Решена без расшифровки Восстановление данных после вируса

[Valksen]

Добрый день Прошу помощи.
Сервер словил шифровальщика, резервной копии нет. Систему не откатывал, предположительно вирус словил по RDP, компьютер источник изолирован, данные были подключены к нему как сетевой диск.
Пожалуйста помогите!

 

[Sandor]

Здравствуйте!

компьютер источник изолирован

Будет переустановка системы?

Постарайтесь найти пару - зашифрованный и его не зашифрованный оригинал размером не менее 64 Кбайт (ищите такой в бэкапах, в почте, на других ПК и т.д.). Упакуйте в архив и прикрепите к следующему сообщению.
Тип файла предпочтительно офисный документ или картинка.

 

[Valksen]

Пока не буду переустанавливать систему.
Нашел exe файл шифратора Encryptor 1.5.2.0.vis
Во вложении файлы исходники и их зашифрованные копии.
Могу выложить exe файл шифровальщика

 

[Sandor]

Пока не буду переустанавливать систему.

Тогда соберите на ней логи по правилам.

Расшифровки этой версии вымогателя у нас нет. При наличии лицензии на антивирус Касперского, обратитесь в их тех-поддержку.

 

[Valksen]

Логи

 

[Sandor]

HKLM Group Policy restriction on software: C:\PROGRAM FILES\ESET\ESET ENDPOINT ANTIVIRUS\EGUIPROXY.EXE <==== ATTENTION
HKLM Group Policy restriction on software: C:\PROGRAM FILES\MICROSOFT SQL SERVER\MSSQL11.MSSQLSERVER\MSSQL\BINN\SQLSERVR.EXE <==== ATTENTION
HKLM Group Policy restriction on software: C:\PROGRAM FILES\ESET\REMOTEADMINISTRATOR\AGENT\ERAAGENT.EXE <==== ATTENTION
HKLM Group Policy restriction on software: C:\PROGRAM FILES\COMMON FILES\MICROSOFT SHARED\OFFICESOFTWAREPROTECTIONPLATFORM\OSPPSVC.EXE <==== ATTENTION
HKLM Group Policy restriction on software: C:\PROGRAM FILES\MICROSOFT SQL SERVER\90\SHARED\SQLBROWSER.EXE <==== ATTENTION
HKLM Group Policy restriction on software: C:\PROGRAM FILES\COMMON FILES\SAFENET SENTINEL\SENTINEL PROTECTION SERVER\WINNT\SPNSRVNT.EXE <==== ATTENTION
HKLM Group Policy restriction on software: C:\PROGRAM FILES\ESET\ESET ENDPOINT ANTIVIRUS\EKRN.EXE <==== ATTENTION
HKLM Group Policy restriction on software: C:\PROGRAM FILES\MYSQL\MYSQL SERVER 5.6\BIN\MYSQLD.EXE <==== ATTENTION
HKLM Group Policy restriction on software: C:\PROGRAM FILES\COMMON FILES\SAFENET SENTINEL\SENTINEL KEYS SERVER\SNTLKEYSSRVR.EXE <==== ATTENTION
HKLM Group Policy restriction on software: C:\PROGRAM FILES\MICROSOFT SQL SERVER\90\SHARED\SQLBROWSER.EXE <==== ATTENTION
HKLM Group Policy restriction on software: C:\PROGRAM FILES\MICROSOFT SQL SERVER\90\SHARED\SQLWRITER.EXE <==== ATTENTION

Эти запреты настраивали самостоятельно?

 

[Valksen]

Нет

 

[Sandor]

