Решена с расшифровкой. Прошу помочь с шифровальщиком email-3nity@tuta.io.ver-CL 1.5.1.0.

[Ace]

В поиске нашел аналогичную тему от апреля-месяца >>> https://safezone.cc/threads/zashifrovany-dannye-doubleoffset.33011/

Я так полагаю ситуация аналогичная, к сожалению зараза навалилась на гипервизор и несколько виртуалок в нем + зашифровал несколько важных бэкапов.

В теме не нашел ответа, удалось ли в итоге расшифровать данные ?

P.S. Во вложении образец зашифрованного файла, ридми вымогателей и результаты автологгера.

Пароль на архивы - vir.

Прошу помочь.

 

[akok]

В логах активен процесс шифровальщика. Не пытайтесь расшифровать файлы до его удаления, или есть риск испортить файлы.

DameWare Mini Remote Control - ваше?
Пароль на RDP сменили?

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

  begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
  SearchRootkit(true, true);
  SetAVZGuardStatus(True);
  end;
QuarantineFile('c:\users\o.lobazov\desktop\ruch.exe','');
DeleteFile('c:\users\o.lobazov\desktop\ruch.exe','32');
   BC_Activate;
  ExecuteSysClean;
  ExecuteWizard('SCU', 2, 3, true);
BC_ImportALL;
end.

Компьютер перезагрузите вручную.

После перезагрузки, выполните такой скрипт:

begin
DeleteFile(GetAVZDirectory+'quarantine.7z');
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine .\Quarantine\*', 1, 300000, false);
end.

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 10 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: malware в теле письма.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

 

[Ace]

Результаты утилиты FRST

Имя карантин-а(ов) сообщите в теме:
2019.05.05_quarantine_ecb0a324b289022f0b1f64b043418fc8.7z

 

[thyrex]

1. Выделите следующий код:

