Перейти к содержанию

Поймали шифровальщик Ozo6BiOmg

AndrewS
 Share Подписчики 1

Рекомендуемые сообщения

AndrewS

AndrewS 0

Опубликовано
Опубликовано

Во вложенном файле есть пару личных файлов, а также используемые системой несколько небольших каталогов Windows с общеиспользуемыми файлами, которые могут быть во всех системах (может помочь при сравнении).

 

Addition.txt FRST.txt Ozo6BiOmg.zip

Ссылка на сообщение
Поделиться на другие сайты
thyrex

thyrex 1 468

Опубликовано
Опубликовано

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать) 

Start::
CloseProcesses:
CreateRestorePoint:
HKLM\...\Policies\Explorer: [SettingsPageVisibility] hide:privacy-automaticfiledownloads;windowsdefender;gaming-broadcasting;gaming-gamebar;gaming-gamedvr;gaming-gamemode;gaming-trueplay;gaming-xboxnetworking;windowsinsider
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
File: C:\Users\Алена\Downloads\Aкт cвepки взaимopacчeтoв за период 01.09.2023 - 21.11.2023 года.exe
Virustotal: C:\Users\Алена\Downloads\Aкт cвepки взaимopacчeтoв за период 01.09.2023 - 21.11.2023 года.exe
File: C:\Users\Алена\AppData\Roaming\2868.tmp.exe
Virustotal: C:\Users\Алена\AppData\Roaming\2868.tmp.exe
File: C:\Users\Алена\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe
Virustotal: C:\Users\Алена\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\Policies\system: [DisableTaskMgr] 1
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {187d4b05-350c-11ed-8a60-1c6f65d9bd1f} - "H:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {187d538f-350c-11ed-8a60-1c6f65d9bd1f} - "H:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {187d53dc-350c-11ed-8a60-1c6f65d9bd1f} - "H:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {187d541c-350c-11ed-8a60-1c6f65d9bd1f} - "H:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {187d5520-350c-11ed-8a60-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {187d55a8-350c-11ed-8a60-1c6f65d9bd1f} - "H:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {58bad916-34c8-11ed-8a5a-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {5d39afc8-4954-11ed-8a62-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {5d39b48f-4954-11ed-8a62-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {64ad9918-34d6-11ed-8a5b-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {64ad9998-34d6-11ed-8a5b-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {69c1e2e0-34db-11ed-8a5d-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {69c1e40c-34db-11ed-8a5d-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {69c1e4eb-34db-11ed-8a5d-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {69c1e5f1-34db-11ed-8a5d-1c6f65d9bd1f} - "H:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {69c1e65b-34db-11ed-8a5d-1c6f65d9bd1f} - "G:\AutoRun.exe" 
C:\Users\Алена\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe
C:\Users\Алена\AppData\Local\Temp\Rar$EXa10640.33881\Aкт cвepки взaимopacчeтoв за период 01.09.2023 - 21.11.2023 года.exe
Task: {481BB64A-3A2F-418B-8451-8438D69BE707} - System32\Tasks\Hewlett-Packard\HP Support Assistant\HP Support Solutions Framework Report => C:\Program Files (x86)\Hewlett-Packard\HP Support Solutions\Modules\HPSFReport.exe  /send (Нет файла)
Task: {A1331681-3F52-4BE4-BB2B-F307BB015ACE} - System32\Tasks\Hewlett-Packard\HP Support Assistant\HP Support Solutions Framework Updater => C:\Program Files (x86)\Hewlett-Packard\HP Support Solutions\Modules\HPSSFUpdater.exe  /f (Нет файла)
2023-12-02 14:09 - 2023-12-02 14:09 - 000190040 _____ (Microsoft ® JScript Diagnostics) C:\Users\Алена\AppData\Roaming\2868.tmp.exe
2023-12-02 14:06 - 2023-12-02 14:06 - 000190040 _____ (Microsoft ® JScript Diagnostics) C:\Users\Алена\AppData\Local\Temp\2868.tmp.exe
2023-11-22 17:00 - 2023-11-21 12:45 - 000123128 _____ (JP Japanese Keyboard Layout for 106) C:\Users\Алена\Downloads\Aкт cвepки взaимopacчeтoв за период 01.09.2023 - 21.11.2023 года.exe
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\Run: [2868.tmp] => C:\Users\Алена\AppData\Roaming\2868.tmp.exe [190040 2023-12-02] (Nevada -> Microsoft ® JScript Diagnostics) [Файл не подписан] <==== ВНИМАНИЕ
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\Run: [BraveUpdater.exe] => C:\Users\Алена\AppData\Local\Temp\Rar$EXa10640.33881\Aкт cвepки взaимopacчeтoв за период 01.09.2023 - 21.11.2023 года.exe [123128 2023-11-21] (Zabix -> JP Japanese Keyboard Layout for 106) [Файл не подписан] <==== ВНИМАНИЕ
Startup: C:\Users\Алена\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe [2023-12-02] () [Файл не подписан] <==== ВНИМАНИЕ
FirewallRules: [Block Cortana ActionUriServer.exe] => (Block) C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\ActionUriServer.exe => Нет файла
FirewallRules: [Block Cortana PlacesServer.exe] => (Block) C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\PlacesServer.exe => Нет файла
FirewallRules: [Block Cortana RemindersServer.exe] => (Block) C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\RemindersServer.exe => Нет файла
FirewallRules: [Block Cortana RemindersShareTargetApp.exe] => (Block) C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\RemindersShareTargetApp.exe => Нет файла
FirewallRules: [Block Cortana SearchUI.exe] => (Block) C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\SearchUI.exe => Нет файла
FirewallRules: [{F5E0E7A8-590D-4198-A45A-A1E44724342F}] => (Allow) C:\Users\Алена\Downloads\AnyDesk.exe => Нет файла
FirewallRules: [{5DFFBD9F-AA5B-47A4-821E-3F71B51C92F8}] => (Allow) C:\Users\Алена\Downloads\AnyDesk.exe => Нет файла
FirewallRules: [{54B85464-BFEA-48CE-983C-E0C9DF9D17BF}] => (Allow) C:\Users\Алена\Downloads\AnyDesk.exe => Нет файла
FirewallRules: [{711D5129-D7EC-4377-8C11-C3AAB77B4D11}] => (Allow) C:\Users\Алена\Downloads\AnyDesk.exe => Нет файла
FirewallRules: [{841F8AB7-412A-49F7-8FC3-4FE1DFEF3BE9}] => (Allow) C:\Users\Алена\Downloads\AnyDesk.exe => Нет файла
FirewallRules: [{14FB065A-C6E8-4E93-B000-2318D6F923BE}] => (Allow) C:\Users\Алена\Downloads\AnyDesk.exe => Нет файла
Reboot:
End::


