Перейти к содержанию

Шифровальщик с расширением .EXTEN


Рекомендуемые сообщения

Здравствуйте!

 

Это Conti. К сожалению, расшифровки нет.

Помощь в очистке системы от его следов нужна или будет переустановка?

Ссылка на комментарий
Поделиться на другие сайты

Она основана на предоставленных логах.

 

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Start::
    SystemRestore: On
    CreateRestorePoint:
    HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
    HKU\S-1-5-21-606747145-688789844-1202660629-1119\...\Run: [Prostoy.Ru] => C:\Program Files (x86)\Prostoy.Ru\prostoy.exe (Нет файла)
    HKU\S-1-5-21-606747145-688789844-1202660629-1119\...\Run: [McAfeeSafeConnect] => C:\Program Files (x86)\McAfee Safe Connect\McAfee Safe Connect.exe (Нет файла)
    HKU\S-1-5-21-606747145-688789844-1202660629-1119\...\Run: [movavi_suite_agent] => "C:\Users\zotova\AppData\Roaming\Movavi Video Suite 21\AgentInformer.exe" (Нет файла)
    HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
    CHR HKU\S-1-5-21-606747145-688789844-1202660629-1119\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [mjmpfdkmpojoeemjmfiddlhkkndcdpno]
    CHR HKLM-x32\...\Chrome\Extension: [ablpcikjmhamjanpibkccdmpoekjigja]
    CHR HKLM-x32\...\Chrome\Extension: [cncgohepihcekklokhbhiblhfcmipbdh]
    CHR HKLM-x32\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj]
    CHR HKLM-x32\...\Chrome\Extension: [eofcbnmajmjmplflapaojjnihcjkigck]
    CHR HKLM-x32\...\Chrome\Extension: [gehngeifmelphpllncobkmimphfkckne]
    CHR HKLM-x32\...\Chrome\Extension: [gndelhfhcfbdhndfpcinebijfcjpmpec]
    CHR HKLM-x32\...\Chrome\Extension: [gomekmidlodglbbmalcneegieacbdmki]
    CHR HKLM-x32\...\Chrome\Extension: [iakddmmledeclcodpbgebfkhegaaddge]
    CHR HKLM-x32\...\Chrome\Extension: [iifchhfnnmpdbibifmljnfjhpififfog]
    CHR HKLM-x32\...\Chrome\Extension: [lifbcibllhkdhoafpjfnlhfpfgnpldfl]
    CHR HKLM-x32\...\Chrome\Extension: [mdeldjolamfbcgnndjmjjiinnhbnbnla]
    CHR HKLM-x32\...\Chrome\Extension: [pchfckkccldkbclgdepkaonamkignanh]
    U3 aswbdisk; отсутствует ImagePath
    U3 aswblog; отсутствует ImagePath
    2022-06-12 06:01 - 2022-06-12 06:01 - 000016396 _____ C:\Users\zotova\AppData\Roaming\readme.txt
    2022-06-12 06:01 - 2022-06-12 06:01 - 000016396 _____ C:\Users\zotova\AppData\LocalLow\readme.txt
    2022-06-12 06:01 - 2022-06-12 06:01 - 000016396 _____ C:\Users\zotova\AppData\Local\readme.txt
    2022-06-12 06:01 - 2022-06-12 06:01 - 000016396 _____ C:\Users\ReportServer$SQLEXPRESS2012\AppData\Roaming\readme.txt
    2022-06-12 06:01 - 2022-06-12 06:01 - 000016396 _____ C:\Users\ReportServer$SQLEXPRESS2012\AppData\LocalLow\readme.txt