Start::
CreateRestorePoint:
2019-05-05 17:41 - 2019-05-05 17:41 - 000000061 _____ C:\Users\README.txt
2019-05-05 17:41 - 2019-05-05 17:41 - 000000061 _____ C:\README.txt
2019-05-05 17:40 - 2019-05-05 17:40 - 000000061 _____ C:\Users\Администратор\README.txt
2019-05-05 17:40 - 2019-05-05 17:40 - 000000061 _____ C:\Users\Администратор\Downloads\README.txt
2019-05-05 17:40 - 2019-05-05 17:40 - 000000061 _____ C:\Users\Администратор\Documents\README.txt
2019-05-05 17:40 - 2019-05-05 17:40 - 000000061 _____ C:\Users\Администратор\Desktop\README.txt
2019-05-05 17:40 - 2019-05-05 17:40 - 000000061 _____ C:\Users\Администратор\AppData\Roaming\README.txt
2019-05-05 17:40 - 2019-05-05 17:40 - 000000061 _____ C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2019-05-05 17:40 - 2019-05-05 17:40 - 000000061 _____ C:\Users\Администратор\AppData\README.txt
2019-05-05 17:40 - 2019-05-05 17:40 - 000000061 _____ C:\Users\Администратор\AppData\LocalLow\README.txt
2019-05-05 16:35 - 2019-05-05 16:35 - 000000061 _____ C:\Users\Администратор\AppData\Local\README.txt
2019-05-05 16:35 - 2019-05-05 16:35 - 000000061 _____ C:\Users\Public\README.txt
2019-05-05 16:35 - 2019-05-05 16:35 - 000000061 _____ C:\Users\Public\Downloads\README.txt
2019-05-05 16:35 - 2019-05-05 16:35 - 000000061 _____ C:\Users\o.lobazov\README.txt
2019-05-05 16:35 - 2019-05-05 16:35 - 000000061 _____ C:\Users\o.lobazov\Downloads\README.txt
2019-05-05 16:35 - 2019-05-05 16:35 - 000000061 _____ C:\Users\o.lobazov\Documents\README.txt
2019-05-05 16:35 - 2019-05-05 16:35 - 000000061 _____ C:\Users\o.lobazov\Desktop\README.txt
2019-05-05 16:35 - 2019-05-05 16:35 - 000000061 _____ C:\Users\o.lobazov\AppData\Roaming\README.txt
2019-05-05 16:35 - 2019-05-05 16:35 - 000000061 _____ C:\Users\o.lobazov\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2019-05-05 16:35 - 2019-05-05 16:35 - 000000061 _____ C:\Users\o.lobazov\AppData\README.txt
2019-05-05 16:35 - 2019-05-05 16:35 - 000000061 _____ C:\Users\o.lobazov\AppData\LocalLow\README.txt
2019-05-05 16:35 - 2019-05-05 16:35 - 000000061 _____ C:\Users\o.lobazov\AppData\Local\README.txt
2019-05-05 16:35 - 2019-05-05 16:35 - 000000061 _____ C:\Users\Default\README.txt
2019-05-05 16:35 - 2019-05-05 16:35 - 000000061 _____ C:\Users\Default\Downloads\README.txt
2019-05-05 16:35 - 2019-05-05 16:35 - 000000061 _____ C:\Users\Default\Documents\README.txt
2019-05-05 16:35 - 2019-05-05 16:35 - 000000061 _____ C:\Users\Default\Desktop\README.txt
2019-05-05 16:35 - 2019-05-05 16:35 - 000000061 _____ C:\Users\Default\AppData\Roaming\README.txt
2019-05-05 16:35 - 2019-05-05 16:35 - 000000061 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2019-05-05 16:35 - 2019-05-05 16:35 - 000000061 _____ C:\Users\Default\AppData\README.txt
2019-05-05 16:35 - 2019-05-05 16:35 - 000000061 _____ C:\Users\Default\AppData\Local\README.txt
2019-05-05 16:35 - 2019-05-05 16:35 - 000000061 _____ C:\Users\Default User\Downloads\README.txt
2019-05-05 16:35 - 2019-05-05 16:35 - 000000061 _____ C:\Users\Default User\Documents\README.txt
2019-05-05 16:35 - 2019-05-05 16:35 - 000000061 _____ C:\Users\Default User\Desktop\README.txt
2019-05-05 16:35 - 2019-05-05 16:35 - 000000061 _____ C:\Users\Default User\AppData\Roaming\README.txt
2019-05-05 16:35 - 2019-05-05 16:35 - 000000061 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2019-05-05 16:35 - 2019-05-05 16:35 - 000000061 _____ C:\Users\Default User\AppData\README.txt
2019-05-05 16:35 - 2019-05-05 16:35 - 000000061 _____ C:\Users\Default User\AppData\Local\README.txt
2019-05-05 16:34 - 2019-05-05 17:41 - 000001262 _____ C:\Users\Все пользователи\README.txt
2019-05-05 16:34 - 2019-05-05 17:41 - 000001262 _____ C:\ProgramData\README.txt
2019-05-05 16:34 - 2019-05-05 16:35 - 000001262 _____ C:\Users\Все пользователи\email-3nity@tuta.io.ver-CL 1.5.1.0.id-proc.fname-README.txt.doubleoffset
2019-05-05 16:34 - 2019-05-05 16:35 - 000001262 _____ C:\Users\Public\Documents\email-3nity@tuta.io.ver-CL 1.5.1.0.id-proc.fname-README.txt.doubleoffset
2019-05-05 16:34 - 2019-05-05 16:35 - 000001262 _____ C:\Users\Public\Desktop\email-3nity@tuta.io.ver-CL 1.5.1.0.id-proc.fname-README.txt.doubleoffset
2019-05-05 16:34 - 2019-05-05 16:35 - 000001262 _____ C:\ProgramData\email-3nity@tuta.io.ver-CL 1.5.1.0.id-proc.fname-README.txt.doubleoffset
2019-05-05 16:34 - 2019-05-05 16:35 - 000000061 _____ C:\Users\Public\Documents\README.txt
2019-05-05 16:34 - 2019-05-05 16:35 - 000000061 _____ C:\Users\Public\Desktop\README.txt
2019-05-05 16:34 - 2019-05-05 16:34 - 000000061 _____ C:\Users\Acronis Agent User\README.txt
2019-05-05 16:34 - 2019-05-05 16:34 - 000000061 _____ C:\Users\Acronis Agent User\Downloads\README.txt
2019-05-05 16:34 - 2019-05-05 16:34 - 000000061 _____ C:\Users\Acronis Agent User\Documents\README.txt
2019-05-05 16:34 - 2019-05-05 16:34 - 000000061 _____ C:\Users\Acronis Agent User\Desktop\README.txt
2019-05-05 16:34 - 2019-05-05 16:34 - 000000061 _____ C:\Users\Acronis Agent User\AppData\Roaming\README.txt
2019-05-05 16:34 - 2019-05-05 16:34 - 000000061 _____ C:\Users\Acronis Agent User\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
2019-05-05 16:34 - 2019-05-05 16:34 - 000000061 _____ C:\Users\Acronis Agent User\AppData\README.txt
2019-05-05 16:34 - 2019-05-05 16:34 - 000000061 _____ C:\Users\Acronis Agent User\AppData\LocalLow\README.txt
2019-05-05 16:34 - 2019-05-05 16:34 - 000000061 _____ C:\Users\Acronis Agent User\AppData\Local\README.txt
2019-05-05 16:34 - 2019-05-05 16:34 - 000000061 _____ C:\ProgramData\Microsoft\Windows\Start Menu\README.txt
2019-05-05 16:33 - 2019-05-05 16:35 - 000001262 _____ C:\Users\email-3nity@tuta.io.ver-CL 1.5.1.0.id-proc.fname-README.txt.doubleoffset
2019-05-05 16:33 - 2019-05-05 16:33 - 000000061 _____ C:\Program Files\README.txt
2019-05-05 16:33 - 2019-05-05 16:33 - 000000061 _____ C:\Program Files\Common Files\README.txt
2019-05-05 16:33 - 2019-05-05 16:33 - 000000061 _____ C:\Program Files (x86)\README.txt
Folder: C:\Users\o.lobazov\Desktop\taskmgr
Reboot:
End::

