Перейти к содержанию

[РАСШИФРОВАНО] Помогите расшифровать файлы от smime.ninja

Guest239410
 Поделиться

Рекомендуемые сообщения

Guest239410

Guest239410

Опубликовано
Опубликовано

Добрый день, компьютер заражен вирусом Smime.ninja, помогите расшифровать файлы

123.rar

Sandor

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код: 
    Start::
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-08-17] () [Файл не подписан]
Startup: C:\Users\FTS\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-08-17] () [Файл не подписан]
Startup: C:\Users\LotosADM\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-08-17] () [Файл не подписан]
Startup: C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-08-17] () [Файл не подписан]
Startup: C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-08-17] () [Файл не подписан]
2022-08-22 03:41 - 2022-08-17 18:01 - 000001794 _____ C:\Users\Admins\how_to_decrypt.hta
2022-08-22 03:41 - 2022-08-17 18:01 - 000001794 _____ C:\Users\Admins\Downloads\how_to_decrypt.hta
2022-08-22 03:41 - 2022-08-17 18:01 - 000001794 _____ C:\Users\Admins\Documents\how_to_decrypt.hta
2022-08-22 03:41 - 2022-08-17 18:00 - 000001794 _____ C:\Users\Admins\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2022-08-22 03:41 - 2022-08-17 18:00 - 000001794 _____ C:\Users\Admins\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-08-22 03:41 - 2022-08-17 18:00 - 000001794 _____ C:\Users\Admins\AppData\Roaming\how_to_decrypt.hta
2022-08-22 03:41 - 2022-08-17 18:00 - 000001794 _____ C:\Users\Admins\AppData\Local\Temp\how_to_decrypt.hta
2022-08-22 03:41 - 2022-08-17 18:00 - 000001794 _____ C:\Users\Admins\AppData\how_to_decrypt.hta
2022-08-17 18:03 - 2022-08-17 18:03 - 000001794 _____ C:\Users\Администратор\how_to_decrypt.hta
2022-08-17 18:03 - 2022-08-17 18:03 - 000001794 _____ C:\Users\Администратор\Downloads\how_to_decrypt.hta
2022-08-17 18:03 - 2022-08-17 18:03 - 000001794 _____ C:\Users\Администратор\Documents\how_to_decrypt.hta
2022-08-17 18:03 - 2022-08-17 18:03 - 000001794 _____ C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-08-17 18:03 - 2022-08-17 18:03 - 000001794 _____ C:\Users\Администратор\AppData\Roaming\how_to_decrypt.hta
2022-08-17 18:03 - 2022-08-17 18:03 - 000001794 _____ C:\Users\Администратор\AppData\how_to_decrypt.hta
2022-08-17 18:03 - 2022-08-17 18:03 - 000001794 _____ C:\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\Администратор\AppData\LocalLow\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\Администратор\AppData\Local\Temp\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\user\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\user\Downloads\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\user\Documents\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\user\Desktop\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\user\AppData\Roaming\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\user\AppData\LocalLow\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\user\AppData\Local\Temp\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\user\AppData\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\Public\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\Public\Downloads\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\MSSQLSERVER\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\MSSQLSERVER\Downloads\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\MSSQLSERVER\Documents\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\MSSQLSERVER\Desktop\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\MSSQLSERVER\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\MSSQLSERVER\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\MSSQLSERVER\AppData\Roaming\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\MSSQLSERVER\AppData\LocalLow\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\MSSQLSERVER\AppData\Local\Temp\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\MSSQLSERVER\AppData\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\LotosADM\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\LotosADM\Downloads\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\LotosADM\Documents\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\LotosADM\Desktop\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\LotosADM\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\LotosADM\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\LotosADM\AppData\Roaming\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\LotosADM\AppData\LocalLow\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\LotosADM\AppData\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\FTS\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\FTS\Downloads\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\FTS\Documents\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\FTS\Desktop\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\FTS\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\FTS\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\FTS\AppData\Roaming\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\FTS\AppData\LocalLow\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\FTS\AppData\Local\Temp\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\FTS\AppData\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\Default\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\Default\Downloads\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\Default\Documents\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\Default\Desktop\how_to_decrypt.hta
2022-08-17 18:00 - 2022-08-17 18:00 - 000001794 _____ C:\Users\Public\Documents\how_to_decrypt.hta
2022-08-17 18:00 - 2022-08-17 18:00 - 000001794 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2022-08-17 18:00 - 2022-08-17 18:00 - 000001794 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-08-17 18:00 - 2022-08-17 18:00 - 000001794 _____ C:\Users\Default\AppData\Roaming\how_to_decrypt.hta
2022-08-17 18:00 - 2022-08-17 18:00 - 000001794 _____ C:\Users\Default\AppData\Local\Temp\how_to_decrypt.hta
2022-08-17 18:00 - 2022-08-17 18:00 - 000001794 _____ C:\Users\Default\AppData\how_to_decrypt.hta
2022-08-17 18:00 - 2022-08-17 18:00 - 000001794 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2022-08-17 18:00 - 2022-08-17 18:00 - 000001794 _____ C:\ProgramData\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-08-17 18:00 - 2022-08-17 18:00 - 000001794 _____ C:\ProgramData\how_to_decrypt.hta
2022-08-17 18:00 - 2022-08-17 18:00 - 000001794 _____ C:\Program Files\how_to_decrypt.hta
2022-08-17 18:00 - 2022-08-17 18:00 - 000001794 _____ C:\Program Files (x86)\how_to_decrypt.hta
2022-08-17 17:59 - 2022-08-17 17:59 - 000001794 _____ C:\Users\LotosADM\AppData\Local\Temp\how_to_decrypt.hta
2022-08-17 17:59 - 2022-08-17 17:59 - 000001794 _____ C:\Users\how_to_decrypt.hta
2022-08-17 17:59 - 2022-08-17 17:59 - 000001794 _____ C:\Program Files\Common Files\how_to_decrypt.hta
2022-08-17 17:54 - 2017-08-13 22:32 - 001424896 _____ (Misc314) C:\Users\LotosADM\Desktop\mouselock.exe
FirewallRules: [{B58F877E-26BD-4CCC-BE56-2183B4BDC85D}] => (Allow) LPort=3894
FirewallRules: [{1C79334C-2E8E-44D3-87BC-09D2BF292619}] => (Allow) LPort=3930
FirewallRules: [{E1DB1CB7-7A0D-4D1D-8CAB-4CC78D14F978}] => (Allow) LPort=3895
FirewallRules: [{A40C4A3A-11EC-493F-8EB7-D98156939024}] => (Allow) LPort=5800
FirewallRules: [{5A3E7F22-96CF-493E-A0DE-FC8CA3555BCA}] => (Allow) LPort=5900
FirewallRules: [{9659EFDB-E69D-4E19-9DC8-398DEA23DBE2}] => (Allow) LPort=58900
FirewallRules: [{7448F295-BBB2-4E5C-96C9-C5C200DBE25F}] => (Allow) LPort=58901
FirewallRules: [{0D23AB47-3E2B-4937-85D7-7E820E131BF4}] => (Allow) LPort=58902
FirewallRules: [{91A54039-8286-4001-8259-C1AE7652DBD3}] => (Allow) Z:\bin\tools\aria2c.exe => Нет файла
FirewallRules: [{7F7081D0-A256-483C-9619-44DB3F12B615}] => (Allow) C:\Program Files (x86)\DriverPack Cloud\cloud.exe => Нет файла
End::

