Перейти к содержанию

Рекомендуемые сообщения

Добрый день!

 

Словил сегодня Shuriken

Также сохранил файлы 

image.thumb.png.4b75ba78ca0719623c850f00fc52c9f6.png

то что просят 

>>>> Your data are encrypted ...

        All your files have been encrypted by Shuriken !!!
        
        To decrypt them send e-mail to this address : decryption@msgsafe.io
        
        If you do not receive a response within 24 hours, send an email to this address: decryptor@waifu.club
        
        Need a quick decryption ? Send a telegram message @ShurikenAdmin
        
        
>>>> Your DECRYPTION ID :  382856DD

        Enter the ID of your files in the subject!
        

>>>>  What is our decryption guarantee?

        Before paying you can send us up to 2 test files for free decryption !
        
        The total size of files must be less than 2Mb.(non archived) !
        
        Files should not contain valuable information.(databases,backups) !
        
        Compress the file with zip or 7zip or rar compression programs and send it to us!382856DD

Addition.txt FRST.txt Shuriken.rar

Изменено пользователем gatebbs
Ссылка на сообщение
Поделиться на другие сайты

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт автоматически очистит систему, без перезагрузки.
 

Start::
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKLM\...\Policies\system: [legalnoticecaption] Encrypted by Shuriken
HKLM\...\Policies\system: [legalnoticetext] All your files have been encrypted due to a security problem with your computer
Startup: C:\Users\Root_BD\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\winlogon.exe [2023-12-29] (Microsoft) [Файл не подписан] <==== ВНИМАНИЕ
Startup: C:\Users\Root_BD\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\wvtymcow.bat [2024-01-06] () [Файл не подписан]
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\winlogon.exe [2023-12-29] (Microsoft) [Файл не подписан] <==== ВНИМАНИЕ
Task: {5D61811D-0418-4A2F-A921-2516B11A65AC} - System32\Tasks\Shuriken => C:\Windows\system32\config\systemprofile\AppData\Roaming\winlogon.exe  (Нет файла) <==== ВНИМАНИЕ
2024-01-06 18:44 - 2024-01-06 21:14 - 000595968 ___SH C:\ProgramData\winlogon.exe
2024-01-06 11:33 - 2024-01-06 11:33 - 000000109 _____ C:\Windows\SysWOW64\wvtymcow.bat
2024-01-06 11:33 - 2023-12-29 08:24 - 000529408 ___SH (Microsoft) C:\Windows\SysWOW64\winlogon.exe
2024-01-06 11:27 - 2024-01-06 11:53 - 000529664 ___SH C:\ProgramData\[decryption@msgsafe.io][382856DD]winlogon.exe.Shuriken
2024-01-06 11:27 - 2024-01-06 11:33 - 000003166 _____ C:\Windows\system32\Tasks\Shuriken
2024-01-06 11:27 - 2023-12-29 08:24 - 000529408 ___SH (Microsoft) C:\Windows\winlogon.exe
2024-01-06 11:27 - 2023-12-29 08:24 - 000529408 ___SH (Microsoft) C:\Users\Root_BD\AppData\Roaming\winlogon.exe
2024-01-06 18:44 - 2024-01-06 21:14 - 000595968 ___SH () C:\ProgramData\winlogon.exe
2024-01-06 11:27 - 2023-12-29 08:24 - 000529408 ___SH (Microsoft) C:\Users\Root_BD\AppData\Roaming\winlogon.exe

End::

Папку карантина в C:\FRST\Quarantine заархивируйте с паролем infected, загрузите на облачный диск, и дайте ссылку на скачивание в ЛС.

+

Добавьте образ автозапуска системы в uVS.

1. Скачать архив программы можно отсюда:

2. Распакуйте данный архив с программой в отдельный каталог и запустите файл Start.exe
(для Vista, W7, W8, W10, W11 запускаем с правами администратора)
3. В стартовом окне программы - нажмите "запустить под текущим пользователем"
(если текущий пользователь с правами администратора).

4. Далее, меню "Файл" / Сохранить Полный образ автозапуска.

5. дождитесь, пока процесс создания файла образа завершится.
Сохраненный файл образа автозапуска (с именем Ваш_компьютер_дата_время.txt) автоматически добавится в архив 7z или rar.67. Файл архива с образом автозапуска прикрепите к вашему сообщению на форуме. Ждем ответ.

Ссылка на сообщение
Поделиться на другие сайты

Добавьте, пожалуйста, файл Fixlog.txt из папки, в которой был запущен FRST.exe

 

Судя по образу автозапуска активных файлов шифровальщика нет в системе после очистки в FRST

Файлы зашифрованы LokiLocker, к сожалению расшифровки по данному типу нет на текущий момент. Сохраните важные зашифрованные документы на отдельный носитель, возможно в будущем расшифровка станет возможной.

Изменено пользователем safety
Ссылка на сообщение
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • sduganov
      От sduganov
      Добрый день!
      поймали шифровальщика.. не смогли запустить 1с они еще и на sql
      Addition.txt FRST.txt файлызашиф.rar
    • kemermax42
      От kemermax42
      Здравствуйте. Прошу помощи с шифровальщиком decryption@cock.lu
      Систему переставили, так как нужно было работать, файлы зашифрованные лежат на отдельном диске. 
      Подскажите что нужно отправить для помощи в расшифровке.
      Письмо вымогателя:
      >>>> Your data are encrypted ...
              All your files have been encrypted by Shuriken !!!
              
              To decrypt them send e-mail to this address : decryption@cock.lu
              
              If you do not receive a response within 24 hours, send an email to this address: decryption@cock.lu
              
              Need a quick decryption ? Send a telegram message @ShurikenAdmin
              
              
      >>>> Your DECRYPTION ID :  42*****
              Enter the ID of your files in the subject!
              
      >>>>  What is our decryption guarantee?
              Before paying you can send us up to 2 test files for free decryption !
              
              The total size of files must be less than 2Mb.(non archived) !
              
              Files should not contain valuable information.(databases,backups) !
              
              Compress the file with zip or 7zip or rar compression programs and send it to us!
      !!!Deleting "Cpriv.Shuriken" causes permanent data loss.
    • serioussd
      От serioussd
      Сервер поймал шифровальщик blackbit, прошу помощи в чистке сервера и возможной дешифровке файлов, пропали все программы, на сервере расположены базы 1с, postgresql  два файла.zipFixlog.txt   

    • Шевченко Максим
      От Шевченко Максим
      Сработал ночью в 5.50, на сервере стоял блок на пользователя при 3х попытках ввода пароля и блокировок по политике не было, но вирус затер все журналы винды до момента его отработки поэтому точно не могу сказать, остался *.hta файл может чем то поможет, но понимаю  чт Addition.txtо врятли. Стоял КЕС 12 эта бяка его снесла.
      FRST.txt Вирус.zip
    • Gupecology
      От Gupecology
      Взломали сервер и зашифровали файлы. Требуют выкуп. Из за чего непонятно, возможно взломали через rdp.FRST.txtAddition.txtАрхив WinRAR.rar
×
×
  • Создать...