Перейти к содержанию

Поймали шифровальщик Ozo6BiOmg


Рекомендуемые сообщения

Во вложенном файле есть пару личных файлов, а также используемые системой несколько небольших каталогов Windows с общеиспользуемыми файлами, которые могут быть во всех системах (может помочь при сравнении).

 

Addition.txt FRST.txt Ozo6BiOmg.zip

Ссылка на комментарий
Поделиться на другие сайты

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мышиКопировать)

Start::
CloseProcesses:
CreateRestorePoint:
HKLM\...\Policies\Explorer: [SettingsPageVisibility] hide:privacy-automaticfiledownloads;windowsdefender;gaming-broadcasting;gaming-gamebar;gaming-gamedvr;gaming-gamemode;gaming-trueplay;gaming-xboxnetworking;windowsinsider
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
File: C:\Users\Алена\Downloads\Aкт cвepки взaимopacчeтoв за период 01.09.2023 - 21.11.2023 года.exe
Virustotal: C:\Users\Алена\Downloads\Aкт cвepки взaимopacчeтoв за период 01.09.2023 - 21.11.2023 года.exe
File: C:\Users\Алена\AppData\Roaming\2868.tmp.exe
Virustotal: C:\Users\Алена\AppData\Roaming\2868.tmp.exe
File: C:\Users\Алена\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe
Virustotal: C:\Users\Алена\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\Policies\system: [DisableTaskMgr] 1
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {187d4b05-350c-11ed-8a60-1c6f65d9bd1f} - "H:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {187d538f-350c-11ed-8a60-1c6f65d9bd1f} - "H:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {187d53dc-350c-11ed-8a60-1c6f65d9bd1f} - "H:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {187d541c-350c-11ed-8a60-1c6f65d9bd1f} - "H:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {187d5520-350c-11ed-8a60-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {187d55a8-350c-11ed-8a60-1c6f65d9bd1f} - "H:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {58bad916-34c8-11ed-8a5a-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {5d39afc8-4954-11ed-8a62-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {5d39b48f-4954-11ed-8a62-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {64ad9918-34d6-11ed-8a5b-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {64ad9998-34d6-11ed-8a5b-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {69c1e2e0-34db-11ed-8a5d-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {69c1e40c-34db-11ed-8a5d-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {69c1e4eb-34db-11ed-8a5d-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {69c1e5f1-34db-11ed-8a5d-1c6f65d9bd1f} - "H:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {69c1e65b-34db-11ed-8a5d-1c6f65d9bd1f} - "G:\AutoRun.exe" 
C:\Users\Алена\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe
C:\Users\Алена\AppData\Local\Temp\Rar$EXa10640.33881\Aкт cвepки взaимopacчeтoв за период 01.09.2023 - 21.11.2023 года.exe
Task: {481BB64A-3A2F-418B-8451-8438D69BE707} - System32\Tasks\Hewlett-Packard\HP Support Assistant\HP Support Solutions Framework Report => C:\Program Files (x86)\Hewlett-Packard\HP Support Solutions\Modules\HPSFReport.exe  /send (Нет файла)
Task: {A1331681-3F52-4BE4-BB2B-F307BB015ACE} - System32\Tasks\Hewlett-Packard\HP Support Assistant\HP Support Solutions Framework Updater => C:\Program Files (x86)\Hewlett-Packard\HP Support Solutions\Modules\HPSSFUpdater.exe  /f (Нет файла)
2023-12-02 14:09 - 2023-12-02 14:09 - 000190040 _____ (Microsoft ® JScript Diagnostics) C:\Users\Алена\AppData\Roaming\2868.tmp.exe
2023-12-02 14:06 - 2023-12-02 14:06 - 000190040 _____ (Microsoft ® JScript Diagnostics) C:\Users\Алена\AppData\Local\Temp\2868.tmp.exe
2023-11-22 17:00 - 2023-11-21 12:45 - 000123128 _____ (JP Japanese Keyboard Layout for 106) C:\Users\Алена\Downloads\Aкт cвepки взaимopacчeтoв за период 01.09.2023 - 21.11.2023 года.exe
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\Run: [2868.tmp] => C:\Users\Алена\AppData\Roaming\2868.tmp.exe [190040 2023-12-02] (Nevada -> Microsoft ® JScript Diagnostics) [Файл не подписан] <==== ВНИМАНИЕ
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\Run: [BraveUpdater.exe] => C:\Users\Алена\AppData\Local\Temp\Rar$EXa10640.33881\Aкт cвepки взaимopacчeтoв за период 01.09.2023 - 21.11.2023 года.exe [123128 2023-11-21] (Zabix -> JP Japanese Keyboard Layout for 106) [Файл не подписан] <==== ВНИМАНИЕ
Startup: C:\Users\Алена\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe [2023-12-02] () [Файл не подписан] <==== ВНИМАНИЕ
FirewallRules: [Block Cortana ActionUriServer.exe] => (Block) C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\ActionUriServer.exe => Нет файла
FirewallRules: [Block Cortana PlacesServer.exe] => (Block) C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\PlacesServer.exe => Нет файла
FirewallRules: [Block Cortana RemindersServer.exe] => (Block) C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\RemindersServer.exe => Нет файла
FirewallRules: [Block Cortana RemindersShareTargetApp.exe] => (Block) C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\RemindersShareTargetApp.exe => Нет файла
FirewallRules: [Block Cortana SearchUI.exe] => (Block) C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\SearchUI.exe => Нет файла
FirewallRules: [{F5E0E7A8-590D-4198-A45A-A1E44724342F}] => (Allow) C:\Users\Алена\Downloads\AnyDesk.exe => Нет файла
FirewallRules: [{5DFFBD9F-AA5B-47A4-821E-3F71B51C92F8}] => (Allow) C:\Users\Алена\Downloads\AnyDesk.exe => Нет файла
FirewallRules: [{54B85464-BFEA-48CE-983C-E0C9DF9D17BF}] => (Allow) C:\Users\Алена\Downloads\AnyDesk.exe => Нет файла
FirewallRules: [{711D5129-D7EC-4377-8C11-C3AAB77B4D11}] => (Allow) C:\Users\Алена\Downloads\AnyDesk.exe => Нет файла
FirewallRules: [{841F8AB7-412A-49F7-8FC3-4FE1DFEF3BE9}] => (Allow) C:\Users\Алена\Downloads\AnyDesk.exe => Нет файла
FirewallRules: [{14FB065A-C6E8-4E93-B000-2318D6F923BE}] => (Allow) C:\Users\Алена\Downloads\AnyDesk.exe => Нет файла
Reboot:
End::


