mimic/n3wwv43 ransomware Расшифровка файлов

[couzee]

Добрый день. На файловом сервере зашифровало  .NESCHELKAIEBALOM.

Помогите с расшифровкой.

[Sandor]

Здравствуйте!

 

Прочтите и выполните Порядок оформления запроса о помощи

Новую тему создавать не нужно, продолжайте здесь.

[couzee]

В инструкции указана ссылка на скачивание программы для Windows. На нашем файловом сервер стоит ОС Linux Ubuntu. Есть какие-то альтернативные программы для такой ОС?

[Sandor]

Нет, значит сделайте остальное - образцы зашифрованных документов и записку с требованием выкупа в архиве прикрепите к следующему сообщению.

[couzee]

Только что, Sandor сказал:

Нет, значит сделайте остальное - образцы зашифрованных документов и записку с требованием выкупа в архиве прикрепите к следующему сообщению.

 

virus.zip

[Sandor]

Увы, расшифровки этого типа вымогателя нет.

[couzee]

1 минуту назад, Sandor сказал:

Увы, расшифровки этого типа вымогателя нет.

Есть ли смысл списываться с ними и общаться о покупке их ПО?

[Sandor]

На ваш страх и риск. Мы не советуем, т.к. во-первых, тем самым вы стимулируете их на дальнейшую вредную деятельность. И во-вторых, могут обмануть и после перевода им денег ничего не прислать.

Почитайте эти темы.

[safety]

Вряд ли шифровальщик мог быть запущен на файловом сервере с Ubuntu. (По крайней мере по Mimic неизвестны такие случаи). Скорее всего запущен на другом устройстве (под Win), к которому были примонтированы папки файлового сервера.

Изменено 29 марта пользователем safety

[couzee]

1 час назад, safety сказал:

Вряд ли шифровальщик мог быть запущен на файловом сервере с Ubuntu. (По крайней мере по Mimic неизвестны такие случаи). Скорее всего запущен на другом устройстве (под Win), к которому были примонтированы папки файлового сервера.

Так и есть. Мы нашли с какого компьютера был запущен данный вирус. И даже экспортировали сам вирус в exe файле. Могу предоставить его в архиве для проверки.

[safety]

Quote

Мы нашли с какого компьютера был запущен данный вирус

Добавьте с этого ПК логи FRST (FRST.txt и Addition.txt)

 

Quote

Могу предоставить его в архиве для проверки.

заархивируйте всю папку, где находился шифровальщик с паролем virus, загрузите архив на облачный диск и дайте ссылку на скачиванием в ЛС

Изменено 29 марта пользователем safety

[couzee]

2 часа назад, safety сказал:

Добавьте с этого ПК логи FRST (FRST.txt и Addition.txt)

 

заархивируйте всю папку, где находился шифровальщик с паролем virus, загрузите архив на облачный диск и дайте ссылку на скачиванием в ЛС

 

FRST.txt Addition.txt

[safety]

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт автоматически очистит систему и завершит работу без перезагрузки системы

Start::
HKLM\...\Run: [NESCHELKAIEBALOM.exe] => C:\Users\Iru\AppData\Local\CHITAI_MENYA_NE_STOIT_ZHDAT_I_SCHELKAT_EBALOM.txt [2085 2024-03-29] () [Файл не подписан]
HKLM\SYSTEM\CurrentControlSet\Services\458DD190154FED94 <==== ВНИМАНИЕ (Rootkit!)
Unlock: C:\Users\Admin\AppData\Local\9A72EF00-8444-52D7-C2DA-419249B4BE2E
2024-03-29 13:21 - 2021-12-05 03:29 - 000000000 __SHD C:\Users\Admin\AppData\Local\9A72EF00-8444-52D7-C2DA-419249B4BE2E
2024-03-29 10:17 - 2022-08-27 18:01 - 000000000 __SHD C:\Users\Iru\AppData\Local\9A72EF00-8444-52D7-C2DA-419249B4BE2E
End::

Добавьте файл Fixlog.txt из папки, откуда запускали FRST в ваше сообщение.

Заархивируйте папку C:\FRST\Quarantine с паролем virus, загрузите архив на облачный диск, и дайте ссылку на скачивание в ЛС.

Изменено 29 марта пользователем safety

[couzee]

23 minutes ago, safety said:

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт автоматически очистит систему и завершит работу без перезагрузки системы

Start::
HKLM\...\Run: [NESCHELKAIEBALOM.exe] => C:\Users\Iru\AppData\Local\CHITAI_MENYA_NE_STOIT_ZHDAT_I_SCHELKAT_EBALOM.txt [2085 2024-03-29] () [Файл не подписан]
HKLM\SYSTEM\CurrentControlSet\Services\458DD190154FED94 <==== ВНИМАНИЕ (Rootkit!)
2024-03-29 13:21 - 2021-12-05 03:29 - 000000000 __SHD C:\Users\Admin\AppData\Local\9A72EF00-8444-52D7-C2DA-419249B4BE2E
2024-03-29 10:17 - 2022-08-27 18:01 - 000000000 __SHD C:\Users\Iru\AppData\Local\9A72EF00-8444-52D7-C2DA-419249B4BE2E
End::

Добавьте файл Fixlog.txt из папки, откуда запускали FRST в ваше сообщение.

Заархивируйте папку C:\FRST\Quarantine с паролем virus, загрузите архив на облачный диск, и дайте ссылку на скачивание в ЛС.

Fixlog.txt

12 minutes ago, couzee said:

Fixlog.txt 1 kB · 0 загрузок

 

23 minutes ago, safety said:

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт автоматически очистит систему и завершит работу без перезагрузки системы

Start::
HKLM\...\Run: [NESCHELKAIEBALOM.exe] => C:\Users\Iru\AppData\Local\CHITAI_MENYA_NE_STOIT_ZHDAT_I_SCHELKAT_EBALOM.txt [2085 2024-03-29] () [Файл не подписан]
HKLM\SYSTEM\CurrentControlSet\Services\458DD190154FED94 <==== ВНИМАНИЕ (Rootkit!)
2024-03-29 13:21 - 2021-12-05 03:29 - 000000000 __SHD C:\Users\Admin\AppData\Local\9A72EF00-8444-52D7-C2DA-419249B4BE2E
2024-03-29 10:17 - 2022-08-27 18:01 - 000000000 __SHD C:\Users\Iru\AppData\Local\9A72EF00-8444-52D7-C2DA-419249B4BE2E
End::

Добавьте файл Fixlog.txt из папки, откуда запускали FRST в ваше сообщение.

Заархивируйте папку C:\FRST\Quarantine с паролем virus, загрузите архив на облачный диск, и дайте ссылку на скачивание в ЛС.

 

Изменено 29 марта пользователем safety

[safety]

Написано ведь:

Заархивируйте папку C:\FRST\Quarantine с паролем virus, загрузите архив на облачный диск, и дайте ссылку на скачивание в ЛС.

 

не надо постить в теме ссылки на карантины и архивы с вирусными телами - они будут доступны всем.

 

Quote

Увы, расшифровки этого типа вымогателя нет.

 

Изменено 29 марта пользователем safety