Перейти к содержанию

Рекомендуемые сообщения

Добрый день!

 

Словил сегодня Shuriken

Также сохранил файлы 

image.thumb.png.4b75ba78ca0719623c850f00fc52c9f6.png

то что просят 

>>>> Your data are encrypted ...

        All your files have been encrypted by Shuriken !!!
        
        To decrypt them send e-mail to this address : decryption@msgsafe.io
        
        If you do not receive a response within 24 hours, send an email to this address: decryptor@waifu.club
        
        Need a quick decryption ? Send a telegram message @ShurikenAdmin
        
        
>>>> Your DECRYPTION ID :  382856DD

        Enter the ID of your files in the subject!
        

>>>>  What is our decryption guarantee?

        Before paying you can send us up to 2 test files for free decryption !
        
        The total size of files must be less than 2Mb.(non archived) !
        
        Files should not contain valuable information.(databases,backups) !
        
        Compress the file with zip or 7zip or rar compression programs and send it to us!382856DD

Addition.txt FRST.txt Shuriken.rar

Изменено пользователем gatebbs
Ссылка на сообщение
Поделиться на другие сайты

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт автоматически очистит систему, без перезагрузки.
 

Start::
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKLM\...\Policies\system: [legalnoticecaption] Encrypted by Shuriken
HKLM\...\Policies\system: [legalnoticetext] All your files have been encrypted due to a security problem with your computer
Startup: C:\Users\Root_BD\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\winlogon.exe [2023-12-29] (Microsoft) [Файл не подписан] <==== ВНИМАНИЕ
Startup: C:\Users\Root_BD\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\wvtymcow.bat [2024-01-06] () [Файл не подписан]
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\winlogon.exe [2023-12-29] (Microsoft) [Файл не подписан] <==== ВНИМАНИЕ
Task: {5D61811D-0418-4A2F-A921-2516B11A65AC} - System32\Tasks\Shuriken => C:\Windows\system32\config\systemprofile\AppData\Roaming\winlogon.exe  (Нет файла) <==== ВНИМАНИЕ
2024-01-06 18:44 - 2024-01-06 21:14 - 000595968 ___SH C:\ProgramData\winlogon.exe
2024-01-06 11:33 - 2024-01-06 11:33 - 000000109 _____ C:\Windows\SysWOW64\wvtymcow.bat
2024-01-06 11:33 - 2023-12-29 08:24 - 000529408 ___SH (Microsoft) C:\Windows\SysWOW64\winlogon.exe
2024-01-06 11:27 - 2024-01-06 11:53 - 000529664 ___SH C:\ProgramData\[decryption@msgsafe.io][382856DD]winlogon.exe.Shuriken
2024-01-06 11:27 - 2024-01-06 11:33 - 000003166 _____ C:\Windows\system32\Tasks\Shuriken
2024-01-06 11:27 - 2023-12-29 08:24 - 000529408 ___SH (Microsoft) C:\Windows\winlogon.exe
2024-01-06 11:27 - 2023-12-29 08:24 - 000529408 ___SH (Microsoft) C:\Users\Root_BD\AppData\Roaming\winlogon.exe
2024-01-06 18:44 - 2024-01-06 21:14 - 000595968 ___SH () C:\ProgramData\winlogon.exe
2024-01-06 11:27 - 2023-12-29 08:24 - 000529408 ___SH (Microsoft) C:\Users\Root_BD\AppData\Roaming\winlogon.exe

End::

Папку карантина в C:\FRST\Quarantine заархивируйте с паролем infected, загрузите на облачный диск, и дайте ссылку на скачивание в ЛС.

+

Добавьте образ автозапуска системы в uVS.

1. Скачать архив программы можно отсюда:

2. Распакуйте данный архив с программой в отдельный каталог и запустите файл Start.exe
(для Vista, W7, W8, W10, W11 запускаем с правами администратора)
3. В стартовом окне программы - нажмите "запустить под текущим пользователем"
(если текущий пользователь с правами администратора).

4. Далее, меню "Файл" / Сохранить Полный образ автозапуска.

5. дождитесь, пока процесс создания файла образа завершится.
Сохраненный файл образа автозапуска (с именем Ваш_компьютер_дата_время.txt) автоматически добавится в архив 7z или rar.67. Файл архива с образом автозапуска прикрепите к вашему сообщению на форуме. Ждем ответ.

Ссылка на сообщение
Поделиться на другие сайты

Добавьте, пожалуйста, файл Fixlog.txt из папки, в которой был запущен FRST.exe

 

Судя по образу автозапуска активных файлов шифровальщика нет в системе после очистки в FRST

Файлы зашифрованы LokiLocker, к сожалению расшифровки по данному типу нет на текущий момент. Сохраните важные зашифрованные документы на отдельный носитель, возможно в будущем расшифровка станет возможной.

Изменено пользователем safety
Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • Gupecology
      От Gupecology
      Взломали сервер и зашифровали файлы. Требуют выкуп. Из за чего непонятно, возможно взломали через rdp.FRST.txtAddition.txtАрхив WinRAR.rar
    • PRB84
      От PRB84
      Здравствуйте. Зашифровало все файлы на сервере и на некоторых рабочих компьютерах.
    • DJs3000
      От DJs3000
      Здравствуйте. На сервере зашифровало все файлы. Предполагаю, что сбрутили пароль и по drp получили доступ. Пользовательские компьютеры не зашифрованы из чего делаю вывод, что вредоносное по попало напрямую на файловый сервер.
      В архиве приложил 2 файла от FRST64, 2 файла оригинала и они же в зашифрованном виде. Так же в архиве файл с информацией о вымогателе. Прошу помощи в дешифраторе.
      locker.7z
    • Андрей E.
    • Grig
      От Grig
      Не очень добрый день
      сегодня с утра перестало работать несколько служб. Обнаружили на серверах файлы Cpriv.BlackBit. Серверы были выключены. Файлы зашифрованные пока выслать не могу. Подскажите как правильно действовать далее.
×
×
  • Создать...