Решена без расшифровки Расшифровка файлов после атаки на RDP

[eXploSi0n]

Добрый день! Имел неосторожность забыть отключить RDP после необходимости работы с ним из интернета с другого ПК
Как итог, проникли по RDP и запустили шифровальщик , я так понимаю из семейства/аналог BTC-azadi
Система была переустановлена, предварительно снял копию диска для последующего анализа
Однако пострадала часть файлов которые очень нужны... хотя почему-то затронуто было не все... +имею бэкап диск с полный копией всего но по иронии он так же был подключен и частично пострадал
-------
Сейчас пытаюсь параллельно восстановить данные с бэкап диска с помощью R-STUDIO , если подскажите инструмент получше в данной ситуации буду рад... или им вообще невозможно будет восстановить? т.к файлы дефакто не удалены, а просто зашифрованы. Нужны по сути только фотографии ну и есть 2 архива с паролем тоже с фотографиями... хотя может чего и не заметил еще...
Прикрепил пару небольших зашифрованных файлов, если необходимо могу найти намного меньше (со строчкой текста внутри), а могу намного больше
Сам зараженный EXE-шник не прикладываю ибо не уверен, что это он... отсканил дамп диска с помощью разных антивирусов и что-то там нет намека именно на шифровальщик возможно его просто запустили по RDP и его не осталось в системе. Однако самый подозрительный выложить могу
Архив с паролем, кому сообщить пароль?
На форуме кажется существует аналогичная тема - В работе - Шифровальшик Electronics *.mdb.EMAIL=[electronicrans@gmail.com]ID=[B1EC3EC7108F77E1]
Буду рад любой помощи! и готов помочь если что-то потребуется (вычислительные ресурсы ПК итд итп)

 

[Sandor]

Здравствуйте!

кому сообщить пароль?

Можете здесь и сообщить. Вложения скачивать могут не все участники форума, да и в зашифрованных образцах нет ничего вредоносного для других пользователей.

 

[eXploSi0n]

Здравствуйте!


Можете здесь и сообщить. Вложения скачивать могут не все участники форума, да и в зашифрованных образцах нет ничего вредоносного для других пользователей.

!2277

 

[Sandor]

Вариант Proxima. К сожалению, расшифровки нет.

предварительно снял копию диска для последующего анализа

Скачайте специальную утилиту ESETSysVulnCheck по ссылке (скачивать необходимо в IE)
и запустите её от имени администратора. После окончания работы утилиты в папке, откуда была запущенна сама утилита, появится лог - файл вида "SysVulnCheck_out.zip". Пришлите его также нам на анализ.

 

[eXploSi0n]

Вариант Proxima. К сожалению, расшифровки нет.


Скачайте специальную утилиту ESETSysVulnCheck по ссылке (скачивать необходимо в IE)
и запустите её от имени администратора. После окончания работы утилиты в папке, откуда была запущенна сама утилита, появится лог - файл вида "SysVulnCheck_out.zip". Пришлите его также нам на анализ.

А есть возможность восстановления файлов через R-STUDIO и/или аналогичных утилит? или это бесполезно?
Сейчас уже чистая система стоит, логи прислал

 

[Sandor]

Логи Farbar по правилам раздела тоже не помешают.

 

[eXploSi0n]

Логи Farbar по правилам раздела тоже не помешают.

Прикрепил, я просто подумал система чистая и смысла в этом мало

 

[Sandor]

Я ведь процитировал ваше сообщение

снял копию диска для последующего анализа

с предположением, что для анализа вы восстановите. И логи будете снимать с пострадавшей системы.

 

[eXploSi0n]

Я ведь процитировал ваше сообщение

с предположением, что для анализа вы восстановите. И логи будете снимать с пострадавшей системы.

Ааа, понял) сейчас к сожалению такой возможности нет, на выходных смогу закатать на диск копию зараженной системы и тогда пришлю логи
А что насчет восстановления через R-STUDIO и подобных утилит? нет смысла заниматься или можно попробовать? в соседней ветке человек пишет вроде как что-то восстановил

 

[Sandor]

Пробуйте, использовать подобные утилиты следует, загрузившись со специальной флешки типа LiveCD.
Но предположу, что шансов восстановить таким способом крайне мало.

 

[eXploSi0n]

Я ведь процитировал ваше сообщение

с предположением, что для анализа вы восстановите. И логи будете снимать с пострадавшей системы.

Как и обещал - залил "зараженную" систему обратно и снял с нее логи
Самый подозрительный на шифровальщик файл приложил, пароль такой же как написал выше
Сегодня-завтра планирую связаться с вымогателями, спрошу чо они хотят
Восстановить данные не удалось, что впрочем логично ибо удаления не было

 

[thyrex]

Самый подозрительный на шифровальщик файл приложил

Это самая обыкновенная Neshta, а не шифровальщик

 

[eXploSi0n]

Это самая обыкновенная Neshta, а не шифровальщик

А файлы кто тогда зашифровал? я экземплы привел
Была атака на RDP
https://www.facct.ru/blog/blackshadow/ вот прям тут подробно описано, это прям то что произошло... Логи затерты все по кальке

 

[thyrex]

Все современные шифровальщики после завершения "черного" дела самоуничтожаются.

 

[eXploSi0n]

Все современные шифровальщики после завершения "черного" дела самоуничтожаются.

Ну это делу не поможет, однако скажу, что либо это НЕ так, либо я просто вовремя вырубил комп
т.к у меня 2 зеркальных диска и на одном файлы похерены, на другом нет (но это частично, где-то на обеих дисках шифранул), при этом шифровальщик там точно был, ибо оставил свой след в качестве файла с почтой вымогателей
Так что о механизме работы стоит только догадываться!
И кстати, насчет Neshta, если чекнуть форум Касперского то там Neshta предвещало шифровальщик Proxima у одной из жертв - совпадение? не думаю...

 

[thyrex]

Зачастую авторы шифровальщиков специально заражают (а были случаи, что и сами не знали о заражении) сами исполняемые файлы шифраторов файловыми вирусами. И это относится не только к Neshta, но и к такому же старичку Sality. В общем Вам все сказали предельно ясно - расшифровки нет.

 

[eXploSi0n]

Зачастую авторы шифровальщиков специально заражают (а были случаи, что и сами не знали о заражении) сами исполняемые файлы шифраторов файловыми вирусами. И это относится не только к Neshta, но и к такому же старичку Sality. В общем Вам все сказали предельно ясно - расшифровки нет.

Звучит крайне фантастически... учитывая, что это целевая атака на конкретный протокол который кстати извне был маскирован другим портом отличным от дефолтного 3389
Впрочем это мелочи, но явно сомнительно - что злоумышленник не знает что его исполняемый файл заражен , хотя я мало чему удивлюсь...
То что нет расшифровки я уже давно понял - как уже сказал ранее, напишу вымогателям, посмотрим о чем удастся договориться

 

[thyrex]

Хотите верьте, хотите нет, но я общался с одним из таких злоумышленников, который не мог никак избавиться от файлового вируса на своем сервере