http://forum.esetnod32.ru Новое в теме вероятно, NotPetya шифранул файлы форума на сайте Форум esetnod32.ru [forum.esetnod32.ru] ru http://backend.userland.com/rss2 Thu, 30 Apr 2026 03:41:52 +0300 вероятно, NotPetya шифранул файлы в форуме Шифровальщики файлов и подбор дешифраторов.
судя по логу событий возможно момент атаки был пропущен из за ошибок в обновлении баз

08.07.2017 6:41:19 Ядро ESET База данных сигнатур вирусов обновлена до версии 15711 (20170707).
и следующее обновление идет уже
12.07.2017 22:45:14 Ядро ESET База данных сигнатур вирусов обновлена до версии 15735 (20170712).
а между этими событиями много ошибок при обновлении:
12.07.2017 10:43:15 Модуль обновления Ошибка распаковки файла. NT AUTHORITY\система
17.07.2017 16:48:52, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic14144/message99944/ http://forum.esetnod32.ru/messages/forum35/topic14144/message99944/ Mon, 17 Jul 2017 16:48:52 +0300 Шифровальщики файлов и подбор дешифраторов вероятно, NotPetya шифранул файлы в форуме Шифровальщики файлов и подбор дешифраторов.
+
попробуйте извлечь из карантина файл README.txt, можно переименовать его в readme.vtxt чтобы антивир по новой его не прибивал.
это записка о выкупе,
добавьте ее так же на форум. можно в архив запаковать.
17.07.2017 16:45:01, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic14144/message99943/ http://forum.esetnod32.ru/messages/forum35/topic14144/message99943/ Mon, 17 Jul 2017 16:45:01 +0300 Шифровальщики файлов и подбор дешифраторов вероятно, NotPetya шифранул файлы в форуме Шифровальщики файлов и подбор дешифраторов.
Антивирус был установлен до появления эпидемии.

17.07.2017 16:42:32, Евгений Беспалый.]]> http://forum.esetnod32.ru/messages/forum35/topic14144/message99942/ http://forum.esetnod32.ru/messages/forum35/topic14144/message99942/ Mon, 17 Jul 2017 16:42:32 +0300 Шифровальщики файлов и подбор дешифраторов вероятно, NotPetya шифранул файлы в форуме Шифровальщики файлов и подбор дешифраторов.
судя по журналу угроз было несколько атак через троян, добавленный в Medoc:


