• Внимание. Восстановление баз 1С7, 1C8 и Mssql после атаки шифровальщика, подробности и отзывы читайте в профильной теме.

    Внимание. Восстановление архивов RAR и ZIP, образов Acronis и виртуальных машин, баз почтовых программ после атаки шифровальщика, подробности и отзывы читайте в профильной теме.

Решена без расшифровки Восстановление данных после вируса

Статус
В этой теме нельзя размещать новые ответы.

Valksen

Новый пользователь
Сообщения
8
Реакции
0
Добрый день Прошу помощи.
Сервер словил шифровальщика, резервной копии нет. Систему не откатывал, предположительно вирус словил по RDP, компьютер источник изолирован, данные были подключены к нему как сетевой диск.
Пожалуйста помогите!
 

Вложения

Здравствуйте!

компьютер источник изолирован
Будет переустановка системы?

Постарайтесь найти пару - зашифрованный и его не зашифрованный оригинал размером не менее 64 Кбайт (ищите такой в бэкапах, в почте, на других ПК и т.д.). Упакуйте в архив и прикрепите к следующему сообщению.
Тип файла предпочтительно офисный документ или картинка.
 
Пока не буду переустанавливать систему.
Нашел exe файл шифратора Encryptor 1.5.2.0.vis
Во вложении файлы исходники и их зашифрованные копии.
Могу выложить exe файл шифровальщика
 

Вложения

HKLM Group Policy restriction on software: C:\PROGRAM FILES\ESET\ESET ENDPOINT ANTIVIRUS\EGUIPROXY.EXE <==== ATTENTION
HKLM Group Policy restriction on software: C:\PROGRAM FILES\MICROSOFT SQL SERVER\MSSQL11.MSSQLSERVER\MSSQL\BINN\SQLSERVR.EXE <==== ATTENTION
HKLM Group Policy restriction on software: C:\PROGRAM FILES\ESET\REMOTEADMINISTRATOR\AGENT\ERAAGENT.EXE <==== ATTENTION
HKLM Group Policy restriction on software: C:\PROGRAM FILES\COMMON FILES\MICROSOFT SHARED\OFFICESOFTWAREPROTECTIONPLATFORM\OSPPSVC.EXE <==== ATTENTION
HKLM Group Policy restriction on software: C:\PROGRAM FILES\MICROSOFT SQL SERVER\90\SHARED\SQLBROWSER.EXE <==== ATTENTION
HKLM Group Policy restriction on software: C:\PROGRAM FILES\COMMON FILES\SAFENET SENTINEL\SENTINEL PROTECTION SERVER\WINNT\SPNSRVNT.EXE <==== ATTENTION
HKLM Group Policy restriction on software: C:\PROGRAM FILES\ESET\ESET ENDPOINT ANTIVIRUS\EKRN.EXE <==== ATTENTION
HKLM Group Policy restriction on software: C:\PROGRAM FILES\MYSQL\MYSQL SERVER 5.6\BIN\MYSQLD.EXE <==== ATTENTION
HKLM Group Policy restriction on software: C:\PROGRAM FILES\COMMON FILES\SAFENET SENTINEL\SENTINEL KEYS SERVER\SNTLKEYSSRVR.EXE <==== ATTENTION
HKLM Group Policy restriction on software: C:\PROGRAM FILES\MICROSOFT SQL SERVER\90\SHARED\SQLBROWSER.EXE <==== ATTENTION
HKLM Group Policy restriction on software: C:\PROGRAM FILES\MICROSOFT SQL SERVER\90\SHARED\SQLWRITER.EXE <==== ATTENTION

Эти запреты настраивали самостоятельно?
 
