Перейти к содержанию

Поймали шифровальщик Ozo6BiOmg

AndrewS
 Поделиться

Рекомендуемые сообщения

AndrewS

AndrewS

Опубликовано
Опубликовано

Во вложенном файле есть пару личных файлов, а также используемые системой несколько небольших каталогов Windows с общеиспользуемыми файлами, которые могут быть во всех системах (может помочь при сравнении).

 

Addition.txt FRST.txt Ozo6BiOmg.zip

thyrex

thyrex

Опубликовано
Опубликовано

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать) 

Start::
CloseProcesses:
CreateRestorePoint:
HKLM\...\Policies\Explorer: [SettingsPageVisibility] hide:privacy-automaticfiledownloads;windowsdefender;gaming-broadcasting;gaming-gamebar;gaming-gamedvr;gaming-gamemode;gaming-trueplay;gaming-xboxnetworking;windowsinsider
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
File: C:\Users\Алена\Downloads\Aкт cвepки взaимopacчeтoв за период 01.09.2023 - 21.11.2023 года.exe
Virustotal: C:\Users\Алена\Downloads\Aкт cвepки взaимopacчeтoв за период 01.09.2023 - 21.11.2023 года.exe
File: C:\Users\Алена\AppData\Roaming\2868.tmp.exe
Virustotal: C:\Users\Алена\AppData\Roaming\2868.tmp.exe
File: C:\Users\Алена\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe
Virustotal: C:\Users\Алена\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\Policies\system: [DisableTaskMgr] 1
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {187d4b05-350c-11ed-8a60-1c6f65d9bd1f} - "H:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {187d538f-350c-11ed-8a60-1c6f65d9bd1f} - "H:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {187d53dc-350c-11ed-8a60-1c6f65d9bd1f} - "H:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {187d541c-350c-11ed-8a60-1c6f65d9bd1f} - "H:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {187d5520-350c-11ed-8a60-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {187d55a8-350c-11ed-8a60-1c6f65d9bd1f} - "H:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {58bad916-34c8-11ed-8a5a-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {5d39afc8-4954-11ed-8a62-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {5d39b48f-4954-11ed-8a62-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {64ad9918-34d6-11ed-8a5b-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {64ad9998-34d6-11ed-8a5b-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {69c1e2e0-34db-11ed-8a5d-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {69c1e40c-34db-11ed-8a5d-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {69c1e4eb-34db-11ed-8a5d-1c6f65d9bd1f} - "G:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {69c1e5f1-34db-11ed-8a5d-1c6f65d9bd1f} - "H:\AutoRun.exe" 
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\MountPoints2: {69c1e65b-34db-11ed-8a5d-1c6f65d9bd1f} - "G:\AutoRun.exe" 
C:\Users\Алена\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe
C:\Users\Алена\AppData\Local\Temp\Rar$EXa10640.33881\Aкт cвepки взaимopacчeтoв за период 01.09.2023 - 21.11.2023 года.exe
Task: {481BB64A-3A2F-418B-8451-8438D69BE707} - System32\Tasks\Hewlett-Packard\HP Support Assistant\HP Support Solutions Framework Report => C:\Program Files (x86)\Hewlett-Packard\HP Support Solutions\Modules\HPSFReport.exe  /send (Нет файла)
Task: {A1331681-3F52-4BE4-BB2B-F307BB015ACE} - System32\Tasks\Hewlett-Packard\HP Support Assistant\HP Support Solutions Framework Updater => C:\Program Files (x86)\Hewlett-Packard\HP Support Solutions\Modules\HPSSFUpdater.exe  /f (Нет файла)
2023-12-02 14:09 - 2023-12-02 14:09 - 000190040 _____ (Microsoft ® JScript Diagnostics) C:\Users\Алена\AppData\Roaming\2868.tmp.exe
2023-12-02 14:06 - 2023-12-02 14:06 - 000190040 _____ (Microsoft ® JScript Diagnostics) C:\Users\Алена\AppData\Local\Temp\2868.tmp.exe
2023-11-22 17:00 - 2023-11-21 12:45 - 000123128 _____ (JP Japanese Keyboard Layout for 106) C:\Users\Алена\Downloads\Aкт cвepки взaимopacчeтoв за период 01.09.2023 - 21.11.2023 года.exe
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\Run: [2868.tmp] => C:\Users\Алена\AppData\Roaming\2868.tmp.exe [190040 2023-12-02] (Nevada -> Microsoft ® JScript Diagnostics) [Файл не подписан] <==== ВНИМАНИЕ
HKU\S-1-5-21-385661173-2043324440-81181591-1001\...\Run: [BraveUpdater.exe] => C:\Users\Алена\AppData\Local\Temp\Rar$EXa10640.33881\Aкт cвepки взaимopacчeтoв за период 01.09.2023 - 21.11.2023 года.exe [123128 2023-11-21] (Zabix -> JP Japanese Keyboard Layout for 106) [Файл не подписан] <==== ВНИМАНИЕ
Startup: C:\Users\Алена\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\svchost.exe [2023-12-02] () [Файл не подписан] <==== ВНИМАНИЕ
FirewallRules: [Block Cortana ActionUriServer.exe] => (Block) C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\ActionUriServer.exe => Нет файла
FirewallRules: [Block Cortana PlacesServer.exe] => (Block) C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\PlacesServer.exe => Нет файла
FirewallRules: [Block Cortana RemindersServer.exe] => (Block) C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\RemindersServer.exe => Нет файла
FirewallRules: [Block Cortana RemindersShareTargetApp.exe] => (Block) C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\RemindersShareTargetApp.exe => Нет файла
FirewallRules: [Block Cortana SearchUI.exe] => (Block) C:\Windows\SystemApps\Microsoft.Windows.Cortana_cw5n1h2txyewy\SearchUI.exe => Нет файла
FirewallRules: [{F5E0E7A8-590D-4198-A45A-A1E44724342F}] => (Allow) C:\Users\Алена\Downloads\AnyDesk.exe => Нет файла
FirewallRules: [{5DFFBD9F-AA5B-47A4-821E-3F71B51C92F8}] => (Allow) C:\Users\Алена\Downloads\AnyDesk.exe => Нет файла
FirewallRules: [{54B85464-BFEA-48CE-983C-E0C9DF9D17BF}] => (Allow) C:\Users\Алена\Downloads\AnyDesk.exe => Нет файла
FirewallRules: [{711D5129-D7EC-4377-8C11-C3AAB77B4D11}] => (Allow) C:\Users\Алена\Downloads\AnyDesk.exe => Нет файла
FirewallRules: [{841F8AB7-412A-49F7-8FC3-4FE1DFEF3BE9}] => (Allow) C:\Users\Алена\Downloads\AnyDesk.exe => Нет файла
FirewallRules: [{14FB065A-C6E8-4E93-B000-2318D6F923BE}] => (Allow) C:\Users\Алена\Downloads\AnyDesk.exe => Нет файла
Reboot:
End::


