Перейти к содержанию

Raptorfiles@yahooweb.co Новый вирус вымогатель

Burkhanov
 Поделиться

Рекомендуемые сообщения

Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

Это не новый вымогатель. К сожалению, расшифровки нет, как вы вероятно уже поняли.

Если нужна помощь в очистке системы от его следов, сообщите.

 

 

Ссылка на комментарий
Поделиться на другие сайты
Burkhanov Новичок

Burkhanov

Опубликовано
  • Автор
Опубликовано
24 минуты назад, Sandor сказал:

Здравствуйте!

 

Это не новый вымогатель. К сожалению, расшифровки нет, как вы вероятно уже поняли.

Если нужна помощь в очистке системы от его следов, сообщите.

 

 

Да, если можно, т.к тот же самый каспер не видит, базы обновлены, но увы..

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

А ничего вредоносного и нет. Вымогатель был удален по окончании шифрования, автоматически или вручную. Мы будем чистить только следы, по сути - мусор.

 

 

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код: 
    Start::
CloseProcesses:
SystemRestore: On
CreateRestorePoint:
File: C:\Users\Operator\AppData\Local\Temp\Rar$EXa8616.6366\Distrib\gpg.exe
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiSpyware] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiVirus] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
GroupPolicy\User: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\Users\rodionov.a\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
Task: {31DB9208-DBB5-4707-B9AA-A524EA9279FE} - System32\Tasks\DRPNPS => Command(1): mshta.exe -> "http://update.drp.su/nps/online/bin/tools/run.hta" "17.7.82 Online" "1514034421812" "b31d3611-f4bc-407e-8d9c-772cd5a77b13"
Task: {31DB9208-DBB5-4707-B9AA-A524EA9279FE} - System32\Tasks\DRPNPS => Command(2): SCHTASKS -> /Delete /TN DRPNPS /F
2022-06-29 17:28 - 2022-06-29 17:28 - 000006025 _____ C:\Users\manager4\Documents\how_to_decrypt.hta
2022-06-29 17:28 - 2022-06-29 17:28 - 000006025 _____ C:\Users\manager4\Desktop\how_to_decrypt.hta
2022-06-29 17:28 - 2022-06-29 17:28 - 000006025 _____ C:\Users\manager4\AppData\Roaming\how_to_decrypt.hta
2022-06-29 17:28 - 2022-06-29 17:28 - 000006025 _____ C:\Users\manager4\AppData\how_to_decrypt.hta
2022-06-29 17:27 - 2022-06-29 17:27 - 000006025 _____ C:\Users\manager4\AppData\LocalLow\how_to_decrypt.hta
2022-06-29 17:26 - 2022-06-29 17:26 - 000006025 _____ C:\Users\manager4\AppData\Local\how_to_decrypt.hta
2022-06-29 17:26 - 2022-06-29 17:26 - 000006025 _____ C:\Users\manager2\how_to_decrypt.hta
2022-06-29 17:26 - 2022-06-29 17:26 - 000006025 _____ C:\Users\manager2\Downloads\how_to_decrypt.hta
2022-06-29 17:26 - 2022-06-29 17:26 - 000006025 _____ C:\Users\manager2\Documents\how_to_decrypt.hta
2022-06-29 17:26 - 2022-06-29 17:26 - 000006025 _____ C:\Users\manager2\Desktop\how_to_decrypt.hta
2022-06-29 17:26 - 2022-06-29 17:26 - 000006025 _____ C:\Users\manager2\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-06-29 17:26 - 2022-06-29 17:26 - 000006025 _____ C:\Users\manager2\AppData\Roaming\how_to_decrypt.hta
2022-06-29 17:26 - 2022-06-29 17:26 - 000006025 _____ C:\Users\manager2\AppData\LocalLow\how_to_decrypt.hta
2022-06-29 17:26 - 2022-06-29 17:26 - 000006025 _____ C:\Users\manager2\AppData\Local\how_to_decrypt.hta
2022-06-29 17:26 - 2022-06-29 17:26 - 000006025 _____ C:\Users\manager2\AppData\how_to_decrypt.hta
2022-06-29 17:26 - 2022-06-29 17:26 - 000006025 _____ C:\Users\kznadm\how_to_decrypt.hta
2022-06-29 17:26 - 2022-06-29 17:26 - 000006025 _____ C:\Users\kznadm\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\kznadm\Downloads\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\kznadm\Documents\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\kznadm\Desktop\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\kznadm\AppData\Roaming\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\kznadm\AppData\LocalLow\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\kznadm\AppData\Local\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\kznadm\AppData\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\kovharova.a\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\kovharova.a\Downloads\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\kovharova.a\Documents\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\kovharova.a\Desktop\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\kovharova.a\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\kovharova.a\AppData\Roaming\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\kovharova.a\AppData\LocalLow\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\kovharova.a\AppData\Local\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\kovharova.a\AppData\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\hrustaleva.o\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\hrustaleva.o\Downloads\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\hrustaleva.o\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-06-29 17:24 - 2022-06-29 17:24 - 000006025 _____ C:\Users\hrustaleva.o\Documents\how_to_decrypt.hta
