Форум esetnod32.ru [тема: Файлы зашифрованы с расширением *.Loki; *.Blackbit] http://forum.esetnod32.ru Новое в теме Файлы зашифрованы с расширением *.Loki; *.Blackbit форума на сайте Форум esetnod32.ru [forum.esetnod32.ru] ru http://backend.userland.com/rss2 Fri, 17 Apr 2026 05:29:16 +0300 Файлы зашифрованы с расширением *.Loki; *.Blackbit Файлы зашифрованы с расширением *.Loki; *.Blackbit Loki.Locker в форуме Шифровальщики файлов и подбор дешифраторов.

====quote====
Егор Хахулин написал:
https://forum.esetnod32.ru/messages/forum35/topic16685/message115049/#message115049
Здравствуйте,
не появилось ли лечения для шифровальщика Locked by Loki ?
компьютер пока с тех пор никто не трогал в надежде восстановить файлы...
=============

Добрый день,
к сожалению, пока нет решения по Loki
25.07.2023 03:31:41, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic16685/message116036/ http://forum.esetnod32.ru/messages/forum35/topic16685/message116036/ Tue, 25 Jul 2023 03:31:41 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением *.Loki; *.Blackbit Файлы зашифрованы с расширением *.Loki; *.Blackbit Loki.Locker в форуме Шифровальщики файлов и подбор дешифраторов.
https://forum.esetnod32.ru/messages/forum35/topic16685/message115049/#message115049
Здравствуйте,
не появилось ли лечения для шифровальщика Locked by Loki ?
компьютер пока с тех пор никто не трогал в надежде восстановить файлы...
22.07.2023 05:37:53, Егор Хахулин.]]> http://forum.esetnod32.ru/messages/forum35/topic16685/message116025/ http://forum.esetnod32.ru/messages/forum35/topic16685/message116025/ Sat, 22 Jul 2023 05:37:53 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением *.Loki; *.Blackbit Файлы зашифрованы с расширением *.Loki; *.Blackbit Loki.Locker в форуме Шифровальщики файлов и подбор дешифраторов.

====quote====
Владимир Горячев написал:
Как закрыть доступ к дамп с хэшами ? Или  удалять при выходе ?  
=============
Microsoft внедрила функции безопасности, предотвращающие создание дампа памяти процесса LSASS.

Подробнее: https://www.securitylab.ru/news/529845.php
Основная защита - не допустить запуск инструментов злоумышленника в вашей системе.
13.04.2023 10:30:29, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic16685/message115698/ http://forum.esetnod32.ru/messages/forum35/topic16685/message115698/ Thu, 13 Apr 2023 10:30:29 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением *.Loki; *.Blackbit Файлы зашифрованы с расширением *.Loki; *.Blackbit Loki.Locker в форуме Шифровальщики файлов и подбор дешифраторов.

====quote====
Владимир Горячев написал:
И еще -
где можно скачать дистрибутв Eset File security 7.3 или 8,0 ?  
=============
8 версию можно скачать здесь
https://download.eset.com/com/eset/apps/business/efs/windows/v8/latest/efsw_nt64.msi
7 актуальную пробуйте скачать по этой ссылке
https://download.eset.com/com/eset/apps/business/efs/windows/v7/latest/efsw_nt64.msi
13.04.2023 10:25:11, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic16685/message115697/ http://forum.esetnod32.ru/messages/forum35/topic16685/message115697/ Thu, 13 Apr 2023 10:25:11 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением *.Loki; *.Blackbit Файлы зашифрованы с расширением *.Loki; *.Blackbit Loki.Locker в форуме Шифровальщики файлов и подбор дешифраторов.
И еще -
где можно скачать дистрибутв Eset File security 7.3 или 8,0 ?  
13.04.2023 10:11:01, Владимир Горячев.]]> http://forum.esetnod32.ru/messages/forum35/topic16685/message115696/ http://forum.esetnod32.ru/messages/forum35/topic16685/message115696/ Thu, 13 Apr 2023 10:11:01 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением *.Loki; *.Blackbit Файлы зашифрованы с расширением *.Loki; *.Blackbit Loki.Locker в форуме Шифровальщики файлов и подбор дешифраторов.
Как закрыть доступ к дамп с хэшами ? Или  удалять при выходе ?  
13.04.2023 10:04:18, Владимир Горячев.]]> http://forum.esetnod32.ru/messages/forum35/topic16685/message115695/ http://forum.esetnod32.ru/messages/forum35/topic16685/message115695/ Thu, 13 Apr 2023 10:04:18 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением *.Loki; *.Blackbit Файлы зашифрованы с расширением *.Loki; *.Blackbit Loki.Locker в форуме Шифровальщики файлов и подбор дешифраторов.
Restore-My-Files.txt  одинаков для всех каталогов. В этом файле хранится ID, возможно он будет нужен для поиска приватного ключа, если когда нибудь будет слив ключей.

