Перейти к содержанию

[РАСШИФРОВАНО] hopeandhonest@smime.ninja[28A11195-F7636750]


Рекомендуемые сообщения

Получили такой вирус. hopeandhonest@smime.ninja[28A11195-F7636750] 

Один из компьютеров на win764pro sp1, с обновлениями, с kes стандарт, попал этот шифровальщик. Убит полным удалением раздела.

Хвост [28A11195-F7636750]  видно только с помощью freecommander или аналогов. 

На других пк пока не обнаружилось. Сервер 2019 тоже молчит, но на древнем 2008 sp2 появились зашифрованные файлы.

На него ничего не удается поставить из новых антивирусов, стоит kes 10.2.1.23 стандарт и даже не может обновляться, даже интернета на нем нет. 

Файлы зашифрованные прилагаю, сам вирус не видно, файл с текстом от вымогателя есть с компьютера с windows 7, а на 2008 нет еще. Могу приложить, сохранил на флешке.

Нужна помощь. 

1. Можно ли расшифровать? Что делать чтобы сейчас его вылечить?

2. Какие меры в будущем можно принять не только к двум описываемым пк, но и в целом, дайте, пожалуйста ссылку где можно прочитать.

До этого kes убивал все на подлете. 

 

Addition.txt FRST.txt rial1c_выгрузки.zip

Ссылка на сообщение
Поделиться на другие сайты

В этой системе не нашёл следов вымогателя.

 

17 минут назад, malex337 сказал:

на древнем 2008 sp2

Вы удивитесь, но на ещё более древнем 2003 Server успешно устанавливается, обновляется и работает Kaspersky Security для Windows Server 10.1.2.996

 

 

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Start::
    Task: {DE2BA886-C26B-45FF-B724-6A15C52BF3CB} - System32\Tasks\print_ => D:\Общий обмен\МАК Админ\print.exe (Нет файла)
    FirewallRules: [{ED816C96-609D-4588-971D-D3EB6651A745}] => (Allow) LPort=475
    FirewallRules: [{EBECF97B-51DA-4F1C-9660-7CE58904A8AF}] => (Allow) LPort=475
    FirewallRules: [{7195D501-D49A-4B6B-9A9E-171D03E87A45}] => (Allow) LPort=1542
    FirewallRules: [{A99FC4E9-1BDE-46ED-BE72-C2DD35728FDF}] => (Allow) LPort=1542
    FirewallRules: [{13C4B8C6-DFE3-4123-8F48-0FF3FEA43A4D}] => (Allow) LPort=53
    End::

     

  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер перезагрузите вручную.

Подробнее читайте в этом руководстве.

 

Программы от производителя IObit являются нежелательным ПО, деинсталлируйте их:

Цитата

 

IObit Unlocker

Smart Defrag 5

 

 

Ссылка на сообщение
Поделиться на другие сайты

Проверьте ЛС.

 

Уязвимые места проверьте так:

Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;
begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';
  if DownloadFile('https://www.df.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
    if DownloadFile('https://www.df.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. 
В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader.

Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления (если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

Ссылка на сообщение
Поделиться на другие сайты

Интернет подключен, заходил на яндекс новости для теста. Выдало - 

Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!

Файла не было с логом

И было сообщение, что скрипт был выполнен без ошибок.

 

 

Выполнено все по инструкции. Найденные зашифрованные файлы расшифровались. Действует ли еще шифровальщик, непонятно. Завтра буду пробовать обновлять kes до рекомендованной версии и потом проводить проверку.

Изменено пользователем malex337
Ссылка на сообщение
Поделиться на другие сайты

А попробуйте перейти по адресу:

https://www.df.ru/~kad/ScanVuln.txt

Если получится, скопируйте и выполните этот скрипт в AVZ.

Ссылка на сообщение
Поделиться на другие сайты
  • Sandor changed the title to [РАСШИФРОВАНО] hopeandhonest@smime.ninja[28A11195-F7636750]

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • djjg25
      От djjg25
      Касперский вирус ремовал тул нашёл 37 вирусов. Я не знаю как вирус попал на мой пк и что с ним делать. Антивирусов никогда на этот компьютер не ставил, только на прошлый, диск от которого вставил в этот. Пользуюсь только виндоус дефендером. 
      CollectionLog-2024.03.27-18.39.zip
    • tized-NSK
      От tized-NSK
      Здравствуйте, у меня точно такаяже проблема с шифрованием файлов формат rty не подскажете как их расшифровать?  ShadeDecryptor не помог ,Kaspersky XoristDecryptor тоже не помог
       
      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.
    • Александр Нефёдов
      От Александр Нефёдов
      Добрый день.
      Столкнулся с проблемой блокировки загрузки ОС Windows Server 2016, и других.
      За ночь заблочило десять машин, которые не выключались.
      Пример блокировки на скрине.
      Диски не читаются, типа raw формат, поэтому как таковых зашифрованных файлов нет, вероятно зашифрован весь диск.
      вариант из статьи(https://id-ransomware.blogspot.com/2023/04/dchelp-ransomware.html) с AOMEI не помог.
       
      За любые идеи которые помогу восстановить информацию буду благодарен .

    • AndrusBelarus
      От AndrusBelarus
      Доброй ночи! Подхватил какую-то фигню:
       - никак не удаляется, новые процессы в итоге выводят каждый раз в новые папки. Сразу после оповещения от дефендера винды вырубил инет на всякий случай, вот что показал дефендер, сам он удалить не может:
       
      Trojan:Win64/Glupteba!MTB
      Trojan:Win32/Acll
       
      P.S. после перезагрузки теперь на пол экрана идёт спам консольных окон и на каждую ошибка что "файл не обнаружен"
       
      UPD. 
      Вскакивают периодически такие процессы как: 
      QMEmulatorService - процесс есть, удалить файл (.txt) не даёт 
      AppMarket / GameLoop (синий круг на иконке)
      - аппмаркет появился и на панели внизу но при нажатии на нем ПКМ - его всплывающее окно зависает в виде черного прямоугльника
       
      UPD2.
       
      Какой-то процесс *китайские символы*32 бита
    • AlexDreyk
      От AlexDreyk
      Добрый день! Просьба помочь с расшифровкой
      Addition.txt FRST.txt Зашифрованные файлы.zip
×
×
  • Создать...