lokilocker Шифровальщик локи.

[Genas]

Добрый день, форумчане!

Помогите разобраться с шифровальщиком Loki. Зашифровал файлы и испортил систему на сервере. 

 

Frst.7zFetching info... EncriptedFiles.7zFetching info...

[Genas]

Так не на один профиль не могу войти 

[Sandor]

Здравствуйте!

 

К сожалению, расшифровки этого типа вымогателя нет.

 

  On 07.11.2023 at 14:43, Genas said:

не на один профиль не могу войти

Expand  

Пролечите систему с помощью KRD, если не планируете переустановку.

[Genas]

  On 08.11.2023 at 08:01, Sandor said:

Здравствуйте!

 

К сожалению, расшифровки этого типа вымогателя нет.

 

Пролечите систему с помощью KRD, если не планируете переустановку.

Expand  

Обязательно KRD использовать? Касперский премиум прибил этого негодяя и там есть опция восстановить.

[Sandor]

Я предложил KRD, т.к. вы написали, что не можете войти в систему. Конечно, можно воспользоваться и Премиумом.

[Genas]

Подскажите, плс, после чистки Kaspersky Premium новый профиль создался с зашифрованным ярлыками на рабочем столе. Это что может быть?

[Sandor]

Ярлыки вероятно лежат на общем столе, типа c:\Users\Public\Desktop\

 

Соберите логи Farbar, посмотрим нужно ли что дочистить.

[Genas]

 

  On 08.11.2023 at 13:29, Sandor said:

Ярлыки вероятно лежат на общем столе, типа c:\Users\Public\Desktop\

 

Соберите логи Farbar, посмотрим нужно ли что дочистить.

Expand  

frst.7zFetching info...

Логи собрал, посмотрите, плс.

[Sandor]

Повреждённые учётные записи (профили) придётся пересоздавать.

Пароли на админских учётках смените и сократите их количество до одной.

 

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
  Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
  FirewallRules: [{3C2E3216-D451-4770-B786-D041654023CC}] => (Allow) C:\Program Files (x86)\Remote Manipulator System - Host\rutserv.exe => Нет файла
  FirewallRules: [{C13669A7-73DB-42F8-9394-F3C3F7FECB91}] => (Allow) LPort=54925
  FirewallRules: [{F530AE91-2B4B-45CC-80D0-45D6F01613EB}] => (Allow) LPort=22
  FirewallRules: [{5287F404-47E7-4CC9-A433-E4E2951B5437}] => (Allow) LPort=22
  FirewallRules: [{C2B62029-B053-4E3A-9161-68B17B59B76F}] => (Block) C:\users\секретарь\documents\1c-connect\bin\bph_rda\rms\rutserv.exe => Нет файла
  FirewallRules: [{C07B9FCE-BFDB-4066-86FF-690E1B9EC872}] => (Block) C:\users\секретарь\documents\1c-connect\bin\bph_rda\rms\rutserv.exe => Нет файла
  FirewallRules: [UDP Query User{4F6069C2-98EF-4489-AF33-F9DC9E7052DC}C:\users\секретарь\documents\1c-connect\bin\bph_rda\rms\rutserv.exe] => (Allow) C:\users\секретарь\documents\1c-connect\bin\bph_rda\rms\rutserv.exe => Нет файла
  FirewallRules: [TCP Query User{9C7EBFF0-CC2F-4F7B-8713-04E7B426226E}C:\users\секретарь\documents\1c-connect\bin\bph_rda\rms\rutserv.exe] => (Allow) C:\users\секретарь\documents\1c-connect\bin\bph_rda\rms\rutserv.exe => Нет файла
  FirewallRules: [{A7B240A8-D799-434D-8828-2FB9AE7DA04D}] => (Allow) LPort=80
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

[Genas]

  On 08.11.2023 at 14:13, Sandor said:

Повреждённые учётные записи (профили) придётся пересоздавать.

Пароли на админских учётках смените и сократите их количество до одной.

 

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  CloseProcesses:
  SystemRestore: On
  CreateRestorePoint:
  GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
  Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
  FirewallRules: [{3C2E3216-D451-4770-B786-D041654023CC}] => (Allow) C:\Program Files (x86)\Remote Manipulator System - Host\rutserv.exe => Нет файла
  FirewallRules: [{C13669A7-73DB-42F8-9394-F3C3F7FECB91}] => (Allow) LPort=54925
  FirewallRules: [{F530AE91-2B4B-45CC-80D0-45D6F01613EB}] => (Allow) LPort=22
  FirewallRules: [{5287F404-47E7-4CC9-A433-E4E2951B5437}] => (Allow) LPort=22
  FirewallRules: [{C2B62029-B053-4E3A-9161-68B17B59B76F}] => (Block) C:\users\секретарь\documents\1c-connect\bin\bph_rda\rms\rutserv.exe => Нет файла
  FirewallRules: [{C07B9FCE-BFDB-4066-86FF-690E1B9EC872}] => (Block) C:\users\секретарь\documents\1c-connect\bin\bph_rda\rms\rutserv.exe => Нет файла
  FirewallRules: [UDP Query User{4F6069C2-98EF-4489-AF33-F9DC9E7052DC}C:\users\секретарь\documents\1c-connect\bin\bph_rda\rms\rutserv.exe] => (Allow) C:\users\секретарь\documents\1c-connect\bin\bph_rda\rms\rutserv.exe => Нет файла
  FirewallRules: [TCP Query User{9C7EBFF0-CC2F-4F7B-8713-04E7B426226E}C:\users\секретарь\documents\1c-connect\bin\bph_rda\rms\rutserv.exe] => (Allow) C:\users\секретарь\documents\1c-connect\bin\bph_rda\rms\rutserv.exe => Нет файла
  FirewallRules: [{A7B240A8-D799-434D-8828-2FB9AE7DA04D}] => (Allow) LPort=80
  Reboot:
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

Expand  

Fixlog.7z Готово

[Sandor]

Уязвимые места и устаревшее критическое ПО можно проверить так:

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

 

[Genas]

  On 08.11.2023 at 14:54, Sandor said:

Уязвимые места и устаревшее критическое ПО можно проверить так:

 

• Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
• Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
• Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите этот файл к своему следующему сообщению.

 

 

Expand  

SecurityCheck.txt Готово

[Sandor]

На заметку - Рекомендации после удаления вредоносного ПО