Printable View
Сегодня на сервере под управление винды 2003 обнаружил что файлы зашифрованы данной "припиской" к файлам. Собсно работа в бухгалтерии стоит, потому что зашифрованы все информационные базы и еще некоторые не особо важные файлы. Прикладываю архив с зашифрованным архивом. Пароль на архив "infected".
[ATTACH]472854[/ATTACH]
[ATTACH]472858[/ATTACH]
[ATTACH]472859[/ATTACH]
Уважаемый(ая) [B]oxygenwolf[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Получил точно такое же письмо как и в соседней теме.
[QUOTE]Версия Windows: 5.2.3790, Service Pack 2 "Microsoft Windows Server 2003" ; AVZ работает с правами администратора,AVZ запущен из терминальной сессии (RDP-Tcp#4)[/QUOTE]
Логи на сервере делаются не через терминальную сессию. Нужно тело шифровальщика.
+ Сделайте такие [URL="http://virusinfo.info/soft/tool.php?tool=SITLog"]логи[/URL]
+ Пароли меняйте т.к. зашли удаленно через RDP.
[QUOTE=mike 1;1113519]Логи на сервере делаются не через терминальную сессию. Нужно тело шифровальщика.
+ Сделайте такие [URL="http://virusinfo.info/soft/tool.php?tool=SITLog"]логи[/URL]
+ Пароли меняйте т.к. зашли удаленно через RDP.[/QUOTE]
Хорошо, сегодня приеду на работу и сделаю логи непосредственно оттуда. Пароли на RDP менять только у админской учетки? У пользователей надо?
Прикладываю новые логи АВЗ + СИТлог. Пароль на RDP поменял.
[ATTACH]472942[/ATTACH]
[ATTACH]472941[/ATTACH]
Да, вы были правы. На сервер зашли по RDP с компьютера организации.. в логах написано "АНОНИМНЫЙ ВХОД"
[ATTACH=CONFIG]472947[/ATTACH]
Выполните скрипт в AVZ:
[CODE]
Procedure ScanDir(ADirName : string; AScanSubDir : boolean);
var FS : TFileSearch;
begin
ADirName := NormalDir(ADirName);
FS := TFileSearch.Create(nil);
FS.FindFirst(ADirName + '*');
while FS.Found do
begin
SetStatusBarText(ADirName + FS.FileName);
if FS.IsDir then
begin
if AScanSubDir and (FS.FileName <> '.') and (FS.FileName <> '..') then
ScanDir(ADirName + FS.FileName, AScanSubDir)
end
else
AddToLog(ADirName + FS.FileName + '__MD5= ' + CalkFileMD5(ADirName + FS.FileName)+ '__Size= '+ IntToStr(GetFileSize(ADirName + FS.FileName)));
FS.FindNext;
end;
FS.Free;
end;
begin
ClearLog;
ScanDir('C:\3', true);
ScanDir('C:\WINDOWS', true);
ScanDir('C:\spoolerlogs', true);
SaveLog(GetAVZDirectory + 'MD5&Size.txt');
end.
[/CODE]
После выполнения скрипта AVZ будет сформирован отчет [B]MD5&Size.txt[/B]. Выложите файл [B]MD5&Size.txt[/B] из папки с авз.
Выкладываю MD5. Вложение сделать не получилось, слишком большой файл.
[url]http://ge.tt/9Jlzwwf1/v/0?c[/url]
Печально, но сам шифратор уже похоже удален. А без него нельзя расшифровать файлы. Логи в порядке.
Проведите [URL="http://virusinfo.info/content.php?r=290-virus-detector"][B]эту[/B][/URL] процедуру. Полученную ссылку после загрузки карантина [B]virusinfo_auto_имя_вашего_ПК.zip[/B] через [url=http://virusinfo.info/virusdetector/uploadform.php][B]данную форму[/B][/url] сохраните в блокноте под именем VirusDetector и прикрепите его в виде текстового файла в вашей теме.
Прикрепил. Может как-то можно восстановить удаленные файлы? Может найдется
[ATTACH]473012[/ATTACH]
[QUOTE]Может как-то можно восстановить удаленные файлы?[/QUOTE]
Может и можно. Попробуйте воспользоваться программой R Studio.
Уже начал потрошить хард этой софтиной. Какой примерно вид может иметь этот файл?
[QUOTE=oxygenwolf;1113880]Уже начал потрошить хард этой софтиной. Какой примерно вид может иметь этот файл?[/QUOTE]
Предположительно нужно искать файлы с расширением bat и exe
Хорошо. А по анализу как я понял все нормально?
Отчеты в порядке.
Никаких подозрительных файлов не было обнаружено....
Как я понимаю шансов вообще нет?
Шансов очень мало. Можно попробовать следующее:
Возможно на этом компьютере вообще нет самого шифратора и его временно перенесли с другой взломанной машины. Предлагаю попробовать снять с каждого компьютера лог UVS. Возможно таким образом удастся что нибудь найти.
Инструкция по сбору лога UVS ниже.
[LIST=1][*]Скачайте [B][URL="http://dsrt.dyndns.org/uvsfiles.htm"]Universal Virus Sniffer[/URL][/B] (uVS)[*]Извлеките uVS из [I]архива[/I] или из [I]zip-папки[/I]. Откройте папку с UVS и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт [B]"Запустить под текущим пользователем"[/B].[*]Выберите меню [B]"Файл"[/B] => [B]"Сохранить полный образ автозапуска"[/B]. Программа предложит вам указать место сохранения лога в формате [B]"имя_компьютера_дата_сканирования"[/B]. Лог необходимо сохранить на рабочем столе.
[INDENT][SIZE="1"][B]!!!Внимание.[/B] Если у вас установлены архиваторы [B]WinRAR[/B] или [B]7-Zip[/B], то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.[/SIZE][/INDENT][*]Дождитесь окончания работы программы и прикрепите лог к посту в теме.
[INDENT][SIZE="1"][B]!!! Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [B]Windows XP[/B] так и есть. В [B]Windows Vista[/B] и [B]Windows 7[/B] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [B]Запуск от имени Администратора[/B], при необходимости укажите пароль администратора и нажмите [B]"Да"[/B].[/SIZE][/INDENT][*][/LIST]
Подробнее читайте в руководстве [URL="http://virusinfo.info/showthread.php?t=121767"]как подготовить лог UVS[/URL]
RakhniDecryptor 1.5.5.0: [url]http://support.kaspersky.ru/10556[/url] уже должен помочь