Поймали шифровальщик, расширение файлов .green

[Sir_Prikol]

День добрый, народ поймал шифровальщик на сервер, все документы превратились в расширение .green, подозрение что затянули через оутлук, но до сути ещё не докопался.

Зашифрованный файл

https://yadi.sk/d/6ga22hmSixM2i

сообщение вымогателей

https://yadi.sk/i/sHlFjEW-ixM2t

[Info_bot]

Уважаемый(ая) Sir_Prikol, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

Что прямо на сервере запустили шифровальщик?

[Sir_Prikol]

Самый парадокс, что не на сервере. Запустили на клиентском компе, а шифровальщик всю расшаренную с сервака папку хлопнул, причём, судя по тому где он хлопал, запустил шеф, так как зашифрованные файлы (часть) только у него права были, я там даже админские убирал.

- - - - -Добавлено - - - - -

Я так понимаю с расшифровкой туго. Хоть направление чем зашифровано, куда копать

[mike 1]

С расшифровкой не поможем, а вот логи рекомендую сделать все таки на том компьютере, где запустили шифровальщика.

[Sir_Prikol]

Тот комп чист аки слеза, это разновидность Trojan.Encoder.6xx, шифрует исключительно сетевые диски. При этом удаляет теневые копии (как ещё не разобрался) и затирает нулями бекапы без пароля. Заражённый комп работает в песочнице, по типу бездисковой системы, после перезапуска стартует со своей чистой копии, юзер ноет на то, что летят файлы которые он сохранил на рабочем столе, на это ему суётся бумажка, что все файлы должны лежать на сервере. До вчерашнего дня - такое действо спасало от заражения целую организацию. Подозрение на вирус - ресет компа - чистота Не думал я что разновидность трояна начнёт с сетевых дисков и будет хлопать бекапы (ибо у шефа права приравнены к админским, он сам настоял, теперь сам мучается)

Ок. Спасибо за попытку расшифровки, буду Dr.Web добивать, пусть думают как дешифровать, хотя они хитрые, теперь требуют бабло даже без попытки анализа файла.