2022-06-29 17:18 - 2022-06-29 17:18 - 000006025 _____ C:\Users\hrustaleva.o\AppData\Roaming\how_to_decrypt.hta
2022-06-29 17:18 - 2022-06-29 17:18 - 000006025 _____ C:\Users\hrustaleva.o\AppData\how_to_decrypt.hta
2022-06-29 17:17 - 2022-06-29 17:17 - 000006025 _____ C:\Users\hrustaleva.o\AppData\LocalLow\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\hrustaleva.o\AppData\Local\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\gutorova.m\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\gutorova.m\Downloads\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\gutorova.m\Documents\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\gutorova.m\Desktop\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\gutorova.m\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\gutorova.m\AppData\Roaming\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\gutorova.m\AppData\LocalLow\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\gutorova.m\AppData\Local\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\gutorova.m\AppData\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\defaultuser0\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\defaultuser0\Downloads\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\defaultuser0\Documents\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\defaultuser0\Desktop\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\defaultuser0\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\defaultuser0\AppData\Roaming\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\defaultuser0\AppData\LocalLow\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\defaultuser0\AppData\Local\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\defaultuser0\AppData\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\Default\how_to_decrypt.hta
2022-06-29 17:14 - 2022-06-29 17:14 - 000006025 _____ C:\Users\Public\Documents\how_to_decrypt.hta
2022-06-29 17:14 - 2022-06-29 17:14 - 000006025 _____ C:\Users\Default\Downloads\how_to_decrypt.hta
2022-06-29 17:14 - 2022-06-29 17:14 - 000006025 _____ C:\Users\Default\Documents\how_to_decrypt.hta
2022-06-29 17:14 - 2022-06-29 17:14 - 000006025 _____ C:\Users\Default\Desktop\how_to_decrypt.hta
2022-06-29 17:14 - 2022-06-29 17:14 - 000006025 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-06-29 17:14 - 2022-06-29 17:14 - 000006025 _____ C:\Users\Default\AppData\Roaming\how_to_decrypt.hta
2022-06-29 17:14 - 2022-06-29 17:14 - 000006025 _____ C:\Users\Default\AppData\Local\how_to_decrypt.hta
2022-06-29 17:14 - 2022-06-29 17:14 - 000006025 _____ C:\Users\Default\AppData\how_to_decrypt.hta
2022-06-29 17:14 - 2022-06-29 17:14 - 000006025 _____ C:\ProgramData\how_to_decrypt.hta
2022-06-29 17:11 - 2022-06-29 17:11 - 000006025 _____ C:\Users\how_to_decrypt.hta
FirewallRules: [{D87E2A51-CBB9-4272-8A05-56B993A71D80}] => (Allow) C:\Program Files (x86)\Remote Manipulator System - Host\rutserv.exe => Нет файла
FirewallRules: [{9B8FEA5B-62C5-4443-8D33-F9CB67B58C44}] => (Allow) C:\Program Files (x86)\IObit\Driver Booster\DriverBooster.exe => Нет файла
FirewallRules: [{554B4ED7-607A-42CC-83D1-53267F05DB8E}] => (Allow) C:\Program Files (x86)\IObit\Driver Booster\DriverBooster.exe => Нет файла
FirewallRules: [{F78E051A-66A5-401F-AE3E-2C0C4E11A546}] => (Allow) C:\Program Files (x86)\IObit\Driver Booster\DBDownloader.exe => Нет файла
FirewallRules: [{D7856DEE-9852-4893-9926-B92B9F481DFF}] => (Allow) C:\Program Files (x86)\IObit\Driver Booster\DBDownloader.exe => Нет файла
FirewallRules: [{12EEF657-AEFB-463E-9BB1-09C561818E9E}] => (Allow) C:\Program Files (x86)\IObit\Driver Booster\AutoUpdate.exe => Нет файла
FirewallRules: [{5A1F7C4B-2571-4085-9E56-A70B9ED012DD}] => (Allow) C:\Program Files (x86)\IObit\Driver Booster\AutoUpdate.exe => Нет файла
FirewallRules: [{1267EA67-0DE7-4016-9F5C-869E541049F1}] => (Allow) LPort=3389
Reboot:
End::