2. Скопируйте выделенный текст (правая кнопка мыши – Копировать).
3. Запустите Farbar Recovery Scan Tool.
4. Нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: перезагрузку компьютера нужно выполнить вручную после скрипта.

 

[Ace]

Результат фикслога, после работы утилиты ПК ушел в ребут сам.

 

[thyrex]

Да, забыл убрать команду перезагрузки.

Инструкция по расшифровке отправлена в ЛС.

 

[Ace]

По инструкции провел запуск дешифратора с ключами, результаты пока такие.

По расшифровке:

Всего - 147082
Расшифровано - 13773
Не расшифровано - 71578

Во вложении примеры тех файлов что небыли расшифрованы. (пароль - vir).

 

[thyrex]

Отправил второй ключ

 

[Ace]

С помощью администрации, удалось восстановить работу за сутки, восстановить критичные виртуальные машины, часть бэкапа и файлов.
Использован дешифратор и 4 ключа.
PS Примерно около 70% информации удалось восстановить.

Огромный респект ресурсу, админу и лично thyrex за непосредственную помощь в решении вопроса!

 

[akok]

Тогда отмечаю тему решенной.

 

[thyrex]

PS Примерно около 70% информации удалось восстановить.

А куда подевались еще 30%?

 

[Ace]

Я так понимаю что дешифровка еще сильно зависит от доступа к файлам. (IO Error)
Т.к. объем данных более 800 гб, по разным сетевым шарам.

Восстанавливать все не быстро.

 

[thyrex]

IO Error могут быть связаны в т.ч. и с длиной пути к файлу, и настройками на запись в определенные папки и т.д.