Перейти к содержанию

Поймали вирус-шифровальщик


Рекомендуемые сообщения

Следующую операцию выполните в нормальном режиме (не в безопасном). Самого вымогателя уже нет и шифрование не продолжится.

 

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Start::
    IFEO\wrsa.exe: [Debugger] C:\Windows\uddi.exe
    2022-12-15 08:49 - 2022-12-15 08:49 - 000005469 _____ C:\Users\Public\Desktop\info.hta
    2022-12-15 08:49 - 2022-12-15 08:49 - 000005469 _____ C:\Users\dalex\Desktop\info.hta
    2022-12-15 08:49 - 2022-12-15 08:49 - 000005469 _____ C:\info.hta
    2022-12-15 08:49 - 2022-12-15 08:49 - 000000194 _____ C:\Users\Public\Desktop\info.txt
    2022-12-15 08:49 - 2022-12-15 08:49 - 000000194 _____ C:\Users\dalex\Desktop\info.txt
    2022-12-15 08:49 - 2022-12-15 08:49 - 000000194 _____ C:\info.txt
    FirewallRules: [{F775F561-C68B-4A78-9B00-4815EA4A8B27}] => (Allow) LPort=1591
    FirewallRules: [{64CA2987-EE72-4012-BD17-6365601A889A}] => (Allow) LPort=1591
    FirewallRules: [{31D3DE99-DE64-4936-AB2B-CDFCF63FB044}] => (Allow) LPort=80
    FirewallRules: [{0973F53C-AB90-49E9-8647-95512BE4EAB8}] => (Allow) LPort=3389
    End::

     

  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер перезагрузите вручную.

Подробнее читайте в этом руководстве.

 

Пароль на учётную запись администратора смените.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • alexlaev
      Автор alexlaev
      Доброго бодрого, придя на работу в понедельник пришло осознание того что на сервере происходит что-то неладное, появились файлы с расширением .[nullhex@2mail.co].0C8D0E91
      Ничего не поняв, начал искать что могло произойти, один из компьютеров был подвержен атаке, в ночь с пятницы на субботу по местному времени в 3:30 утра 28.06.2025 было совершено подключение по RDP к данному компьютеру. После анализа действий программы Clipdiary (благо была установлена на компьютере) было выявлено что злоумышленник владеет всей информацией о паролях от сервера, пользователей, список пользователей в сети, и начал свою атаку глубже. Этот компьютер имел админку к серверу, поэтому злоумышленник без труда добрался до него и начал шифровать данные как и на двух других компьютерах. По итогу то ли то что злоумышленнику стало скучно, то ли из-за того что компьютер завис в этот момент (на часах было 10:03 29.06.2025 (я смотрел на время на экране уже на следующий день в понедельник 30.06.2025 в 11:30, поэтому обратил внимание сразу что время не совпадает и комп заблокирован и завис)) у злоумышленника доступ к серверу пропал, потому как по RDP только из локалки можно к нему цепляться. Файлы незначительные повреждены, но уже восстановлены из бэкапа(благо делается каждый день)
      А вот с компьютерами меньше повезло, три компа полностью зашифрованы. Прилагаю файлы и проверку в программе указанной в теме правил.
      vse tut.rar
    • Vklass
      Автор Vklass
      Зашифровали сервер, пропала недельная работа, прощу помощи  логи FRST в архиве 
      Вирус 2.zip
    • dampe
      Автор dampe
      Добрый день! прошу помощи, может кто то уже смог решить эту проблему. На облачный сервер проник вирус и зашифровал файлы, БД и заблокировал битлокером диск. Прикладываю лог Elcomsoft Encrypted Disk Hunter и пример зашифрованного файла
      EEDH - 02.03.2025 13-20-38.log ВМТ.pdf.rar
    • Albert2025
      Автор Albert2025
      Добрый день.
      Подозреваю, что сегодня с флэшки случайно запустил вирус.
      Проверки файлов на флэшке через opentip.kaspersky.com выдает результаты HEUR:Trojan.Win64.Convagent.gen и Trojan.VBS.Starter.pl
      На компьютере при этом в Диспетчере задач есть какие-то неизвестные запущенные процессы.
      Но при этом проверка KVRT и DrWeb CureIt результатов не приносит, ничего не обнаруживается.
      Боюсь, что сидит какой-нибудь шифровальщик или троян, собирающий данные (пароли и т.д.).
        Прошу помочь разобраться, что делает этот вирус и как избавиться от него, во вложении архив с флэшки, пароль virus.
      Также в директории был еще файл *.dat, но он слишком большого размера, при помещении его в архив он превышает допустимый размер.
      P.S. Также приложил логи.
      rootdir1.rar
      CollectionLog-2025.05.20-11.45.zip
    • AlexYarm
      Автор AlexYarm
      Зашифровались файлы. Расширение файлов hardbit4. Прилагаю необходимые архивы. Прошу помочь с расшифровкой.
      Hardbit4Virus.zip
×
×
  • Создать...