n3ww4v3 Прошу помощи с дешифровкой. help@inboxhub.net support007@mailfence.com

[hunnyr]

Здравствуйте

Заразили сетевую машину, в пятницу, заметили во вторник. 

Зашифровали 1.1m файлов

Из наблюдений, машина жёстко висела и еле откликалась. Диспетчер задач был заблокирован, режим управления питанием тоже.

Из найденных файлов смог найти только список обработанных файлов

hashlist.txt

В виду безысходности остановки сего беспредела, в экстренном порядке откатил систему на неделю назад

Проверка авирой, малваребайтом никаких результатов не дали. Остальные машины в локальной сети не взяли, лишь перешли на открытый сетевой диск и начали шифровать там..

 

 

Логи и кусочек hashlist.txt прилагаю. 

Прошу отклинкуться и помочь при возможности.

Спасибо

 

 

Logs.zip Desktop.zip Записка.txt

[Sandor]

Здравствуйте!

 

К сожалению, расшифровки этого типа вымогателя нет.

 

Деинсталлируйте нежелательное ПО - Bonjour

 

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiSpyware] Restriction <==== ATTENTION
  HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiVirus] Restriction <==== ATTENTION
  HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Restriction <==== ATTENTION
  GroupPolicy: Restriction ? <==== ATTENTION
  Policies: C:\ProgramData\NTUSER.pol: Restriction <==== ATTENTION
  S3 TermService; C:\Program Files\RDP Wrapper\rdpwrap.dll [116736 2021-07-12] (Stas'M Corp.) [File not signed] <==== ATTENTION (no ServiceDLL)
  2022-09-13 11:04 - 2022-09-13 11:42 - 000001920 _____ C:\Users\hunny\AppData\Local\How-to-decrypt.txt
  2022-09-11 21:09 - 2022-09-11 21:09 - 000001920 _____ C:\Users\TC21\AppData\Local\How-to-decrypt.txt
  2022-09-11 21:03 - 2022-09-13 11:36 - 000001920 _____ C:\How-to-decrypt.txt
  FirewallRules: [{6E48B2A2-BFC8-495E-A10A-3B642883ECD4}] => (Allow) LPort=23389
  FirewallRules: [{B62EB12C-7134-41ED-A3B4-F99822770795}] => (Allow) LPort=1972
  FirewallRules: [{06771023-BF4B-447E-B84D-49EE09F99DA0}] => (Allow) LPort=1972
  FirewallRules: [{4E3DC208-9C22-4B94-895D-EFC0796136F0}] => (Allow) LPort=3389
  FirewallRules: [{96647E32-229B-46A5-BA37-F831B6C82800}] => (Allow) C:\Program Files\Bonjour\mDNSResponder.exe (Apple Inc. -> Apple Inc.)
  FirewallRules: [{8A22FD5A-E7DC-4E32-B86B-02D70189E0CE}] => (Allow) C:\Program Files\Bonjour\mDNSResponder.exe (Apple Inc. -> Apple Inc.)
  FirewallRules: [{8DDF84A5-C9EE-413B-B9D0-9C90D4A6AA62}] => (Allow) C:\Program Files (x86)\Bonjour\mDNSResponder.exe (Apple Inc. -> Apple Inc.)
  FirewallRules: [{81A98CC6-6879-4BE3-AF44-E330EA773B91}] => (Allow) C:\Program Files (x86)\Bonjour\mDNSResponder.exe (Apple Inc. -> Apple Inc.)
  EmptyTemp:
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[hunnyr]

Прилепил, спасибо за помощь

Fixlog_15-09-2022 09.20.57.txt

[Sandor]

Скрипт отработал успешно.

Проверьте уязвимые места и устаревшее критическое ПО:

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10/11)
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

 

[hunnyr]

Здравствуйте

Готово

SecurityCheck.txt

[Sandor]

------------------------------- [ Windows ] -------------------------------
User Account Control enabled
The elevation prompt for administrators disabled
^It is recommended to enable (default): Win+R typing UserAccountControlSettings and Enter^
--------------------------- [ OtherUtilities ] ----------------------------
TeamViewer v.15.32.3 Warning! Download Update
LibreOffice 7.1.2.2 v.7.1.2.2 Warning! Download Update
FileZilla Server v.beta 0.9.60 Warning! Download Update
------------------------------ [ ArchAndFM ] ------------------------------
7-Zip 19.00 (x64) v.19.00 Warning! Download Update
Uninstall old version and install new one.
--------------------------- [ AdobeProduction ] ---------------------------
Adobe SVG Viewer 3.0 v. 3.0 Warning! This software is no longer supported. Please uninstall it.
---------------------------- [ UnwantedApps ] -----------------------------
Avira System Speedup v.6.20.0.11426 << Hidden Warning! Suspected demo version of anti-spyware, driver updater or optimizer. If this program is not familiar to you it is recommended to uninstall it and execute PC scanning using Malwarebytes Anti-Malware. Possible you became a victim of fraud or social engineering. Computer experts no longer recommend this program.
 

 

Обратите внимание на перечисленное и по возможности исправьте.

 

Читайте Рекомендации после удаления вредоносного ПО

[hunnyr]

Большое спасибо за помощь, если будет возможность раскриптовать, дайте знать пожалуйста