     

  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
Burkhanov Новичок

Burkhanov

Опубликовано
  • Автор
Опубликовано
1 час назад, Sandor сказал:

А ничего вредоносного и нет. Вымогатель был удален по окончании шифрования, автоматически или вручную. Мы будем чистить только следы, по сути - мусор.

 

 

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код: 
    
Start::
CloseProcesses:
SystemRestore: On
CreateRestorePoint:
File: C:\Users\Operator\AppData\Local\Temp\Rar$EXa8616.6366\Distrib\gpg.exe
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiSpyware] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiVirus] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
GroupPolicy\User: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\Users\rodionov.a\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
Task: {31DB9208-DBB5-4707-B9AA-A524EA9279FE} - System32\Tasks\DRPNPS => Command(1): mshta.exe -> "http://update.drp.su/nps/online/bin/tools/run.hta" "17.7.82 Online" "1514034421812" "b31d3611-f4bc-407e-8d9c-772cd5a77b13"
Task: {31DB9208-DBB5-4707-B9AA-A524EA9279FE} - System32\Tasks\DRPNPS => Command(2): SCHTASKS -> /Delete /TN DRPNPS /F
2022-06-29 17:28 - 2022-06-29 17:28 - 000006025 _____ C:\Users\manager4\Documents\how_to_decrypt.hta
2022-06-29 17:28 - 2022-06-29 17:28 - 000006025 _____ C:\Users\manager4\Desktop\how_to_decrypt.hta
2022-06-29 17:28 - 2022-06-29 17:28 - 000006025 _____ C:\Users\manager4\AppData\Roaming\how_to_decrypt.hta
2022-06-29 17:28 - 2022-06-29 17:28 - 000006025 _____ C:\Users\manager4\AppData\how_to_decrypt.hta
2022-06-29 17:27 - 2022-06-29 17:27 - 000006025 _____ C:\Users\manager4\AppData\LocalLow\how_to_decrypt.hta
2022-06-29 17:26 - 2022-06-29 17:26 - 000006025 _____ C:\Users\manager4\AppData\Local\how_to_decrypt.hta
2022-06-29 17:26 - 2022-06-29 17:26 - 000006025 _____ C:\Users\manager2\how_to_decrypt.hta
2022-06-29 17:26 - 2022-06-29 17:26 - 000006025 _____ C:\Users\manager2\Downloads\how_to_decrypt.hta
2022-06-29 17:26 - 2022-06-29 17:26 - 000006025 _____ C:\Users\manager2\Documents\how_to_decrypt.hta
2022-06-29 17:26 - 2022-06-29 17:26 - 000006025 _____ C:\Users\manager2\Desktop\how_to_decrypt.hta
2022-06-29 17:26 - 2022-06-29 17:26 - 000006025 _____ C:\Users\manager2\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-06-29 17:26 - 2022-06-29 17:26 - 000006025 _____ C:\Users\manager2\AppData\Roaming\how_to_decrypt.hta
2022-06-29 17:26 - 2022-06-29 17:26 - 000006025 _____ C:\Users\manager2\AppData\LocalLow\how_to_decrypt.hta
2022-06-29 17:26 - 2022-06-29 17:26 - 000006025 _____ C:\Users\manager2\AppData\Local\how_to_decrypt.hta
2022-06-29 17:26 - 2022-06-29 17:26 - 000006025 _____ C:\Users\manager2\AppData\how_to_decrypt.hta
2022-06-29 17:26 - 2022-06-29 17:26 - 000006025 _____ C:\Users\kznadm\how_to_decrypt.hta
2022-06-29 17:26 - 2022-06-29 17:26 - 000006025 _____ C:\Users\kznadm\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\kznadm\Downloads\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\kznadm\Documents\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\kznadm\Desktop\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\kznadm\AppData\Roaming\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\kznadm\AppData\LocalLow\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\kznadm\AppData\Local\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\kznadm\AppData\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\kovharova.a\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\kovharova.a\Downloads\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\kovharova.a\Documents\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\kovharova.a\Desktop\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\kovharova.a\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\kovharova.a\AppData\Roaming\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\kovharova.a\AppData\LocalLow\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\kovharova.a\AppData\Local\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\kovharova.a\AppData\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\hrustaleva.o\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\hrustaleva.o\Downloads\how_to_decrypt.hta