    2022-06-12 06:01 - 2022-06-12 06:01 - 000016396 _____ C:\Users\ReportServer$SQLEXPRESS2012\AppData\Local\readme.txt
    2022-06-12 06:01 - 2022-06-12 06:01 - 000016396 _____ C:\Users\MSSQLFDLauncher$SQLEXPRESS2012\AppData\Roaming\readme.txt
    2022-06-12 06:01 - 2022-06-12 06:01 - 000016396 _____ C:\Users\MSSQLFDLauncher$SQLEXPRESS2012\AppData\LocalLow\readme.txt
    2022-06-12 06:01 - 2022-06-12 06:01 - 000016396 _____ C:\Users\MSSQLFDLauncher$SQLEXPRESS2012\AppData\Local\readme.txt
    2022-06-12 06:01 - 2022-06-12 06:01 - 000016396 _____ C:\Users\MSSQL$SQLEXPRESS2012\AppData\Roaming\readme.txt
    2022-06-12 06:01 - 2022-06-12 06:01 - 000016396 _____ C:\Users\MSSQL$SQLEXPRESS2012\AppData\LocalLow\readme.txt
    2022-06-12 06:01 - 2022-06-12 06:01 - 000016396 _____ C:\Users\MSSQL$SQLEXPRESS2012\AppData\Local\readme.txt
    2022-06-12 06:00 - 2022-06-12 06:00 - 000016396 _____ C:\Users\mm_user\AppData\Roaming\readme.txt
    2022-06-12 06:00 - 2022-06-12 06:00 - 000016396 _____ C:\Users\mm_user\AppData\LocalLow\readme.txt
    2022-06-12 06:00 - 2022-06-12 06:00 - 000016396 _____ C:\Users\mm_user\AppData\Local\readme.txt
    2022-06-12 05:57 - 2022-06-12 05:57 - 000016396 _____ C:\Users\zotova\Downloads\readme.txt
    2022-06-12 05:57 - 2022-06-12 05:57 - 000016396 _____ C:\Users\zotova\Documents\readme.txt
    2022-06-12 05:57 - 2022-06-12 05:57 - 000016396 _____ C:\Users\zotova\AppData\readme.txt
    2022-06-12 05:57 - 2022-06-12 05:57 - 000016396 _____ C:\Users\ReportServer$SQLEXPRESS2012\Downloads\readme.txt
    2022-06-12 05:57 - 2022-06-12 05:57 - 000016396 _____ C:\Users\ReportServer$SQLEXPRESS2012\Documents\readme.txt
    2022-06-12 05:57 - 2022-06-12 05:57 - 000016396 _____ C:\Users\ReportServer$SQLEXPRESS2012\AppData\readme.txt
    2022-06-12 05:57 - 2022-06-12 05:57 - 000016396 _____ C:\Users\Public\Documents\readme.txt
    2022-06-12 05:57 - 2022-06-12 05:57 - 000016396 _____ C:\Users\MSSQLFDLauncher$SQLEXPRESS2012\Downloads\readme.txt
    2022-06-12 05:57 - 2022-06-12 05:57 - 000016396 _____ C:\Users\MSSQLFDLauncher$SQLEXPRESS2012\Documents\readme.txt
    2022-06-12 05:57 - 2022-06-12 05:57 - 000016396 _____ C:\Users\MSSQLFDLauncher$SQLEXPRESS2012\AppData\readme.txt
    2022-06-12 05:57 - 2022-06-12 05:57 - 000016396 _____ C:\Users\MSSQL$SQLEXPRESS2012\Downloads\readme.txt
    2022-06-12 05:57 - 2022-06-12 05:57 - 000016396 _____ C:\Users\MSSQL$SQLEXPRESS2012\Documents\readme.txt
    2022-06-12 05:57 - 2022-06-12 05:57 - 000016396 _____ C:\Users\MSSQL$SQLEXPRESS2012\AppData\readme.txt
    2022-06-12 05:57 - 2022-06-12 05:57 - 000016396 _____ C:\Users\mm_user\Documents\readme.txt
    2022-06-12 05:57 - 2022-06-12 05:57 - 000016396 _____ C:\Users\mm_user\AppData\readme.txt
