lokilocker Шифровальщик Shuriken

[gatebbs 0]

Добрый день!

 

Словил сегодня Shuriken

Также сохранил файлы 

то что просят 

>>>> Your data are encrypted ...

        All your files have been encrypted by Shuriken !!!
        
        To decrypt them send e-mail to this address : decryption@msgsafe.io
        
        If you do not receive a response within 24 hours, send an email to this address: decryptor@waifu.club
        
        Need a quick decryption ? Send a telegram message @ShurikenAdmin
        
        
>>>> Your DECRYPTION ID :  382856DD

        Enter the ID of your files in the subject!
        

>>>>  What is our decryption guarantee?

        Before paying you can send us up to 2 test files for free decryption !
        
        The total size of files must be less than 2Mb.(non archived) !
        
        Files should not contain valuable information.(databases,backups) !
        
        Compress the file with zip or 7zip or rar compression programs and send it to us!382856DD

Addition.txt FRST.txt Shuriken.rar

Изменено 6 января пользователем gatebbs

[safety 79]

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт автоматически очистит систему, без перезагрузки.
 

Start::
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKLM\...\Policies\system: [legalnoticecaption] Encrypted by Shuriken
HKLM\...\Policies\system: [legalnoticetext] All your files have been encrypted due to a security problem with your computer
Startup: C:\Users\Root_BD\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\winlogon.exe [2023-12-29] (Microsoft) [Файл не подписан] <==== ВНИМАНИЕ
Startup: C:\Users\Root_BD\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\wvtymcow.bat [2024-01-06] () [Файл не подписан]
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\winlogon.exe [2023-12-29] (Microsoft) [Файл не подписан] <==== ВНИМАНИЕ
Task: {5D61811D-0418-4A2F-A921-2516B11A65AC} - System32\Tasks\Shuriken => C:\Windows\system32\config\systemprofile\AppData\Roaming\winlogon.exe  (Нет файла) <==== ВНИМАНИЕ
2024-01-06 18:44 - 2024-01-06 21:14 - 000595968 ___SH C:\ProgramData\winlogon.exe
2024-01-06 11:33 - 2024-01-06 11:33 - 000000109 _____ C:\Windows\SysWOW64\wvtymcow.bat
2024-01-06 11:33 - 2023-12-29 08:24 - 000529408 ___SH (Microsoft) C:\Windows\SysWOW64\winlogon.exe
2024-01-06 11:27 - 2024-01-06 11:53 - 000529664 ___SH C:\ProgramData\[decryption@msgsafe.io][382856DD]winlogon.exe.Shuriken
2024-01-06 11:27 - 2024-01-06 11:33 - 000003166 _____ C:\Windows\system32\Tasks\Shuriken
2024-01-06 11:27 - 2023-12-29 08:24 - 000529408 ___SH (Microsoft) C:\Windows\winlogon.exe
2024-01-06 11:27 - 2023-12-29 08:24 - 000529408 ___SH (Microsoft) C:\Users\Root_BD\AppData\Roaming\winlogon.exe
2024-01-06 18:44 - 2024-01-06 21:14 - 000595968 ___SH () C:\ProgramData\winlogon.exe
2024-01-06 11:27 - 2023-12-29 08:24 - 000529408 ___SH (Microsoft) C:\Users\Root_BD\AppData\Roaming\winlogon.exe

End::

Папку карантина в C:\FRST\Quarantine заархивируйте с паролем infected, загрузите на облачный диск, и дайте ссылку на скачивание в ЛС.

+

Добавьте образ автозапуска системы в uVS.

1. Скачать архив программы можно отсюда:

2. Распакуйте данный архив с программой в отдельный каталог и запустите файл Start.exe
(для Vista, W7, W8, W10, W11 запускаем с правами администратора)
3. В стартовом окне программы - нажмите "запустить под текущим пользователем"
(если текущий пользователь с правами администратора).

4. Далее, меню "Файл" / Сохранить Полный образ автозапуска.

5. дождитесь, пока процесс создания файла образа завершится.
Сохраненный файл образа автозапуска (с именем Ваш_компьютер_дата_время.txt) автоматически добавится в архив 7z или rar.67. Файл архива с образом автозапуска прикрепите к вашему сообщению на форуме. Ждем ответ.

[gatebbs 0]

Файл от программы uVS

 

SERV_HOTEL_2024-01-07_01-33-12_v4.15.7z

[safety 79]

Добавьте, пожалуйста, файл Fixlog.txt из папки, в которой был запущен FRST.exe

 

Судя по образу автозапуска активных файлов шифровальщика нет в системе после очистки в FRST

Файлы зашифрованы LokiLocker, к сожалению расшифровки по данному типу нет на текущий момент. Сохраните важные зашифрованные документы на отдельный носитель, возможно в будущем расшифровка станет возможной.

Изменено 6 января пользователем safety