>>>Левые учетки не создавались, но все из группы Администраторы был поражены.
Возможно, смогли получить дамп с хэшами, и по хэшам смогли взломать пароли к учеткам администраторов.
--------
конечно, с 2003 вы опоздали с миграцией на более безопасную систему.

Version Original Release Date Latest Build Latest Build Release Date Current Status Full Support Limited Support


====quote====
6.5 February 28, 2017 6.5.12018.0 February 19, 2020 End of Life Ended Ended (December 31, 2022)
=============

[FILE ID=126477]
https://support-eol.eset.com/en/policy_business/product_tables.html

10.04.2023 09:36:33, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic16685/message115680/ http://forum.esetnod32.ru/messages/forum35/topic16685/message115680/ Mon, 10 Apr 2023 09:36:33 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением *.Loki; *.Blackbit Файлы зашифрованы с расширением *.Loki; *.Blackbit Loki.Locker в форуме Шифровальщики файлов и подбор дешифраторов.
Левые учетки не создавались, но все из группы Администраторы был поражены.
Проблемы с обновлением возникли с 2023г, тк  ESET перестали обновлять   Eset File Security 6.5.
Версию выше поставить не удалось из-за возможностей этого сервера (x86).

Уточните, файлы Restore-My-Files.txt был убраны из папок eset-ом в карантин.
Их брать из карантина для каждой папки, или он одинаков для всех ?
10.04.2023 09:29:52, Владимир Горячев.]]> http://forum.esetnod32.ru/messages/forum35/topic16685/message115679/ http://forum.esetnod32.ru/messages/forum35/topic16685/message115679/ Mon, 10 Apr 2023 09:29:52 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением *.Loki; *.Blackbit Файлы зашифрованы с расширением *.Loki; *.Blackbit Loki.Locker в форуме Шифровальщики файлов и подбор дешифраторов.

====quote====
Владимир Горячев написал:
по файлу rules - это правила  с маршрутизатора keenetic , фаервол ESET FILE SECURITY не настраивался.RDP ( порт 3389) используется админом со сложным паролем для доступа к сервер 2003, это один из контролеров (тип DC).
=============
получается на RDP доступ открыт из внешней сети, т.е. возможны подключения из любого сегмента Интернет. возможно смогли получить доступ используя уязвимость системы.
Проверьте, не были ли созданы левые учетные записи с правами Администратора

Если смотреть по журналу угроз:

====quote====
06.04.2023 6:39:59 Real-time file system protection file C:\Documents and Settings\Администратор\Главное меню\Программы\Restore-My-Files.txt Win32/Filecoder.Phobos trojan deleted TCOM\Администратор Event occurred during an attempt to access the file by the application: C:\WINDOWS\explorer.exe (AA4213344DD3C4B0EBF1E699423CFE6D384B87D3). B470A8935FD24B99972D6490E836BA6C12557300 05.04.2023 23:06:35
06.04.2023 4:13:28 Advanced memory scanner file Operating memory » svchost.exe(2260) MSIL/TrojanDownloader.Agent.NZD trojan unable to clean 9A7040A5C25B3BBFB552A348869D173B9095491B
06.04.2023 4:13:28 Advanced memory scanner file Operating memory » svchost.exe(2260) a variant of MSIL/Filecoder.LokiLocker.D trojan unable to clean 45CCB668DAB4D79E373D2E65F0EE4E5D210F126B
05.04.2023 16:06:37 Advanced memory scanner file Operating memory » svchost.exe(2260) MSIL/TrojanDownloader.Agent.NZD trojan unable to clean 9A7040A5C25B3BBFB552A348869D173B9095491B
05.04.2023 16:06:37 Advanced memory scanner file Operating memory » svchost.exe(2260) a variant of MSIL/Filecoder.LokiLocker.D trojan unable to clean 45CCB668DAB4D79E373D2E65F0EE4E5D210F126B
05.04.2023 16:04:41 Advanced memory scanner file Operating memory » svchost.exe(2260) MSIL/TrojanDownloader.Agent.NZD trojan unable to clean 9A7040A5C25B3BBFB552A348869D173B9095491B
05.04.2023 16:04:38 Advanced memory scanner file Operating memory » svchost.exe(2260) a variant of MSIL/Filecoder.LokiLocker.D trojan unable to clean 45CCB668DAB4D79E373D2E65F0EE4E5D210F126B

=============
Судя по журналу обновлений, были проблемы с обновлением продукта на этом сервере.

