Перейти к содержанию
Объявляем набор участников в программу «Развитие сообществ клуба в мессенджерах»
Конкурс по разработке Telegram-бота Kaspersky Club

[РАСШИФРОВАНО] Помогите расшифровать файлы от smime.ninja

Guest239410
 Поделиться

Рекомендуемые сообщения

Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Здравствуйте!

 

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код: 
    Start::
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-08-17] () [Файл не подписан]
Startup: C:\Users\FTS\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-08-17] () [Файл не подписан]
Startup: C:\Users\LotosADM\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-08-17] () [Файл не подписан]
Startup: C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-08-17] () [Файл не подписан]
Startup: C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-08-17] () [Файл не подписан]
2022-08-22 03:41 - 2022-08-17 18:01 - 000001794 _____ C:\Users\Admins\how_to_decrypt.hta
2022-08-22 03:41 - 2022-08-17 18:01 - 000001794 _____ C:\Users\Admins\Downloads\how_to_decrypt.hta
2022-08-22 03:41 - 2022-08-17 18:01 - 000001794 _____ C:\Users\Admins\Documents\how_to_decrypt.hta
2022-08-22 03:41 - 2022-08-17 18:00 - 000001794 _____ C:\Users\Admins\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2022-08-22 03:41 - 2022-08-17 18:00 - 000001794 _____ C:\Users\Admins\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-08-22 03:41 - 2022-08-17 18:00 - 000001794 _____ C:\Users\Admins\AppData\Roaming\how_to_decrypt.hta
2022-08-22 03:41 - 2022-08-17 18:00 - 000001794 _____ C:\Users\Admins\AppData\Local\Temp\how_to_decrypt.hta
2022-08-22 03:41 - 2022-08-17 18:00 - 000001794 _____ C:\Users\Admins\AppData\how_to_decrypt.hta
2022-08-17 18:03 - 2022-08-17 18:03 - 000001794 _____ C:\Users\Администратор\how_to_decrypt.hta
2022-08-17 18:03 - 2022-08-17 18:03 - 000001794 _____ C:\Users\Администратор\Downloads\how_to_decrypt.hta
2022-08-17 18:03 - 2022-08-17 18:03 - 000001794 _____ C:\Users\Администратор\Documents\how_to_decrypt.hta
2022-08-17 18:03 - 2022-08-17 18:03 - 000001794 _____ C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-08-17 18:03 - 2022-08-17 18:03 - 000001794 _____ C:\Users\Администратор\AppData\Roaming\how_to_decrypt.hta
2022-08-17 18:03 - 2022-08-17 18:03 - 000001794 _____ C:\Users\Администратор\AppData\how_to_decrypt.hta
2022-08-17 18:03 - 2022-08-17 18:03 - 000001794 _____ C:\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\Администратор\AppData\LocalLow\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\Администратор\AppData\Local\Temp\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\user\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\user\Downloads\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\user\Documents\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\user\Desktop\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\user\AppData\Roaming\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\user\AppData\LocalLow\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\user\AppData\Local\Temp\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\user\AppData\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\Public\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\Public\Downloads\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\MSSQLSERVER\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\MSSQLSERVER\Downloads\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\MSSQLSERVER\Documents\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\MSSQLSERVER\Desktop\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\MSSQLSERVER\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\MSSQLSERVER\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\MSSQLSERVER\AppData\Roaming\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\MSSQLSERVER\AppData\LocalLow\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\MSSQLSERVER\AppData\Local\Temp\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\MSSQLSERVER\AppData\how_to_decrypt.hta
2022-08-17 18:02 - 2022-08-17 18:02 - 000001794 _____ C:\Users\LotosADM\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\LotosADM\Downloads\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\LotosADM\Documents\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\LotosADM\Desktop\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\LotosADM\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\LotosADM\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\LotosADM\AppData\Roaming\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\LotosADM\AppData\LocalLow\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\LotosADM\AppData\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\FTS\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\FTS\Downloads\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\FTS\Documents\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\FTS\Desktop\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\FTS\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\FTS\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\FTS\AppData\Roaming\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\FTS\AppData\LocalLow\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\FTS\AppData\Local\Temp\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\FTS\AppData\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\Default\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\Default\Downloads\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\Default\Documents\how_to_decrypt.hta
2022-08-17 18:01 - 2022-08-17 18:01 - 000001794 _____ C:\Users\Default\Desktop\how_to_decrypt.hta
2022-08-17 18:00 - 2022-08-17 18:00 - 000001794 _____ C:\Users\Public\Documents\how_to_decrypt.hta
2022-08-17 18:00 - 2022-08-17 18:00 - 000001794 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2022-08-17 18:00 - 2022-08-17 18:00 - 000001794 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-08-17 18:00 - 2022-08-17 18:00 - 000001794 _____ C:\Users\Default\AppData\Roaming\how_to_decrypt.hta
2022-08-17 18:00 - 2022-08-17 18:00 - 000001794 _____ C:\Users\Default\AppData\Local\Temp\how_to_decrypt.hta
2022-08-17 18:00 - 2022-08-17 18:00 - 000001794 _____ C:\Users\Default\AppData\how_to_decrypt.hta
2022-08-17 18:00 - 2022-08-17 18:00 - 000001794 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2022-08-17 18:00 - 2022-08-17 18:00 - 000001794 _____ C:\ProgramData\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-08-17 18:00 - 2022-08-17 18:00 - 000001794 _____ C:\ProgramData\how_to_decrypt.hta
2022-08-17 18:00 - 2022-08-17 18:00 - 000001794 _____ C:\Program Files\how_to_decrypt.hta
2022-08-17 18:00 - 2022-08-17 18:00 - 000001794 _____ C:\Program Files (x86)\how_to_decrypt.hta
2022-08-17 17:59 - 2022-08-17 17:59 - 000001794 _____ C:\Users\LotosADM\AppData\Local\Temp\how_to_decrypt.hta
2022-08-17 17:59 - 2022-08-17 17:59 - 000001794 _____ C:\Users\how_to_decrypt.hta
2022-08-17 17:59 - 2022-08-17 17:59 - 000001794 _____ C:\Program Files\Common Files\how_to_decrypt.hta
2022-08-17 17:54 - 2017-08-13 22:32 - 001424896 _____ (Misc314) C:\Users\LotosADM\Desktop\mouselock.exe
FirewallRules: [{B58F877E-26BD-4CCC-BE56-2183B4BDC85D}] => (Allow) LPort=3894
FirewallRules: [{1C79334C-2E8E-44D3-87BC-09D2BF292619}] => (Allow) LPort=3930
FirewallRules: [{E1DB1CB7-7A0D-4D1D-8CAB-4CC78D14F978}] => (Allow) LPort=3895
FirewallRules: [{A40C4A3A-11EC-493F-8EB7-D98156939024}] => (Allow) LPort=5800
FirewallRules: [{5A3E7F22-96CF-493E-A0DE-FC8CA3555BCA}] => (Allow) LPort=5900
FirewallRules: [{9659EFDB-E69D-4E19-9DC8-398DEA23DBE2}] => (Allow) LPort=58900
FirewallRules: [{7448F295-BBB2-4E5C-96C9-C5C200DBE25F}] => (Allow) LPort=58901
FirewallRules: [{0D23AB47-3E2B-4937-85D7-7E820E131BF4}] => (Allow) LPort=58902
FirewallRules: [{91A54039-8286-4001-8259-C1AE7652DBD3}] => (Allow) Z:\bin\tools\aria2c.exe => Нет файла
FirewallRules: [{7F7081D0-A256-483C-9619-44DB3F12B615}] => (Allow) C:\Program Files (x86)\DriverPack Cloud\cloud.exe => Нет файла
End::

