Перейти к содержанию

Поймали шифровальщик Ozo6BiOmg


Рекомендуемые сообщения

Во вложенном файле есть пару личных файлов, а также используемые системой несколько небольших каталогов Windows с общеиспользуемыми файлами, которые могут быть во всех системах (может помочь при сравнении).

 

Addition.txt FRST.txt Ozo6BiOmg.zip

Ссылка на комментарий
Поделиться на другие сайты

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мышиКопировать)

Start::
CloseProcesses:
CreateRestorePoint:
HKLM\...\Policies\Explorer: [SettingsPageVisibility] hide:privacy-automaticfiledownloads;windowsdefender;gaming-broadcasting;gaming-gamebar;gaming-gamedvr;gaming-gamemode;gaming-trueplay;gaming-xboxnetworking;windowsinsider
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
File: C:\Users\Алена\Downloads\Aкт cвepки взaимopacчeтoв за период 01.09.2023 - 21.11.2023 года.exe
Virustotal: C:\Users\Алена\Downloads\Aкт cвepки взaимopacчeтoв за период 01.09.2023 - 21.11.2023 года.exe
File: C:\Users\Алена\AppData\Roaming\2868.tmp.exe
Virustotal: C:\Users\Алена\AppData\Roaming\2868.tmp.exe
File: C:\Users\Алена\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe
Virustotal: C:\Users\Алена\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\Policies\system: [DisableTaskMgr] 1
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {187d4b05-350c-11ed-8a60-1c6f65d9bd1f} - "H:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {187d538f-350c-11ed-8a60-1c6f65d9bd1f} - "H:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {187d53dc-350c-11ed-8a60-1c6f65d9bd1f} - "H:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {187d541c-350c-11ed-8a60-1c6f65d9bd1f} - "H:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {187d5520-350c-11ed-8a60-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {187d55a8-350c-11ed-8a60-1c6f65d9bd1f} - "H:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {58bad916-34c8-11ed-8a5a-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {5d39afc8-4954-11ed-8a62-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {5d39b48f-4954-11ed-8a62-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {64ad9918-34d6-11ed-8a5b-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {64ad9998-34d6-11ed-8a5b-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {69c1e2e0-34db-11ed-8a5d-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {69c1e40c-34db-11ed-8a5d-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {69c1e4eb-34db-11ed-8a5d-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {69c1e5f1-34db-11ed-8a5d-1c6f65d9bd1f} - "H:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {69c1e65b-34db-11ed-8a5d-1c6f65d9bd1f} - "G:\AutoRun.exe" 
C:\Users\Алена\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe
C:\Users\Алена\AppData\Local\Temp\Rar$EXa10640.33881\Aкт cвepки взaимopacчeтoв за период 01.09.2023 - 21.11.2023 года.exe
Task: {481BB64A-3A2F-418B-8451-8438D69BE707} - System32\Tasks\Hewlett-Packard\HP Support Assistant\HP Support Solutions Framework Report => C:\Program Files (x86)\Hewlett-Packard\HP Support Solutions\Modules\HPSFReport.exe  /send (Нет файла)
Task: {A1331681-3F52-4BE4-BB2B-F307BB015ACE} - System32\Tasks\Hewlett-Packard\HP Support Assistant\HP Support Solutions Framework Updater => C:\Program Files (x86)\Hewlett-Packard\HP Support Solutions\Modules\HPSSFUpdater.exe  /f (Нет файла)
2023-12-02 14:09 - 2023-12-02 14:09 - 000190040 _____ (Microsoft ® JScript Diagnostics) C:\Users\Алена\AppData\Roaming\2868.tmp.exe
2023-12-02 14:06 - 2023-12-02 14:06 - 000190040 _____ (Microsoft ® JScript Diagnostics) C:\Users\Алена\AppData\Local\Temp\2868.tmp.exe
2023-11-22 17:00 - 2023-11-21 12:45 - 000123128 _____ (JP Japanese Keyboard Layout for 106) C:\Users\Алена\Downloads\Aкт cвepки взaимopacчeтoв за период 01.09.2023 - 21.11.2023 года.exe
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\Run: [2868.tmp] => C:\Users\Алена\AppData\Roaming\2868.tmp.exe [190040 2023-12-02] (Nevada -> Microsoft ® JScript Diagnostics) [Файл не подписан] <==== ВНИМАНИЕ
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\Run: [BraveUpdater.exe] => C:\Users\Алена\AppData\Local\Temp\Rar$EXa10640.33881\Aкт cвepки взaимopacчeтoв за период 01.09.2023 - 21.11.2023 года.exe [123128 2023-11-21] (Zabix -> JP Japanese Keyboard Layout for 106) [Файл не подписан] <==== ВНИМАНИЕ
Startup: C:\Users\Алена\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe [2023-12-02] () [Файл не подписан] <==== ВНИМАНИЕ
FirewallRules: [Block Cortana ActionUriServer.exe] => (Block) C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\ActionUriServer.exe => Нет файла
FirewallRules: [Block Cortana PlacesServer.exe] => (Block) C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\PlacesServer.exe => Нет файла
FirewallRules: [Block Cortana RemindersServer.exe] => (Block) C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\RemindersServer.exe => Нет файла
FirewallRules: [Block Cortana RemindersShareTargetApp.exe] => (Block) C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\RemindersShareTargetApp.exe => Нет файла
FirewallRules: [Block Cortana SearchUI.exe] => (Block) C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\SearchUI.exe => Нет файла
FirewallRules: [{F5E0E7A8-590D-4198-A45A-A1E44724342F}] => (Allow) C:\Users\Алена\Downloads\AnyDesk.exe => Нет файла
FirewallRules: [{5DFFBD9F-AA5B-47A4-821E-3F71B51C92F8}] => (Allow) C:\Users\Алена\Downloads\AnyDesk.exe => Нет файла
FirewallRules: [{54B85464-BFEA-48CE-983C-E0C9DF9D17BF}] => (Allow) C:\Users\Алена\Downloads\AnyDesk.exe => Нет файла
FirewallRules: [{711D5129-D7EC-4377-8C11-C3AAB77B4D11}] => (Allow) C:\Users\Алена\Downloads\AnyDesk.exe => Нет файла
FirewallRules: [{841F8AB7-412A-49F7-8FC3-4FE1DFEF3BE9}] => (Allow) C:\Users\Алена\Downloads\AnyDesk.exe => Нет файла
FirewallRules: [{14FB065A-C6E8-4E93-B000-2318D6F923BE}] => (Allow) C:\Users\Алена\Downloads\AnyDesk.exe => Нет файла
Reboot:
End::


