Добрый день. Новая напасть пришла, судя по всему, из неожиданного места (все пользователи, как локальные, так и сетевые теперь работают с правами обычной учетки, так что заражение через открытие письма маловероятно, хотя, кто его знает, ибо пароль админа у них таки есть на всякий случай). Уже читал тут подобные темы, судя по всему все происходит по RDP. В общем, весь диск D в запароленных rar-архивах и в корне txt, где написано что писать на [email protected] и указан уникальный код fjhewhgyufhdjthbuye774htubuj64dgksd.
RDP-пароли, естественно уже изменены.
Собственно, хотелось бы знать как именно это все произошло, действительно ли по RDP и из под какого пользователя.
Ну и каковы перспективы расшифровки? Стоит ли ждать алгоритм подбора пароля или только платить вымогателям без уверенности что расшифруют?
Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:
Уважаемый(ая) Andrew Placid, спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
Нажмите кнопку Scan.
После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
Похоже удаленно зашли. Без тела шифратора шансов нет.
А можно узнать из под какого пользователя?
Т.е. либо платить вымогателям, либо попрощаться с данными навсегда? Есть ли шанс, что в будущем будет алгоритм подбора пароля?
- - - - -Добавлено - - - - -
Ну и еще вопрос. Зашли по RDP подбором пароля (пароль действительно был простой, такой же как логин) или вирь может вытаскивать пароли, сохраненные в системе, из под которой заходили? Т.е. более сложный пароль спасет или если комп, с которого заходят заражен, то пароль все равно сопрут?
Ведь не рандомно же сканируют айпишники с открытым RDP?
В журналах Windows смотрите. Если их конечно злодей не почистил перед тем, как уйти с вашего компьютера.
Т.е. либо платить вымогателям, либо попрощаться с данными навсегда?
Либо восстановить информацию из резервных копий.
Есть ли шанс, что в будущем будет алгоритм подбора пароля?
Сомневаюсь.
Ну и еще вопрос. Зашли по RDP подбором пароля (пароль действительно был простой, такой же как логин) или вирь может вытаскивать пароли, сохраненные в системе, из под которой заходили? Т.е. более сложный пароль спасет или если комп, с которого заходят заражен, то пароль все равно сопрут?
Погуглите информацию по бруту дедиков.
Ведь не рандомно же сканируют айпишники с открытым RDP?
Есть одна утилита которая показывает ip адреса с открытом 3389 портом. Название утилиты я не помню, но при желании вы можете ее найти через Google.