Поймал шифровальщика. Помогите пожалуйста.

[Hoos]

Просят писать на адрес [email protected].
Если можно расшифровать, буду благодарен. Даже за деньги.

[Info_bot]

Уважаемый(ая) Hoos, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Documents and Settings\bank1\Мои документы\Downloads\smtp-verifier.exe','');
 DeleteFile('C:\Documents and Settings\bank1\Мои документы\Downloads\smtp-verifier.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.

Перезагрузку компьютера выполните вручную.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger

[Hoos]

Добавил новые файлы.

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[Hoos]

Сделал.

[thyrex]

Смотрите логи сервера на предмет входа по RDP и запуска файла шифратора

[Hoos]

А что мне там смотреть? Я если честно, не совсем представляю на что обратить внимание, в безопасности в основном вход\выход иногда доступ к службе каталогов. Не вижу что бы что то откуда то запускалось.

[thyrex]

Значит логи были подчищены. Вход был скорее всего вночноевремя,когдана работе никого не было.

Это очередная реинкарнация https://virusinfo.info/showthread.php?t=206679, я думаю

[Hoos]

Расшифровать можно?

[thyrex]

Без тела шифратора сказать что-то определенное трудно

[Hoos]

А где взять тело шифратора?

[thyrex]

Ну я же не телепат. Если в логах сервера ничего нет, увы

[Hoos]

А платная подписка поможет? Что бы посмотрели Вы или более квалифицированные чем я специалисты вашего форума?

[mike 1]

Вам сказали уже что может помочь, ищите.

[Hoos]

Да я искал, но безрезультатно. С такой проблемой сталкиваюсь не часто, возможно я не туда смотрю. Вот и прошу помощи людей которые с этим более тесно связаны.

[thyrex]

Значит шифратор самоуничтожился после выполнения темного дела. Это стандартная ситуация

[Hoos]

Т.е. никак не восстановить?

[mike 1]

Т.е. никак не восстановить?

Т.е. берете в руки R-Studio и ищите среди удаленных файлов тело шифровальщика. В вашем случае других вариантов нет.

[Hoos]

Особо ничего не помогло, или я не туда смотрю. Злоумышленник на связь не выходит даже после перевода денег. Деньги платить бесполезно по крайней мере пока. Спасибо за помощь. Если будут новости отпишусь.