06.04.2023 11:13:31 Update Update authorization failed. Please check if your license is valid. NT AUTHORITY\SYSTEM
06.04.2023 9:13:30 Update Update authorization failed. Please check if your license is valid. NT AUTHORITY\SYSTEM
06.04.2023 7:13:31 Update Update authorization failed. Please check if your license is valid. NT AUTHORITY\SYSTEM
06.04.2023 5:13:09 Update Update authorization failed. Please check if your license is valid. NT AUTHORITY\SYSTEM
05.04.2023 5:13:09 Update Update authorization failed. Please check if your license is valid. NT AUTHORITY\SYSTEM
05.04.2023 3:13:09 Update Update authorization failed. Please check if your license is valid. NT AUTHORITY\SYSTEM
05.04.2023 1:13:09 Update Update authorization failed. Please check if your license is valid. NT AUTHORITY\SYSTEM
04.04.2023 23:13:08 Update Update authorization failed. Please check if your license is valid. NT AUTHORITY\SYSTEM
04.04.2023 21:13:11 Update Update authorization failed. Please check if your license is valid. NT AUTHORITY\SYSTEM
04.04.2023 19:13:09 Update Update authorization failed. Please check if your license is valid. NT AUTHORITY\SYSTEM
04.04.2023 17:13:09 Update Update authorization failed. Please check if your license is valid. NT AUTHORITY\SYSTEM

и достаточно давно
07.03.2023 17:14:18 Update Update authorization failed. Please check if your license is valid. NT AUTHORITY\SYSTEM
07.03.2023 15:14:14 Update Update authorization failed. Please check if your license is valid. NT AUTHORITY\SYSTEM
07.03.2023 13:14:17 Update Update authorization failed. Please check if your license is valid. NT AUTHORITY\SYSTEM
------------
файл детектировался уже в памяти после запуска (в AMS), не сигнатурно, скорее всего продукт давно не обновляется, так что сигнатуры не было для блокирования запуска шифровальщика MSIL/Filecoder.LokiLocker.D trojan
10.04.2023 09:00:58, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic16685/message115678/ http://forum.esetnod32.ru/messages/forum35/topic16685/message115678/ Mon, 10 Apr 2023 09:00:58 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением *.Loki; *.Blackbit Файлы зашифрованы с расширением *.Loki; *.Blackbit Loki.Locker в форуме Шифровальщики файлов и подбор дешифраторов.
по файлу rules - это правила  с маршрутизатора keenetic , фаервол ESET FILE SECURITY не настраивался.
RDP ( порт 3389) используется админом со сложным паролем для доступа к сервер 2003, это один из контролеров (тип DC).
На этом сервере имеется файловый доступ к нескольким расшаренным папкам сервера 2012 (AD, основной контролер типа GC),
кот. были поражены шифровальщиком. Также на сервере 2012 поражены файлы групповой политики домена.  
10.04.2023 06:13:35, Владимир Горячев.]]> http://forum.esetnod32.ru/messages/forum35/topic16685/message115676/ http://forum.esetnod32.ru/messages/forum35/topic16685/message115676/ Mon, 10 Apr 2023 06:13:35 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением *.Loki; *.Blackbit Файлы зашифрованы с расширением *.Loki; *.Blackbit Loki.Locker в форуме Шифровальщики файлов и подбор дешифраторов.
по файлу rules - это правила откуда? с маршрутизатора или с фаервола ESET FILE SECURITY?
по rdp - судя по файлу rules, здесь нет явного запрета на подключение по RDP (если порт 3389)
по расшифровке:
необходимо сохранить копии зашифрованных важных файлов и документов+Cpriv.Loki+Restore-My-Files.txt
по восстановлению системы: сервер 2003 - это ваш контролер домена? с доступом из внешней сети интернет?
файлы winlogon.exe которые добавлены в карантин не являются системными файлами, это файл шифровальщика.
10.04.2023 00:59:14, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic16685/message115673/ http://forum.esetnod32.ru/messages/forum35/topic16685/message115673/ Mon, 10 Apr 2023 00:59:14 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением *.Loki; *.Blackbit Файлы зашифрованы с расширением *.Loki; *.Blackbit Loki.Locker в форуме Шифровальщики файлов и подбор дешифраторов.
Большое спасибо за помощь.
По инф.от safety@  - троян из внешней сети по RDP, т.е. проникновение могло быть на одно устройство,
а далее злоумышленник смог проникнуть на другие узлы, или зашифровать доступные расшаренные каталоги.
- Подтверждаю, так и произошло.

По последствиям осталось несколько вопросов -
1. по использованию rdp
   доступ определен правилами- файл rules.txt
   Проникновение могло обойти эти правила ?
   Есть ли инф. по какому порту прошло проникновение ?
   Требуется что-то изменить ?
2. по дешифрации -
   Отложить  пораженные  файлы *.loki   + файл в корне диска cpriv.loki ,
    этого достаточно ?
3.  по восстановлению windows -
     я правильно понял, что в отсутствие дешифрации файлов политик домена,
     файлов системы типа winlogon и др. , надо переставлять операционку ?
     Удаление файлов из карантина eset переносит их в корзину ?
rules.txt
09.04.2023 08:38:35, Владимир Горячев.]]> http://forum.esetnod32.ru/messages/forum35/topic16685/message115672/ http://forum.esetnod32.ru/messages/forum35/topic16685/message115672/ Sun, 09 Apr 2023 08:38:35 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением *.Loki; *.Blackbit Файлы зашифрованы с расширением *.Loki; *.Blackbit Loki.Locker в форуме Шифровальщики файлов и подбор дешифраторов.
по детекту шифровальщика:
https://www.virustotal.com/gui/file/b8ffd72534056ea89bfd48cbe6efb0b4d627a6284a7b763­fdb7dfd070c1049ba/detection

К сожалению, по LokiLocker на текущий момент нет расшифровки. Сохраните важные зашифрованные документы на отдельный носитель,
возможно в будущем расшифровка станет возможной.