====quote====
13.07.2017 3:28:49 Real-time file system protection file C:\ProgramData\Medoc\Medoc_2SRV\ZvitPublishedObjects.dll a variant of MSIL/TeleDoor.A trojan cleaned by deleting NT AUTHORITY\система Event occurred during an attempt to access the file by the application: C:\ProgramData\Medoc\Medoc_2SRV\DMF.AppServer.exe (948F336186FD2BC040D821F1A75340711B002F11). 3567434E2E49358E8210674641A20B147E0BD23C
13.07.2017 3:28:35 Real-time file system protection file C:\ProgramData\Medoc\Medoc_2SRV\ZvitPublishedObjects.dll a variant of MSIL/TeleDoor.A trojan cleaned by deleting (after the next restart) Server1C\printadm Event occurred during an attempt to access the file by the application: C:\Windows\explorer.exe (390C124FFD140AA80033FA535E5EFA58E5580E25). 3567434E2E49358E8210674641A20B147E0BD23C
13.07.2017 3:28:04 Real-time file system protection file C:\ProgramData\Medoc\Medoc_2SRV\ZvitPublishedObjects.dll a variant of MSIL/TeleDoor.A trojan cleaned by deleting (after the next restart) Server1C\printadm Event occurred during an attempt to access the file by the application: C:\Windows\explorer.exe (390C124FFD140AA80033FA535E5EFA58E5580E25). 3567434E2E49358E8210674641A20B147E0BD23C
13.07.2017 3:27:53 Real-time file system protection file C:\ProgramData\Medoc\Medoc_2SRV\ZvitPublishedObjects.dll a variant of MSIL/TeleDoor.A trojan cleaned by deleting (after the next restart) NT AUTHORITY\система Event occurred during an attempt to access the file by the application: C:\ProgramData\Medoc\Medoc_2SRV\DMF.AppServer.exe (948F336186FD2BC040D821F1A75340711B002F11). 3567434E2E49358E8210674641A20B147E0BD23C
13.07.2017 3:27:01 Real-time file system protection file C:\ProgramData\Medoc\Medoc_2SRV\ZvitPublishedObjects.dll a variant of MSIL/TeleDoor.A trojan cleaned by deleting (after the next restart) NT AUTHORITY\система Event occurred during an attempt to run the file by the application: C:\ProgramData\Medoc\Medoc_2SRV\DMF.AppServer.exe (948F336186FD2BC040D821F1A75340711B002F11). 3567434E2E49358E8210674641A20B147E0BD23C
13.07.2017 3:09:35 Real-time file system protection file C:\Users\printadm\Desktop\README.TXT Win32/Diskcoder.C trojan deleted Server1C\printadm Event occurred during an attempt to access the file by the application: C:\Windows\System32\notepad.exe (A7BBC4B4F781E04214ECEBE69A766C76681AA7EB). 9944DC91F408CDD90441D68B46E926F65DC6147C
13.07.2017 3:03:16 Real-time file system protection file C:\ProgramData\Medoc\Medoc_2SRV\ZvitPublishedObjects.dll a variant of MSIL/TeleDoor.A trojan cleaned by deleting NT AUTHORITY\система Event occurred during an attempt to access the file by the application: C:\ProgramData\Medoc\Medoc_2SRV\DMF.AppServer.exe (948F336186FD2BC040D821F1A75340711B002F11). 3567434E2E49358E8210674641A20B147E0BD23C
13.07.2017 3:02:15 Real-time file system protection file C:\ProgramData\Medoc\Medoc_2SRV\ZvitPublishedObjects.dll a variant of MSIL/TeleDoor.A trojan cleaned by deleting (after the next restart) NT AUTHORITY\система Event occurred during an attempt to run the file by the application: C:\ProgramData\Medoc\Medoc_2SRV\DMF.AppServer.exe (948F336186FD2BC040D821F1A75340711B002F11). 3567434E2E49358E8210674641A20B147E0BD23C
13.07.2017 3:01:16 Real-time file system protection file C:\ProgramData\Medoc\Medoc_2SRV\ZvitPublishedObjects.dll a variant of MSIL/TeleDoor.A trojan cleaned by deleting NT AUTHORITY\система Event occurred during an attempt to access the file by the application: C:\ProgramData\Medoc\Medoc_2SRV\DMF.AppServer.exe (948F336186FD2BC040D821F1A75340711B002F11). 3567434E2E49358E8210674641A20B147E0BD23C
13.07.2017 3:00:38 Real-time file system protection file C:\Users\printadm\Desktop\README.TXT Win32/Diskcoder.C trojan unable to clean NT AUTHORITY\система Event occurred during an attempt to access the file by the application: C:\Windows\System32\SearchProtocolHost.exe (FD8F3226267F506E3CF0341044275AA5419E537D). 9944DC91F408CDD90441D68B46E926F65DC6147C
13.07.2017 3:00:38 Real-time file system protection file C:\Users\printadm\Desktop\README.TXT Win32/Diskcoder.C trojan unable to clean NT AUTHORITY\система Event occurred during an attempt to access the file by the application: C:\Windows\System32\SearchProtocolHost.exe (FD8F3226267F506E3CF0341044275AA5419E537D). 9944DC91F408CDD90441D68B46E926F65DC6147C
13.07.2017 3:00:15 Real-time file system protection file C:\ProgramData\Medoc\Medoc_2SRV\ZvitPublishedObjects.dll a variant of MSIL/TeleDoor.A trojan cleaned by deleting (after the next restart) NT AUTHORITY\система Event occurred during an attempt to run the file by the application: C:\ProgramData\Medoc\Medoc_2SRV\DMF.AppServer.exe (948F336186FD2BC040D821F1A75340711B002F11). 3567434E2E49358E8210674641A20B147E0BD23C
05.07.2017 13:18:32 Real-time file system protection file Q:\MedocIS\MedocIS\ZvitPublishedObjects.dll a variant of MSIL/TeleDoor.A trojan cleaned by deleting Server1C\Klient1 Event occurred during an attempt to access the file by the application: Q:\MedocIS\MedocIS\ezvit.exe (CD65D605A97F94A76CC18B08F19D83CE722A1CDD). 3567434E2E49358E8210674641A20B147E0BD23C
05.07.2017 13:17:50 Real-time file system protection file Q:\MedocIS\MedocIS\ZvitPublishedObjects.dll a variant of MSIL/TeleDoor.A trojan cleaned by deleting (after the next restart) Server1C\Klient1 Event occurred during an attempt to run the file by the application: Q:\MedocIS\MedocIS\ezvit.exe (CD65D605A97F94A76CC18B08F19D83CE722A1CDD). 3567434E2E49358E8210674641A20B147E0BD23C
30.06.2017 13:52:20 Real-time file system protection file Q:\README.TXT Win32/Diskcoder.C trojan deleted Server1C\Klient1 Event occurred during an attempt to access the file by the application: C:\Windows\explorer.exe (390C124FFD140AA80033FA535E5EFA58E5580E25). 9944DC91F408CDD90441D68B46E926F65DC6147C
30.06.2017 13:52:19 Real-time file system protection file Z:\README.TXT Win32/Diskcoder.C trojan deleted Server1C\Klient1 Event occurred during an attempt to access the file by the application: C:\Windows\explorer.exe (390C124FFD140AA80033FA535E5EFA58E5580E25). EAB267C3CB6D2349C576E9E8FA85A3533B600490



