Перейти к содержанию

Рекомендуемые сообщения

Добрый день!

 

Словил сегодня Shuriken

Также сохранил файлы 

image.thumb.png.4b75ba78ca0719623c850f00fc52c9f6.png

то что просят 

>>>> Your data are encrypted ...

        All your files have been encrypted by Shuriken !!!
        
        To decrypt them send e-mail to this address : decryption@msgsafe.io
        
        If you do not receive a response within 24 hours, send an email to this address: decryptor@waifu.club
        
        Need a quick decryption ? Send a telegram message @ShurikenAdmin
        
        
>>>> Your DECRYPTION ID :  382856DD

        Enter the ID of your files in the subject!
        

>>>>  What is our decryption guarantee?

        Before paying you can send us up to 2 test files for free decryption !
        
        The total size of files must be less than 2Mb.(non archived) !
        
        Files should not contain valuable information.(databases,backups) !
        
        Compress the file with zip or 7zip or rar compression programs and send it to us!382856DD

Addition.txt FRST.txt Shuriken.rar

Изменено пользователем gatebbs
Ссылка на сообщение
Поделиться на другие сайты

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт автоматически очистит систему, без перезагрузки.
 

Start::
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKLM\...\Policies\system: [legalnoticecaption] Encrypted by Shuriken
HKLM\...\Policies\system: [legalnoticetext] All your files have been encrypted due to a security problem with your computer
Startup: C:\Users\Root_BD\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\winlogon.exe [2023-12-29] (Microsoft) [Файл не подписан] <==== ВНИМАНИЕ
Startup: C:\Users\Root_BD\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\wvtymcow.bat [2024-01-06] () [Файл не подписан]
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\winlogon.exe [2023-12-29] (Microsoft) [Файл не подписан] <==== ВНИМАНИЕ
Task: {5D61811D-0418-4A2F-A921-2516B11A65AC} - System32\Tasks\Shuriken => C:\Windows\system32\config\systemprofile\AppData\Roaming\winlogon.exe  (Нет файла) <==== ВНИМАНИЕ
2024-01-06 18:44 - 2024-01-06 21:14 - 000595968 ___SH C:\ProgramData\winlogon.exe
2024-01-06 11:33 - 2024-01-06 11:33 - 000000109 _____ C:\Windows\SysWOW64\wvtymcow.bat
2024-01-06 11:33 - 2023-12-29 08:24 - 000529408 ___SH (Microsoft) C:\Windows\SysWOW64\winlogon.exe
2024-01-06 11:27 - 2024-01-06 11:53 - 000529664 ___SH C:\ProgramData\[decryption@msgsafe.io][382856DD]winlogon.exe.Shuriken
2024-01-06 11:27 - 2024-01-06 11:33 - 000003166 _____ C:\Windows\system32\Tasks\Shuriken
2024-01-06 11:27 - 2023-12-29 08:24 - 000529408 ___SH (Microsoft) C:\Windows\winlogon.exe
2024-01-06 11:27 - 2023-12-29 08:24 - 000529408 ___SH (Microsoft) C:\Users\Root_BD\AppData\Roaming\winlogon.exe
2024-01-06 18:44 - 2024-01-06 21:14 - 000595968 ___SH () C:\ProgramData\winlogon.exe
2024-01-06 11:27 - 2023-12-29 08:24 - 000529408 ___SH (Microsoft) C:\Users\Root_BD\AppData\Roaming\winlogon.exe

End::

Папку карантина в C:\FRST\Quarantine заархивируйте с паролем infected, загрузите на облачный диск, и дайте ссылку на скачивание в ЛС.

+

Добавьте образ автозапуска системы в uVS.

1. Скачать архив программы можно отсюда:

2. Распакуйте данный архив с программой в отдельный каталог и запустите файл Start.exe
(для Vista, W7, W8, W10, W11 запускаем с правами администратора)
3. В стартовом окне программы - нажмите "запустить под текущим пользователем"
(если текущий пользователь с правами администратора).

4. Далее, меню "Файл" / Сохранить Полный образ автозапуска.