    2022-06-12 05:55 - 2022-06-12 05:55 - 000016396 _____ C:\Users\zotova\readme.txt
    2022-06-12 05:55 - 2022-06-12 05:55 - 000016396 _____ C:\Users\zotova\readme.txt
    2022-06-12 05:55 - 2022-06-12 05:55 - 000016396 _____ C:\Users\ReportServer$SQLEXPRESS2012\readme.txt
    2022-06-12 05:55 - 2022-06-12 05:55 - 000016396 _____ C:\Users\ReportServer$SQLEXPRESS2012\readme.txt
    2022-06-12 05:55 - 2022-06-12 05:55 - 000016396 _____ C:\Users\Public\readme.txt
    2022-06-12 05:55 - 2022-06-12 05:55 - 000016396 _____ C:\Users\Public\readme.txt
    2022-06-12 05:54 - 2022-06-12 05:54 - 000016396 _____ C:\Users\MSSQLFDLauncher$SQLEXPRESS2012\readme.txt
    2022-06-12 05:54 - 2022-06-12 05:54 - 000016396 _____ C:\Users\MSSQLFDLauncher$SQLEXPRESS2012\readme.txt
    2022-06-12 05:54 - 2022-06-12 05:54 - 000016396 _____ C:\Users\MSSQL$SQLEXPRESS2012\readme.txt
    2022-06-12 05:54 - 2022-06-12 05:54 - 000016396 _____ C:\Users\MSSQL$SQLEXPRESS2012\readme.txt
    2022-06-12 05:54 - 2022-06-12 05:54 - 000016396 _____ C:\Users\mm_user\readme.txt
    2022-06-12 05:54 - 2022-06-12 05:54 - 000016396 _____ C:\Users\mm_user\readme.txt
    2022-06-12 05:34 - 2022-06-12 05:34 - 000016396 _____ C:\Program Files\Common Files\readme.txt
    2022-06-12 05:33 - 2022-06-12 05:33 - 000016396 ____C C:\readme.txt
    2022-06-12 05:33 - 2022-06-12 05:33 - 000016396 ____C C:\Program Files\readme.txt
    2022-06-12 05:33 - 2022-06-12 05:33 - 000016396 _____ C:\Program Files (x86)\readme.txt
    ShellIconOverlayIdentifiers: [00asw] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> Нет файла
    WMI:subscription\__FilterToConsumerBinding->CommandLineEventConsumer.Name=\"BVTConsumer\"",Filter="__EventFilter.Name=\"BVTFilter\"::
    WMI:subscription\__EventFilter->BVTFilter::[Query => SELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE TargetInstance ISA "Win32_Processor" AND TargetInstance.LoadPercentage > 99]
    WMI:subscription\CommandLineEventConsumer->BVTConsumer::[CommandLineTemplate => cscript KernCap.vbs][WorkingDirectory => C:\\tools\\kernrate]
    FirewallRules: [{807B4C14-4023-4CF3-8091-B8F657A611A4}] => (Allow) LPort=8501
    FirewallRules: [{FF4BD4C1-6321-44E1-A8D8-3598AD5CD7C7}] => (Allow) LPort=8501
    FirewallRules: [{78F88682-4AC7-4F5A-A8F2-C3B7199B310E}] => (Allow) LPort=8502
    FirewallRules: [{0A786654-13E3-4723-943F-1966137AA88A}] => (Allow) LPort=8502
    FirewallRules: [{1A817200-A8D4-4218-9414-D9F9A99FAC96}] => (Allow) LPort=8503
    FirewallRules: [{BF5B3545-2C08-4470-8CD3-31CF6D837822}] => (Allow) LPort=8503
    ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
    Reboot:
    End::

