n3ww4v3 Зашифрованы файлы на нескольких машинах в сети

[Zakhar Sergeich]

Добрый день.

При очистке ПК нашлись трояны mimikatz и mimilove.

Есть ли шансы расшифровать?

Desktop.zipПолучение информации... Addition.txtПолучение информации... FRST.txtПолучение информации...

[safety]

Добрый день,

 

Логи FRST необходимо переделать из под учетной записи Администратора.

  Quote

Запущено с помощью Отдел Кадров (ВНИМАНИЕ: Пользователь не является Администратором) на ОТДЕЛКАДРОВ-HP (Hewlett-Packard HP3520 Aio) (13-11-2023 18:23:17)

Expand  

 

Судя по записки о выкупе файлы зашифрованы Mimic/N3wwv43 ransomware, на текущий момент, к сожалению, без расшифровки.

 

Если нужна будет помощь в очистке системы, напишите об этом.

Изменено 14 ноября, 2023 пользователем safety

[Zakhar Sergeich]

Да, точно, прошу прощения.

Addition.txtПолучение информации... FRST.txtПолучение информации...

[safety]

Сделайте, пожалуйста, дополнительно образ автозапуска в uVS.

 

1. Скачать архив программы можно отсюда:

2. Распакуйте данный архив с программой в отдельный каталог и запустите файл Start.exe
(для Vista, Win7, Win8, Win10 запускаем с правами администратора)
3. В стартовом окне программы - нажмите "запустить под текущим пользователем"
(если текущий пользователь с правами администратора).

4. Далее, меню "Файл" / Сохранить Полный образ автозапуска.

5. дождитесь, пока процесс создания файла образа завершится.
Сохраненный файл образа автозапуска (с именем Ваш_компьютер_дата_время.txt) автоматически добавится в архив 7z или rar.
6. Файл архива с образом автозапуска прикрепите к вашему сообщению на форуме. Ждем ответ.

Изменено 14 ноября, 2023 пользователем safety

[Zakhar Sergeich]

Готово.

ОТДЕЛКАДРОВ-HP_2023-11-14_12-39-02_v4.14.1.7zПолучение информации...

[safety]

Спасибо,

Судя по логам в системе нет активных файлов шифровальщика. С расшифровкой, к сожалению не сможем помочь.

Сохраните важные зашифрованные файлы на отдельный носитель, возможно в будущем, расшифровка станет возможной.

Обратите внимание, чтобы удаленное подключение к данному ПК по RDP было разрешено из Интернета только с безопасных(белых) адресов.

[Zakhar Sergeich]

Спасибо в любом случае, узнал про две новые полезные утилиты!

[safety]

по предыдущим примерам с данным типом файлы шифровальщика могут размещаться примерно в таких папках:

{9B24D914-D8F5-5C43-5F18-C6758674D7BB}

Используются легальные файлы

Everything32.dll, Everything.exe, sdel.exe, sdel64.exe, 7za.exe