судя по логу ESVC возможно проникновение было на другой сервер, а шифрование на PKY было только по расшаренным каталогам, т.е. с другого устройства.

Включен уязвимый протокол SMBv1. Чтобы отключить его, проверьте «Как удалить SMBv1» по адресу:
https://docs.microsoft.com/en-us/windows-server/storage/file-server/troubleshoot/detect-enable-and-disable-smbv1-v2-v3#how-to-remove-smbv1

Пользователь должен выполнить обновление до ESET Server Security для Microsoft Windows Server версии 8.0 (https://www.eset.com/int/business/download/file-security-windows/).

Аудит событий входа, вероятно, частично (или полностью) отключен.
Чтобы включить его, запустите secpol.msc и в разделе «Локальные политики» -> «Политика аудита» -> «Аудит событий входа» отметьте «Успех» и «Сбой».

Мы рекомендуем:
- регулярное резервное копирование важных данных для предотвращения потери данных
- ужесточение RDP путем: включение RDP только для подключений из внутренней сети и использование VPN для подключений извне, использование 2FA, политика блокировки, предоставление доступа по RDP только тем пользователям, которым это действительно необходимо
- использование надежного пароля пользователями с доступом по RDP
- установка пароля для защиты настроек ESET и предотвращения их отключения или удаления посторонними лицами (см. https://support.eset.com/kb6783/)
- включение системы ESET LiveGrid Feedback
- включение обнаружения потенциально небезопасных приложений (см. https://support.eset.com/kb6795/)
08.04.2023 00:59:09, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic16685/message115665/ http://forum.esetnod32.ru/messages/forum35/topic16685/message115665/ Sat, 08 Apr 2023 00:59:09 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением *.Loki; *.Blackbit Файлы зашифрованы с расширением *.Loki; *.Blackbit Loki.Locker в форуме Шифровальщики файлов и подбор дешифраторов.
выслал winlogon.7z
+ логи

Esvc запускал на другом сервере -64x (win 2012), тк на x86 программа не запустилась (оба заразились вместе).
winlogon с сервера x86 (win 2003 R2)
ESVC_PKY_20230407162638.zip
07.04.2023 13:52:18, Владимир Горячев.]]> http://forum.esetnod32.ru/messages/forum35/topic16685/message115661/ http://forum.esetnod32.ru/messages/forum35/topic16685/message115661/ Fri, 07 Apr 2023 13:52:18 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением *.Loki; *.Blackbit Файлы зашифрованы с расширением *.Loki; *.Blackbit Loki.Locker в форуме Шифровальщики файлов и подбор дешифраторов.

====quote====
Владимир Горячев написал:
Выслал filecoder  на  safety@chklst.ru   ,

+ логи здесь
=============
по детекту- это все таки FileCoder.LokiLocker (не Phobos, конечно, как детектируется записка о выкупе):
E7A44AD48CBE884AFC4DAFB917F5445C9994F29C.NDF "C:\svchost.exe";"C:\Documents and Settings\All Users\Application Data\winlogon.exe";"C:\Documents and Settings\All Users\Главное меню\Программы\Автозагрузка\winlogon.exe";"C:\Documents and Settings\Администратор\Application Data\winlogon.exe";"C:\Documents and Settings\Администратор\Главное меню\Программы\Автозагрузка\winlogon.exe" "@NAME=MSIL/Filecoder.LokiLocker.D@TYPE=Trojan@SUSP=mod" 06.04.2023 532480 bytes

Пришлите, пожалуйста, один из файлов (который winlogon.exe) из карантина, в архиве, с паролем infected в почту safety@chklst.ru
(этот файл не попал в архив filecoder, там только записка о выкупе)
+
нужен лог ESETSysVilnCheck для анализа проникновения на ваше устройство.
07.04.2023 06:11:15, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic16685/message115657/ http://forum.esetnod32.ru/messages/forum35/topic16685/message115657/ Fri, 07 Apr 2023 06:11:15 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением *.Loki; *.Blackbit Файлы зашифрованы с расширением *.Loki; *.Blackbit Loki.Locker в форуме Шифровальщики файлов и подбор дешифраторов.
+зашифр. файлы
crypted.rar
07.04.2023 05:25:51, Владимир Горячев.]]> http://forum.esetnod32.ru/messages/forum35/topic16685/message115656/ http://forum.esetnod32.ru/messages/forum35/topic16685/message115656/ Fri, 07 Apr 2023 05:25:51 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением *.Loki; *.Blackbit Файлы зашифрованы с расширением *.Loki; *.Blackbit Loki.Locker в форуме Шифровальщики файлов и подбор дешифраторов.
Выслал filecoder  на safety@chklst.ru  ,

