Gandcrab 5.2

[f0r0m]

Bonjour à tous,

un serveur vient d'être vérolé par Gandcrab 5.2...
J'ai vu qu'il n'y a pas encore de solution contre cette nouvelle version c'est bien cela ?
Nous avons bien un zip sur un ftp de sauvegardé (de 10j) mais dont nous avons oublié le mot de passe ...
Avez vous une solution pour réparer mon serveur ?

[f0r0m]

Voici les fichiers

FRST : https://pjjoint.malekal.com/files.php?i ... 12n8b6n5t6

Addition : https://pjjoint.malekal.com/files.php?i ... 12j5t15y12

Shortcut : https://pjjoint.malekal.com/files.php?i ... 12u5i11w11

[Malekal_morte]

Salut,

Tout est dit sur cet article : https://www.malekal.com/gandcrab-ransomware/
Il y a des outils mais c'est le chat et la souris.
L'outil ne doit plus fonctionner pour la version 5.2
Tu peux toujours tenter.

Sinon les rapports ont l'air corrects.

[f0r0m]

Je sais tout cela, autre chose svp ?

[f0r0m]

Si on paie, sommes nous sur d'avoir la clé de décryptage ?

[dax56]

Il ne faut surtout pas payer car tu n'es pas sur d'avoir la clé

[f0r0m]

C'est ce que je pense, mais je voulais savoir si des gens avez des expériences positives allant dans ce sens...

[Parisien_entraide]

Et à défaut de payer pourquoi ne pas tenter la recherche du mot de passe du .zip ?

Il faut peut etre s'attaquer au pb sous un autre biais

https://www.elcomsoft.com/archpr.html

Limitations de la version non enregistrée : La recherche est limitée aux mots de passe de 5 caractères maximum (je ne sais si il va buter si le mdp dépasse 5 caractères ou si il s'arrête à 5 caractères
Ce qui sera affiché permettra de deviner ce qui reste


AUTRES :

En général c'est du brute force (et cela peut aider si on renomme le .zip en .rar pour certains progs

https://www.easytutoriel.com/retrouver- ... inrar.html

Je ne connais pas les limites de ces programmes mais ils sont souvent cités

[f0r0m]

Salut,

j'ai réussi à décompresser le zip donc pour les données c'est bon ouf...

Suis je obliger de réinstaller d'apres vous ? (j'ai localisé la faille)

[Malekal_morte]

Non, il n'y a plus d'actif.
A lire comme c'est un serveur : https://www.malekal.com/piratage-serveu ... al-server/

[f0r0m]

Ce lien n'explique pas comment réutiliser sereinement son serveur...

[f0r0m]

J'ai toujours la lettre A: et B: et la trace de tous les fichiers cryptés...

[f0r0m]

Personne les amis ?
Merci

[Malekal_morte]

C'est normal que les fichiers chiffrés soient encore là.
Si tu remets les données, tu peux donc supprimer les fichiers chiffrés ainsi que les fichiers texte et html contenant les instructions.

et je t'ai dit qu'il n'y a plus rien d'actif donc le serveur n'est plus infecté.
Donc oui tu peux l'utiliser normalement.

[f0r0m]

ok, je te remercie