  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Код:
    Start::
    CreateRestorePoint:
    HKLM Group Policy restriction on software: C:\PROGRAM FILES\ESET\ESET ENDPOINT ANTIVIRUS\EGUIPROXY.EXE <==== ATTENTION
    HKLM Group Policy restriction on software: C:\PROGRAM FILES\MICROSOFT SQL SERVER\MSSQL11.MSSQLSERVER\MSSQL\BINN\SQLSERVR.EXE <==== ATTENTION
    HKLM Group Policy restriction on software: C:\PROGRAM FILES\ESET\REMOTEADMINISTRATOR\AGENT\ERAAGENT.EXE <==== ATTENTION
    HKLM Group Policy restriction on software: C:\PROGRAM FILES\COMMON FILES\MICROSOFT SHARED\OFFICESOFTWAREPROTECTIONPLATFORM\OSPPSVC.EXE <==== ATTENTION
    HKLM Group Policy restriction on software: C:\PROGRAM FILES\MICROSOFT SQL SERVER\90\SHARED\SQLBROWSER.EXE <==== ATTENTION
    HKLM Group Policy restriction on software: C:\PROGRAM FILES\COMMON FILES\SAFENET SENTINEL\SENTINEL PROTECTION SERVER\WINNT\SPNSRVNT.EXE <==== ATTENTION
    HKLM Group Policy restriction on software: C:\PROGRAM FILES\ESET\ESET ENDPOINT ANTIVIRUS\EKRN.EXE <==== ATTENTION
    HKLM Group Policy restriction on software: C:\PROGRAM FILES\MYSQL\MYSQL SERVER 5.6\BIN\MYSQLD.EXE <==== ATTENTION
    HKLM Group Policy restriction on software: C:\PROGRAM FILES\COMMON FILES\SAFENET SENTINEL\SENTINEL KEYS SERVER\SNTLKEYSSRVR.EXE <==== ATTENTION
    HKLM Group Policy restriction on software: C:\PROGRAM FILES\MICROSOFT SQL SERVER\90\SHARED\SQLBROWSER.EXE <==== ATTENTION
    HKLM Group Policy restriction on software: C:\PROGRAM FILES\MICROSOFT SQL SERVER\90\SHARED\SQLWRITER.EXE <==== ATTENTION
    2019-08-26 19:01 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Инженер\README.txt
    2019-08-26 19:01 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Инженер\Downloads\README.txt
    2019-08-26 19:01 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Инженер\Documents\README.txt
    2019-08-26 19:01 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Инженер\Desktop\README.txt
    2019-08-26 19:01 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Инженер\AppData\Roaming\README.txt
    2019-08-26 19:01 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Инженер\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
    2019-08-26 19:01 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Инженер\AppData\README.txt
    2019-08-26 19:01 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Инженер\AppData\LocalLow\README.txt
    2019-08-26 19:01 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Инженер\AppData\Local\README.txt
    2019-08-26 19:01 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Public\README.txt
    2019-08-26 19:01 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Public\Downloads\README.txt
    2019-08-26 19:01 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Engineer\README.txt
    2019-08-26 19:01 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Engineer\Downloads\README.txt
    2019-08-26 19:01 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Engineer\Documents\README.txt
    2019-08-26 19:01 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Engineer\Desktop\README.txt
    2019-08-26 19:01 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Engineer\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
    2019-08-26 19:01 - 2019-08-26 19:01 - 000000082 _____ C:\README.txt
    2019-08-26 19:00 - 2019-08-26 19:00 - 000000082 _____ C:\Users\Engineer\AppData\Roaming\README.txt
    2019-08-26 19:00 - 2019-08-26 19:00 - 000000082 _____ C:\Users\Engineer\AppData\README.txt
    2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\Engineer\AppData\LocalLow\README.txt
    2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\Engineer\AppData\Local\README.txt
    2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\Default\README.txt
    2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\Default\Downloads\README.txt
    2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\Default\Documents\README.txt
    2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\Default\Desktop\README.txt