2022-06-29 17:25 - 2022-06-29 17:25 - 000006025 _____ C:\Users\hrustaleva.o\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-06-29 17:24 - 2022-06-29 17:24 - 000006025 _____ C:\Users\hrustaleva.o\Documents\how_to_decrypt.hta
2022-06-29 17:18 - 2022-06-29 17:18 - 000006025 _____ C:\Users\hrustaleva.o\AppData\Roaming\how_to_decrypt.hta
2022-06-29 17:18 - 2022-06-29 17:18 - 000006025 _____ C:\Users\hrustaleva.o\AppData\how_to_decrypt.hta
2022-06-29 17:17 - 2022-06-29 17:17 - 000006025 _____ C:\Users\hrustaleva.o\AppData\LocalLow\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\hrustaleva.o\AppData\Local\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\gutorova.m\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\gutorova.m\Downloads\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\gutorova.m\Documents\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\gutorova.m\Desktop\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\gutorova.m\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\gutorova.m\AppData\Roaming\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\gutorova.m\AppData\LocalLow\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\gutorova.m\AppData\Local\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\gutorova.m\AppData\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\defaultuser0\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\defaultuser0\Downloads\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\defaultuser0\Documents\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\defaultuser0\Desktop\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\defaultuser0\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\defaultuser0\AppData\Roaming\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\defaultuser0\AppData\LocalLow\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\defaultuser0\AppData\Local\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\defaultuser0\AppData\how_to_decrypt.hta
2022-06-29 17:15 - 2022-06-29 17:15 - 000006025 _____ C:\Users\Default\how_to_decrypt.hta
2022-06-29 17:14 - 2022-06-29 17:14 - 000006025 _____ C:\Users\Public\Documents\how_to_decrypt.hta
2022-06-29 17:14 - 2022-06-29 17:14 - 000006025 _____ C:\Users\Default\Downloads\how_to_decrypt.hta
2022-06-29 17:14 - 2022-06-29 17:14 - 000006025 _____ C:\Users\Default\Documents\how_to_decrypt.hta
2022-06-29 17:14 - 2022-06-29 17:14 - 000006025 _____ C:\Users\Default\Desktop\how_to_decrypt.hta
2022-06-29 17:14 - 2022-06-29 17:14 - 000006025 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-06-29 17:14 - 2022-06-29 17:14 - 000006025 _____ C:\Users\Default\AppData\Roaming\how_to_decrypt.hta
2022-06-29 17:14 - 2022-06-29 17:14 - 000006025 _____ C:\Users\Default\AppData\Local\how_to_decrypt.hta
2022-06-29 17:14 - 2022-06-29 17:14 - 000006025 _____ C:\Users\Default\AppData\how_to_decrypt.hta
2022-06-29 17:14 - 2022-06-29 17:14 - 000006025 _____ C:\ProgramData\how_to_decrypt.hta
2022-06-29 17:11 - 2022-06-29 17:11 - 000006025 _____ C:\Users\how_to_decrypt.hta
FirewallRules: [{D87E2A51-CBB9-4272-8A05-56B993A71D80}] => (Allow) C:\Program Files (x86)\Remote Manipulator System - Host\rutserv.exe => Нет файла
FirewallRules: [{9B8FEA5B-62C5-4443-8D33-F9CB67B58C44}] => (Allow) C:\Program Files (x86)\IObit\Driver Booster\DriverBooster.exe => Нет файла
FirewallRules: [{554B4ED7-607A-42CC-83D1-53267F05DB8E}] => (Allow) C:\Program Files (x86)\IObit\Driver Booster\DriverBooster.exe => Нет файла
FirewallRules: [{F78E051A-66A5-401F-AE3E-2C0C4E11A546}] => (Allow) C:\Program Files (x86)\IObit\Driver Booster\DBDownloader.exe => Нет файла
FirewallRules: [{D7856DEE-9852-4893-9926-B92B9F481DFF}] => (Allow) C:\Program Files (x86)\IObit\Driver Booster\DBDownloader.exe => Нет файла
FirewallRules: [{12EEF657-AEFB-463E-9BB1-09C561818E9E}] => (Allow) C:\Program Files (x86)\IObit\Driver Booster\AutoUpdate.exe => Нет файла
FirewallRules: [{5A1F7C4B-2571-4085-9E56-A70B9ED012DD}] => (Allow) C:\Program Files (x86)\IObit\Driver Booster\AutoUpdate.exe => Нет файла
FirewallRules: [{1267EA67-0DE7-4016-9F5C-869E541049F1}] => (Allow) LPort=3389
Reboot:
End::

