Перейти к содержанию

Рекомендуемые сообщения

Опубликовано

Добрый день, форумчане!

Помогите разобраться с шифровальщиком Loki. Зашифровал файлы и испортил систему на сервере. 

 

Frst.7z EncriptedFiles.7z

Опубликовано

Здравствуйте!

 

К сожалению, расшифровки этого типа вымогателя нет.

 

17 часов назад, Genas сказал:

не на один профиль не могу войти

Пролечите систему с помощью KRD, если не планируете переустановку.

Опубликовано
13 minutes ago, Sandor said:

Здравствуйте!

 

К сожалению, расшифровки этого типа вымогателя нет.

 

Пролечите систему с помощью KRD, если не планируете переустановку.

Обязательно KRD использовать? Касперский премиум прибил этого негодяя и там есть опция восстановить.

image.thumb.png.bee6457d552785e0d3d1f2cdb2372eae.png

Опубликовано

Я предложил KRD, т.к. вы написали, что не можете войти в систему. Конечно, можно воспользоваться и Премиумом.

Опубликовано

Подскажите, плс, после чистки Kaspersky Premium новый профиль создался с зашифрованным ярлыками на рабочем столе. Это что может быть?

Опубликовано

Ярлыки вероятно лежат на общем столе, типа c:\Users\Public\Desktop\

 

Соберите логи Farbar, посмотрим нужно ли что дочистить.

Опубликовано

 

26 minutes ago, Sandor said:

Ярлыки вероятно лежат на общем столе, типа c:\Users\Public\Desktop\

 

Соберите логи Farbar, посмотрим нужно ли что дочистить.

frst.7z

Логи собрал, посмотрите, плс.

Опубликовано

Повреждённые учётные записи (профили) придётся пересоздавать.

Пароли на админских учётках смените и сократите их количество до одной.

 

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Start::
    CloseProcesses:
    SystemRestore: On
    CreateRestorePoint:
    GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
    Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
    HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
    FirewallRules: [{3C2E3216-D451-4770-B786-D041654023CC}] => (Allow) C:\Program Files (x86)\Remote Manipulator System - Host\rutserv.exe => Нет файла
    FirewallRules: [{C13669A7-73DB-42F8-9394-F3C3F7FECB91}] => (Allow) LPort=54925
    FirewallRules: [{F530AE91-2B4B-45CC-80D0-45D6F01613EB}] => (Allow) LPort=22
    FirewallRules: [{5287F404-47E7-4CC9-A433-E4E2951B5437}] => (Allow) LPort=22
    FirewallRules: [{C2B62029-B053-4E3A-9161-68B17B59B76F}] => (Block) C:\users\секретарь\documents\1c-connect\bin\bph_rda\rms\rutserv.exe => Нет файла
    FirewallRules: [{C07B9FCE-BFDB-4066-86FF-690E1B9EC872}] => (Block) C:\users\секретарь\documents\1c-connect\bin\bph_rda\rms\rutserv.exe => Нет файла
    FirewallRules: [UDP Query User{4F6069C2-98EF-4489-AF33-F9DC9E7052DC}C:\users\секретарь\documents\1c-connect\bin\bph_rda\rms\rutserv.exe] => (Allow) C:\users\секретарь\documents\1c-connect\bin\bph_rda\rms\rutserv.exe => Нет файла
    FirewallRules: [TCP Query User{9C7EBFF0-CC2F-4F7B-8713-04E7B426226E}C:\users\секретарь\documents\1c-connect\bin\bph_rda\rms\rutserv.exe] => (Allow) C:\users\секретарь\documents\1c-connect\bin\bph_rda\rms\rutserv.exe => Нет файла
    FirewallRules: [{A7B240A8-D799-434D-8828-2FB9AE7DA04D}] => (Allow) LPort=80
    Reboot:
    End::

     

  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Опубликовано
37 minutes ago, Sandor said:

Повреждённые учётные записи (профили) придётся пересоздавать.

Пароли на админских учётках смените и сократите их количество до одной.

 

  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    
    Start::
    CloseProcesses:
    SystemRestore: On
    CreateRestorePoint:
    GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
    Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
    HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
    FirewallRules: [{3C2E3216-D451-4770-B786-D041654023CC}] => (Allow) C:\Program Files (x86)\Remote Manipulator System - Host\rutserv.exe => Нет файла
    FirewallRules: [{C13669A7-73DB-42F8-9394-F3C3F7FECB91}] => (Allow) LPort=54925
    FirewallRules: [{F530AE91-2B4B-45CC-80D0-45D6F01613EB}] => (Allow) LPort=22
    FirewallRules: [{5287F404-47E7-4CC9-A433-E4E2951B5437}] => (Allow) LPort=22
    FirewallRules: [{C2B62029-B053-4E3A-9161-68B17B59B76F}] => (Block) C:\users\секретарь\documents\1c-connect\bin\bph_rda\rms\rutserv.exe => Нет файла
    FirewallRules: [{C07B9FCE-BFDB-4066-86FF-690E1B9EC872}] => (Block) C:\users\секретарь\documents\1c-connect\bin\bph_rda\rms\rutserv.exe => Нет файла
    FirewallRules: [UDP Query User{4F6069C2-98EF-4489-AF33-F9DC9E7052DC}C:\users\секретарь\documents\1c-connect\bin\bph_rda\rms\rutserv.exe] => (Allow) C:\users\секретарь\documents\1c-connect\bin\bph_rda\rms\rutserv.exe => Нет файла
    FirewallRules: [TCP Query User{9C7EBFF0-CC2F-4F7B-8713-04E7B426226E}C:\users\секретарь\documents\1c-connect\bin\bph_rda\rms\rutserv.exe] => (Allow) C:\users\секретарь\documents\1c-connect\bin\bph_rda\rms\rutserv.exe => Нет файла
    FirewallRules: [{A7B240A8-D799-434D-8828-2FB9AE7DA04D}] => (Allow) LPort=80
    Reboot:
    End::

     

  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.


Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Fixlog.7z Готово

Опубликовано

Уязвимые места и устаревшее критическое ПО можно проверить так:

  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.


 
Опубликовано
21 hours ago, Sandor said:

Уязвимые места и устаревшее критическое ПО можно проверить так:

 

  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.

 


 

SecurityCheck.txt Готово

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Ser25
      Автор Ser25
      Взломали пароль и зашифровали удаленный комп. Пока ничего не предпринимал
      20250507.7z
    • Пользователь 1551
      Автор Пользователь 1551
      Добрый день! У нас аналогичная ситуация? Удалось расшифровать?
       
      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.
    • Thunderer
      Автор Thunderer
      Зашифровали файлы на компьютере и все общие папки 
      Подключились к компьютеру по RDP 
      В архиве логи frst, зашифрованный и расшифрованный файлы
      -Файлы.zip
    • Сергей_00
      Автор Сергей_00
      Добрый день!
      Сегодня шифровальщик зашифровал большую часть нужных файлов, благо выключили компьютер из розетки...
      В результате остались файлы в папке запуска подозрительного файла   svhostss.exe, а именно в папке c:\users\пользователь\BD3FDDDF-6CAF-3EBC-D9CF-C8DF72D8F78A\svhostss.exe
      следующие файлы:
      Everything.db
      Everything32.dll
      Everything64.dll
      session.tmp
      svhostss.exe
       
      быть может есть возможность дешифровать данные? 
    • bygi13
      Автор bygi13
      Вирус шифровальщик
×
×
  • Создать...