5. дождитесь, пока процесс создания файла образа завершится.
Сохраненный файл образа автозапуска (с именем Ваш_компьютер_дата_время.txt) автоматически добавится в архив 7z или rar.67. Файл архива с образом автозапуска прикрепите к вашему сообщению на форуме. Ждем ответ.

Ссылка на сообщение
Поделиться на другие сайты

Добавьте, пожалуйста, файл Fixlog.txt из папки, в которой был запущен FRST.exe

 

Судя по образу автозапуска активных файлов шифровальщика нет в системе после очистки в FRST

Файлы зашифрованы LokiLocker, к сожалению расшифровки по данному типу нет на текущий момент. Сохраните важные зашифрованные документы на отдельный носитель, возможно в будущем расшифровка станет возможной.

Изменено пользователем safety
Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • 116
      От 116
      FRST.txtREAD-ME-SHURKEWIN.zipAddition.txt
      Сегодня утром поступил звонок от пользователя с сообщением при загрузке - "Encrypted by Shuriken..."
      В корне диска С обнаружен файл Cpriv.Shuriken (в запароленном архиве shuriken) и записка о вымогательстве (READ-ME-SHURKEWIN.ZIP + 2 зашифрованных файла)
      В процессе выяснилось что зараженных компьютера минимум 4 + на QNAP часть файлов зашифрована.
      Прошу помочь решить проблему.
      shuriken.7z shuriken.7z
    • Akaruz
      От Akaruz
      Добрый день. Помогите пожалуйста, есть ли возможность расшифровать. Шифровальщик вроде BlackBit. В корне диска С: лежали еще 2 файла (я так понимаю они важны):
      Cpriv.BlackBit и Cpriv2.BlackBit - поместил их в отдельный архив, текст вымогальщика ниже:
       
      !!!All of your files are encrypted!!!
      To decrypt them send e-mail to this address: panda2024@cock.lu
      In case of no answer in 24h, send e-mail to this address: panda2024@cock.lu
      You can also contact us on Telegram: @Panda_decryptor
      All your files will be lost on 11 июля 2024 г. 17:29:46.
      Your SYSTEM ID : 46BC2737
      !!!Deleting "Cpriv.BlackBit" causes permanent data loss.
      Encrypted_files.zip FRST_LOGS.zip файлы_с_диска_С.zip
    • velikoross
      От velikoross
      Компьютер попался крипто вирус black bit 
      Помогите расшифровать, если такое вообще возможно.
      Систему я уже перестановил после этого (отчет снимал с вирусом на борту), зашифрованный файлы скопировал к себе отдельно
      FRST.txt Addition.txt files.zip Restore-My-Files.txt
    • Макаров Дмитрий
      От Макаров Дмитрий
      Здравствуйте. Несколько сетевых хранилищ были поражены шифровальщиком [medoosa@onionmail.org] и файлы приобрели расширение .BlackBit . Файл вируса остался (во время обнаружили). На момент сканирования Farbar Recovery Scan Tool сетевой диск был отключен.
      FRST.txt Addition.txt Зашифрованный пример.rar те же файлы не зашифрованные.rar
    • Валерий Б
      От Валерий Б
      Доброго времени суток. На компьютере сработал троян и зашифровал файлы. Касперский обнаружил его поди именем VHO:Trojan-Ransom.MSIL.Loki.e.
      Шифрует файлы под именем: [RecoverBlackBit@onionmail.org][78C84540]**********.xlsx.BlackBit (звездочками закрыл название файла)
      и есть такие: [RecoverBlackBit@onionmail.org][78C84540]************.txt.[dectokyo@onionmail.org].[36D80101].RYK.BlackBit
      В папке оставляет файл Restore-My-Files.txt
      с таким текстом:
      !!!All of your files are encrypted!!!
      To decrypt them send e-mail to this address: RecoverBlackBit@onionmail.org
      In case of no answer in 24h, send e-mail to this address: RecoverBlackBit@onionmail.org
      All your files will be lost on 25 ноября 2023 г. 8:58:50.
      Your SYSTEM ID : 78C84540
      !!!Deleting "Cpriv.BlackBit" causes permanent data loss.
       
      Подскажите, есть шансы восстановить информацию?
×
×
  • Создать...