=============
но если была создана записка о выкупе C:\Users\printadm\Desktop\README.TXT Win32/Diskcoder.C trojan
можно предположить, что шифрование состоялось.

+
вопрос: когда был установлен антивирус ESET: до момента атаки, или уже позже, после того как пошла массовая эпидемия?
+
попробуйте извлечь из карантина файл README.txt, можно переименовать его в readme.vtxt чтобы антивир по новой его не прибивал.
это записка о выкупе,
добавьте ее так же на форум. можно в архив запаковать.
17.07.2017 16:37:19, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic14144/message99941/ http://forum.esetnod32.ru/messages/forum35/topic14144/message99941/ Mon, 17 Jul 2017 16:37:19 +0300 Шифровальщики файлов и подбор дешифраторов вероятно, NotPetya шифранул файлы в форуме Шифровальщики файлов и подбор дешифраторов.
Сделал.
eav_logs.zip
17.07.2017 16:09:57, Евгений Беспалый.]]> http://forum.esetnod32.ru/messages/forum35/topic14144/message99940/ http://forum.esetnod32.ru/messages/forum35/topic14144/message99940/ Mon, 17 Jul 2017 16:09:57 +0300 Шифровальщики файлов и подбор дешифраторов вероятно, NotPetya шифранул файлы в форуме Шифровальщики файлов и подбор дешифраторов.
это скорее всего интерфейсная ошибка. не показывает записи из журнала угроз, хотя в файле угроз они есть.
сделайте тогда лог ESET log collector, в него будет добавлен файл лога журнала угроз.
https://download.eset.com/com/eset/tools/diagnosis/log_collector/latest/esetlogcol­lector_rus.exe
17.07.2017 16:05:24, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic14144/message99939/ http://forum.esetnod32.ru/messages/forum35/topic14144/message99939/ Mon, 17 Jul 2017 16:05:24 +0300 Шифровальщики файлов и подбор дешифраторов вероятно, NotPetya шифранул файлы в форуме Шифровальщики файлов и подбор дешифраторов.
к сожалению не могу этого сделать так как сам журнал угроз пустой.

17.07.2017 15:45:52, Евгений Беспалый.]]> http://forum.esetnod32.ru/messages/forum35/topic14144/message99938/ http://forum.esetnod32.ru/messages/forum35/topic14144/message99938/ Mon, 17 Jul 2017 15:45:52 +0300 Шифровальщики файлов и подбор дешифраторов вероятно, NotPetya шифранул файлы в форуме Шифровальщики файлов и подбор дешифраторов.
Евгений,
а можно экспортировать список угроз (из журнала угроз) в текстовый файл и добавить этот файл на форум?
судя по содержимому карантина (readme.txt - diskcoder.C) шифрануло скорее всего NotPetya-ей
17.07.2017 14:50:45, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic14144/message99936/ http://forum.esetnod32.ru/messages/forum35/topic14144/message99936/ Mon, 17 Jul 2017 14:50:45 +0300 Шифровальщики файлов и подбор дешифраторов вероятно, NotPetya шифранул файлы в форуме Шифровальщики файлов и подбор дешифраторов.
Погу предложить скриншот листинга файлов в карантине.