     

  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

Антивирус нужно обновить до актуальной версии.

Пароли администратора, на подключение по RDP и Anydesk смените.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • tom1
      От tom1
      Здравствуйте.
      Поймали шифровальщик, зашифровал файлы с расширением .wtch. После чего произошло, сказать затрудняюсь (возможно, был получен удаленный доступ к компьютеру, был найден на компьютере advanced port scanner). Помогите, пожалуйста, если есть возможность. Отчеты Farbar и зашифрованные файлы прикладываю. Злоумышленники требуют писать им на почту DecryptData@skiff.com.
      Файл самого шифровальщика обнаружен, готов предоставить.
      Addition.txt FRST.txt файлы.zip
    • Дмитрий Борисович
      От Дмитрий Борисович
      Приветствую!
      8 декабря, примерно в 20 часов была замечена активность шифровальщика.
      Выявлено шифрование файлов на всех активных компьютерах сети.
      Зашифрованные файлы с расширением - .loq
      В корне диска C:\ найден файл с раширением .txt следующего содержания:
       
      All Your Files Are Locked And Important Data Downloaded !

      Your Files Are No Longer Accessible Don't Waste Your Time, Without Our Decryption Program Nobody Can't Help You .
      If Payment Isn't Made After A While We Will Sell OR Publish Some Of Your Data . You Don't Have Much Time!

      Your ID : HFXGT
      If You Want To Restore Them Email Us : Evo.team1992@gmail.com
      If You Do Not Receive A Response Within 24 Hours, Send A Message To Our Second Email : Qqq113168@gmail.com
      To Decrypt Your Files You Need Buy Our Special Decrypter In Bitcoin .
      Every Day The Delay Increases The Price !! The Decryption Price Depends On How Fast You Write To Us Email.
      We Deliver The Decryptor Immediately After Payment , Please Write Your System ID In The Subject Of Your E-mail.
      What is the guarantee !
      Before Payment You Can Send Some Files For Decryption Test.
      If We Do Not Fulfill Our Obligations, No One Does Business With Us , Our Reputation Is Important To Us 
      It's Just Business To Get Benefits.
      ===============================================================================
      Attention !
      Do Not Rename,Modify Encrypted Files .
      Do Not Try To Recover Files With Free Decryptors Or Third-Party Programs And Antivirus Solutions Because 
      It May Make Decryption Harder Or Destroy Your Files Forever !
      ===============================================================================
      Buy Bitcoin !
      https://www.kraken.com/learn/buy-bitcoin-btc
      https://www.coinbase.com/how-to-buy/bitcoin
       
       
      Архив.zip
    • Saul
      От Saul
      Добрый день!
      Вот такое поймали, зашифрованы все файлы на сетевой шаре.
      Есть способы для расшифровки?
       
      Все ваши файлы были зашифрованы!
          Все ваши файлы были зашифрованы из -за проблемы безопасности с вашим ПК.
          Если вы хотите их восстановить
          Установите программу для общения https://tox.chat/clients.html
      https://github.com/uTox/uTox/releases/
      https://github.com/uTox/uTox/releases/download/v0.18.1/utox_x86_64.exe
      и добавьте нас
       
      2C6D0C2F49F19EAE34A558AC646E5C75230928DA64B46DBD6087B036ED651146575435EFEFFC
      ВНИМАНИЕ!
          !!!Не трогайте зашифрованные файлы.!!!
          !!!Не пытайтесь расшифровать ваши данные, используя стороннее программное обеспечение, это может вызвать потерю данных.!!!
      1.zip
    • DenSyaoLin
      От DenSyaoLin
      добрый вечер, столкнулись с заразой в виде щифровальщика от Elpaco-team, по итогу защифрованны все файлы, нет доступа к базам 1С нет доступа к бэкапам и точкам восстановления. читал темы, и понимаю что дешифратора от этой гадости еще нет, хотелось бы надеяться на чудо и может вдруг что то получится. спасибо заранее
      по тому что уже сделал, выполнил проверку касперским, что то он нашел, удалил, а вот что нашел не подскажу, оставлял проверку на ночь.
      необходимые файлы прикладываю
      Addition.txt Files.rar FRST.txt
    • ovfilinov
      От ovfilinov
      Группа серверов на основе Виндовс сервер 2008 2016 в локальной сети в домене виндовс.
      на виртуальных машинах на разных гипервизорх: Vmware Hyper-V
      На них установлен kaspersky Securiti for windows server версия вероятно 10.1
      неожиданно перестали работать
      при загрузке с лайф сд обнаружены что файлы зашифрованы и выглядят:
      имя файла.расширение.6a19a55854eee3 например:
      IT Invent_export_14-09-2022.xls.6a19a55854eee3
      а также в каждый каталог добавлен файл с вымогательством
      6a19a55854eee3-README.txt
      при обнаружении все компьютеры были выключены.
       
      files.zip FRST.txt
×
×
  • Создать...