Файлы зашифрованы с расширением .ms13; .carcn; .btix; .gate; .love; .LDPR; .FREDD; .txt; .video; .wal; .MERS; .bat; .qbix; .aa1; .qbtex; .yG; .drweb; .plut; .jack; .DDOS; .cry; .4k; .TOR13; .good; .qbx; .beets; .zoh; .harma; .BSC; .kjh; .html; .HACK; .0da , Filecoder.Crysis / Encoder.3953 /Ransom.Win32.Crusis; r/n: info.hta

RSS

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 13.04.2019 12:20:40

на текущий момент известные варианты CrySis/Dharma, которые не могут быть расшифрованы в вирлабе:

Цитата
.cesar; .arena; .cobra; .java; .write; .arrow; .bip; .cmb/.combo; .brrr; .gamma; .monro; .bkp; .btc; .bgtx; .boost; .waifu; .FUNNY; .betta; .vanss; .like; .gdb; .xxxxx; .adobe; .tron; .AUDIT; .cccmn; .back; .Bear; .fire; .myjob; .war; .risk; .bkpx; .santa; .bizer; .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun; .ms13; .carcn; .btix; .gate; .love; .LDPR; .FREDD; .txt; .video; .wal; .MERS; .bat; .qbix; .aa1; .qbtex; .yG; .drweb; .plut; .jack; .DDOS; .cry; .4k; .TOR13; .good; .qbx; .beets; .zoh; .harma; .BSC; .kjh; .html; .HACK; 0day

Цитата

.cesar; .arena; .cobra; .java; .write; .arrow; .bip; .cmb/.combo; .brrr; .gamma; .monro; .bkp; .btc; .bgtx; .boost; .waifu; .FUNNY; .betta; .vanss; .like; .gdb; .xxxxx; .adobe; .tron; .AUDIT; .cccmn; .back; .Bear; .fire; .myjob; .war; .risk; .bkpx; .santa; .bizer; .gif; .auf; .USA; .xwx; .best; .heets; .qwex; .ETH; .air; .888; .amber; .frend; .KARLS; .aqva; .AYE; .korea; .plomb; .NWA; .com; .azero; .bk666; .stun; .ms13; .carcn; .btix; .gate; .love; .LDPR; .FREDD; .txt; .video; .wal; .MERS; .bat; .qbix; .aa1; .qbtex; .yG; .drweb; .plut; .jack; .DDOS; .cry; .4k; .TOR13; .good; .qbx; .beets; .zoh; .harma; .BSC; .kjh; .html; .HACK; 0day

теперь, когда вас шифрануло Crysis, примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);

[ Как создать образ автозапуска? ]

Ответы

Пред. 1 2 3 4 5 ... 8 След.

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 23.04.2019 14:28:36

могли получить список учетных записей на сервере, и перебором или по словарю получить пароль доступа для выбранной учетной записи.
т.е. подключиться из внешней сети по RDP используя уже известную пару логин и пароль.

[ Как создать образ автозапуска? ]

Сообщений: 32

Баллов: 16

Регистрация: 14.12.2015

Размещено 23.04.2019 14:37:47

Цитата
santy написал: могли получить список учетных записей на сервере, и перебором или по словарю получить пароль доступа для выбранной учетной записи. т.е. подключиться из внешней сети по RDP используя уже известную пару логин и пароль.

Цитата

santy написал:
могли получить список учетных записей на сервере, и перебором или по словарю получить пароль доступа для выбранной учетной записи.
т.е. подключиться из внешней сети по RDP используя уже известную пару логин и пароль.

Но так они могли ломиться на стандартный порт rdp, у меня бред цыфр, сейчас вообще доступ закрыт.
С логами старой ос не особо ( что то акронис долго думает, проще чистый старый образ накатить

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 24.04.2019 13:02:09

Сергей,

если были зашифрованы важные документы, восстанавливаем файлы из бэкапов,
или сохраняем важные зашифрованные документы на отдельный носитель,
и ждем (ждем и ждем) когда будет решение у антивирусных компаний по расшифровке.

+
теперь, когда вас дважды шифрануло Crysis, примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к серверу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);

[ Как создать образ автозапуска? ]

Сообщений: 1

Регистрация: 06.06.2019

Размещено 06.06.2019 10:01:05

Здравствуйте. Возможно ли расшифровать файл с таким расширением?
Файлы зашифрованы с расширением .[[email protected]].bat
Во вложении прикреплены отчет от Autologger, файл вируса, 3 файла из зашифрованных, 2 записки с контактами для связи с мошенниками.

Прикрепленные файлы

attach.zip (1.65 МБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 06.06.2019 14:45:25

Александр,
к сожалению это Crysis, и расшифровать файлы не получится, можем помочь только очистить систему
нужен так же образ автозапуска системы, кроме прочих логов.

Цитата
если были зашифрованы важные документы, восстанавливаем файлы из бэкапов, или сохраняем важные зашифрованные документы на отдельный носитель, и ждем (ждем и ждем) когда будет решение у антивирусных компаний по расшифровке. + теперь, когда вас шифрануло Crysis, примите серьезные меры безопасности: 1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным; 2. установка актуальных обновлений для операционной системы; 3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз; 4. установка надежных паролей для аккаунтов из группы RDP; 5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP; 6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга 7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу 8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);

Цитата

если были зашифрованы важные документы, восстанавливаем файлы из бэкапов,
или сохраняем важные зашифрованные документы на отдельный носитель,
и ждем (ждем и ждем) когда будет решение у антивирусных компаний по расшифровке.

+
теперь, когда вас шифрануло Crysis, примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);

[ Как создать образ автозапуска? ]

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 06.06.2019 14:53:57

судя по логам, этот файл шифратор 1swlynru.exe
и он есть в автозапуске:
O4 - Startup other users: C:\Users\User3\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\1swlynru.exe -> (PE EXE)
перед тем как создать образ автозапуска, проверьте, нет ли его в процессах.
если есть, то данный процесс необходимо завершить, и затем приступить к созданию образ автозапуска.

[ Как создать образ автозапуска? ]

Сообщений: 1

Регистрация: 20.06.2019

Размещено 20.06.2019 20:32:08

Здравствуйте! Буквально вчера ночью на сервер каким-то образом попал троян. Файлы зашифровались расширением [[email protected]].harma . Перепробовал уже все подряд, есть решение?

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 21.06.2019 05:35:56

Цитата
Станислав Долгушин написал: Здравствуйте! Буквально вчера ночью на сервер каким-то образом попал троян. Файлы зашифровались расширением [ [email protected] ].harma . Перепробовал уже все подряд, есть решение?

добавьте образ автозапуска с зашифрованного сервера

[ Как создать образ автозапуска? ]

Сообщений: 1

Регистрация: 21.06.2019

Размещено 21.06.2019 15:21:48

Здравствуйте! Пожалуйста, помогите друзья вчера все файл зашифровали. Файлы зашифровали расширением .id-20CC8CF5.[[email protected]].harma. Есть решение????

образ автозапуска https://my-files.ru/46ec96

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 21.06.2019 16:25:47

Цитата
Bahrom Raupov написал: образ автозапуска https://my-files.ru/46ec96

судя по образу система уже очищена от файлов шифратора.
расшифровки данных по данному варианту Crysis, к сожалению, нет, восстановление документов возможно только из архивных копий.

[ Как создать образ автозапуска? ]

Пред. 1 2 3 4 5 ... 8 След.