17.07.2017 13:24:32, Евгений Беспалый.]]> http://forum.esetnod32.ru/messages/forum35/topic14144/message99935/ http://forum.esetnod32.ru/messages/forum35/topic14144/message99935/ Mon, 17 Jul 2017 13:24:32 +0300 Шифровальщики файлов и подбор дешифраторов вероятно, NotPetya шифранул файлы в форуме Шифровальщики файлов и подбор дешифраторов.
если учесть что через M.E.Doc в недавнее время прошла целая группа шифраторов: ~xdata~, Globeimposter, NotPetya а так же клон WannaCry, то возможно шифрануло чем то из этой группы.
Хорошо бы посмотреть лог ESET журнала угроз, если сохранились записи.
(или предоставьте его на форуме, где выполняют лечение вашей системы.)
14.07.2017 15:48:16, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic14144/message99926/ http://forum.esetnod32.ru/messages/forum35/topic14144/message99926/ Fri, 14 Jul 2017 15:48:16 +0300 Шифровальщики файлов и подбор дешифраторов вероятно, NotPetya шифранул файлы в форуме Шифровальщики файлов и подбор дешифраторов.
Евгений Беспалый,
если нужна проверки системы с очисткой, тогда добавьте образ автозапуска системы
инструкция как это сделать по ссылке в моей подписи.
-------
update:
судя по вашим логам возможно что и Petya шифранул файлы, а доступ к загрузочной записи не получил.


====quote====
C:\ProgramData\Medoc\Medoc_2SRV\DMF.AppServer.exe
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить 8348 DMF.AppServer Copyright © 2006 17B0B634010F4076DA00548F9B44C3D4 37.50 кб, rsAh,создан: 30.06.2017 11:24:45,изменен: 30.06.2017 12:32:43
Командная строка:
C:\ProgramData\Medoc\Medoc_2SRV\DMF.AppServer.exe
Скрипт: Kарантин, Удалить, Удалить через BC, Завершить 504 DMF.AppServer Copyright © 2006 17B0B634010F4076DA00548F9B44C3D4 37.50 кб, rsAh,создан: 30.06.2017 11:24:45,изменен: 30.06.2017 12:32:43
Командная строка:
=============

12.07.2017 14:51:57, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic14144/message99873/ http://forum.esetnod32.ru/messages/forum35/topic14144/message99873/ Wed, 12 Jul 2017 14:51:57 +0300 Шифровальщики файлов и подбор дешифраторов вероятно, NotPetya шифранул файлы в форуме Шифровальщики файлов и подбор дешифраторов.

====quote====
santy написал:
пробуйте через этот сервис определить тип шифратора.
https://id-ransomware.malwarehunterteam.com/index.php
=============
Cпасибо но для этого сайта нужен файл с требованием о выкупе а я не вижу подобного файла на исследуемой системе.
Прилагаю также отчет сделанный с помощью набора утилит Autologger с данной системы:  
CollectionLog-2017.07.12-11.47.zip
12.07.2017 12:16:38, Евгений Беспалый.]]> http://forum.esetnod32.ru/messages/forum35/topic14144/message99870/ http://forum.esetnod32.ru/messages/forum35/topic14144/message99870/ Wed, 12 Jul 2017 12:16:38 +0300 Шифровальщики файлов и подбор дешифраторов вероятно, NotPetya шифранул файлы в форуме Шифровальщики файлов и подбор дешифраторов.
пробуйте через этот сервис определить тип шифратора.
https://id-ransomware.malwarehunterteam.com/index.php
12.07.2017 11:04:40, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic14144/message99867/ http://forum.esetnod32.ru/messages/forum35/topic14144/message99867/ Wed, 12 Jul 2017 11:04:40 +0300 Шифровальщики файлов и подбор дешифраторов вероятно, NotPetya шифранул файлы в форуме Шифровальщики файлов и подбор дешифраторов.
Добрый день всем!
Есть подозрение что все файлы на одном из логических дисков компьютера оказались зашифрованы, при этом, что странно, на этой машине нету письма с требованием о выкупе.

Помогите пожалуйста определить тип шифровальщика для того чтобы понимать возможна ли дешифрация!

Примеры файлов прилагаю, если нужно - готов выложить еще примеры.
Спасибо всем большое за помощь.
Files.zip
12.07.2017 10:45:18, Евгений Беспалый.]]> http://forum.esetnod32.ru/messages/forum35/topic14144/message99865/ http://forum.esetnod32.ru/messages/forum35/topic14144/message99865/ Wed, 12 Jul 2017 10:45:18 +0300 Шифровальщики файлов и подбор дешифраторов