Перейти к содержанию

Взломали офисную винду, стояла 1С, вообще не понимаю что делать, как восстановить, помогите пожалуйста.


Рекомендуемые сообщения

Опубликовано

Взломали офисную винду, стояла 1С, вообще не понимаю что делать, как восстановить, помогите пожалуйста.

 

Я не смог запуститьна том компе ничего, вставленная флешка была моментально заражена.  И вот заражённые файлы я вложил сюда во вложении

 

 

 

 

FRST64.exe.id[B08CFBD2-3349].[johnhelper777@gmx.de].rar key.txt.id[B08CFBD2-3349].[johnhelper777@gmx.de].rar

Опубликовано

Здравствуйте!

 

К сожалению, расшифровки этого типа вымогателя нет.

Опубликовано

Я смог закинуть туда файл FRST64.exe   и создать  текстовые файлы что требуются.  Не посмотрите не получится ли помочь?

 

 

Опубликовано

Я эти файлы посмотрел и на их основании сделал вывод. Тип вымогателя Phobos, расшифровки нет, увы.

Опубликовано

Если нужна помощь в очистке системы от мусора и следов вымогателя, добавьте лог Addition.txt и соберите CollectionLog Автологером по этой инструкции.

 

Опубликовано
7 минут назад, Neo05 сказал:

Продолжить по инструкции без запуска их?

Да, интересует только архив CollectionLog от Автологера.

Опубликовано

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Fast.exe', '');
 DeleteFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Fast.exe', '64');
 RegKeyDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupfolder\C:^ProgramData^Microsoft^Windows^Start Menu^Programs^Startup^Fast.exe', '64');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(20);
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

 

Компьютер перезагрузится.

 

Удалите старые и соберите новые отчёты FRST.txt и Addition.txt

 

Опубликовано (изменено)
Цитата

Загруженные профили: False <==== ВНИМАНИЕ (Временный профиль?)


Нормально войти в систему не получается?

Цитата

Drive C () (Fixed) (Total:49.9 GB) (Free:3.09 GB)

Очень мало места на системном диске.

 

Моё мнение - лучше всего систему переустановить, предварительно скопировав нужные данные на внешний носитель.

Пять учётных записей с правами администратора - много. Учтите на будущее.

Изменено пользователем Sandor
Опубликовано
3 часа назад, Sandor сказал:

Нормально войти в систему не получается?

Нет, не получается.  Как то странно входит и частенько как будто впервые после установки в профиль входишь - в левом верхнем углу возникает окошко временное - создание профиля и т.п.   надписи.

 

 

3 часа назад, Sandor сказал:

Моё мнение - лучше всего систему переустановить, предварительно скопировав нужные данные на внешний носитель.

 

Боюсь потерять данные базы 1С.   

Больше ничего нельзя сделать?

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • morose
      Автор morose
      Вы писали: @ant1tr3nd, Ваши файлы могут быть расшифрованы, напишите в ответ, если расшифровка еще актуальна для вас.  
      _SAM9939.jpg.id[36121455-3335].[Hunter-X@tuta.io].zip
    • прохожанка
      Автор прохожанка
      Добрый день.
      Подскажите, пожалуйста, какой антивирус выбрать для организации при следующих условиях:
      -55 компов, из них 1 макбук
      -основная работа в 1с, расположенной на удаленном сервере
      -канал настроен на микротике
      -сетевые папки расположены на виртуальном сервере
      -используются виртуальные машины, расположенные на другом виртуальном сервере.
      Вопросы нубские, предполагаю, но я не спец. Меня озадачили подыскать антивирус, но я заблудилась в предлагаемых вариантах ((
      хэлп ми, плиз
      зы: что мне узнать у более знающих, чтобы картина была понятнее?
    • Theodor
      Автор Theodor
      Шифровальщик Banta переписал присоединенный USB HDD 300ГБ за две-три минуты. Диски внутри машины размером в 1Тб переписаны за несколько минут. Файлы размером 5-100 ГБ не могли полностью переписаться за это время. Вероятно он работает только с оглавлением. Все файлы увеличены на разную величину от нескольких байт до сотен килобайт. В диспетчере задач не было видно никакого подозрительного приложения. Работали стандартные системные приложения. Т.е. наверное работал скрипт из стандартных системных команд. В корне каждого диска остался скрипт с именем info.hta который высвечивает на экране объявление о вымогательстве. Касперский не нашел ничего подозрительного. Другие антивирусы показали на троян в java update и указали на файлы скриптов в корне дисков.
       
      Из включенных антивирусов на момент заражения был только стандартный Microsoft. Поражены машины только с удаленным доступом по RDP.
       
      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.
    • tvo1207
      Автор tvo1207
      Здравствуйте добрые люди!
      Скажите, есть ли решение по данного рода шифровальщику - id[97n6f7k4-5254].[restore1_helper@gmx.de].banta
      Понимаю что нужны логи и архив самих файлов, но сейчас хоть частично восстанавливаем работу предприятия. Просто скажите, есть решение или нет. Видел теми данного рода были раньше.
      Спасибо большое!
    • Taras1707
      Автор Taras1707
      Доброго времени суток.
      Поймали шифровальщик
      restore1_helper@gmx.de].Banta
      Ещё нет возможности его расшифровать?
×
×
  • Создать...