Файлы помещены в rar-архивы с паролем

[Andrew Placid]

Добрый день. Новая напасть пришла, судя по всему, из неожиданного места (все пользователи, как локальные, так и сетевые теперь работают с правами обычной учетки, так что заражение через открытие письма маловероятно, хотя, кто его знает, ибо пароль админа у них таки есть на всякий случай). Уже читал тут подобные темы, судя по всему все происходит по RDP. В общем, весь диск D в запароленных rar-архивах и в корне txt, где написано что писать на [email protected] и указан уникальный код fjhewhgyufhdjthbuye774htubuj64dgksd.

RDP-пароли, естественно уже изменены.

Собственно, хотелось бы знать как именно это все произошло, действительно ли по RDP и из под какого пользователя.
Ну и каковы перспективы расшифровки? Стоит ли ждать алгоритм подбора пароля или только платить вымогателям без уверенности что расшифруют?

По аналогии с соседней темой, добавил лог от Universal Virus Sniffer.

[Info_bot]

Уважаемый(ая) Andrew Placid, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Andrew Placid]

Готово.

[mike 1]

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  Folder: C:\XELDZ
  Folder: C:\Temp

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

[Andrew Placid]

Готово.

[mike 1]

Похоже удаленно зашли. Без тела шифратора шансов нет.

[Andrew Placid]

Похоже удаленно зашли. Без тела шифратора шансов нет.

А можно узнать из под какого пользователя?
Т.е. либо платить вымогателям, либо попрощаться с данными навсегда? Есть ли шанс, что в будущем будет алгоритм подбора пароля?

- - - - -Добавлено - - - - -

Ну и еще вопрос. Зашли по RDP подбором пароля (пароль действительно был простой, такой же как логин) или вирь может вытаскивать пароли, сохраненные в системе, из под которой заходили? Т.е. более сложный пароль спасет или если комп, с которого заходят заражен, то пароль все равно сопрут?
Ведь не рандомно же сканируют айпишники с открытым RDP?

[mike 1]

А можно узнать из под какого пользователя?

В журналах Windows смотрите. Если их конечно злодей не почистил перед тем, как уйти с вашего компьютера.

Т.е. либо платить вымогателям, либо попрощаться с данными навсегда?

Либо восстановить информацию из резервных копий.

Есть ли шанс, что в будущем будет алгоритм подбора пароля?

Сомневаюсь.

Ну и еще вопрос. Зашли по RDP подбором пароля (пароль действительно был простой, такой же как логин) или вирь может вытаскивать пароли, сохраненные в системе, из под которой заходили? Т.е. более сложный пароль спасет или если комп, с которого заходят заражен, то пароль все равно сопрут?

Погуглите информацию по бруту дедиков.

Ведь не рандомно же сканируют айпишники с открытым RDP?

Есть одна утилита которая показывает ip адреса с открытом 3389 портом. Название утилиты я не помню, но при желании вы можете ее найти через Google.