crylock 2.0.0.0 [РАСШИФРОВАНО] Помогите расшифровать hopeandhonest@smime.ninja].[DCBF1153-276AD7C7]

[besdelnick 1]

Здравствуйте. Поймали шифровальщик. [hopeandhonest@smime.ninja].[DCBF1153-276AD7C7] Подскажите что делать пожалуйста

[besdelnick 1]

Addition.txt FRST.txt

[Sandor 1045]

Здравствуйте!

 

Расшифровки нет. Помощь в очистке системы от следов вымогателя нужна или будет переустановка?

[besdelnick 1]

да если можно

[Sandor 1045]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiSpyware] Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiVirus] Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
  Startup: C:\Users\Artem\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-07-26] () [Файл не подписан]
  GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
  GroupPolicy\User: Ограничение ? <==== ВНИМАНИЕ
  Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
  Task: {EB0C1681-8922-4FFC-893A-655E7C80C8A6} - System32\Tasks\RDP Wrapper Autoupdate => cmd.exe /C "C:\Program Files\RDP Wrapper\autoupdate.bat" -log <==== ВНИМАНИЕ
  Folder: C:\Program Files\RDP Wrapper\
  C:\Program Files\RDP Wrapper\
  2022-07-26 00:30 - 2022-07-26 00:30 - 000001794 _____ C:\Users\Public\how_to_decrypt.hta
  2022-07-26 00:30 - 2022-07-26 00:30 - 000001794 _____ C:\Users\Public\Downloads\how_to_decrypt.hta
  2022-07-26 00:30 - 2022-07-26 00:30 - 000001794 _____ C:\Users\Artem\how_to_decrypt.hta
  2022-07-26 00:30 - 2022-07-26 00:30 - 000001794 _____ C:\Users\Artem\Downloads\how_to_decrypt.hta
  2022-07-26 00:30 - 2022-07-26 00:30 - 000001794 _____ C:\Users\Artem\Documents\how_to_decrypt.hta
  2022-07-26 00:30 - 2022-07-26 00:30 - 000001794 _____ C:\Users\Artem\Desktop\how_to_decrypt.hta
  2022-07-26 00:30 - 2022-07-26 00:30 - 000001794 _____ C:\Users\Artem\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
  2022-07-26 00:30 - 2022-07-26 00:30 - 000001794 _____ C:\Users\Artem\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
  2022-07-26 00:30 - 2022-07-26 00:30 - 000001794 _____ C:\Users\Artem\AppData\Roaming\how_to_decrypt.hta
  2022-07-26 00:30 - 2022-07-26 00:30 - 000001794 _____ C:\Users\Artem\AppData\LocalLow\how_to_decrypt.hta
  2022-07-26 00:30 - 2022-07-26 00:30 - 000001794 _____ C:\Users\Artem\AppData\Local\how_to_decrypt.hta
  2022-07-26 00:30 - 2022-07-26 00:30 - 000001794 _____ C:\Users\Artem\AppData\how_to_decrypt.hta
  2022-07-26 00:19 - 2022-07-26 00:19 - 000001794 _____ C:\Users\Public\Documents\how_to_decrypt.hta
  2022-07-26 00:09 - 2022-07-26 00:09 - 000001794 _____ C:\ProgramData\how_to_decrypt.hta
  FirewallRules: [{A0D569B0-2093-4098-BD3B-03378BC1910F}] => (Allow) LPort=3389
  EmptyTemp:
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[Sandor 1045]

@besdelnick, жду отчёт о выполнении скрипта.

+

Прикрепите несколько зашифрованных документов в архиве к следующему сообщению.

[besdelnick 1]

Система была переустановлена, жесткий диск с данными отложен в сторонку. может все таки есть уже решение как расшифровать? Образец прилагаю

Я СКИДКА.xlsx[hopeandhonest@smime.ninja].rar

how_to_decrypt.rar

Изменено 25 августа пользователем besdelnick

[thyrex 1353]

Проверьте ЛС

[besdelnick 1]

расшифровался только тот файл что присылал, с остальными не помогло.

вот еще образцы

для сорска.rar

 

[besdelnick 1]

расшифровка проходит успешно, завтра ждем второй диск. отпишусь

[besdelnick 1]

с другим жд не прокатило

КП по СКУД 25.05.2022.docx[hopeandhonest@smime.ninja].rar

[thyrex 1353]

Отправил

[besdelnick 1]

часть есть часть не помогло)

Сорск ГОК.rar

[Sandor 1045]

Очередной ключ отправил в ЛС.

[besdelnick 1]

Спасибо огромное все расшифровалось!!!