+ логи здесь
efsw_logs.zip
07.04.2023 05:22:42, Владимир Горячев.]]> http://forum.esetnod32.ru/messages/forum35/topic16685/message115655/ http://forum.esetnod32.ru/messages/forum35/topic16685/message115655/ Fri, 07 Apr 2023 05:22:42 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением *.Loki; *.Blackbit Файлы зашифрованы с расширением *.Loki; *.Blackbit Loki.Locker в форуме Шифровальщики файлов и подбор дешифраторов.
Добавьте, пожалуйста, несколько зашифрованных файлов в архиве+записку о выкупе.
Если найдено тело шифровальщика добавьте в архив Filecoder с паролем infected, пришлите архив в почту safety@chklst.ru

Сделайте, пожалуйста, логи в зашифрованной системе: (для поиска возможного тела шифровальщика)
1. образ автозапуска системы
https://forum.esetnod32.ru/forum9/topic2687/
2. логи FRST
https://forum.esetnod32.ru/forum9/topic2798/
3. Соберите лог ESETLogCollector
скачать программу отсюда:
текущая версия - v4.3.0.0 (14.07.2021)
https://download.eset.com/com/eset/tools/diagnosis/log_collector/latest/esetlogcol­­lector.exe

Сохраните программу на компьютер. Запустите ESET Log Collector от имени администратора (щелкните по программе правой клавишей мышки и в контекстном меню выберите "Запуск от имени администратора").  

В выпадающем меню "Режим сбора журналов ESET" выберите пункт "Фильтрованный двоичный код" и нажмите кнопку Собрать. Дождитесь окончания сбора необходимых сведений, по окончанию работы программы Вы увидите сообщение «Все файлы собраны и заархивированы» По умолчанию, архив с данными сохранится в папку, откуда Вы запускали утилиту и будет иметь название "ess_logs.zip". Путь сохранения архива можно изменить, нажав кнопку "...". Пришлите данный архив к нам на анализ.

4.SysvulnCheck
"SysVulnCheck_out.zip" (лог, созданный в программе ESETSysVulbCheck)

Скачайте специальную утилиту ESETSysVulnCheck[/B] по ссылке (скачивать необходимо в IE)
https://ftp.eset.sk/samples/svchecker/ESETSysVulnCheck.exe

и запустите её от имени администратора. После окончания работы утилиты в папке, откуда была запущенна сама утилита, появится лог - файл вида "SysVulnCheck_out.zip". Пришлите его также нам на анализ.
07.04.2023 02:33:41, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic16685/message115654/ http://forum.esetnod32.ru/messages/forum35/topic16685/message115654/ Fri, 07 Apr 2023 02:33:41 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением *.Loki; *.Blackbit Файлы зашифрованы с расширением *.Loki; *.Blackbit Loki.Locker в форуме Шифровальщики файлов и подбор дешифраторов.
Здравствуйте.
Прошу помощи в расшифровке файлов на сервере.
Несмотря на ESET File Security, получили атаку , определена как Filecoder.Phobos.
Все зашифрованные файлы получили расширение  *.loki .
Письмо  вымогателю просят прислать на unlockloki@onionmail.org
06.04.2023 20:33:18, Владимир Горячев.]]> http://forum.esetnod32.ru/messages/forum35/topic16685/message115653/ http://forum.esetnod32.ru/messages/forum35/topic16685/message115653/ Thu, 06 Apr 2023 20:33:18 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением *.Loki; *.Blackbit Файлы зашифрованы с расширением *.Loki; *.Blackbit Loki.Locker в форуме Шифровальщики файлов и подбор дешифраторов.
по журналам:
шифрование было 23.11 судя по дате создания записки о выкупе
Restore-My-Files.txt
Возможно, отсюда было подключение:
sep=,
Datetime,Source,Event description
22.11.2022 11:22:50.370,Security Logs,"""User"" logged in via RDP. (W: USER-ПК, IP: 192.168.10.104, P: User32)"
или отсюда:
sep=,
Datetime,Source,Event description
23.11.2022 12:20:20.728,Security Logs,"""User"" logged in via RDP. (W: USER-ПК, IP: fe80::e91c:8c7d:e4ff:10c5, P: User32)"
------------------
по рекомендациям:

Установлена ​​Windows 7 Профессиональная. Пользователь должен перейти на полностью поддерживаемую и безопасную ОС.

Пользователь должен включить контроль учетных записей (UAC).

Включен уязвимый протокол SMBv1. Чтобы отключить его, проверьте «Как удалить SMBv1» по адресу:
https://docs.microsoft.com/en-us/windows-server/storage/file-server/troubleshoot/detect-enable-and-disable-smbv1-v2-v3#how-to-remove-smbv1

Продукт безопасности ESET не найден.

