Перейти к содержанию

[РАСШИФРОВАНО] Зашифрован hopeandhonest@smime.ninja.[466FB7AE-9A661982]


Рекомендуемые сообщения

Цитата

Active (S-1-5-21-193365847-903874122-807598244-1004 - Administrator - Enabled)
John (S-1-5-21-193365847-903874122-807598244-1003 - Administrator - Enabled) => C:\Users\John
Администратор (S-1-5-21-193365847-903874122-807598244-500 - Administrator - Enabled) => C:\Users\Администратор

не многовато учеток с правами администратора? Учетка John точно Вам известна?

 

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мышиКопировать)

Start::
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
HKU\S-1-5-21-193365847-903874122-807598244-1003\...\Run: [466FB7AE-9A661982hta] => C:\Users\John\AppData\Local\Temp\how_to_decrypt.hta [1794 2022-08-15] () [Файл не подписан] <==== ВНИМАНИЕ
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-08-15] () [Файл не подписан]
Startup: C:\Users\John\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-08-15] () [Файл не подписан]
Startup: C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-08-15] () [Файл не подписан]
2022-08-15 21:43 - 2022-08-15 21:43 - 000001794 _____ C:\how_to_decrypt.hta
2022-08-15 21:42 - 2022-08-15 21:42 - 000001794 _____ C:\Users\Администратор\how_to_decrypt.hta
2022-08-15 21:42 - 2022-08-15 21:42 - 000001794 _____ C:\Users\Администратор\Downloads\how_to_decrypt.hta
2022-08-15 21:42 - 2022-08-15 21:42 - 000001794 _____ C:\Users\Администратор\Documents\how_to_decrypt.hta
2022-08-15 21:42 - 2022-08-15 21:42 - 000001794 _____ C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2022-08-15 21:42 - 2022-08-15 21:42 - 000001794 _____ C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-08-15 21:42 - 2022-08-15 21:42 - 000001794 _____ C:\Users\Администратор\AppData\Roaming\how_to_decrypt.hta
2022-08-15 21:42 - 2022-08-15 21:42 - 000001794 _____ C:\Users\Администратор\AppData\LocalLow\how_to_decrypt.hta
2022-08-15 21:42 - 2022-08-15 21:42 - 000001794 _____ C:\Users\Администратор\AppData\Local\Temp\how_to_decrypt.hta
2022-08-15 21:42 - 2022-08-15 21:42 - 000001794 _____ C:\Users\Администратор\AppData\how_to_decrypt.hta
2022-08-15 21:42 - 2022-08-15 21:42 - 000001794 _____ C:\Users\Public\how_to_decrypt.hta
2022-08-15 21:42 - 2022-08-15 21:42 - 000001794 _____ C:\Users\Public\Downloads\how_to_decrypt.hta
2022-08-15 21:42 - 2022-08-15 21:42 - 000001794 _____ C:\Users\John\how_to_decrypt.hta
2022-08-15 21:41 - 2022-08-15 21:41 - 000001794 _____ C:\Users\John\Downloads\how_to_decrypt.hta
2022-08-15 21:41 - 2022-08-15 21:41 - 000001794 _____ C:\Users\John\Documents\how_to_decrypt.hta
2022-08-15 21:41 - 2022-08-15 21:41 - 000001794 _____ C:\Users\John\Desktop\how_to_decrypt.hta
2022-08-15 21:41 - 2022-08-15 21:41 - 000001794 _____ C:\Users\John\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2022-08-15 21:41 - 2022-08-15 21:41 - 000001794 _____ C:\Users\John\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-08-15 21:41 - 2022-08-15 21:41 - 000001794 _____ C:\Users\John\AppData\Roaming\how_to_decrypt.hta
2022-08-15 21:41 - 2022-08-15 21:41 - 000001794 _____ C:\Users\John\AppData\LocalLow\how_to_decrypt.hta
2022-08-15 21:41 - 2022-08-15 21:41 - 000001794 _____ C:\Users\John\AppData\how_to_decrypt.hta
2022-08-15 21:40 - 2022-08-15 21:40 - 000001794 _____ C:\Users\Public\Documents\how_to_decrypt.hta
2022-08-15 21:40 - 2022-08-15 21:40 - 000001794 _____ C:\Users\Public\Desktop\how_to_decrypt.hta
2022-08-15 21:40 - 2022-08-15 21:40 - 000001794 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2022-08-15 21:40 - 2022-08-15 21:40 - 000001794 _____ C:\ProgramData\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-08-15 21:40 - 2022-08-15 21:40 - 000001794 _____ C:\ProgramData\how_to_decrypt.hta
2022-08-15 21:40 - 2022-08-15 21:40 - 000001794 _____ C:\Program Files\how_to_decrypt.hta
2022-08-15 21:40 - 2022-08-15 21:40 - 000001794 _____ C:\Program Files (x86)\how_to_decrypt.hta
2022-08-15 21:39 - 2022-08-15 21:39 - 000001794 _____ C:\Users\how_to_decrypt.hta
2022-08-15 21:39 - 2022-08-15 21:39 - 000001794 _____ C:\Program Files\Common Files\how_to_decrypt.hta
2022-08-15 21:38 - 2022-08-15 21:38 - 000001794 _____ C:\Users\Администратор\Desktop\how_to_decrypt.hta
2022-08-15 21:36 - 2022-08-15 21:36 - 000001794 _____ C:\Users\John\AppData\Local\Temp\how_to_decrypt.hta
2022-08-15 21:34 - 2017-08-13 23:32 - 001424896 _____ (Misc314) C:\Users\John\Desktop\mouselock.exe
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.