     

  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер перезагрузите вручную.

Подробнее читайте в этом руководстве.

Sandor

Sandor

Опубликовано
Опубликовано

Отлично.

 

В завершение проверьте уязвимые места:

 

Выполните скрипт в AVZ при наличии доступа в интернет: 

var
LogPath : string;
ScriptPath : string;
begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';
  if DownloadFile('https://www.df.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
    if DownloadFile('https://www.df.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. 
В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader.

Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления (если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

  • Sandor изменил название на [РАСШИФРОВАНО] Помогите расшифровать файлы от smime.ninja

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Alex2088
      помогите расшифровать файлы
      Автор Alex2088
      Здравствуйте помогите расшифровать файлы бызы 1с. Сылку для скачиваия файла прикриплю.
        https://dropmefiles.com/f0l5Y 
      Frank_Help.txt
       
      Сообщение от модератора kmscom тема перемещена из раздела Компьютерная помощь
    • Eaglex800
      Помогите расшифровать файлы.
      Автор Eaglex800
      Добрый день.
      Сегодня все файлы на компе оказались зашифрованными.
      К файлом добавилась запись
      NESCELKAIEBALOM
      при попытке открытия выходит:
      Помогите, пожалуйста.
    • Sergio1900
      Помогите расшифровать файлы Jami_decryptionguy
      Автор Sergio1900
      файл сканирования и пример.zip
    • Tadmin
      [РАСШИФРОВАНО] Помощь с восстановлением файлов после шифровальщика hopeandhonest@smime.ninja
      Автор Tadmin
      Около года или двух назад один из наших корпоративных пк был заражен шифровальщиком, на нем хранилось множество фотографий, которые зашифровались, тот пк был сразу отформатирован, но перед этим зашифрованные файлы были перемещены, сейчас в них появилась нужда, прикрепляю пример зашифрованных файлов.
      hopeandhonest@smime.ninja.zip
    • SZ1
      [Расшифровано] Помогите расшифровать файлы Trojan-Ransom.Win32.Crypmod.acdk
      Автор SZ1
      Здравствуйте, помогите расшифровать файлы зашифрованные шифровальщиком Trojan-Ransom.Win32.Crypmod.acdk
       
      Архив с зашифрованным файлом и шифровальщиком: удалено
      Пароль от архива: infect
       
      Строгое предупреждение от модератора Mark D. Pearlstone Не публикуйте вредоносные файлы и ссылки на них.
×
×
  • Создать...