По Salted2020 /ooo4ps & Bitlocker:
По факту много лишних телодвижений, которые мало того что не приводят к решению проблемы, но и "загрязняют" анализ артефактов в памяти. В первую очередь, это касается применения пака дешифраторов вслепую, без определения типа шифрования, часть из которых была выпущена по давним типам, которые в настоящее время практически неактуальны. К расшифровке дисков под Bitlocker-ом они никак не относятся. Только тратится драгоценное время.
Что надо сделать:
1. Определяем дату и время последней перезагрузки. Есть такая возможность. Есть такая возможность в образе автозапуска системы, созданного с помощью uVS
2. Так же можно получить данное время в командной строке, запущенной от Администратора
В командной строке выполнить:
3. Делаем полный физический дамп памяти, например с помощью Elcomsoft Forensic Disk Decryptor
загружаем дамп (лучше в архиве, без пароля) на общедоступный облачный диск, готовим ссылку на данный архив.
+
можно добавить лог с помощью бесплатной утилиты от Emsisoft - Elcomsoft Encrypted Disk Hunter (EEDH)
Утилита покажет статус системного диска, и статус других разделов устройства.
4. создаем логи FRST + архив без пароля с запиской о выкупе и несколькими зашифрованными файлами, желательно с известной структурой: xlsx, docx, jpg, png, pdf.
5. Далее, можно выполнить поиск скриптов cmd, bat, ps1 в %TEMP% учетной записи пользователя, под которой был выполнен запуск скриптов.