     

  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Сделал. 

Fixlog.txt

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Пароли на учётную запись администратора и на подключение по RDP смените.

 

Проверьте уязвимые места и устаревшее критическое ПО:

  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10/11)
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.


 
Ссылка на комментарий
Поделиться на другие сайты
Burkhanov Новичок

Burkhanov

Опубликовано
  • Автор
Опубликовано
18 минут назад, Sandor сказал:

Пароли на учётную запись администратора и на подключение по RDP смените.

 

Проверьте уязвимые места и устаревшее критическое ПО:

 

  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10/11)
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.

 


 

Вот пожалуйста.

SecurityCheck.txt

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

------------------------------- [ Windows ] -------------------------------
Расширенная поддержка закончилась Внимание! Скачать обновления
^Корпоративные версии обновляются установкой с DVD или Flash-носителя соответствующей редакции. На устройстве может отсутствовать возможность получать обновления, если его оборудование несовместимо, на нем нет актуальных драйверов или истек срок его поддержки, предоставляемой поставщиком вычислительной техники (OEM).^
--------------------------- [ OtherUtilities ] ----------------------------
TeamViewer v.15.30.3 Внимание! Скачать обновления
------------------------------ [ ArchAndFM ] ------------------------------
Total Commander 64-bit (Remove or Repair) v.9.0a Внимание! Скачать обновления
7-Zip 9.20 (x64 edition) v.9.20.00.0 Данная версия программы больше не поддерживается разработчиком.. Удалите старую версию, скачайте и установите новую.
WinRAR 6.00 (32-разрядная) v.6.00.0 Внимание! Скачать обновления
-------------------------- [ IMAndCollaborate ] ---------------------------
Skype, версия 8.61 v.8.61 Внимание! Скачать обновления
-------------------------------- [ Media ] --------------------------------
K-Lite Codec Pack 13.7.5 Basic v.13.7.5 Внимание! Скачать обновления
--------------------------- [ AdobeProduction ] ---------------------------
Adobe Acrobat DC v.15.017.20053 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - Проверить обновления!^
 

Обратите внимание и по возможности исправьте.

