Перейти к содержанию

Рекомендуемые сообщения

Опубликовано

Phobos. Для этого вымогателя пока нет способа дешифровки данных.

Опубликовано

@Dalex, сообщите, нужна ли помощь в очистке следов, если не планируете переустановку.

Опубликовано

Следующую операцию выполните в нормальном режиме (не в безопасном). Самого вымогателя уже нет и шифрование не продолжится.

 

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Start::
    IFEO\wrsa.exe: [Debugger] C:\Windows\uddi.exe
    2022-12-15 08:49 - 2022-12-15 08:49 - 000005469 _____ C:\Users\Public\Desktop\info.hta
    2022-12-15 08:49 - 2022-12-15 08:49 - 000005469 _____ C:\Users\dalex\Desktop\info.hta
    2022-12-15 08:49 - 2022-12-15 08:49 - 000005469 _____ C:\info.hta
    2022-12-15 08:49 - 2022-12-15 08:49 - 000000194 _____ C:\Users\Public\Desktop\info.txt
    2022-12-15 08:49 - 2022-12-15 08:49 - 000000194 _____ C:\Users\dalex\Desktop\info.txt
    2022-12-15 08:49 - 2022-12-15 08:49 - 000000194 _____ C:\info.txt
    FirewallRules: [{F775F561-C68B-4A78-9B00-4815EA4A8B27}] => (Allow) LPort=1591
    FirewallRules: [{64CA2987-EE72-4012-BD17-6365601A889A}] => (Allow) LPort=1591
    FirewallRules: [{31D3DE99-DE64-4936-AB2B-CDFCF63FB044}] => (Allow) LPort=80
    FirewallRules: [{0973F53C-AB90-49E9-8647-95512BE4EAB8}] => (Allow) LPort=3389
    End::

     

  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер перезагрузите вручную.

Подробнее читайте в этом руководстве.

 

Пароль на учётную запись администратора смените.

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • morose
      Автор morose
      Вы писали: @ant1tr3nd, Ваши файлы могут быть расшифрованы, напишите в ответ, если расшифровка еще актуальна для вас.  
      _SAM9939.jpg.id[36121455-3335].[Hunter-X@tuta.io].zip
    • Theodor
      Автор Theodor
      Шифровальщик Banta переписал присоединенный USB HDD 300ГБ за две-три минуты. Диски внутри машины размером в 1Тб переписаны за несколько минут. Файлы размером 5-100 ГБ не могли полностью переписаться за это время. Вероятно он работает только с оглавлением. Все файлы увеличены на разную величину от нескольких байт до сотен килобайт. В диспетчере задач не было видно никакого подозрительного приложения. Работали стандартные системные приложения. Т.е. наверное работал скрипт из стандартных системных команд. В корне каждого диска остался скрипт с именем info.hta который высвечивает на экране объявление о вымогательстве. Касперский не нашел ничего подозрительного. Другие антивирусы показали на троян в java update и указали на файлы скриптов в корне дисков.
       
      Из включенных антивирусов на момент заражения был только стандартный Microsoft. Поражены машины только с удаленным доступом по RDP.
       
      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.
    • tvo1207
      Автор tvo1207
      Здравствуйте добрые люди!
      Скажите, есть ли решение по данного рода шифровальщику - id[97n6f7k4-5254].[restore1_helper@gmx.de].banta
      Понимаю что нужны логи и архив самих файлов, но сейчас хоть частично восстанавливаем работу предприятия. Просто скажите, есть решение или нет. Видел теми данного рода были раньше.
      Спасибо большое!
    • Taras1707
      Автор Taras1707
      Доброго времени суток.
      Поймали шифровальщик
      restore1_helper@gmx.de].Banta
      Ещё нет возможности его расшифровать?
    • christian
      Автор christian
      Лог с контроллера. Посмотрите есть ли что-то вредоносное. 
      CollectionLog-2021.09.12-23.13.zip
×
×
  • Создать...