2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

  • Обратите внимание: будет выполнена перезагрузка компьютера.


 
  • Like (+1) 1
thyrex

thyrex

Опубликовано
Опубликовано

Папку C:\FRST\Quarantine заархивируйте с паролем malware123, выложите на https://dropmefiles.com и пришлите ссылку на скачивание мне в личные сообщения 

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Zakhar05
      Поймали вчера вечером шифровальщик
      Автор Zakhar05
      Добрый день! Поймали (или ктото принес) шифровальщик, формат .FonOu4Mso.
      Текст письма:

      ВНИМАНИЕ!
      ----------------------------
      | Что случилось?
      ----------------------------
      Все ваши файлы, документы, фотографии, базы данных и другие данные зашифрованы надежными алгоритмами.
      Сейчас вы не можете получить доступ к файлам. Но не волнуйтесь. У вас есть шанс! Их легко восстановить, выполнив несколько шагов.
      ----------------------------
      | Как мне вернуть мои файлы?
      ----------------------------
      Единственный способ восстановить ваши файлы — приобрести уникальный приватный ключ, который надёжно хранится на наших серверах.
      Чтобы связаться с нами и приобрести ключ, напишите нам в мессенджер TOX.
      Инструкция:
      1) Скачать и установить мессенджер TOX - https://tox.chat/download.html
      2) Добавить нас в контакты, наш TOX ID - ECA7D8C2ECDF498A2F4E375BA17FE6341DE638A7A8DEC4F826061187DF901B277665A2B9A0E3
      3) После того как мы авторизируем ваш контакт, отправьте нам этот ID - ****
      ----------------------------
      | Что по поводу гарантий?
      ----------------------------
      Мы понимаем ваш стресс и беспокойство.
      Поэтому у вас есть БЕСПЛАТНАЯ возможность протестировать услугу, мгновенно расшифровав бесплатно три файла на вашем компьютере!
      Пишите по любым вопросам, наша поддержка вам тут же ответит, и поможет.
      С любовью, BELUGA Ransomware Team
       
      Зашифрованный файл и логи FRST прилагаю.
      Addition.txt FRST.txt product797.zip
    • Intel_agent
      Поймал шифровальщика предположительно с какого-то сайта с техническими статьями
      Автор Intel_agent
      День добрый. Поймал шифровальщика предположительно с какого-то сайта с техническими статьями и схемами. Адрес начинается с dig дальше не помню.
      Вначале были блокировки рабочего стола, типа смены пользователя, а после отработал шифровальщик. Самого шифровальщика найти не получилось.
      Очень нужна помощь.
      FRST.txt Addition.txt E.7z
    • imanushkin
      Lockbit с отложенным стартом
      Автор imanushkin
      24 октября потерял один комп с данными, затер полностью, но не учел тот факт что на компе были сохранены данные для входа в RDP.
      Вчера, 27.11 вирус шифровальщик запустился вновь, только уже в терминальной сессии пожрал там часть файлов к которым смог дотянуться, в том числе и сетевую шару примонтированную как сетевой диск. Теневые копии не сработали.
      Оставил послание, файл прикладываю.
       
      Файлы шифровальщика NS.exe, svchost.exe и wlan.exe по понятным причинам загрузить не могу.
      2E2h79m6S.README.txt Зашифрованные.rar
    • Сергей__
      BlackFL
      Автор Сергей__
      Зашифровались файлы BlackFL
      есть дешифратор?
      TNI.zip
    • Vitboss
      Вирус шифровальщик
      Автор Vitboss
      Утром наш сотрудник подхватил шифровальщика. Где, не знаю. В каждой папке закрепленный текстовый файл. Расширение .KQpmP5XUV. Требую денег,   почта help@room155.online, room155@tuta.io. Телега- @HelpRoom155. Помогите. Очень нужные файлы на компе. Прошу помощи.
×
×
  • Создать...