Решена с расшифровкой. Помощь в расшифровке после [graff_de_malfet@protonmail.ch][rrr]

[Yanus]

Приветствую! Недавно придя утром на работу увидели, что все файлы зашифрованы, судя по всему случилось ночью. Ко всем добавилась указанная в верху почта и идшник. Повсюда появилась записка от злоумышленников, надеюсь на вашу помощь, все что указано в инструкции выложил. Ос не переустанавливали.

 

[akok]

Смените пароли на RDP, все ли администраторы ваши?
Admin (S-1-5-21-65970590-3627644293-4005324499-1001 - Administrator - Enabled) => C:\Users\Admin
Adrian (S-1-5-21-65970590-3627644293-4005324499-1002 - Administrator - Enabled) => C:\Users\Adrian
Larisa (S-1-5-21-65970590-3627644293-4005324499-1004 - Administrator - Enabled) => C:\Users\Larisa

+ прикрепите недостающий файл лога.

++ Это крякл, для этой версии пока нет дешифровки.

 

[thyrex]

Не стоит торопиться

Расшифрованные файлы во вложении.

Пришлите зашифрованные файлых других популярных форматов (документы Office, картинки). Хорошо бы было (для тестов), если бы оказалась шифрованной какая-нибудь база хотя бы около 1 гигабайта.

 

[Yanus]

Смените пароли на RDP, все ли администраторы ваши?
Admin (S-1-5-21-65970590-3627644293-4005324499-1001 - Administrator - Enabled) => C:\Users\Admin
Adrian (S-1-5-21-65970590-3627644293-4005324499-1002 - Administrator - Enabled) => C:\Users\Adrian
Larisa (S-1-5-21-65970590-3627644293-4005324499-1004 - Administrator - Enabled) => C:\Users\Larisa

+ прикрепите недостающий файл лога.

++ Это крякл, для этой версии пока нет дешифровки.

Наши, но один умник уже просто систему переустановил

Смените пароли на RDP, все ли администраторы ваши?
Admin (S-1-5-21-65970590-3627644293-4005324499-1001 - Administrator - Enabled) => C:\Users\Admin
Adrian (S-1-5-21-65970590-3627644293-4005324499-1002 - Administrator - Enabled) => C:\Users\Adrian
Larisa (S-1-5-21-65970590-3627644293-4005324499-1004 - Administrator - Enabled) => C:\Users\Larisa

+ прикрепите недостающий файл лога.

++ Это крякл, для этой версии пока нет дешифровки.

Какой еще лог нужен, что упустил?

Не стоит торопиться

Расшифрованные файлы во вложении.

Пришлите зашифрованные файлых других популярных форматов (документы Office, картинки). Хорошо бы было (для тестов), если бы оказалась шифрованной какая-нибудь база хотя бы около 1 гигабайта.

То есть расшифровка в принципе возможна?

 

[thyrex]

То есть расшифровка в принципе возможна?

Да

 

[akok]

Наши, но один умник уже просто систему переустановил

Пароли на RDP новые?

 

[Yanus]

Пароли на RDP новые?

Да, все пароли новые и значительно усложненные

Да

Что от нас для этого требуется?

 

[Yanus]

Не стоит торопиться

Расшифрованные файлы во вложении.

Пришлите зашифрованные файлых других популярных форматов (документы Office, картинки). Хорошо бы было (для тестов), если бы оказалась шифрованной какая-нибудь база хотя бы около 1 гигабайта.

 

[thyrex]

Хорошо бы было (для тестов), если бы оказалась шифрованной какая-нибудь база хотя бы около 1 гигабайта.

таких файлов не нашлось?

 

[Yanus]

таких файлов не нашлось?

Разве что файл 1с базы данных, как раз около 1гб, файл таких размеров сюда можно прикрепить или в виде ссылки через внешнее хранилище?

 

[akok]

Отправьте ссылку в ЛС, там ее чужие не увидят.

 

[Yanus]

таких файлов не нашлось?

Отправил в личку

 

[Yanus]

Всем вам большое спасибо, тему можно закрывать, расшифровано. Через донат тоже уже поблагодарил.

 

[Sandor]

Проверьте уязвимые места системы:
Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;
begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';
  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить.
В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления (если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

Читайте Рекомендации после удаления вредоносного ПО