Перейти к содержанию

Зашифрованы все файлы на компьютере (trojan.encoder.36031)


Рекомендуемые сообщения

Антивирус Касперского установили после шифрования? Если выполнили сканирование, добавьте, пожалуйста, логи сканирования в архиве.

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт автоматически очистит систему, и завершит работу без перезагрузки.

 

Start::
(1C-connect -> ELS Hyphenation Service) [Файл не подписан] C:\Users\Natalya\AppData\Roaming\66987.tmp.exe
HKLM\...\Run: [] => [X]
HKU\S-1-5-21-2371304282-1754754146-1116679784-1000\...\Run: [BraveUpdater.exe] => C:\Users\Natalya\AppData\Local\Temp\Rar$EX00.198\Aкт cвepки взaимopacчeтoв за периoд  01.12.2023 - 22.02.2024 гoдa.exe [336536 2024-02-26] (Kaspersky Security -> Расширенный модуль диспетчера мастеров) [Файл не подписан] <==== ВНИМАНИЕ
HKU\S-1-5-21-2371304282-1754754146-1116679784-1000\...\Run: [66987.tmp] => C:\Users\Natalya\AppData\Roaming\66987.tmp.exe [186952 2024-02-26] (1C-connect -> ELS Hyphenation Service) [Файл не подписан] <==== ВНИМАНИЕ
2024-02-26 13:22 - 2024-02-26 13:22 - 000186952 _____ (ELS Hyphenation Service) C:\Users\Natalya\AppData\Roaming\66987.tmp.exe
End::

Добавьте файл Fixlog.txt из папки, откуда запускали FRST в ваше сообщение.

Заархивируйте папку C:\FRST\quarantine с паролем virus, загрузите архив на облачный диск, и дайте ссылку на скачивание в ЛС

+

+ образ автозапуска в uVS

 

Добавьте образ автозапуска системы в uVS.

1. Скачать архив программы можно отсюда:

2. Распакуйте данный архив с программой в отдельный каталог и запустите файл Start.exe
(для Vista, W7, W8, W10, W11 запускаем с правами администратора)
3. В стартовом окне программы - нажмите "запустить под текущим пользователем"
(если текущий пользователь с правами администратора).

4. Далее, меню "Файл" / Сохранить Полный образ автозапуска.

5. дождитесь, пока процесс создания файла образа завершится.
Сохраненный файл образа автозапуска (с именем Ваш_компьютер_дата_время.txt) автоматически добавится в архив 7z или rar.
6. Файл архива с образом автозапуска прикрепите к вашему сообщению на форуме. Ждем ответ.

Изменено пользователем safety
Ссылка на сообщение
Поделиться на другие сайты

Свежий бэкдор, мало кто детектирует.

2024-02-26 13:22 - 2024-02-26 13:22 - 000186952 _____ (ELS Hyphenation Service) C:\Users\Natalya\AppData\Roaming\66987.tmp.exe

https://www.virustotal.com/gui/file/5e7bbab4d78cd948c402b1a616574dd6111f4ba1568b4256d703abd3deed4916/detection

 

Запуск бэкдора был выполнен из этого файла:

Aкт cвepки взaимopacчeтoв за периoд  01.12.2023 - 22.02.2024 гoдa.exe

 

файл попал в систему и был запущен, скорее всего из архивного файла в электронном сообщении.

 

В образе уже все чисто.

В политиках надо запретить запуск исполняемых файлов из архивных файлов.

 

С расшифровкой по данному типу, к сожалению, не поможем.

Изменено пользователем safety
Ссылка на сообщение
Поделиться на другие сайты

Все зависит от того, какое время вы считаете ближайшим:  в ближайшую неделю или месяц, или может даже год - не стоит ждать. Если есть важные зашифрованные файлы или документы, можно сохранить их на отдельный носитель. room155 активен в течение полутора года, может когда нибудь и произойдет слив ключей.

Изменено пользователем safety
Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • s1lences
      От s1lences
      Шифровальщик зашифровал файлы на компьютере и присвоил расширение .GL13Col3W
      Свежий krd вирусов не нашел. В интернете и на форуме, описания вирусов с таким расширением нет.
      Что нужно сделать для расшифровки ?
    • Skampf
      От Skampf
      Банидты активизировались еще пол года назад. Все страдают, касперский защититься не помог и дешефровшик не делает, почему? Когда ждать?
       
      Кстати, вот, что пишет антивирус "HEUR:trojan-ransom.win32.generic".
      "HEUR:Trojan-Ransom.Win32.Convagent.gen"
       
      Формат зашифрованных файлов "QeEL8oxd6". Имя рандомное.
       
      зашифровка.zip
    • Oleg22rus
      От Oleg22rus
      Директор получил по почте письмо с файлом "Акт сверки за период 01.12.23 по 01.04.24" с логотипом xls, а расширение у файла было exe и он его конечно запустил. В итоге всё зашифровалось, в каждом каталоге текстовый файл AppBel4Do.README.txt, Вместо 2-х дисков(C,D) 4 (A,B,C,E), заблокированные Диспетчер задач, Реестр и удалена вся безопасность Windows.
      Сам файл вируса расположился по адресу C:\Users\Admin\AppData\Local\Temp\RarSEXa8896.16671 и прописался в автозагрузку.
      Интересно, файл я заархивировал с паролем, но при попытке скопировать на флешку папка тут же отчистилась 😵
      Поможите расшифровать?! 
       
      Addition.txtFRST.txtAppBel4Do.README.txt

    • Renatir
      От Renatir
      Всем доброго времени суток!
      Неизвестно каким способом поймал шифровальщик, теперь файлы не открываются и имеют странное скрытое расширение "NBJCbL2xk".
      Также появился новый раздел диска, которого на моей памяти не было ранее с наименованием "Зарезервировано системой (A:)"
      Прошу помочь победить эту заразу
      Не разобрался как прикрепить здесь файлы, залил на файлообменник: https://ru.files.me/u/bxqkwuuhrg
      Примеры файлов.rar FRST.txt Addition.txt NBJCbL2xk.README.txt
    • Aliaksei
      От Aliaksei
      Утром файлы стали не доступны, появился текставый документ предлагающий связатся и заплатить деньги для расшифровки данных. 
      Addition.txt FRST.txt j8mzhi9uZ.README.txt №02249 Октябрьский завод сухого и обезжиренного молока. .pdf №02249 Октябрьский завод сухого и обезжиренного молока. .pdf.rar №02250 Снов.pdf №02250 Снов.pdf.rar
×
×
  • Создать...