 

Читайте Рекомендации после удаления вредоносного ПО

Ссылка на комментарий
Поделиться на другие сайты
  • 3 месяца спустя...
Cheated Новичок

Cheated

Опубликовано
Опубликовано

Выкуп не платить!

 

Организованная преступная группа. Все процессы распределены.

Фронт-офис ведет переписку, согласуя условия и тех вопросы с разработчиком.

 

Вам выдвигают условия оплаты расшифровки ваших данных, гарантируя расшифровку тем, что расшифруют пару файлов из тех, что были зашифрованы.

 

Вы отправляете два файла. С небольшими заминками, но все же высылают их вам обратно расшифрованными, после этого вы в надеже на получение зашифрованной информации в целостности и сохранности переводите злоумышленнику(Raptorfiles@yahooweb.co) деньги(в крипте).

А вот дальше вам начинают обещать выслать программу расшифровщик и кормить «завтраками». Просят еще немного подождать.

 

Ждем уже второй месяц!

 

Даже если рассматривать, взлом вашего компьютера и зашифровку данных, как проверку безопасности и попытаться вернуть данные путем оплаты данной услуги, оказалось что вторая сторона так не считает.

 

Оплата требуемой суммы ничего вам не гарантирует!

Ссылка на комментарий
Поделиться на другие сайты
  • Sandor закрыл тема
Гость
Эта тема закрыта для публикации ответов.
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Rome0
      Шифровальщик-вымогатель .kwx8
      Автор Rome0
      15.02 ночью. Судя по всему RDP. На комп был проброшен нестандартный порт. Комп для удаленного подключения был включен круглосуточно. Все бы ничего, но остались незавершенные сессии с сетевым хранилищем NAS и там тоже все зашифровало... Все файлы с расширением .kwx8
      Без Вашей помощи не обойтись явно.
      Desktop.zip
    • KL FC Bot
      Как видеокамера может помочь вымогателям | Блог Касперского
      Автор KL FC Bot
      Поучительный инцидент с атакой ransomware-группировки Akira наверняка на несколько лет станет любимым примером ИБ-специалистов. Злоумышленники зашифровали компьютеры организации, воспользовавшись ее видеокамерой. Хотя звучит это очень странно, в развитии событий есть логика, которую легко применить к другой организации и другим устройствам в ее инфраструктуре.
      Анатомия атаки
      Злоумышленники проникли в сеть, проэксплуатировав уязвимость в публично доступном приложении и получив возможность выполнять команды на зараженном хосте. Они воспользовались этим, чтобы запустить популярное приложение дистанционного доступа AnyDesk, а затем инициировали с этого компьютера RDP-сессию для доступа к файл-серверу организации. На сервере они попытались запустить свой шифровальщик, но EDR-система, установленная в компании, опознала вредоносное ПО и поместила его в карантин. Увы, это не остановило атакующих.
      Не имея возможности запустить свой шифровальщик на серверах и обычных компьютерах, которые находятся под защитой EDR, атакующие запустили сканирование внутренней сети и обнаружили в ней сетевую видеокамеру. В отчете команды по расследованию инцидента это устройство постоянно называют веб-камерой (webcam), но мы все же полагаем, что речь не о камере ноутбука или смартфона, а о независимом сетевом устройстве, применяемом для видеонаблюдения.
      Камера стала прекрасной мишенью для атакующих по нескольким причинам:
      устройство давно не обновлялось, его прошивка содержала уязвимости, позволяющие дистанционно скомпрометировать камеру и получить на ней права на запуск оболочки (remote shell); камера работает под управлением облегченной сборки Linux, на которой можно запускать обычные исполнимые файлы этой ОС, например Linux-шифровальщик, имеющийся в арсенале Akira; это специализированное устройство не имело (и, скорее всего, не могло иметь) ни агента EDR, ни других защитных средств, которые могли бы определить вредоносную активность. Злоумышленники смогли установить свое вредоносное ПО на эту камеру и зашифровать серверы организации прямо с нее.
       