3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

 

  • Обратите внимание: перезагрузку компьютера нужно выполнить вручную после данного скрипта.


 

Ссылка на сообщение
Поделиться на другие сайты

Пользователь Active необходим для запуска определенных служб для работы нашего ПО.

Пользователь John этот пользователь для подключения по RDP наших разработчиков которые обслуживают наше специфическое ПО БД. Вот тут и прокол наш, был проброшен порт и стоял фильтр для входа только с определенного IP, но так получилось что его сняли и не поставили обратно - выходит сами виноваты

Fixlog.txt

Ссылка на сообщение
Поделиться на другие сайты

Просто пользователь John зачастую ассоциируется с появлением на компьютере майнеров :)

 

Проверьте ЛС.

Ссылка на сообщение
Поделиться на другие сайты

Огромное спасибо, самое важное восстановили - базы MS SQL. Но еще остаются некоторые файлы зашифрованные, просьба помочь нам с ними также 

Files_4.zip

Ссылка на сообщение
Поделиться на другие сайты

Маленькими порциями удается восстанавливать шифрованные файлы. Во вложении архив с очередным шифрованным примером. Спасибо.

Files_5.zip

Ссылка на сообщение
Поделиться на другие сайты

Снова ключ расшифровал лишь несколько файлов. От 300 по 2500 файлов с одним ключом где получется расшифровать. Прилагаю следующий файл с данными

 

Files_6.zip

Ссылка на сообщение
Поделиться на другие сайты

Огромное спасибо, Вы очень помогли нам. 99% зашифрованных файлов расшифрованы (остались единицы, но можно считать их «мусором») 👍 Благодарю, отличная работа!

Ссылка на сообщение
Поделиться на другие сайты
  • thyrex changed the title to [РАСШИФРОВАНО] Зашифрован hopeandhonest@smime.ninja.[466FB7AE-9A661982]
  • thyrex закрыл тема
Гость
Эта тема закрыта для публикации ответов.
  • Похожий контент

    • maravan1
      От maravan1
      Добрый день в 2021м через слабый пароль rdp залили и запустили шифровальщика в локальной сети.
      пострадали данные как только было замечено шифрование сразу была остановлена система и сделан образ диска. (возможно к текущему моменту он потерян)
      на сетевом диске осталось много зашифрованных данных . мы сейчас переносим старые диски на новую машину и наткнулись на эти данные.
      Пожалуйста посмотрите возможно ли их расшифровать. 
       
      crylock.zip
    • valentin868
      От valentin868
      Здравствуйте!
      Все работало стабильно, выключил компьютер два месяца не работал, после включение обнаружил что все зашифровано.
      Вопрос: подключилархиве с паролем2.rarся к этому компьютеру удаленно с другого и скопировал папку, получается этот комп тоже заразился и те кто в сети с этим компьютером?
      FRST.txt Addition.txt
    • MilaG
      От MilaG
      Прошу помочь с расшифровкой, шифрование было где-то полгода назад, есть важные файлы.
      Пример файла
      Гимн СССР.docx[honestandhope@qq.com].rar
    • Andrey1976
      От Andrey1976
      Доброе время суток.
      Зашифровал файлы в сетевой папке NAS!!!!
       
      Может можно что то сделать?.  Заранее спасибо за помощь!
      Зашифрованные файлы.rar
    • Nimitz
      От Nimitz
      Добрый день! 9 месяцев назад поймали по RDP Crylock 2.0. Часть файлов зашифрована, часть удалось спасти (стояло ограничение на длительность сессии RDP). Существует ли сейчас возможность расшифровать? В архиве пример файлов и записка вымогателей (явно недопилена, плейсхолдер идентификатора жертвы пустой).
      to-decrypt.zip
×
×
  • Создать...