В работе Зашифрован архив файлов на QNAP (nas D4) .roxaew

[MacroHampter]

В понедельник утром обнаружили зашифрованные файлы с расширением .roxaew на сетевом хранилище. Антивирус, который стоял на NAS ничего не выявил, остановить шифровку файлов удалось после выключения пункта "веб-сервер" в настройках хранилища и перезагрузки. На остальных сетевых хранилищах и компьютерах в сети шифровки замечено не было. Поискав в интернете информацию нашли только про шифровальщик weaxor, но везде пишется, что расширение файла, устанавливаемое им - .rox, а записка хоть и похожа, но содержит другие контактные данные. Бекапов всего хранилища нет, есть только частично дублирующиеся папки с файлами на других хранилищах. В архив Files + Note помимо зашифрованных файлов и записки прикрепил дубликат файла с другого хранилища.

 

[Sandor]

Здравствуйте!

Логи FRST на каком компьютере собирали и как он связан с NAS?

 

[MacroHampter]

Собирал на своём рабочем. Взаимодействует он с NAS в качестве клиента (открытие сетевых дисков, просмотр и изменение файлов), + с него имею доступ в веб консоль хранилища по IP адресу, так же могу подключиться через SSH. Сам NAS имеет свою ОС и работает в сети как отдельное устройство.

 

[Sandor]

Спасибо.
А записку с какого устройства взяли? Хорошо бы найти компьютер, на котором был запущен шифровальщик и собрать на нём логи FRST.
На этом компьютере по идее записки должны быть разбросаны по разным папкам.

Пока предположительно это модифицированный Mallox.

 

[MacroHampter]

Записка, как и файлы, взяты с того самого NAS, на котором такие записки есть почти в каждой папке. NAS подключен в качестве сетевого диска через доменную политику всем пользователям. От самих пользователей не было информации о странном поведении, каких то появляющихся файлах, или что что-то не открывается. В момент, когда начали появляться записки на NAS в офисе был только один работник, лог- файлы с его компьютера прикрепляю.

 

[Sandor]

Вот ещё одно описание вымогателя.
Увы, расшифровки этого типа у нас нет.

Если хотите, можем сделать очистку некоторых мусорных записей на тех машинах, с которых предоставлены логи.