proxima Шифровальщик ELECTRONIC Ransmoware

[13asx13 0]

Добрый день, на сервере зашифровались все файлы. Появились текстовые файлы с содержимым:
Electronic Ransmoware
ATTENTION!
At the moment, your system is not protected.
We can fix itand restore files.
To get started, send a file to decrypt trial.
You can trust us after opening the test file.
2.Do not use free programs to unlock.
To restore the system write to both : electronicrans@gmail.com              and            electronicrans@outlook.com
Telegram id:@mgam161
Your Decryption ID: *************
На момент заражения на сервере был запущен Kaspersky Endpoint Security.
Прошу помощи в решении проблемы.

Изменено 15 марта пользователем 13asx13

[13asx13 0]

FRST.txt README ELECTRONIC.rar Addition.txt

[safety 80]

Файлы зашифрованы вариантом PROXIMA/BTC-azadi

 

Возможно в системе есть заражение neshta

2024-03-15 03:20 - 2024-03-15 15:09 - 000041472 _____ C:\WINDOWS\svchost.com

лучше проверить систему с помощью KRD

 

После проверки в KRD, сделайте образ автозапуска системы в uVS

 

Добавьте образ автозапуска системы в uVS.

1. Скачать архив программы можно отсюда:

2. Распакуйте данный архив с программой в отдельный каталог и запустите файл Start.exe
(для Vista, W7, W8, W10, W11 запускаем с правами администратора)
3. В стартовом окне программы - нажмите "запустить под текущим пользователем"
(если текущий пользователь с правами администратора).

4. Далее, меню "Файл" / Сохранить Полный образ автозапуска.

5. дождитесь, пока процесс создания файла образа завершится.
Сохраненный файл образа автозапуска (с именем Ваш_компьютер_дата_время.txt) автоматически добавится в архив 7z или rar.
6. Файл архива с образом автозапуска прикрепите к вашему сообщению на форуме. Ждем ответ.

Изменено 15 марта пользователем safety

[13asx13 0]

Сделали сканирование KRD, обнаружил neshta, пролечили систему и создали образ автозапуска:

RTV-SRV_2024-03-16_13-34-40.rar

[thyrex 1 468]

14 часов назад, safety сказал:

Возможно в системе есть заражение neshta

100% есть.

Цитата

HKLM\...\exefile\shell\open\command: C:\Users\Администратор.WIN-UPQ0PODUDCK\WINDOWS\svchost.com "%1" %* <==== ВНИМАНИЕ

 

[safety 80]

Эти файлы не пролечены:

C:\PROGRAM FILES (X86)\ADOBE\ACROBAT 11.0\ACROBAT\PLUG_INS\SCAN\ACROSCANBROKER.EXE

C:\PROGRAMDATA\MICROSOFT\WINDOWS DEFENDER\PLATFORM\4.18.2202.4-0\NISSRV.EXE

C:\PROGRAM FILES (X86)\GOOGLE\GOOGLEUPDATER\124.0.6342.2\UPDATER.EXE

 

пробуйте просканировать их.

+

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт автоматически очистит систему и завершит работу без перезагрузки системы

Strart::
HKLM\...\exefile\shell\open\command: C:\Users\Администратор.WIN-UPQ0PODUDCK\WINDOWS\svchost.com "%1" %* <==== ВНИМАНИЕ
End::

Добавьте файл Fixlog.txt из папки, откуда запускали FRST в ваше сообщение.

Изменено 16 марта пользователем safety