Перейти к содержанию

Прошу помощи с дешифровкой. help@inboxhub.net support007@mailfence.com


Рекомендуемые сообщения

Здравствуйте

Заразили сетевую машину, в пятницу, заметили во вторник. 

Зашифровали 1.1m файлов

Из наблюдений, машина жёстко висела и еле откликалась. Диспетчер задач был заблокирован, режим управления питанием тоже.

Из найденных файлов смог найти только список обработанных файлов

hashlist.txt

В виду безысходности остановки сего беспредела, в экстренном порядке откатил систему на неделю назад

Проверка авирой, малваребайтом никаких результатов не дали. Остальные машины в локальной сети не взяли, лишь перешли на открытый сетевой диск и начали шифровать там..

 

 

Логи и кусочек hashlist.txt прилагаю. 

Прошу отклинкуться и помочь при возможности.

Спасибо

 

 

Logs.zip Desktop.zip Записка.txt

Ссылка на сообщение
Поделиться на другие сайты

Здравствуйте!

 

К сожалению, расшифровки этого типа вымогателя нет.

 

Деинсталлируйте нежелательное ПО - Bonjour

 

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Start::
    CloseProcesses:
    SystemRestore: On
    CreateRestorePoint:
    HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiSpyware] Restriction <==== ATTENTION
    HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiVirus] Restriction <==== ATTENTION
    HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Restriction <==== ATTENTION
    GroupPolicy: Restriction ? <==== ATTENTION
    Policies: C:\ProgramData\NTUSER.pol: Restriction <==== ATTENTION
    S3 TermService; C:\Program Files\RDP Wrapper\rdpwrap.dll [116736 2021-07-12] (Stas'M Corp.) [File not signed] <==== ATTENTION (no ServiceDLL)
    2022-09-13 11:04 - 2022-09-13 11:42 - 000001920 _____ C:\Users\hunny\AppData\Local\How-to-decrypt.txt
    2022-09-11 21:09 - 2022-09-11 21:09 - 000001920 _____ C:\Users\TC21\AppData\Local\How-to-decrypt.txt
    2022-09-11 21:03 - 2022-09-13 11:36 - 000001920 _____ C:\How-to-decrypt.txt
    FirewallRules: [{6E48B2A2-BFC8-495E-A10A-3B642883ECD4}] => (Allow) LPort=23389
    FirewallRules: [{B62EB12C-7134-41ED-A3B4-F99822770795}] => (Allow) LPort=1972
    FirewallRules: [{06771023-BF4B-447E-B84D-49EE09F99DA0}] => (Allow) LPort=1972
    FirewallRules: [{4E3DC208-9C22-4B94-895D-EFC0796136F0}] => (Allow) LPort=3389
    FirewallRules: [{96647E32-229B-46A5-BA37-F831B6C82800}] => (Allow) C:\Program Files\Bonjour\mDNSResponder.exe (Apple Inc. -> Apple Inc.)
    FirewallRules: [{8A22FD5A-E7DC-4E32-B86B-02D70189E0CE}] => (Allow) C:\Program Files\Bonjour\mDNSResponder.exe (Apple Inc. -> Apple Inc.)
    FirewallRules: [{8DDF84A5-C9EE-413B-B9D0-9C90D4A6AA62}] => (Allow) C:\Program Files (x86)\Bonjour\mDNSResponder.exe (Apple Inc. -> Apple Inc.)
    FirewallRules: [{81A98CC6-6879-4BE3-AF44-E330EA773B91}] => (Allow) C:\Program Files (x86)\Bonjour\mDNSResponder.exe (Apple Inc. -> Apple Inc.)
    EmptyTemp:
    Reboot:
    End::

     

  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Ссылка на сообщение
Поделиться на другие сайты

Скрипт отработал успешно.

Проверьте уязвимые места и устаревшее критическое ПО:

  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/8.1/10/11)
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.


 
Ссылка на сообщение
Поделиться на другие сайты

------------------------------- [ Windows ] -------------------------------
User Account Control enabled
The elevation prompt for administrators disabled
^It is recommended to enable (default): Win+R typing UserAccountControlSettings and Enter^
--------------------------- [ OtherUtilities ] ----------------------------
TeamViewer v.15.32.3 Warning! Download Update
LibreOffice 7.1.2.2 v.7.1.2.2 Warning! Download Update
FileZilla Server v.beta 0.9.60 Warning! Download Update
------------------------------ [ ArchAndFM ] ------------------------------
7-Zip 19.00 (x64) v.19.00 Warning! Download Update
Uninstall old version and install new one.
--------------------------- [ AdobeProduction ] ---------------------------
Adobe SVG Viewer 3.0 v. 3.0 Warning! This software is no longer supported. Please uninstall it.
---------------------------- [ UnwantedApps ] -----------------------------
Avira System Speedup v.6.20.0.11426 << Hidden Warning! Suspected demo version of anti-spyware, driver updater or optimizer. If this program is not familiar to you it is recommended to uninstall it and execute PC scanning using Malwarebytes Anti-Malware. Possible you became a victim of fraud or social engineering. Computer experts no longer recommend this program.
 

 

Обратите внимание на перечисленное и по возможности исправьте.

 

Читайте Рекомендации после удаления вредоносного ПО

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

×
×
  • Создать...