lockbit v3 black Поймали шифровальщик Ozo6BiOmg

[AndrewS]

Во вложенном файле есть пару личных файлов, а также используемые системой несколько небольших каталогов Windows с общеиспользуемыми файлами, которые могут быть во всех системах (может помочь при сравнении).

 

Addition.txt FRST.txt Ozo6BiOmg.zip

[thyrex]

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать)

Start::
CloseProcesses:
CreateRestorePoint:
HKLM\...\Policies\Explorer: [SettingsPageVisibility] hide:privacy-automaticfiledownloads;windowsdefender;gaming-broadcasting;gaming-gamebar;gaming-gamedvr;gaming-gamemode;gaming-trueplay;gaming-xboxnetworking;windowsinsider
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
File: C:\Users\Алена\Downloads\Aкт cвepки взaимopacчeтoв за период 01.09.2023 - 21.11.2023 года.exe
Virustotal: C:\Users\Алена\Downloads\Aкт cвepки взaимopacчeтoв за период 01.09.2023 - 21.11.2023 года.exe
File: C:\Users\Алена\AppData\Roaming\2868.tmp.exe
Virustotal: C:\Users\Алена\AppData\Roaming\2868.tmp.exe
File: C:\Users\Алена\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe
Virustotal: C:\Users\Алена\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\Policies\system: [DisableTaskMgr] 1
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {187d4b05-350c-11ed-8a60-1c6f65d9bd1f} - "H:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {187d538f-350c-11ed-8a60-1c6f65d9bd1f} - "H:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {187d53dc-350c-11ed-8a60-1c6f65d9bd1f} - "H:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {187d541c-350c-11ed-8a60-1c6f65d9bd1f} - "H:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {187d5520-350c-11ed-8a60-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {187d55a8-350c-11ed-8a60-1c6f65d9bd1f} - "H:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {58bad916-34c8-11ed-8a5a-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {5d39afc8-4954-11ed-8a62-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {5d39b48f-4954-11ed-8a62-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {64ad9918-34d6-11ed-8a5b-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {64ad9998-34d6-11ed-8a5b-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {69c1e2e0-34db-11ed-8a5d-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {69c1e40c-34db-11ed-8a5d-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {69c1e4eb-34db-11ed-8a5d-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {69c1e5f1-34db-11ed-8a5d-1c6f65d9bd1f} - "H:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {69c1e65b-34db-11ed-8a5d-1c6f65d9bd1f} - "G:\AutoRun.exe" 
C:\Users\Алена\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe
C:\Users\Алена\AppData\Local\Temp\Rar$EXa10640.33881\Aкт cвepки взaимopacчeтoв за период 01.09.2023 - 21.11.2023 года.exe
Task: {481BB64A-3A2F-418B-8451-8438D69BE707} - System32\Tasks\Hewlett-Packard\HP Support Assistant\HP Support Solutions Framework Report => C:\Program Files (x86)\Hewlett-Packard\HP Support Solutions\Modules\HPSFReport.exe  /send (Нет файла)
Task: {A1331681-3F52-4BE4-BB2B-F307BB015ACE} - System32\Tasks\Hewlett-Packard\HP Support Assistant\HP Support Solutions Framework Updater => C:\Program Files (x86)\Hewlett-Packard\HP Support Solutions\Modules\HPSSFUpdater.exe  /f (Нет файла)
2023-12-02 14:09 - 2023-12-02 14:09 - 000190040 _____ (Microsoft ® JScript Diagnostics) C:\Users\Алена\AppData\Roaming\2868.tmp.exe
2023-12-02 14:06 - 2023-12-02 14:06 - 000190040 _____ (Microsoft ® JScript Diagnostics) C:\Users\Алена\AppData\Local\Temp\2868.tmp.exe
2023-11-22 17:00 - 2023-11-21 12:45 - 000123128 _____ (JP Japanese Keyboard Layout for 106) C:\Users\Алена\Downloads\Aкт cвepки взaимopacчeтoв за период 01.09.2023 - 21.11.2023 года.exe
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\Run: [2868.tmp] => C:\Users\Алена\AppData\Roaming\2868.tmp.exe [190040 2023-12-02] (Nevada -> Microsoft ® JScript Diagnostics) [Файл не подписан] <==== ВНИМАНИЕ
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\Run: [BraveUpdater.exe] => C:\Users\Алена\AppData\Local\Temp\Rar$EXa10640.33881\Aкт cвepки взaимopacчeтoв за период 01.09.2023 - 21.11.2023 года.exe [123128 2023-11-21] (Zabix -> JP Japanese Keyboard Layout for 106) [Файл не подписан] <==== ВНИМАНИЕ
Startup: C:\Users\Алена\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe [2023-12-02] () [Файл не подписан] <==== ВНИМАНИЕ
FirewallRules: [Block Cortana ActionUriServer.exe] => (Block) C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\ActionUriServer.exe => Нет файла
FirewallRules: [Block Cortana PlacesServer.exe] => (Block) C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\PlacesServer.exe => Нет файла
FirewallRules: [Block Cortana RemindersServer.exe] => (Block) C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\RemindersServer.exe => Нет файла
FirewallRules: [Block Cortana RemindersShareTargetApp.exe] => (Block) C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\RemindersShareTargetApp.exe => Нет файла
FirewallRules: [Block Cortana SearchUI.exe] => (Block) C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\SearchUI.exe => Нет файла
FirewallRules: [{F5E0E7A8-590D-4198-A45A-A1E44724342F}] => (Allow) C:\Users\Алена\Downloads\AnyDesk.exe => Нет файла
FirewallRules: [{5DFFBD9F-AA5B-47A4-821E-3F71B51C92F8}] => (Allow) C:\Users\Алена\Downloads\AnyDesk.exe => Нет файла
FirewallRules: [{54B85464-BFEA-48CE-983C-E0C9DF9D17BF}] => (Allow) C:\Users\Алена\Downloads\AnyDesk.exe => Нет файла
FirewallRules: [{711D5129-D7EC-4377-8C11-C3AAB77B4D11}] => (Allow) C:\Users\Алена\Downloads\AnyDesk.exe => Нет файла
FirewallRules: [{841F8AB7-412A-49F7-8FC3-4FE1DFEF3BE9}] => (Allow) C:\Users\Алена\Downloads\AnyDesk.exe => Нет файла
FirewallRules: [{14FB065A-C6E8-4E93-B000-2318D6F923BE}] => (Allow) C:\Users\Алена\Downloads\AnyDesk.exe => Нет файла
Reboot:
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.
  

 

[AndrewS]

Fixlog.txt

[thyrex]

Папку C:\FRST\Quarantine заархивируйте с паролем malware123, выложите на https://dropmefiles.com и пришлите ссылку на скачивание мне в личные сообщения 

[thyrex]

Увы, с расшифровкой помочь не сможем.