Перейти к содержанию

Зашифровали компьютер suppdecrypt@onionmail.com


Рекомендуемые сообщения

Здравствуйте!

 

Прочтите и выполните Порядок оформления запроса о помощи

Новую тему создавать не нужно, продолжайте здесь.

Ссылка на сообщение
Поделиться на другие сайты
  • Цитата

    Подготовьте несколько небольших зашифрованных документов (двух будет достаточно), файл с требованиями злоумышленников и упакуйте их в архив.

    Это сделайте.

Ссылка на сообщение
Поделиться на другие сайты

Логи зашифрованные и файл с требованиями.rar
тут зашифрованные логи от FRST64 и файл их требований

Он работает по локальнйо сети, в 02:55 начал сегодня свое дело.
два пк в сети зашифрованы.
Нам если често нужно всего лишь 2 файла из всего, если их удастся расшифровать то как бы система уже не важна.
есть удаленный доступ на машины если нужно могу предоставить

Ссылка на сообщение
Поделиться на другие сайты
Сообщение от модератора kmscom
Тема перемещена из раздела Компьютерная помощь

 

Ссылка на сообщение
Поделиться на другие сайты
16 minutes ago, Samoxval said:

тут зашифрованные логи от FRST64 и файл их требований

В безопасный режим можете войти? очевидно в процессах активный шифровальщик, это могут быть процессы winlogon.exe, которые запущены не из system32. Они и шифруют. Если диспетчер процессов работает (скорее всего запуск заблокирован), закройте эти процессы. Хотя они могут через задачи заново запуститься. Так что лучше пробовать зайти в безопасный с поддержкой сети и из него собрать логи FRST, надо вначале вылечить систему.

Ссылка на сообщение
Поделиться на другие сайты

Принял, сейчас попробую, диспетчер задач недоступен сейчас, его брокирует

 

В безопасном режиме так же диспетчер задач недоступен(

Addition.txtFRST.txt

Но в безопасном он не зашифровал наш лог

 

Диспетчер включил в реестре и запустил кврт, был опыт что кврт блочит нехорошие процессы автоматом

image.thumb.png.e74373a40bd57fb2e97e21d6d5611e61.png

Без вашей команды ничего делать не буду

Ссылка на сообщение
Поделиться на другие сайты
Quote

Без вашей команды ничего делать не буду

Все правильно.

дополнительно система заражена еще и Neshta/

Neshta можно пролечить  только с загрузочного диска.

 

в безопасном режиме:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт автоматически очистит систему и завершит работу без перезагрузки системы

 

Start::
HKLM\...\Policies\system: [legalnoticecaption] Encrypted by BlackBit
HKLM\...\Policies\system: [legalnoticetext] All your files have been encrypted due to a security problem with your computer
HKU\S-1-5-21-2409199089-102664677-2533462436-1001\...\Run: [ut] => "C:\Users\1\AppData\Roaming\uTorrent\uTorrent.exe"  /MINIMIZED (Нет файла)
HKU\S-1-5-21-2409199089-102664677-2533462436-1001\...\Run: [Web Companion] => C:\Program Files (x86)\Lavasoft\Web Companion\Application\WebCompanion.exe [9296592 2024-03-18] () [Файл не подписан] <==== ВНИМАНИЕ
HKU\S-1-5-21-2409199089-102664677-2533462436-1001\...\Policies\system: [DisableTaskMgr] 1
HKU\S-1-5-18\...\Policies\system: [DisableTaskMgr] 1
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\info.hta [2024-03-18] () [Файл не подписан]
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\winlogon.exe [2024-03-18] () [Файл не подписан] <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
Startup: C:\Users\1\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\winlogon.exe [2024-03-18] (Microsoft) [Файл не подписан] <==== ВНИМАНИЕ
Startup: C:\Users\1\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\wvtymcow.bat [2024-03-18] () [Файл не подписан]
Task: {B0938FB3-7057-42BD-9F3B-19CC9E7299BA} - System32\Tasks\BlackBit => C:\Windows\system32\config\systemprofile\AppData\Roaming\winlogon.exe  (Нет файла) <==== ВНИМАНИЕ
2024-03-18 14:30 - 2024-03-18 14:30 - 000110592 ___SH C:\ProgramData\oh3zl1su.exe
2024-03-18 14:30 - 2024-03-18 14:30 - 000110592 ___SH C:\ProgramData\ecarcxbt.exe
2024-03-18 14:28 - 2024-03-18 14:28 - 000110592 ___SH C:\ProgramData\vqvvy0xe.exe
2024-03-18 14:28 - 2024-03-18 14:28 - 000110592 ___SH C:\ProgramData\hzvy5qmg.exe
2024-03-18 14:25 - 2024-03-18 14:25 - 000110592 ___SH C:\ProgramData\yuwjqaqv.exe
2024-03-18 14:25 - 2024-03-18 14:25 - 000110592 ___SH C:\ProgramData\4pp21jpa.exe
2024-03-18 12:15 - 2024-03-18 12:15 - 000110592 ___SH C:\ProgramData\xj3i0mmn.exe
2024-03-18 12:15 - 2024-03-18 12:15 - 000110592 ___SH C:\ProgramData\ldcplztr.exe
2024-03-18 11:50 - 2024-03-18 14:28 - 000041472 _____ C:\Windows\svchost.com
HKLM\...\exefile\shell\open\command: C:\Windows\svchost.com "%1" %* <==== ВНИМАНИЕ
2024-03-18 10:52 - 2024-03-18 11:50 - 000152064 ___SH C:\ProgramData\fxoo0l2x.exe
2024-03-18 10:52 - 2024-03-18 11:48 - 000152064 ___SH C:\ProgramData\0zbtlxez.exe
2024-03-18 10:51 - 2024-03-18 11:50 - 000152064 ___SH C:\ProgramData\oj0w5xu5.exe
2024-03-18 10:51 - 2024-03-18 10:51 - 000000109 _____ C:\Windows\SysWOW64\wvtymcow.bat
2024-03-18 10:51 - 2023-11-14 18:19 - 000556032 ___SH (Microsoft) C:\Windows\SysWOW64\winlogon.exe
2024-03-18 03:06 - 2024-03-18 11:50 - 000597504 ___SH C:\ProgramData\winlogon.exe
2024-03-18 03:06 - 2024-03-18 11:50 - 000152064 ___SH C:\ProgramData\bycyslo5.exe
2024-03-18 03:06 - 2024-03-18 11:48 - 000597504 ___SH C:\Users\1\AppData\Roaming\winlogon.exe
2024-03-18 03:06 - 2023-11-14 18:19 - 000556032 ___SH (Microsoft) C:\Windows\winlogon.exe
2024-03-18 10:52 - 2024-03-18 11:48 - 000152064 ___SH () C:\ProgramData\0zbtlxez.exe
2024-03-18 14:25 - 2024-03-18 14:25 - 000110592 ___SH () C:\ProgramData\4pp21jpa.exe
2024-03-18 03:06 - 2024-03-18 11:50 - 000152064 ___SH () C:\ProgramData\bycyslo5.exe
2024-03-18 14:30 - 2024-03-18 14:30 - 000110592 ___SH () C:\ProgramData\ecarcxbt.exe
2024-03-18 10:52 - 2024-03-18 11:50 - 000152064 ___SH () C:\ProgramData\fxoo0l2x.exe
2024-03-18 14:28 - 2024-03-18 14:28 - 000110592 ___SH () C:\ProgramData\hzvy5qmg.exe
2024-03-18 12:15 - 2024-03-18 12:15 - 000110592 ___SH () C:\ProgramData\ldcplztr.exe
2024-03-18 14:30 - 2024-03-18 14:30 - 000110592 ___SH () C:\ProgramData\oh3zl1su.exe
2024-03-18 10:51 - 2024-03-18 11:50 - 000152064 ___SH () C:\ProgramData\oj0w5xu5.exe
2024-03-18 14:28 - 2024-03-18 14:28 - 000110592 ___SH () C:\ProgramData\vqvvy0xe.exe
2024-03-18 03:06 - 2024-03-18 11:50 - 000597504 ___SH () C:\ProgramData\winlogon.exe
2024-03-18 12:15 - 2024-03-18 12:15 - 000110592 ___SH () C:\ProgramData\xj3i0mmn.exe
2024-03-18 14:25 - 2024-03-18 14:25 - 000110592 ___SH () C:\ProgramData\yuwjqaqv.exe
2024-03-18 03:07 - 2024-03-18 03:07 - 000000395 _____ () C:\Program Files\Restore-My-Files.txt
2024-03-18 03:06 - 2024-03-18 11:48 - 000597504 ___SH () C:\Users\1\AppData\Roaming\winlogon.exe
End::

