Шифровальщик ERROR-ID-63100778

[deviance_x]

Добрый день,

На Windows 2008 поймали шифровальщик. Все важные данные оказались зашифрованы.

Результат AutoLogger приложил.

[Info_bot]

Уважаемый(ая) deviance_x, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HOW TO DECRYPT FILES.txt','');
 QuarantineFile('C:\Users\ADMINI~1\AppData\Local\Temp\2\kywIhQyBf6UuLEy.exe','');
 DeleteFile('C:\Users\ADMINI~1\AppData\Local\Temp\2\kywIhQyBf6UuLEy.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Alcmeter');
 DeleteFile('C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\HOW TO DECRYPT FILES.txt','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
end.

Перезагрузку компьютера выполните вручную.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger

+ образец зашифрованного doc или docx файла в архиве прикрепите к следующему сообщению.

[deviance_x]

Autologger и пример doc файла прикрепили.
quarantine.zip также прикрепили.

[thyrex]

Проверьте ЛС

[deviance_x]

Здравствуйте,

Повторный результат AutoLogger.

[thyrex]

Выполните скрипт в AVZ

begin
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Alcmeter');
end.

Перезагрузку компьютера выполните вручную.

Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger

Образцы зашифрованных файлов с новым двойным-тройным расширением пришлите в архиве.

[deviance_x]

Сейчас система показывает BSOD и не загружается.

Скажите пожалуйста есть ли шанс расшифровать данные если просто перенести их все с этого ПК на другой?

[thyrex]

Конечно есть

[deviance_x]

Установили ОС на этот же диск не удаляя старую ОС. Сейчас все файлы находятся в Windows.old

AutoLogger и пример файлов зашифрованных приложили.

[thyrex]

И на этом сервере похоже поработало несколько шифраторов.
Серверы были связаны между собой по сети?

- - - - -Добавлено - - - - -

Еще и WannaCry где-то подцепили. Обновления для сервера не догадались установить сразу же?

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 SetServiceStart('mssecsvc2.0', 4);
 DeleteService('mssecsvc2.0');
 TerminateProcessByName('c:\windows\mssecsvc.exe');
 QuarantineFile('c:\windows\mssecsvc.exe','');
 DeleteFile('c:\windows\mssecsvc.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger

[deviance_x]

Серверы виртуальные (VPS), доступны по внешему IP. Находятся в одной подсети. Связь между ними есть, но никаких общих каталогов для обмена данными не было. Каждый сервер работал отдельно сам по себе. Единственное патчи для ОС уже были установлены после удаления из системы bitcoin майнеров.

По серверу, тема с которым в разделе Помогите+ были даны указания свыше просто скопировать данные из одной конкретной папки где данные не зашифрованы. В C:\Users где есть зашифрованные файлы нужных данных нет.

На сервере из этой темы суммарный объём данных (зашифрованные вперемешку с нормальными) ~100 ГБ. Может быть вместо яндекс.диска возможен вариант через RDP/VNC?

Сообщите пожалуйста в ЛС если требуются какие-то дополнительные финансовые затраты на процесс расшифровки.

[thyrex]

По серверу, тема с которым в разделе Помогите+ были даны указания свыше просто скопировать данные из одной конкретной папки где данные не зашифрованы. В C:\Users где есть зашифрованные файлы нужных данных нет.

Присылайте только зашифрованные данные с обоих серверов (без exe/dll). Я понимаю, что это время на поиск таких файлов и сохранение структуры папок при этом, но ничего не поделать. Вариант с RDP/VNC неприемлем. Потому как становится очевидно, что придется все ковырять вручную.

Пока WannaCry не уничтожил данные на новой системе, позаботьтесь об установке всех обновлений, включая заплатку против WannaCry, если она не установится автоматически.

- - - - -Добавлено - - - - -

doc/docx/xls/xlsx - все такие шифрованные файлы пришлите первым архивом

[thyrex]

Расшифрованные файлы из сообщения №10 http://dropmefiles.com/2VRLa

[deviance_x]

Добрый день. Ссылку отправил в ЛС.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения вредоносные программы в карантинах не обнаружены