2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

  • Обратите внимание: будет выполнена перезагрузка компьютера.


 
  • Like (+1) 1
Ссылка на комментарий
Поделиться на другие сайты

Папку C:\FRST\Quarantine заархивируйте с паролем malware123, выложите на https://dropmefiles.com и пришлите ссылку на скачивание мне в личные сообщения 

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • alexlaev
      Автор alexlaev
      Доброго бодрого, придя на работу в понедельник пришло осознание того что на сервере происходит что-то неладное, появились файлы с расширением .[nullhex@2mail.co].0C8D0E91
      Ничего не поняв, начал искать что могло произойти, один из компьютеров был подвержен атаке, в ночь с пятницы на субботу по местному времени в 3:30 утра 28.06.2025 было совершено подключение по RDP к данному компьютеру. После анализа действий программы Clipdiary (благо была установлена на компьютере) было выявлено что злоумышленник владеет всей информацией о паролях от сервера, пользователей, список пользователей в сети, и начал свою атаку глубже. Этот компьютер имел админку к серверу, поэтому злоумышленник без труда добрался до него и начал шифровать данные как и на двух других компьютерах. По итогу то ли то что злоумышленнику стало скучно, то ли из-за того что компьютер завис в этот момент (на часах было 10:03 29.06.2025 (я смотрел на время на экране уже на следующий день в понедельник 30.06.2025 в 11:30, поэтому обратил внимание сразу что время не совпадает и комп заблокирован и завис)) у злоумышленника доступ к серверу пропал, потому как по RDP только из локалки можно к нему цепляться. Файлы незначительные повреждены, но уже восстановлены из бэкапа(благо делается каждый день)
      А вот с компьютерами меньше повезло, три компа полностью зашифрованы. Прилагаю файлы и проверку в программе указанной в теме правил.
      vse tut.rar
    • DanilDanil
      Автор DanilDanil
      Словил на VM шифровальщик. GPT в deepsearch предположил, что это mimic ( N3ww4v3) - на основе проанализированных зашифрованных файлов и оставленной злоумышленниками записке. Зашифрованны базы данных. Бэкапов не было...
      Есть ли возможность дешифровать? Вот это оставили злоумышленники. Зашифрованный файл прикрепить не могу, форум ограничивает.
      Important_Notice.txt
    • dampe
      Автор dampe
      Добрый день! прошу помощи, может кто то уже смог решить эту проблему. На облачный сервер проник вирус и зашифровал файлы, БД и заблокировал битлокером диск. Прикладываю лог Elcomsoft Encrypted Disk Hunter и пример зашифрованного файла
      EEDH - 02.03.2025 13-20-38.log ВМТ.pdf.rar
    • user344
      Автор user344
      Здравствуйте! Недавно компьютер в простое начинает переодически нагружаться до 100%, вентиляторы начинают крутить на полную в течении 5-10 минут, только начинаешь водить мышкой по рабочему столу, то сразу же нагрузка падает до дефолтных значений. Проверял лечащай утилитой др.веб и kvrt они вирусов не нашли.
      CollectionLog-2025.06.25-21.11.zip
    • ViZorT
      Автор ViZorT
      Поймали шифровальщик blackpanther@mailum.
      ОС не переустанавливалась.
      Прошу помощи.
      Файл шифровальщика, предположительно, удалось найти. Имеется архив с ним.
      Спасибо.
      Addition.txt Desktop.rar FRST.txt
×
×
  • Создать...