.ver-CL 1.5.1.0.id-.fname-README.txt.doubleoffset
2019-06-22 20:54 - 2019-06-22 20:54 - 000000061 _____ C:\Program Files\Common Files\README.txt
2019-06-22 20:53 - 2019-06-22 16:41 - 000471552 _____ C:\Users\TEMP\Desktop\manual.exe
2019-06-22 20:52 - 2019-06-22 20:57 - 000000000 ____D C:\Users\TEMP\AppData\Roaming\Process Hacker 2
2019-06-22 20:46 - 2019-06-22 20:57 - 000000000 ____D C:\Users\TEMP\Desktop\taskmgr
End::

2. Скопируйте выделенный текст (правая кнопка мыши – Копировать).
3. Запустите Farbar Recovery Scan Tool.
4. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

Обратите внимание: перезагрузку компьютеранужно выполнить вручную после скрипта.

Askoid · 23 Июн 2019

Доброе утро.
Да, учетные записи наши.
Fixlog приложил.

Askoid · 23 Июн 2019

Не буду создавать новую тему, закину еще 4 найденных рантайма - возможно там что-то будет более полезное.
Архивы собраны по другим серверам (префиксы серверов в названии архива)

akok · 23 Июн 2019

README.txt - сами зачистите. В остальном ничего примечательного. Судя по вредоносному ПО, имеется возможность искать и шифровать машины в сети... это я к паролям RDP..... шифрование запускается вручную

akok · 23 Июн 2019

Процессы шифровальщика сами убивали (manual.exe)?

Askoid · 23 Июн 2019

Да, процессы убивались вручную

akok · 24 Июн 2019

Тогда на этом все, что мы можем сделать. Прогоните скрипт на затронутых машинах и закройте найденные уязвимости.
Выполните скрипт в AVZ при наличии доступа в интернет:

Код:

var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

akok · 25 Июн 2019

Подберите пару файлов для анализа, зашифрованный и оригинальный.

Askoid · 28 Июн 2019

Доброе утро.
2 подобранные пары.

akok · 28 Июн 2019

Проверьте ЛС

Askoid · 1 Июл 2019

Расшифровка прошла успешно
Спасибо за помощь!

akok · 1 Июл 2019

Выполните скрипт в AVZ при наличии доступа в интернет:

Код:

var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Решена с расшифровкой. Помощь в расшифровке 3nity@tuta.io ver-CL 1.5.1.0

Askoid

Новый пользователь

Вложения

thyrex

Askoid

Новый пользователь

Вложения

Askoid

Новый пользователь

Вложения

akok

akok

Askoid

Новый пользователь

akok

akok

Askoid

Новый пользователь

Вложения

akok

Askoid

Новый пользователь

akok

Похожие темы