Перейти к содержанию

[РАСШИФРОВАНО] Зашифрован hopeandhonest@smime.ninja.[466FB7AE-9A661982]


Рекомендуемые сообщения

Цитата

Active (S-1-5-21-193365847-903874122-807598244-1004 - Administrator - Enabled)
John (S-1-5-21-193365847-903874122-807598244-1003 - Administrator - Enabled) => C:\Users\John
Администратор (S-1-5-21-193365847-903874122-807598244-500 - Administrator - Enabled) => C:\Users\Администратор

не многовато учеток с правами администратора? Учетка John точно Вам известна?

 

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мышиКопировать)

Start::
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
HKU\S-1-5-21-193365847-903874122-807598244-1003\...\Run: [466FB7AE-9A661982hta] => C:\Users\John\AppData\Local\Temp\how_to_decrypt.hta [1794 2022-08-15] () [Файл не подписан] <==== ВНИМАНИЕ
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-08-15] () [Файл не подписан]
Startup: C:\Users\John\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-08-15] () [Файл не подписан]
Startup: C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-08-15] () [Файл не подписан]
2022-08-15 21:43 - 2022-08-15 21:43 - 000001794 _____ C:\how_to_decrypt.hta
2022-08-15 21:42 - 2022-08-15 21:42 - 000001794 _____ C:\Users\Администратор\how_to_decrypt.hta
2022-08-15 21:42 - 2022-08-15 21:42 - 000001794 _____ C:\Users\Администратор\Downloads\how_to_decrypt.hta
2022-08-15 21:42 - 2022-08-15 21:42 - 000001794 _____ C:\Users\Администратор\Documents\how_to_decrypt.hta
2022-08-15 21:42 - 2022-08-15 21:42 - 000001794 _____ C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2022-08-15 21:42 - 2022-08-15 21:42 - 000001794 _____ C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-08-15 21:42 - 2022-08-15 21:42 - 000001794 _____ C:\Users\Администратор\AppData\Roaming\how_to_decrypt.hta
2022-08-15 21:42 - 2022-08-15 21:42 - 000001794 _____ C:\Users\Администратор\AppData\LocalLow\how_to_decrypt.hta
2022-08-15 21:42 - 2022-08-15 21:42 - 000001794 _____ C:\Users\Администратор\AppData\Local\Temp\how_to_decrypt.hta
2022-08-15 21:42 - 2022-08-15 21:42 - 000001794 _____ C:\Users\Администратор\AppData\how_to_decrypt.hta
2022-08-15 21:42 - 2022-08-15 21:42 - 000001794 _____ C:\Users\Public\how_to_decrypt.hta
2022-08-15 21:42 - 2022-08-15 21:42 - 000001794 _____ C:\Users\Public\Downloads\how_to_decrypt.hta
2022-08-15 21:42 - 2022-08-15 21:42 - 000001794 _____ C:\Users\John\how_to_decrypt.hta
2022-08-15 21:41 - 2022-08-15 21:41 - 000001794 _____ C:\Users\John\Downloads\how_to_decrypt.hta
2022-08-15 21:41 - 2022-08-15 21:41 - 000001794 _____ C:\Users\John\Documents\how_to_decrypt.hta
2022-08-15 21:41 - 2022-08-15 21:41 - 000001794 _____ C:\Users\John\Desktop\how_to_decrypt.hta
2022-08-15 21:41 - 2022-08-15 21:41 - 000001794 _____ C:\Users\John\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2022-08-15 21:41 - 2022-08-15 21:41 - 000001794 _____ C:\Users\John\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-08-15 21:41 - 2022-08-15 21:41 - 000001794 _____ C:\Users\John\AppData\Roaming\how_to_decrypt.hta
2022-08-15 21:41 - 2022-08-15 21:41 - 000001794 _____ C:\Users\John\AppData\LocalLow\how_to_decrypt.hta
2022-08-15 21:41 - 2022-08-15 21:41 - 000001794 _____ C:\Users\John\AppData\how_to_decrypt.hta
2022-08-15 21:40 - 2022-08-15 21:40 - 000001794 _____ C:\Users\Public\Documents\how_to_decrypt.hta
2022-08-15 21:40 - 2022-08-15 21:40 - 000001794 _____ C:\Users\Public\Desktop\how_to_decrypt.hta
2022-08-15 21:40 - 2022-08-15 21:40 - 000001794 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2022-08-15 21:40 - 2022-08-15 21:40 - 000001794 _____ C:\ProgramData\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-08-15 21:40 - 2022-08-15 21:40 - 000001794 _____ C:\ProgramData\how_to_decrypt.hta
2022-08-15 21:40 - 2022-08-15 21:40 - 000001794 _____ C:\Program Files\how_to_decrypt.hta
2022-08-15 21:40 - 2022-08-15 21:40 - 000001794 _____ C:\Program Files (x86)\how_to_decrypt.hta
2022-08-15 21:39 - 2022-08-15 21:39 - 000001794 _____ C:\Users\how_to_decrypt.hta
2022-08-15 21:39 - 2022-08-15 21:39 - 000001794 _____ C:\Program Files\Common Files\how_to_decrypt.hta
2022-08-15 21:38 - 2022-08-15 21:38 - 000001794 _____ C:\Users\Администратор\Desktop\how_to_decrypt.hta
2022-08-15 21:36 - 2022-08-15 21:36 - 000001794 _____ C:\Users\John\AppData\Local\Temp\how_to_decrypt.hta
2022-08-15 21:34 - 2017-08-13 23:32 - 001424896 _____ (Misc314) C:\Users\John\Desktop\mouselock.exe
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.

