proxima Шифровальщик с расширением

[sabo]

Добрый день поймал шифровальщика на ПК, скорее всего взлом по РДП

1.rar

[safety]

Систему просканировали антивирусом? можете предоставить лог сканирования?

[sabo]

5 минут назад, safety сказал:

Систему просканировали антивирусом? можете предоставить лог сканирования?

К сожалению систему пришлось переустановить, зашифровано много файлов, фото, документы, виртуальные машины, и другое

Антивирус ничего не показал

Большинство программ не запускалось, вплоть до встроенных в систему

Изменено 10 марта, 2024 пользователем sabo

[safety]

22 minutes ago, sabo said:

Антивирус ничего не показал

Здесь я виду у вас установлен Дрвеб

(C:\Program Files\Common Files\Doctor Web\Scanning Engine\dwengine.exe ->) (Doctor Web Ltd. -> Doctor Web, Ltd.) C:\Program Files\Common Files\Doctor Web\Scanning Engine\dwarkdaemon.exe

 

шифрование произошло при установленном антивирусе или установили после шифрования?

23 minutes ago, sabo said:

Большинство программ не запускалось, вплоть до встроенных в систему

Скорее всего вместе с шифрованием был запущен сэмпл Neshta для заражения исполняемых файлов.

[sabo]

5 минут назад, safety сказал:

Здесь я виду у вас установлен Дрвеб

(C:\Program Files\Common Files\Doctor Web\Scanning Engine\dwengine.exe ->) (Doctor Web Ltd. -> Doctor Web, Ltd.) C:\Program Files\Common Files\Doctor Web\Scanning Engine\dwarkdaemon.exe

 

шифрование произошло при установленном антивирусе или установили после шифрования?

Скорее всего вместе с шифрованием был запущен сэмпл Neshta для заражения исполняемых файлов.

Был установлен

[safety]

1 minute ago, sabo said:

Был установлен

Значит пропуск был, или смогли отключить защиту на момент шифрования. Без сэмпла шифровальщика мы ничем не сможем вам помочь. Тем более после переустановки системы.

 

По данному шифровальщику PROXIMA/Blackshow расшифровка невозможна без приватного ключа.

[sabo]

У меня осталась виртуальная машина с данными которые нужно вытянуть, что нужно сделать

она запускается

 

Изменено 10 марта, 2024 пользователем sabo

[safety]

Можно так же несколько зашифрованных файлов + записку о выкупе+сделать логи FRST, + лог, который описал в ЛС

+ образ автозапуска в uVS.

1. Скачать архив программы можно отсюда:

2. Распакуйте данный архив с программой в отдельный каталог и запустите файл Start.exe
(для Vista, W7, W8, W10, W11 запускаем с правами администратора)
3. В стартовом окне программы - нажмите "запустить под текущим пользователем"
(если текущий пользователь с правами администратора).

4. Далее, меню "Файл" / Сохранить Полный образ автозапуска.

5. дождитесь, пока процесс создания файла образа завершится.
Сохраненный файл образа автозапуска (с именем Ваш_компьютер_дата_время.txt) автоматически добавится в архив 7z или rar.
6. Файл архива с образом автозапуска прикрепите к вашему сообщению на форуме. Ждем ответ.