      View the full article
    • Always_Young
      Шифровальщик вымогатель. Расширение .y8ItHTbGJ
      Автор Always_Young
      Здравствуйте! На ПК пришло письмо с файлом с раширением .cab. Файл находится в облаке. Скрин проверки с VirusTotal прилагается. После этого все документы JPEG, JPG,PDF,XLSX,DOCX оказались зашифрованы. Доступ на ПК осуществлялся удаленно, через AnyDesk. В сети три ПК и один ноутбук по Wi-Fi. Заражен оказался один. Есть ли возможность расшифровать? 

      Addition.txt FRST.txt y8ItHTbGJ.README.txt Файлы шифр.zip
    • BORIS59
      [РАСШИФРОВАНО] Поймал шифровальщика вымогателя.
      Автор BORIS59
      Доброго времечка поймал шифровальщик, система не переустанавливалась.
      Зашифровали файлы (WANNACASH NCOV v170720), требуют выкуп!
      Попался на поиске ключей ESET, в 2020г. Обращался в ESET про пудрили
      мозг и смылись. Приложил скрин kvrt сделан сразу после шифровки.
      Подскажите, пожалуйста, возможно восстановить?

      Farbar Recovery Scan Tool.zip Файлы с требованиями злоумышленников.zip Зашифрованные файлы.zip
    • KL FC Bot
      История атаки вымогателей на UnitedHealth | Блог Касперского
      Автор KL FC Bot
      Примерно год назад произошел масштабнейший ransomware-инцидент — атака на гиганта американского медицинского страхования, компанию UnitedHealth Group. Взлом имел настолько многочисленные и серьезные последствия, что все прошедшее с момента атаки время появлялись новые подробности о ходе атаки и ее итогах. К годовщине инцидента мы решили собрать все теперь уже доступные данные в одном материале.
      Ransomware-атака на UnitedHealth Group
      Сперва дадим контекст, который будет в особенности полезен для тех, кто не очень хорошо знаком с данной организацией. UnitedHealth Group — это крупнейшая компания на рынке медицинского страхования и медицинских услуг США. Ее капитализация составляет примерно $500 миллиардов. При этом UnitedHealth Group занимает девятое место по выручке среди всех корпораций мира, следуя в этом списке сразу после Apple.
      В состав UnitedHealth Group входят две компании. Первая из них, UnitedHealthcare, занимается медицинским страхованием. Вторая, Optum, специализируется на предоставлении разнообразных медицинских услуг — от фармацевтики и собственно медицинского обслуживания до ИТ-систем, используемых в здравоохранении.
      Последним занимается OptumInsight — одно из трех подразделений Optum, причем самое высокомаржинальное из них. Осенью 2022 года в OptumInsight вошла приобретенная UnitedHealth Group платформа Change Healthcare. Эта цифровая площадка обрабатывает заявления на получение страховых выплат, выступая в роли финансового посредника между пациентами, поставщиками медицинских услуг и страховщиками.
      Собственно, Change Healthcare и стала непосредственной целью атаки вымогателей: 21 февраля в ее системах начал работать шифровальщик, из-за чего платформа стала недоступна. Это вызвало настоящий хаос в американской системе здравоохранения: из-за невозможности быстрой обработки заявлений на страховые выплаты многие пациенты вынуждены были оплачивать лекарства и медицинские услуги из своего кармана. А медицинским учреждениям пришлось перейти в ручной режим обработки счетов.
      Восстановление пострадавших систем заняло многие месяцы: к примеру, клиринговый сервис Change Healthcare возобновил работу лишь в ноябре. В UnitedHealth Group даже создали специальный сайт, на котором можно следить за восстановительными работами. Даже сейчас, спустя год после атаки, на этом сайте публикуются регулярные обновления, а некоторые системы до сих пор имеют статус «доступна частично».
       
      View the full article
×
×
  • Создать...