3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

 

  • Обратите внимание: перезагрузку компьютера нужно выполнить вручную после данного скрипта.


 

Ссылка на сообщение
Поделиться на другие сайты

Пользователь Active необходим для запуска определенных служб для работы нашего ПО.

Пользователь John этот пользователь для подключения по RDP наших разработчиков которые обслуживают наше специфическое ПО БД. Вот тут и прокол наш, был проброшен порт и стоял фильтр для входа только с определенного IP, но так получилось что его сняли и не поставили обратно - выходит сами виноваты

Fixlog.txt

Ссылка на сообщение
Поделиться на другие сайты

Огромное спасибо, самое важное восстановили - базы MS SQL. Но еще остаются некоторые файлы зашифрованные, просьба помочь нам с ними также 

Files_4.zip

Ссылка на сообщение
Поделиться на другие сайты

Маленькими порциями удается восстанавливать шифрованные файлы. Во вложении архив с очередным шифрованным примером. Спасибо.

Files_5.zip

Ссылка на сообщение
Поделиться на другие сайты

Снова ключ расшифровал лишь несколько файлов. От 300 по 2500 файлов с одним ключом где получется расшифровать. Прилагаю следующий файл с данными

 

Files_6.zip

Ссылка на сообщение
Поделиться на другие сайты

Огромное спасибо, Вы очень помогли нам. 99% зашифрованных файлов расшифрованы (остались единицы, но можно считать их «мусором») 👍 Благодарю, отличная работа!

Ссылка на сообщение
Поделиться на другие сайты
  • thyrex changed the title to [РАСШИФРОВАНО] Зашифрован hopeandhonest@smime.ninja.[466FB7AE-9A661982]
  • thyrex закрыл тема
Гость
Эта тема закрыта для публикации ответов.
  • Похожий контент

    • Stepan1992
      От Stepan1992
      Добрый день! Попался как то я на вирус шифровальщика в 2020 году, с тех пор ОС не переустановливал, но файлы остались хотелось расшифровать если это возможно и никак не мог найти решение и вот пишу сюда чтоб кто то помог если это возможно.
      Во вложении файлы логи с Farbar Recovery Scan Tool и примеры файдов расшифровки  файлы с требованием к сожалению были сразу удалены
      FRST64.zip Duplicate File Remover v3.5.1287 Build 34 Final Eng_Rus.rar
    • davidbayra
      От davidbayra
      Здравствуйте примерно в это-же время у меня случилось та же проблема, на win7 зашифровались все файлы этим же шифровальщиком(fairexchange@qq.com), я тоже отложил диск до лучших времен и вот сейчас увидел это сообщение на форуме я обрадовался. Подскажите как мне расшифровать данные? Приложил пример зашифрованного файла. Спасибо!
      Документы №20933363040.Pdf[fairexchange@qq.com].zip
       
      Сообщение от модератора thyrex Перенесено из темы https://forum.kasperskyclub.ru/topic/424464-rasshifrovano-shifrovalshhik-fairexchangeqqcom/  
    • vangeraman
      От vangeraman
      Всем привет) надеюсь всё верно оформил)
      В далёком 21 году на почту пришло письмо, которое открыли, все файлы на харде зашифровались, на тот момент решения не было, отложили винт. Сейчас как понял есть возможность расшифровки.
      Стояла win 7 x64 на тот момент, сейчас её нет, расшифровывать буду (если будет конечно возможность) на win 10 x64.
      Прикрепляю 2 архива, в одном файлы зашифрованные, во втором how_to_decrypt (пароль к обоим "infected" без кавычек).
       
      Прошу помощи в расшифровке.
      how_to_decrypt.zip Диана.zip
    • Shk
      От Shk
      Здравствуйте! Поймали эту гадость вероятнее всего через RDP. Зашифровала все до чего дотянулась.
      Диск с файлами вытащили, систему переставили. Подскажите пожалуйста, можно их расшифровать ?
      Virus.rar
    • QueenBlack
      От QueenBlack
      Доброго дня.
      Пришла беда, прошу помощи.
       
         var start_date = new Date('May 26 2023 23:52:20');
          var discount_date = new Date('May 28 2023 23:52:20');
          var end_date = new Date('May 31 2023 23:52:20');
          var main_contact = '@rudecrypt';
          var second_contact = 'telegramID@rudecrypt';
          var hid = '[6243493E-BBF995AE]';
          var telegram_link = 'https://telegram.org/';
       
      Addition.txt FRST.txt crypt.7z how_to_decrypt.7z
×
×
  • Создать...