    2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\Default\AppData\Roaming\README.txt
    2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
    2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\Default\AppData\README.txt
    2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\Default\AppData\Local\README.txt
    2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\Default User\Downloads\README.txt
    2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\Default User\Documents\README.txt
    2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\Default User\Desktop\README.txt
    2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\Default User\AppData\Roaming\README.txt
    2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
    2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\Default User\AppData\README.txt
    2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\Default User\AppData\Local\README.txt
    2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\administrator\README.txt
    2019-08-26 18:59 - 2019-08-26 18:59 - 000000082 _____ C:\Users\administrator\AppData\Roaming\Microsoft\Windows\Start Menu\README.txt
    2019-08-26 18:58 - 2019-08-26 18:58 - 000000082 _____ C:\Users\administrator\Downloads\README.txt
    2019-08-26 18:58 - 2019-08-26 18:58 - 000000082 _____ C:\Users\administrator\Documents\README.txt
    2019-08-26 18:58 - 2019-08-26 18:58 - 000000082 _____ C:\Users\administrator\Desktop\README.txt
    2019-08-26 18:58 - 2019-08-26 18:58 - 000000082 _____ C:\Users\administrator\AppData\Roaming\README.txt
    2019-08-26 18:58 - 2019-08-26 18:58 - 000000082 _____ C:\Users\administrator\AppData\README.txt
    2019-08-26 18:58 - 2019-08-26 18:58 - 000000082 _____ C:\Users\administrator\AppData\LocalLow\README.txt
    2019-08-26 18:58 - 2019-08-26 18:58 - 000000082 _____ C:\Users\administrator\AppData\Local\README.txt
    2019-08-26 18:58 - 2019-08-26 18:58 - 000000082 _____ C:\ProgramData\Microsoft\Windows\Start Menu\README.txt
    2019-08-26 18:57 - 2019-08-26 19:01 - 000000796 _____ C:\Users\Все пользователи\README.txt
    2019-08-26 18:57 - 2019-08-26 19:01 - 000000796 _____ C:\Users\Public\Documents\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
    2019-08-26 18:57 - 2019-08-26 19:01 - 000000796 _____ C:\Users\Public\Desktop\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
    2019-08-26 18:57 - 2019-08-26 19:01 - 000000796 _____ C:\ProgramData\README.txt
    2019-08-26 18:57 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Public\Documents\README.txt
    2019-08-26 18:57 - 2019-08-26 19:01 - 000000082 _____ C:\Users\Public\Desktop\README.txt
    2019-08-26 18:57 - 2019-08-26 18:59 - 000000796 _____ C:\Users\Все пользователи\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
    2019-08-26 18:57 - 2019-08-26 18:59 - 000000796 _____ C:\ProgramData\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
    2019-08-26 18:57 - 2019-08-26 18:57 - 000000082 _____ C:\Program Files\README.txt
    2019-08-26 18:40 - 2019-08-26 18:40 - 000000082 _____ C:\Program Files\Common Files\README.txt
    2019-08-26 18:38 - 2019-08-26 19:01 - 000000796 _____ C:\Users\email-mryoba@cock.li.ver-CS 1.6.id-.fname-README.txt.cs16
    2019-08-26 18:38 - 2019-08-26 19:01 - 000000082 _____ C:\Users\README.txt
    Reboot:
    End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.
 
Этот компьютер не важен. Главное данные с сетевого диска зашифрованы
 
Найдите друзей/знакомых с лицензией (она нужна только для возможности создать запрос).
Параллельно можете создать запрос у своего вендора.
 
С учетом того, что это обновленная версия шифровальщика, нужно побудить АВ компании заняться анализом.
 
Связался с "честными мошенниками". После вознаграждения, прислали программу дешифратор. Одно хорошо, вся процедура заняла около 2 часов и мошенник оказался "честным", программа реально восстановила файлы.
 
Если не секрет, сколько запросили?
 
Статус
В этой теме нельзя размещать новые ответы.
Назад
Сверху Снизу