Аудит событий входа, вероятно, частично (или полностью) отключен.
Чтобы включить его, запустите secpol.msc и в разделе «Локальные политики» -> «Политика аудита» -> «Аудит событий входа» отметьте «Успех» и «Сбой».

Могут отсутствовать следующие критические исправления:
- MS16-032 (https://technet.microsoft.com/en-us/library/security/MS16-032)
- CVE-2019-1181, CVE-2019-1182, кодовое имя «DejaBlue» (https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1181)
- CVE-2021-34527, кодовое название «PrintNightmare» (https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-34527)

Следующие общие ресурсы имеют разрешение на запись для всех. Их содержимое может быть зашифровано с удаленной машины:

Users  (C:\Users)
- Базы  (C:\Users\User\Desktop\Базы)


====quote====
Мы рекомендуем:
- регулярное резервное копирование важных данных для предотвращения потери данных
- ужесточение RDP путем: включение RDP только для подключений из внутренней сети и использование VPN для подключений извне, использование 2FA, политика блокировки, предоставление доступа по RDP только тем пользователям, которым это действительно необходимо
- использование надежного пароля пользователями с доступом по RDP
- установка пароля для защиты настроек ESET и предотвращения их отключения или удаления посторонними лицами (см. https://support.eset.com/kb6783/)
- включение системы ESET LiveGrid Feedback
- включение обнаружения потенциально небезопасных приложений (см. https://support.eset.com/kb6795/)
=============

01.12.2022 09:42:07, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic16685/message115077/ http://forum.esetnod32.ru/messages/forum35/topic16685/message115077/ Thu, 01 Dec 2022 09:42:07 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением *.Loki; *.Blackbit Файлы зашифрованы с расширением *.Loki; *.Blackbit Loki.Locker в форуме Шифровальщики файлов и подбор дешифраторов.
по антивирусам:
sep=,
Datetime,Service name,Type,File name,Start type,Account
28.11.2022 13:19:43,Kaspersky Small Office Security Service 21.7,служба режима пользователя,"C:\Program Files (x86)\Kaspersky Lab\Kaspersky Small Office Security 21.7\avp.exe"" -",Автоматически,LocalSystem

не запустился? или некорректно был установлен?
В системе остались активные файлы от попытки установить антивирус Касперского, скорее всего они и мешают теперь корректно установить антивирус.
[FILE ID=124536]

01.12.2022 09:33:13, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic16685/message115076/ http://forum.esetnod32.ru/messages/forum35/topic16685/message115076/ Thu, 01 Dec 2022 09:33:13 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением *.Loki; *.Blackbit Файлы зашифрованы с расширением *.Loki; *.Blackbit Loki.Locker в форуме Шифровальщики файлов и подбор дешифраторов.
В системе есть активные файлы шифровальщика.

Для очистки системы, выполните, пожалуйста, скрипт в uVS без перезагрузки системы.

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
====code==== 

;uVS v4.12.3 [http://dsrt.dyndns.org:8888]
;Target OS: NTv6.1
v400c
OFFSGNSAVE
zoo %SystemDrive%\PROGRAMDATA\WINLOGON.EXE
zoo %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\WINLOGON.EXE
zoo %Sys32%\CONFIG\SYSTEMPROFILE\APPDATA\ROAMING\WINLOGON.EXE
zoo %SystemDrive%\USERS\USER\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\WINLOGON.EXE
zoo %SystemRoot%\WINLOGON.EXE
zoo %SystemDrive%\USERS\USER\APPDATA\ROAMING\WINLOGON.EXE
;---------command-block---------
delall %SystemDrive%\PROGRAMDATA\WINLOGON.EXE
delall %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\WINLOGON.EXE
delall %Sys32%\CONFIG\SYSTEMPROFILE\APPDATA\ROAMING\WINLOGON.EXE
delall %SystemDrive%\USERS\USER\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\WINLOGON.EXE
delall %SystemDrive%\USERS\USER\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\WVTYMCOW.BAT
delall %SystemRoot%\WINLOGON.EXE
delall %SystemDrive%\USERS\USER\APPDATA\ROAMING\WINLOGON.EXE
delref {FD387882-7305-4231-86E1-35B1FAE33425}\[TASK]
delall %SystemRoot%\WINLOGON.EXE
regt 1
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DCNCGOHEPIHCEKKLOKHBHIBLHFCMIPBDH%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DGEHNGEIFMELPHPLLNCOBKMIMPHFKCKNE%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DLGDNILODCPLJOMELBBNPGDOGDBMCLBNI%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPBEFKDCNDNGODFEIGFDGIODGNMBGCFHA%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DAJFLEPEGNONONCFMOIKDNEPHFLELDNBH%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DCCFIFBOJENKENPKMNBNNDEADPFDIFFOF%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DEFAIDNBMNNNIBPCAJPCGLCLEFINDMKAJ%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DFAHHEAKDHOEOIGMAFEJKEHDOEIKPGDFP%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DIAKDDMMLEDECLCODPBGEBFKHEGAADDGE%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DODIJCGAFKHPOBJLNFDGIACPDENPMBGME%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DOELPKEPJLGMEHAJEHFEICFBJDIOBDKFJ%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DOJLCEBDKBPJDPILIGKDBBKDKFJMCHBFD%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPHKDCINMMLJBLPNKOHLIPAIODLONPINF%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPMPOAAHLECCAIBBHFJFIMIGEPMFMMBBK%26INSTALLSOURCE%3DONDEMAND%26UC
apply
CZOO

