Решена без расшифровки расшифровка email-3nity@tuta.io.ver-CS 1.6.id

[ultra_lammer]

Здравствуйте.
Гугл привел к вашему форуму.
27.06 около 23:30 на сервере отработал шифровальщик 3nity@tuta.io.ver-CS 1.6.id
В сеансе локального админа было запущено приложение Encryptor 1.5.2.0.vis. Шифрованы практически все файлы. Включая ярлыки и многие приложения, типа Chrome.
Скрипт сейчас собирает логи. Сразу же выложу.
Могут быть надежды на расшифровку? Что нужно выложить, кроме логов?

Лог и один из шифрованных файлов.

 

[akok]

Проверьте ЛС

 

[akok]

Увы помочь не получится.

 

[Sandor]

Уточню, с расшифровкой помочь не получится. Но в системе еще есть майнер. Если не планируете переустановку, поможем вылечить и очистить следы вымогателя.

 

[ultra_lammer]

Пока не готов ответить. Сервер в другом конце города. Сейчас выезжаю к нему...
Я прошу прощения, а какие пути распространения этих зловредов? Я не могу понять, как оно залезло...

 

[akok]

Заходят через RDP в основном

 

[ultra_lammer]

Это только добавляет непонимание. РДП снаружи закрыт. Во время "действа" в локальной сети был включен только один компьютер, который пострадал только в расшаренных папках - шифровал процесс на сервере, через сеть...

З.Ы. Как наблюдение - темы в этом разделе недоступны, если зайти под учеткой. Но доступны всем, кто зашел без авторизации.

 

[akok]

У шифровальщика есть возможность шифровать папки по сети, если доступ есть.

З.Ы. Как наблюдение - темы в этом разделе недоступны, если зайти под учеткой. Но доступны всем, кто зашел без авторизации.

Так и задумано, дабы не могли скачивать вложения в чужих темах.

 

[akok]

Но в системе еще есть майнер. Если не планируете переустановку, поможем вылечить и очистить следы вымогателя.

??

 

[Sandor]

РДП снаружи закрыт

В системе видны:

Radmin Server 3.4
TeamViewer 12

а также Process Hacker 2.39 (r124)

Пароли надёжные?

 

[ultra_lammer]

У шифровальщика есть возможность шифровать папки по сети, если доступ есть.

Это я понимаю. Я просто пытаюсь проанализировать пути проникновения...

Систему уже переставил. Вся ценность в БД. Копии базы SQL тоже убиты.
Радмин мой. Через вывернутые порты.
ТВ используют программисты.
Process Hacker использовался, но давно.

 

[akok]

На этом все чем можем помочь

 

[ultra_lammer]

Да, Понимаю.
И на том спасибо.

 

[Sandor]

ЛК удалось справится с этим вымогателем.
При наличии лицензии на любой из продуктов Касперского создайте запрос на расшифровку.