Поймали шифровальщик Horsefucker

[seven_x]

Добрый день! Прошу помочь!
Поймали шифровальщик. Все файлы стали .horsefucker
В файле #HOW_TO_DECRYPT#.txt сообщение:

ALL YOUR DOCUMENTS PHOTOS DATABASES AND OTHER IMPORTANT FILES HAVE BEEN ENCRYPTED!
================================================== ==================================================
Your files are NOT damaged! Your files are modified only. This modification is reversible.
The only 1 way to decrypt your files is to receive the private key and decryption program.
Any attempts to restore your files with the third party software will be fatal for your files!
================================================== ==================================================

To receive the private key and decryption program follow the instructions below:

1. Write to our skype - Dungeon Masters Decryption
Also you can write ICQ live chat which works 24/7 @Horsefucker
Install ICQ software on your PC https://icq.com/windows/ or on your mobile phone search in Appstore / Google market ICQ
Write to our ICQ @Horsefucker https://icq.im/Horsefucker
Also we have a mail - [email protected]
BUT USE MAIL ONLY IF ICQ AND SKYPE NOT WORKING
2. Our company values its reputation. We give all guarantees of your files decryption, such as test decryption some of them
We respect your time and waiting for respond from your side
tell your MachineID: 490946301D and LaunchID: 364e464798
================================================== ==================================================
WE STRONGLY RECOMMEND you NOT to use any "Decryption Tools".
These tools can damage your data, making recover IMPOSSIBLE.
Also we recommend you not to contact data recovery companies.
They will just contact us, buy the key and sell it to you at a higher price.

[Info_bot]

Уважаемый(ая) seven_x, спасибо за обращение на наш форум!

Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

[Vvvyg]

Расшифровки нет. Можно лишь почистить кое-что, там есть следы и более ранних проникновений.

Запустите HijackThis, расположенный в папке Autologger и пофиксите только эти строки:

O4 - HKCU\..\StartupApproved\Run: [MSFEEditor] = D:\Users\User\Pictures\disable\ENC_noFreeProc.exe e (file missing) (2022/10/17)
O7 - IPSec: Name: qianye (2019/08/27) - {bdf2b107-efdd-428f-91a2-d48ca3bf5361} - Source: Any IP - Destination: my IP (Port 135 TCP) (mirrored) - Action: Block
O7 - IPSec: Name: qianye (2019/08/27) - {bdf2b107-efdd-428f-91a2-d48ca3bf5361} - Source: Any IP - Destination: my IP (Port 135 UDP) (mirrored) - Action: Block
O7 - IPSec: Name: qianye (2019/08/27) - {bdf2b107-efdd-428f-91a2-d48ca3bf5361} - Source: Any IP - Destination: my IP (Port 139 TCP) (mirrored) - Action: Block
O7 - IPSec: Name: qianye (2019/08/27) - {bdf2b107-efdd-428f-91a2-d48ca3bf5361} - Source: Any IP - Destination: my IP (Port 139 UDP) (mirrored) - Action: Block
O7 - IPSec: Name: qianye (2019/08/27) - {bdf2b107-efdd-428f-91a2-d48ca3bf5361} - Source: Any IP - Destination: my IP (Port 445 TCP) (mirrored) - Action: Block
O7 - IPSec: Name: qianye (2019/08/27) - {bdf2b107-efdd-428f-91a2-d48ca3bf5361} - Source: Any IP - Destination: my IP (Port 445 UDP) (mirrored) - Action: Block
O7 - IPSec: Name: qianye (2019/08/27) - {bdf2b107-efdd-428f-91a2-d48ca3bf5361} - Source: my IP - Destination: Any IP (Port 14443 TCP) (mirrored) - Action: Block
O7 - IPSec: Name: qianye (2019/08/27) - {bdf2b107-efdd-428f-91a2-d48ca3bf5361} - Source: my IP - Destination: Any IP (Port 14444 TCP) (mirrored) - Action: Block
O7 - IPSec: Name: qianye (2019/08/27) - {bdf2b107-efdd-428f-91a2-d48ca3bf5361} - Source: my IP - Destination: Any IP (Port 2222 TCP) (mirrored) - Action: Block
O7 - IPSec: Name: qianye (2019/08/27) - {bdf2b107-efdd-428f-91a2-d48ca3bf5361} - Source: my IP - Destination: Any IP (Port 3333 TCP) (mirrored) - Action: Block
O7 - IPSec: Name: qianye (2019/08/27) - {bdf2b107-efdd-428f-91a2-d48ca3bf5361} - Source: my IP - Destination: Any IP (Port 4444 TCP) (mirrored) - Action: Block
O7 - IPSec: Name: qianye (2019/08/27) - {bdf2b107-efdd-428f-91a2-d48ca3bf5361} - Source: my IP - Destination: Any IP (Port 5555 TCP) (mirrored) - Action: Block
O7 - IPSec: Name: qianye (2019/08/27) - {bdf2b107-efdd-428f-91a2-d48ca3bf5361} - Source: my IP - Destination: Any IP (Port 6666 TCP) (mirrored) - Action: Block
O7 - IPSec: Name: qianye (2019/08/27) - {bdf2b107-efdd-428f-91a2-d48ca3bf5361} - Source: my IP - Destination: Any IP (Port 7777 TCP) (mirrored) - Action: Block
O7 - IPSec: Name: qianye (2019/08/27) - {bdf2b107-efdd-428f-91a2-d48ca3bf5361} - Source: my IP - Destination: Any IP (Port 8443 TCP) (mirrored) - Action: Block
O7 - IPSec: Name: qianye (2019/08/27) - {bdf2b107-efdd-428f-91a2-d48ca3bf5361} - Source: my IP - Destination: Any IP (Port 8888 TCP) (mirrored) - Action: Block
O7 - IPSec: Name: qianye (2019/08/27) - {bdf2b107-efdd-428f-91a2-d48ca3bf5361} - Source: my IP - Destination: Any IP (Port 9000 TCP) (mirrored) - Action: Block
O7 - IPSec: Name: qianye (2019/08/27) - {bdf2b107-efdd-428f-91a2-d48ca3bf5361} - Source: my IP - Destination: Any IP (Port 9999 TCP) (mirrored) - Action: Block

Скачайте Farbar Recovery Scan Tool или с зеркала и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Да для соглашения с предупреждением.

Нажмите кнопку Сканировать.

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

[seven_x]

Farbar Recovery Scan Tool не запускается. просто не открывается без каких либо ошибок (версия правильная x64).

Есть еще сервера, в этой же сети, которые были заражены. Главная проблема сейчас - пользователи с правами пользователь не могут подключиться по RDP. Службе "Клиент групповой политики" не удалось войти в систему. Отказано в доступе. Притом половина пользователей входят и работают, как раньше. Если дать пользователю права администратора, то он может войти в систему, но настроек пользователя нет (расположение рабочего стола и т.д.). Скидываю логи с сервера

Сделал действия из этой статьи
и из этой. В последней сообщения немного различаются. Проблема на форуме решилась, у меня нет.

[Vvvyg]

Для понимания: это логи уже с другого сервера?
Если создать нового пользователя с обычными правами, под ним есть те же проблемы?

[seven_x]

Да, это логи с другого сервера. Если создать пользователя, то проблемы те же

[Vvvyg]

Похоже, наиболее простой выход - установить систему, лучше более свежий билд 2016 Server поверх, с обновлением. Сломать просто, починить тяжело, тем более серверную ОС. Если повезёт, всё заработает.