Шифровальщик [email protected]

**sibsdf** · 06.10.2016, 17:07

Добрый день.
Имеем Windows Server 2008 R2 Enterprise.
В один момент обнаружили что Kaspersky Endpoint Security 10 выключен, а 1С Предприятие не запускается. Стали разбираться.

В различных директориях появились новые файлы вида "How to restore files.hta" и к старым DLL/EXE файлам дописался в конец названия текст: [email protected], на пример [email protected]

Ссылка на архив с тремя образцами: https://drive.google.com/open?id=0B_...jJjWVAyaXQyTEE

Логи во вложении. Т.к. ОС серверная - первый пункт инструкции пропустили.

На скриншоте во вложении вывод файла "How to restore files.hta" после запуска. Просят 1 BTC

Расшифровать файлы задачи не стоит. Ничего важного не зашифровал он. Задача - очистить систему от зловреда.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 06.10.2016, 17:08

Уважаемый(ая) sibsdf, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**thyrex** · 09.10.2016, 10:46

Незашифрованные образцы этих файлов есть в наличии?

Шифратор запустили прямо на сервере?

**sibsdf** · 10.10.2016, 07:13

Сообщение от thyrex

Незашифрованные образцы этих файлов есть в наличии?

Шифратор запустили прямо на сервере?

Не зашифрованных нету. Шифратор судя по всему да, запустился прямо на сервере. Причем KES10 просто оказался выключен когда все обнаружилось. На все настройки KES10 стоял пароль. Тот кто знал пароль отключил антивирус не мог. На выходных ковырялся в этой сети - обнаружил что за день или два до этого один из юзеров на другой машине получил по почте инфицированный офисный документ. Продолжаю наблюдение

**mike 1** · 10.10.2016, 19:06

Пришлите пару одинакового файла шифрованный/не шифрованный. Либо пришлите нормальные зашифрованные файлы, а не библиотеки.

Шифровальщик [email protected] (заявка № 204594)

Опции темы