2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

  • Обратите внимание: будет выполнена перезагрузка компьютера.


 
  • Like (+1) 1
Ссылка на сообщение
Поделиться на другие сайты
thyrex

thyrex 1 468

Опубликовано
Опубликовано

Папку C:\FRST\Quarantine заархивируйте с паролем malware123, выложите на https://dropmefiles.com и пришлите ссылку на скачивание мне в личные сообщения 

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

×
 Share
Подписчики 1
Перейти к списку тем

  • Похожий контент

    • Aliaksei
      Помогите в борьбе с вымогателями шифровальщиками
      От Aliaksei
      Утром файлы стали не доступны, появился текставый документ предлагающий связатся и заплатить деньги для расшифровки данных. 
      Addition.txt FRST.txt j8mzhi9uZ.README.txt №02249 Октябрьский завод сухого и обезжиренного молока. .pdf №02249 Октябрьский завод сухого и обезжиренного молока. .pdf.rar №02250 Снов.pdf №02250 Снов.pdf.rar
    • ivsh69
      шифровальщик
      От ivsh69
      Здравствуйте, зашифровали все рабочие файлы, доступ скорее всего получили череp rdp, Касперский Small Office Security 6 выключили, файл  с вымогательством прилагается.  Отправил им два зашифрованных файла (заархивировал их), они прислали расшифрованные два. тоже прилагаются. 
      xxzKHNO0a.README.txt Оборотно-сальдовая ведомость за Октябрь 2023 г..xlsx Счет на оплату № 27 от 17 января 2024 г.pdf dXCYb6w.zip
    • Heno_888
      Зашифровали сервера и локальные компы!!!
      От Heno_888
      Здравствуйте, сегодня ночью была атака, зашифровали все данные, кроме .exe. Сможете помочь?
      aZR3PWEqL.README.txt IP network_Production.xlsx.aZR3PWEqL.7z
    • DZEN
      Шифровальщик keepsecrets@tutanota.de
      От DZEN
      Добрый день
      схожая атака 12.03.2024 , по адресу из письма нашел эту ветку форума, может и мне поможете с расшифровкой?
       
      Сообщение от модератора mike 1 Часть сообщений вынесено в новую тему  
      nZIqT6u.8I0Jc4g5B ЗАШИФРОВАН personaldatadot1.doc НЕ_ЗАШИФРОВАН personaldatadot1.doc 8I0Jc4g5B.README.txt
    • sysadminus
      Зашифрована виртуалка
      От sysadminus
      Зашифрована виртуалка, антивирус не был установлен.
      В FRST недоступна вкладка additional.
       
      Расширение .racG5VBCI
       
      Машина не грузится, скачан полный образ машины, переустановка не проводилась.
       
      crypted_files_aegida.zip FRST.txt
×
×
  • Создать...

Важная информация

Мы разместили cookie-файлы на ваше устройство, чтобы помочь сделать этот сайт лучше. Вы можете изменить свои настройки cookie-файлов, или продолжить без изменения настроек.

  Я принимаю