     

  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер перезагрузите вручную.

Подробнее читайте в этом руководстве.

Ссылка на комментарий
Поделиться на другие сайты
Sandor Мудрец

Sandor

Опубликовано
Опубликовано

Отлично.

 

В завершение проверьте уязвимые места:

 

Выполните скрипт в AVZ при наличии доступа в интернет: 

var
LogPath : string;
ScriptPath : string;
begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';
  if DownloadFile('https://www.df.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
    if DownloadFile('https://www.df.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. 
В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader.

Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления (если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

Ссылка на комментарий
Поделиться на другие сайты
  • Sandor изменил название на [РАСШИФРОВАНО] Помогите расшифровать файлы от smime.ninja

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Tadmin
      [РАСШИФРОВАНО] Помощь с восстановлением файлов после шифровальщика hopeandhonest@smime.ninja
      Автор Tadmin
      Около года или двух назад один из наших корпоративных пк был заражен шифровальщиком, на нем хранилось множество фотографий, которые зашифровались, тот пк был сразу отформатирован, но перед этим зашифрованные файлы были перемещены, сейчас в них появилась нужда, прикрепляю пример зашифрованных файлов.
      hopeandhonest@smime.ninja.zip
    • Gardens
      Помогите расшифровать файлы [darkmask@mailfence.com][auto].[D480B2A9-D7B702E4]
      Автор Gardens
      Добрый день.
      Несколько лет назад на один из пользовательских ПК попал шифровальщик,  а так как с него был выход на сетевое хранилище, в котором некоторые папки не были защищены паролем, шифратор проник и туда.
      Обращались по этому вопросу ранее, но не было дешифратора.
      Может быть теперь уже имеется возможность расшифровать? 
      GE_key-card_maket.ai[ darkmask@mailfence.com].rar
    • Alex2088
      помогите расшифровать файлы
      Автор Alex2088
      Здравствуйте помогите расшифровать файлы бызы 1с. Сылку для скачиваия файла прикриплю.
        https://dropmefiles.com/f0l5Y 
      Frank_Help.txt
       
      Сообщение от модератора kmscom тема перемещена из раздела Компьютерная помощь
    • Orbeatt
      Прошу помочь расшифровать. Есть Исходник и расшифрованный вариант от злоумышленника.
      Автор Orbeatt
      В архиве 2 файла упакованные шифровальщиком и они же расшифрованные злоумышленником. Прошу помочь со средством для расшифровки остальных файлов
      files2.rar
       
    • Namido
      Помогите избавиться от майнера
      Автор Namido
      Уже два года как меня терроризирует непонятный майнер, никакие средства очистки не находят абсолютно ничего. Признаки: периодически как будто бы удаленный доступ к ноуту, открываются вкладки, курсор живет своей жизнью, нагружается процессор, иногда при заходе на любой сайт вылезает окно всплывающее "пароль" и "логин" с сылкой на сайт с казино(zagent?что-то такое). Сегодня совершенно случайно чистила ноут и увидела в логе строку"проверка пользователя John", загуглила, увидела, что проблема не новая.

      CollectionLog-2025.04.20-20.12.zip
×
×
  • Создать...