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  CreateRestorePoint:
  HKLM Group Policy restriction on software: C:\PROGRAM FILES\ESET\ESET ENDPOINT ANTIVIRUS\EGUIPROXY.EXE <==== ATTENTION
  HKLM Group Policy restriction on software: C:\PROGRAM FILES\MICROSOFT SQL SERVER\MSSQL11.MSSQLSERVER\MSSQL\BINN\SQLSERVR.EXE <==== ATTENTION
  HKLM Group Policy restriction on software: C:\PROGRAM FILES\ESET\REMOTEADMINISTRATOR\AGENT\ERAAGENT.EXE <==== ATTENTION
  HKLM Group Policy restriction on software: C:\PROGRAM FILES\COMMON FILES\MICROSOFT SHARED\OFFICESOFTWAREPROTECTIONPLATFORM\OSPPSVC.EXE <==== ATTENTION
  HKLM Group Policy restriction on software: C:\PROGRAM FILES\MICROSOFT SQL SERVER\90\SHARED\SQLBROWSER.EXE <==== ATTENTION
  HKLM Group Policy restriction on software: C:\PROGRAM FILES\COMMON FILES\SAFENET SENTINEL\SENTINEL PROTECTION SERVER\WINNT\SPNSRVNT.EXE <==== ATTENTION
  HKLM Group Policy restriction on software: C:\PROGRAM FILES\ESET\ESET ENDPOINT ANTIVIRUS\EKRN.EXE <==== ATTENTION
  HKLM Group Policy restriction on software: C:\PROGRAM FILES\MYSQL\MYSQL SERVER 5.6\BIN\MYSQLD.EXE <==== ATTENTION
  HKLM Group Policy restriction on software: C:\PROGRAM FILES\COMMON FILES\SAFENET SENTINEL\SENTINEL KEYS SERVER\SNTLKEYSSRVR.EXE <==== ATTENTION
  HKLM Group Policy restriction on software: C:\PROGRAM FILES\MICROSOFT SQL SERVER\90\SHARED\SQLBROWSER.EXE <==== ATTENTION
  HKLM Group Policy restriction on software: C:\PROGRAM FILES\MICROSOFT SQL SERVER\90\SHARED\SQLWRITER.EXE <==== ATTENTION
  2019-08-26 19:01 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Инженер\README.txt
  2019-08-26 19:01 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Инженер\Downloads\README.txt
  2019-08-26 19:01 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Инженер\Documents\README.txt
  2019-08-26 19:01 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Инженер\Desktop\README.txt
  2019-08-26 19:01 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Инженер\AppData\Roaming\README.txt
  2019-08-26 19:01 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Инженер\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
  2019-08-26 19:01 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Инженер\AppData\README.txt
  2019-08-26 19:01 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Инженер\AppData\LocalLow\README.txt
  2019-08-26 19:01 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Инженер\AppData\Local\README.txt
  2019-08-26 19:01 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Public\README.txt
  2019-08-26 19:01 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Public\Downloads\README.txt
  2019-08-26 19:01 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Engineer\README.txt
  2019-08-26 19:01 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Engineer\Downloads\README.txt
  2019-08-26 19:01 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Engineer\Documents\README.txt
  2019-08-26 19:01 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Engineer\Desktop\README.txt
  2019-08-26 19:01 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Engineer\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
  2019-08-26 19:01 - 2019-08-26 19:01 - 000000082 _____ C:\README.txt
  2019-08-26 19:00 - 2019-08-26 19:00 - 000000082 _____ C:\Users\Engineer\AppData\Roaming\README.txt
  2019-08-26 19:00 - 2019-08-26 19:00 - 000000082 _____ C:\Users\Engineer\AppData\README.txt
  2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\Engineer\AppData\LocalLow\README.txt
  2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\Engineer\AppData\Local\README.txt
  2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\Default\README.txt
  2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\Default\Downloads\README.txt
  2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\Default\Documents\README.txt
  2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\Default\Desktop\README.txt
  2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\Default\AppData\Roaming\README.txt
  2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
  2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\Default\AppData\README.txt
  2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\Default\AppData\Local\README.txt
  2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\Default User\Downloads\README.txt
  2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\Default User\Documents\README.txt
  2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\Default User\Desktop\README.txt
  2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\Default User\AppData\Roaming\README.txt
  2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
  2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\Default User\AppData\README.txt
  2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\Default User\AppData\Local\README.txt
  2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\administrator\README.txt
  2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\administrator\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
  2019-08-26 18:58 - 2019-08-26 18:58 - 000000082 _____ C:\Users\administrator\Downloads\README.txt
  2019-08-26 18:58 - 2019-08-26 18:58 - 000000082 _____ C:\Users\administrator\Documents\README.txt
  2019-08-26 18:58 - 2019-08-26 18:58 - 000000082 _____ C:\Users\administrator\Desktop\README.txt
  2019-08-26 18:58 - 2019-08-26 18:58 - 000000082 _____ C:\Users\administrator\AppData\Roaming\README.txt
  2019-08-26 18:58 - 2019-08-26 18:58 - 000000082 _____ C:\Users\administrator\AppData\README.txt
  2019-08-26 18:58 - 2019-08-26 18:58 - 000000082 _____ C:\Users\administrator\AppData\LocalLow\README.txt
  2019-08-26 18:58 - 2019-08-26 18:58 - 000000082 _____ C:\Users\administrator\AppData\Local\README.txt
  2019-08-26 18:58 - 2019-08-26 18:58 - 000000082 _____ C:\ProgramData\Microsoft\Windows\Start Menu\README.txt
  2019-08-26 18:57 - 2019-08-26 19:01 - 000000796 _____ C:\Users\Все пользователи\README.txt
  2019-08-26 18:57 - 2019-08-26 19:01 - 000000796 _____ C:\Users\Public\Documents\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
  2019-08-26 18:57 - 2019-08-26 19:01 - 000000796 _____ C:\Users\Public\Desktop\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
  2019-08-26 18:57 - 2019-08-26 19:01 - 000000796 _____ C:\ProgramData\README.txt
  2019-08-26 18:57 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Public\Documents\README.txt
  2019-08-26 18:57 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Public\Desktop\README.txt
  2019-08-26 18:57 - 2019-08-26 18:59 - 000000796 _____ C:\Users\Все пользователи\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
  2019-08-26 18:57 - 2019-08-26 18:59 - 000000796 _____ C:\ProgramData\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
  2019-08-26 18:57 - 2019-08-26 18:57 - 000000082 _____ C:\Program Files\README.txt
  2019-08-26 18:40 - 2019-08-26 18:40 - 000000082 _____ C:\Program Files\Common Files\README.txt
  2019-08-26 18:38 - 2019-08-26 19:01 - 000000796 _____ C:\Users\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
  2019-08-26 18:38 - 2019-08-26 19:01 - 000000082 _____ C:\Users\README.txt
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

[Valksen]

Лог-файл

 

[Sandor]

Видны контрольные точки. Попробуйте восстановить файлы средствами Windows.

 

[Valksen]

Этот компьютер не важен. Главное данные с сетевого диска зашифрованы

 

[Sandor]

При наличии лицензии на антивирус Касперского, обратитесь в их тех-поддержку.

Если создадите запрос, результат сообщите здесь, пожалуйста.

 

[Valksen]

У меня Eset

 

[Sandor]

Найдите друзей/знакомых с лицензией (она нужна только для возможности создать запрос).
Параллельно можете создать запрос у своего вендора.

 

[akok]

С учетом того, что это обновленная версия шифровальщика, нужно побудить АВ компании заняться анализом.

 

[Valksen]

Связался с "честными мошенниками". После вознаграждения, прислали программу дешифратор. Одно хорошо, вся процедура заняла около 2 часов и мошенник оказался "честным", программа реально восстановила файлы.

 

[Sandor]

Если не секрет, сколько запросили?