Перейти к содержанию

Рекомендуемые сообщения

Опубликовано

Здравствуйте. Поймали шифровальщик. [hopeandhonest@smime.ninja].[DCBF1153-276AD7C7] Подскажите что делать пожалуйста

Опубликовано

Здравствуйте!

 

Расшифровки нет. Помощь в очистке системы от следов вымогателя нужна или будет переустановка?

Опубликовано

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Start::
    CloseProcesses:
    SystemRestore: On
    CreateRestorePoint:
    HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiSpyware] Ограничение <==== ВНИМАНИЕ
    HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiVirus] Ограничение <==== ВНИМАНИЕ
    HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
    Startup: C:\Users\Artem\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-07-26] () [Файл не подписан]
    GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
    GroupPolicy\User: Ограничение ? <==== ВНИМАНИЕ
    Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
    Task: {EB0C1681-8922-4FFC-893A-655E7C80C8A6} - System32\Tasks\RDP Wrapper Autoupdate => cmd.exe /C "C:\Program Files\RDP Wrapper\autoupdate.bat" -log <==== ВНИМАНИЕ
    Folder: C:\Program Files\RDP Wrapper\
    C:\Program Files\RDP Wrapper\
    2022-07-26 00:30 - 2022-07-26 00:30 - 000001794 _____ C:\Users\Public\how_to_decrypt.hta
    2022-07-26 00:30 - 2022-07-26 00:30 - 000001794 _____ C:\Users\Public\Downloads\how_to_decrypt.hta
    2022-07-26 00:30 - 2022-07-26 00:30 - 000001794 _____ C:\Users\Artem\how_to_decrypt.hta
    2022-07-26 00:30 - 2022-07-26 00:30 - 000001794 _____ C:\Users\Artem\Downloads\how_to_decrypt.hta
    2022-07-26 00:30 - 2022-07-26 00:30 - 000001794 _____ C:\Users\Artem\Documents\how_to_decrypt.hta
    2022-07-26 00:30 - 2022-07-26 00:30 - 000001794 _____ C:\Users\Artem\Desktop\how_to_decrypt.hta
    2022-07-26 00:30 - 2022-07-26 00:30 - 000001794 _____ C:\Users\Artem\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
    2022-07-26 00:30 - 2022-07-26 00:30 - 000001794 _____ C:\Users\Artem\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
    2022-07-26 00:30 - 2022-07-26 00:30 - 000001794 _____ C:\Users\Artem\AppData\Roaming\how_to_decrypt.hta
    2022-07-26 00:30 - 2022-07-26 00:30 - 000001794 _____ C:\Users\Artem\AppData\LocalLow\how_to_decrypt.hta
    2022-07-26 00:30 - 2022-07-26 00:30 - 000001794 _____ C:\Users\Artem\AppData\Local\how_to_decrypt.hta
    2022-07-26 00:30 - 2022-07-26 00:30 - 000001794 _____ C:\Users\Artem\AppData\how_to_decrypt.hta
    2022-07-26 00:19 - 2022-07-26 00:19 - 000001794 _____ C:\Users\Public\Documents\how_to_decrypt.hta
    2022-07-26 00:09 - 2022-07-26 00:09 - 000001794 _____ C:\ProgramData\how_to_decrypt.hta
    FirewallRules: [{A0D569B0-2093-4098-BD3B-03378BC1910F}] => (Allow) LPort=3389
    EmptyTemp:
    Reboot:
    End::

     

  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Опубликовано

@besdelnick, жду отчёт о выполнении скрипта.

+

Прикрепите несколько зашифрованных документов в архиве к следующему сообщению.

  • 4 недели спустя...
Опубликовано (изменено)

Система была переустановлена, жесткий диск с данными отложен в сторонку. может все таки есть уже решение как расшифровать? Образец прилагаю

Я СКИДКА.xlsx[hopeandhonest@smime.ninja].rar

how_to_decrypt.rar

Изменено пользователем besdelnick
Опубликовано

расшифровка проходит успешно, завтра ждем второй диск. отпишусь

  • Like (+1) 1
  • 2 недели спустя...

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Drozdovanton
      Автор Drozdovanton
      Помогите пожалуйста расшифровать данные, прикрепить данные не могу так как ограничение по расширению файлов
    • ernesto93
      Автор ernesto93
      подобрали пароль к учетке у которой права Администратора отключили KES запароленый (KES был установлен на зараженную машину Сам виноват).
      4.jpg[paybackformistake@qq.com].zip 123123123.txt[paybackformistake@qq.com].zip
    • gnm82
      Автор gnm82
      Здравствуйте. Такая же проблема, но нашелся батник и исполняемые файлы шифровальщика, могут ли они помочь в расшифровке?
      crylock.7z
       
      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.
    • Maroder
      Автор Maroder
      Прошу помощи в расшифровке файлов. Все файлы с расширением: [extremessd@onionmail.org].[3E72A29B-88753196]
      После  попадания вируса, система была переустановлена. 
      Файл с требованиями.rar Поврежденные файлы.rar
    • Евгений111
      Автор Евгений111
      Поймал по rdp шифровальщика, помогите пожалуйста. Необходимые файлы вложил.
      архив.rar Addition.txt FRST.txt
×
×
  • Создать...