Добавьте файл Fixlog.txt из папки, откуда запускали FRST в ваше сообщение.

Заархивируйте папку C:\FRST\Quarantine с паролем virus, загрузите архив на облачный диск, и дайте ссылку на скачивание в ЛС.

Далее,

необходимо пролечить систему с помощью загрузочного диска KRD

загрузиться с KRD и пролечить системный диск.

Далее, перегрузить систему в нормальный режим и сделать дополнительно  образ автозапуска

 

После проверки в KRD, сделайте образ автозапуска системы в uVS

 

Добавьте образ автозапуска системы в uVS.

1. Скачать архив программы можно отсюда:

2. Распакуйте данный архив с программой в отдельный каталог и запустите файл Start.exe
(для Vista, W7, W8, W10, W11 запускаем с правами администратора)
3. В стартовом окне программы - нажмите "запустить под текущим пользователем"
(если текущий пользователь с правами администратора).

4. Далее, меню "Файл" / Сохранить Полный образ автозапуска.

5. дождитесь, пока процесс создания файла образа завершится.
Сохраненный файл образа автозапуска (с именем Ваш_компьютер_дата_время.txt) автоматически добавится в архив 7z или rar.
6. Файл архива с образом автозапуска прикрепите к вашему сообщению на форуме. Ждем ответ.

 

Изменено пользователем safety
Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • Bredmon
      От Bredmon
      Поймал шифровальщик, все файлы стали с расширением blackbit, системные приложения не запускаются
      Addition.txt files.zip FRST.txt SQL_2024-03-15_04-28-34_v4.15.1.7z
    • heimdall
      От heimdall
      Добрый день. Компьютер сотрудника утром обрадовал сообщением, что файлы зашифрованы blackbit. К компу был доступ по rdp, следом еще 2 пк в сети зашифрованы. 
      files.rar Addition.rar
    • marmon
      От marmon
      Добрый день зашифрованы файлы на сервере и в сети на сетевом диске
      Desktop.7z Addition.txt FRST.txt
    • wowabas_1959
      От wowabas_1959
      Неожиданно сегодня прилетел BlackBit и зашифровал системный диск и диск с архивом. Требует денег.
      Систему-то я могу переустановить с нуля, а вот архивы (фото, документы) жалко.
      Необходимые файлы как смог приготовил. Хотя через несколько секунд они тоже шифруются.
       А вот добавить образ автозапуска системы в uVS не могу.
      архив программы скачивал несколько раз и из разных мест.
      При попытке риаспаковать данный архив с программой в отдельный каталог пишет поврежденный архив.
      Addition.txt eb2d57b2-83b2-45ac-80aa-e28b8e2a3089.zip FRST.txt
×
×
  • Создать...