QUIT
=============
Без перезагрузки, пишем о старых и новых проблемах.
архив из каталога uVS (по формату: ZOO_гггг-мм-дд_чч-мм-сс.rar/7z)  отправить в почту safety@chklst.ru
------------
01.12.2022 09:25:24, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic16685/message115075/ http://forum.esetnod32.ru/messages/forum35/topic16685/message115075/ Thu, 01 Dec 2022 09:25:24 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением *.Loki; *.Blackbit Файлы зашифрованы с расширением *.Loki; *.Blackbit Loki.Locker в форуме Шифровальщики файлов и подбор дешифраторов.
ELC_logs - результат работы программы esetlogcollector
ESVC_USER-ПК_20221128132436 - результат работы программы ESETSysVulnCheck
USER-ПК_2022-11-28_14-54-12_v4.12.3 - образ автозапуска

никакой антивирус поставить на компьютер не получается. некоторые программы и установщики не запускаются. видимо, повреждены какие-то системные файлы.
пишет:
"Не удалось запустить приложение, поскольку его параллельная конфигурация неправильна. Дополнительные сведения содержатся в журнале событий приложений" (журнал не открывается, как и управление компьютером в целом)
ESVC_USER-ПК_20221128132436.zip
USER-ПК_2022-11-28_14-54-12_v4.12.3.7z
ELC_logs.zip
30.11.2022 09:18:45, Егор Хахулин.]]> http://forum.esetnod32.ru/messages/forum35/topic16685/message115060/ http://forum.esetnod32.ru/messages/forum35/topic16685/message115060/ Wed, 30 Nov 2022 09:18:45 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением *.Loki; *.Blackbit Файлы зашифрованы с расширением *.Loki; *.Blackbit Loki.Locker в форуме Шифровальщики файлов и подбор дешифраторов.
Скачайте утилиту ESET Log Collector по ссылке:
https://download.eset.com/com/eset/tools/diagnosis/log_collector/latest/esetlogcol­­lector.exe

Перед сбором лога ELC желательно, чтобы на компьютере была установлена последняя версия антивируса с действующей лицензией:
Сохраните программу на компьютер. Запустите ESET Log Collector от имени администратора (щелкните по программе правой клавишей мышки и в контекстном меню выберите "Запуск от имени администратора").  

В выпадающем меню "Режим сбора журналов ESET" выберите пункт "Фильтрованный двоичный код" и нажмите кнопку Собрать. Дождитесь окончания сбора необходимых сведений, по окончанию работы программы Вы увидите сообщение «Все файлы собраны и заархивированы» По умолчанию, архив с данными сохранится в папку, откуда Вы запускали утилиту и будет иметь название "ess_logs.zip". Путь сохранения архива можно изменить, нажав кнопку "...". Пришлите данный архив к нам на анализ.  Если размер файла превышает 20Мб, выложите файл на общедоступный диск, и пришлите нам ссылку на загрузку данного файла.

"SysVulnCheck_out.zip" (лог, созданный в программе ESETSysVulbCheck)

Скачайте специальную утилиту ESETSysVulnCheck[/B] по ссылке (скачивать необходимо в IE)
https://ftp.eset.sk/samples/svchecker/ESETSysVulnCheck.exe

и запустите её от имени администратора. После окончания работы утилиты в папке, откуда была запущенна сама утилита, появится лог - файл вида "SysVulnCheck_out.zip". Пришлите его также нам на анализ.
28.11.2022 14:44:58, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic16685/message115050/ http://forum.esetnod32.ru/messages/forum35/topic16685/message115050/ Mon, 28 Nov 2022 14:44:58 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением *.Loki; *.Blackbit Файлы зашифрованы с расширением *.Loki; *.Blackbit Loki.Locker в форуме Шифровальщики файлов и подбор дешифраторов.
Здравствуйте, видел похожую тему, но не знаю, можно ли писать туда, или лучше создать отдельное обращение. (если нужно, возможно объединить...)

Компьютер пользователя поймал шифровальщик Locked by Loki
Все файлы, кроме системных зашифрованы с расширением *.Loki
Антивирус стоял, но был отключен пользователем "Как мне объяснили – он мешал подключиться каким то бухгалтерским банк клиентам."
Как вирус попал на компьютер тоже неясно, в момент заражения им никто не пользовался, и ни интернет ни почту не открывал.
Как обнаружил проблему выключил комп из сети и сделал полный
акронис-бэкап системы.

