Перейти к содержанию

поймали шифровальщик neuB5bCEJ


Рекомендуемые сообщения

добрый день. сотрудница поймала шифровальщика. как и где понять не удалось. на nomoreransom и id-ransomware такого шифровальщика не нашел. прошу вашей помощи. архив и логи  фарбар приклепляю.

файлы и записка.zip Addition.txt FRST.txt

Ссылка на сообщение
Поделиться на другие сайты

Судя по логам FRST система уже очищена от активных тел шифровальщика. Загрузите, пожалуйста, логи сканирования если выполняли утилитами Cureit или штатным антивирусом.

 

Для профилактической очистки:

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт автоматически очистит систему, и перезагрузит ее.

Start::
CloseProcesses:
SystemRestore: On
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiSpyware] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiVirus] Ограничение <==== ВНИМАНИЕ
Startup: C:\Users\123\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\updater.lnk [2023-12-13]
ShortcutTarget: updater.lnk -> C:\Users\123\AppData\Roaming\updater.exe (Нет файла)
EmptyTemp:
Reboot:
End::

 

Файлы зашифрованы Lockbit v3 Black/Cryptomangimo. На текущий момент расшифровка невозможна без приватного ключа.

Сохраните зашифрованные файлы на отдельный носитель, возможно расшифровка станет возможной в будущем.

 

Ссылка на сообщение
Поделиться на другие сайты
Quote

 

C:\Users\123\AppData\Roaming\updater.exe - infected with BackDoor.Bifrost.29284

C:\Users\123\AppData\Roaming\26365794.tmp.exe - infected with Trojan.Siggen22.14123

C:\Users\123\AppData\Local\Temp\Rar$EXa0.327\Aкт cвepки взaимopacчeтoв за периoд 01.09.2023 - 28.11.2023 гoдa.exe - infected with BackDoor.RevetRat.2

 

 

Запретите у пользователей запуск исполняемых файлов из всех типов архивов. Эта группа наиболее активна, и и шифрует Lockbit v3 Black после открытия пользователем рассылаемых через почту архивных вложений с вредоносным файлом.

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • Артем Воробей
    • quietstorm
      От quietstorm
      Добрый день, аналогичная проблема. Тоже шифровальщик с таки же расширением .j8mzhi9uZ
      Диск был изъят и просмотрен на другой машине. 1c.cmd closeapps.bat LogDelete.bat Shadow.bat и еще подозрительные файлы были найдены в папке шаблоны документов office.  Могу предположить что заражение через открытие офисного файла.

      Ссылка на архив с вышеуказанными файлами, запиской, образцом, и подозрительными exe  файлами. Может поможет в борьбе, так как мне тоже требуется помощь.

      Пароль  virus
      Ссылка на диск так как вес 11мб
      https://disk.yandex.ru/d/fx6tPxT_ae9i-w
    • Twindekar
      От Twindekar
      Добрый день!
      12.02 были зашифрованы файлы на ПК, расширение файлов j8mzhi9uZ. На рабочем столе установлена картинка с надписью "LockBit Black. All your important files are stolen and encrypted! You must find j8mzhi9uZ.README.txt file and follow the instruction!"
      В архив "Virus" приложил два файла .exe, которые определились утилитой KVRT, как опасные, также были определены на VirusTotal. Также в папке с вирусами есть подозрительные файлы со следующими наименованиями:
      backup.bat, closeapps.bat, LogDelete.bat, Shadow.bat
      Logs_files.rar Virus.rar

    • Yuri1978
      От Yuri1978
      шифровальщик DARCSTAR зашифровал файлы расширением  tomqsbh0u. реально их восстановить?
    • Андрей Ф
      От Андрей Ф
      вчера зашифровались файлы. 
      расширение qe9ZSDxfq
      есть и README с вымогательством , найден и сам updater.exe и svchost (которые полагаю шифровальщик). при необходимости можно найти оригиналы некоторых файлов до шифрования ( на сервере)
      приложу отчет FRST , несколько зашифрованных файлов и текст от вымогателей. Файлы exe при необходимости вышлю
      FRST.txt Addition.txt зашированные.zip
×
×
  • Создать...