2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

  • Обратите внимание: будет выполнена перезагрузка компьютера.


 
  • Like (+1) 1
Ссылка на комментарий
Поделиться на другие сайты

Папку C:\FRST\Quarantine заархивируйте с паролем malware123, выложите на https://dropmefiles.com и пришлите ссылку на скачивание мне в личные сообщения 

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • barkalova
      Автор barkalova
      Поймали шифровальщик gatilavtuz@msg на рабочую машину,  попросили за дешифровку 400 000р! Есть ли какой то способ вернуть файлы? помогите!
      Addition.txt FRST.txt Desktop.rar
    • dampe
      Автор dampe
      Добрый день! прошу помощи, может кто то уже смог решить эту проблему. На облачный сервер проник вирус и зашифровал файлы, БД и заблокировал битлокером диск. Прикладываю лог Elcomsoft Encrypted Disk Hunter и пример зашифрованного файла
      EEDH - 02.03.2025 13-20-38.log ВМТ.pdf.rar
    • bakankovaelena
      Автор bakankovaelena
      Сегодня утром были "обрадованы". Кто такой, какой тип не знаем. Есть только письмо от вымогателя и пара незашифрованных/зашифрованных файлов. Я сама не программист и с утилитой Farbar пока не справилась, надеюсь, что завтра кто-нибудь поможет и будет более полная информация.
      Файлы с файлами прилагаю
      OLD.7z
    • АлександрЛ.
      Автор АлександрЛ.
      Добрый день!
       
      Большая просьба дать инструкции и помочь с дешифровкой, если это возможно.
       
      Названия файлов такие: 20151225_173456.jpg.[MJ-RZ8234915670](decodehop@gmail.com ).hop_dec.
    • Константин174
      Автор Константин174
      Всем Привет проблема поймали вирус [nullhexxx@gmail.com].EAE6F491 есть варианты как избавиться ??????
       
      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.
×
×
  • Создать...