Вкладываю 4 зашифрованных архива (от всех пароль: 1):

файлы с компа (пароль 1).zip

                       – образцы зашифрованных файлов с компьютера, оригиналов нет

мои файлы (чистые образцы).zip

                       – чистые образцы моих файлов которые я флешкой забросил на зараженный компьютер

мои файлы (зараженные образцы).zip

                       – зараженные образцы моих файлов которые я флешкой забросил на зараженный компьютер и перезагрузил его несколько раз, после чего они зашифровались (к ним есть оригиналы, вдруг это поможет)

файл (info.hta) ).zip

                       – файл который находится в папке windows/system32 и пытается автозагрузиться с некоторой периодичностью

Так же в архивах есть файлы Cpriv.Loki и Restore-My-Files которые как то имеют отношение к шифровальщику

Приложил снимок экрана с требованиями выкупа

Нужна ли еще какая-либо информация для диагностики проблемы?
файл (info.hta).rar

файлы с компа (пароль 1).zip
мои файлы (зараженные образцы).zip
мои файлы (чистые образцы).zip
28.11.2022 12:33:18, Егор Хахулин.]]> http://forum.esetnod32.ru/messages/forum35/topic16685/message115049/ http://forum.esetnod32.ru/messages/forum35/topic16685/message115049/ Mon, 28 Nov 2022 12:33:18 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением *.Loki; *.Blackbit Файлы зашифрованы с расширением *.Loki; *.Blackbit Loki.Locker в форуме Шифровальщики файлов и подбор дешифраторов.

====quote====
Вячеслав Смердов написал:
Здравствуйте.

Терминальный сервер поймал шифровальщика. Зашифровались все, что можно и нельзя, включая базы и бэкапы.

=============

Для этого вымогателя пока нет способа дешифровки данных.

Сделайте бэкап зашифрованных файлов, может в будущем будет дешифровщик.


====quote====
Опознан как

   sample_extension: [<email>][<id>].Loki
   ransomnote_email: d4rkw4ve@tutanota.com
=============

https://id-ransomware.malwarehunterteam.com/identify.php?case=a041630780a8095a1119d7bb67c47f614ea306bd

----------------------------

по возможности, загрузитесь с liveUSB и сделайте образ автозапуска зашифрованной системы
как это сделать, подробнее здесь
https://forum.esetnod32.ru/forum27/topic2102/



если у вас есть лицензия на продукт ESET, соберите пожалуйста следующую информацию:
1. несколько зашифрованных файлов + если есть оригинальные ( не зашифрованные файлы) добавить в файл Crypted
2. файл шифратора+записку о выкупе добавьте в в архив Filecoder с паролем infected

3. лог в EsetLogCollector
Скачать утилиту ESET Log Collector можно по ссылке:  

https://download.eset.com/com/eset/tools/diagnosis/log_collector/latest/esetlogcol­lector.exe

4. лог SysVulnCheck
4. Скачайте специальную утилиту по ссылке   http://ftp.eset.sk/samples/svchecker/ESETSysVulnCheck.exe.
--------
напишите обращение в техническую поддержку support@esetnod32.ru

подробнее по сбору файлов и логов здесь
13.01.2022 16:43:26, santy.]]> http://forum.esetnod32.ru/messages/forum35/topic16685/message113707/ http://forum.esetnod32.ru/messages/forum35/topic16685/message113707/ Thu, 13 Jan 2022 16:43:26 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением *.Loki; *.Blackbit Файлы зашифрованы с расширением *.Loki; *.Blackbit Loki.Locker в форуме Шифровальщики файлов и подбор дешифраторов.
Нет. Очистка не нужна. Нужна расшифровка.
13.01.2022 14:36:03, Вячеслав Смердов.]]> http://forum.esetnod32.ru/messages/forum35/topic16685/message113703/ http://forum.esetnod32.ru/messages/forum35/topic16685/message113703/ Thu, 13 Jan 2022 14:36:03 +0300 Шифровальщики файлов и подбор дешифраторов Файлы зашифрованы с расширением *.Loki; *.Blackbit Файлы зашифрованы с расширением *.Loki; *.Blackbit Loki.Locker в форуме Шифровальщики файлов и подбор дешифраторов.
Здравствуйте.

Терминальный сервер поймал шифровальщика. Зашифровалось все, что можно и нельзя, включая базы и бэкапы.
Прошу, помогите!!!
Вход в систему невозможен: не найден профиль пользователя. Загрузился с USB. Тела вируса не нашел. Прилагаю связку зашифрованный файл - оригинал. И сообщение от бандитов.
Пытались связаться с гражданами-бандитами по указанным адресам - ответа нет.
Restore-My-Files.txt
Пара зашифрованный - оригинал.rar
13.01.2022 13:14:17, Вячеслав Смердов.]]> http://forum.esetnod32.ru/messages/forum35/topic16685/message113701/ http://forum.esetnod32.ru/messages/forum35/topic16685/message113701/ Thu, 13 Jan 2022 13:14:17 +0300 Шифровальщики файлов и подбор дешифраторов