Перейти к содержанию

Рекомендуемые сообщения

Опубликовано (изменено)

Здравствуйте!

Компьютер  с Windows 7 SP1 работал без пререканий какое-то время.

И вот случилось это:файлы зашифрованы.

Предположительно, взлом компьютера был через подбор пароля RDP Удалённого стола.

Не зашифрованы остались файлы журнала Windows , но они были почищены до даты взлома. Журнал начал писаться уже после взлома.

Поэтому  самой интересной инфы нет.

 

password virus.7z FRST+Addition.7z

пример зашифрованных файлов.7z

Изменено пользователем user7
Опубликовано (изменено)

По очистке системы:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт автоматически очистит систему и завершит работу без перезагрузки системы

 

Start::
Startup: C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Fast.exe [2024-03-29] ()
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Fast.exe [2024-03-29] ()
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
2024-03-31 14:49 - 2024-03-31 14:49 - 000005529 _____ C:\Users\Public\Desktop\info.hta
2024-03-31 14:49 - 2024-03-31 14:49 - 000005529 _____ C:\Users\NoName\Desktop\info.hta
2024-03-31 14:49 - 2024-03-31 14:49 - 000005529 _____ C:\info.hta
2024-03-31 13:29 - 2024-03-29 20:05 - 000057344 _____ C:\Users\NoName\AppData\Local\Fast.exe
2024-03-31 13:28 - 2024-03-29 20:05 - 000057344 _____ C:\Fast.exe
2024-03-31 13:27 - 2024-04-02 11:00 - 000000000 ____D C:\Users\NoName\AppData\Roaming\Process Hacker 2
2024-03-31 13:23 - 2024-03-31 14:10 - 000000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Process Hacker 2
2024-03-31 13:23 - 2024-03-31 14:03 - 000000000 ____D C:\Program Files\Process Hacker 2
2024-03-31 13:18 - 2024-03-31 13:18 - 000041472 _____ C:\Windows\svchost.com
2024-04-02 11:29 - 2024-03-29 20:05 - 000057344 _____ () C:\Users\user\AppData\Local\Fast.exe
AlternateDataStreams: C:\ProgramData\TEMP:4FC01C57 [140]
AlternateDataStreams: C:\ProgramData\TEMP:8834911E [252]
HKLM\...\exefile\shell\open\command: C:\Windows\svchost.com "%1" %* <==== ВНИМАНИЕ
End::

Добавьте файл Fixlog.txt из папки, откуда запускали FRST в ваше сообщение.

 

Возможно, помимо шифрования система так же заражена и Neshta,

Стоит проверить ее с помощью загрузочного диска KRD

 

С расшифровкой файлов по Phobos не сможем вам помочь.

Изменено пользователем safety
Опубликовано (изменено)
3 часа назад, safety сказал:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST в ваше сообщение.

файл во вложении.

3 часа назад, safety сказал:

Возможно, помимо шифрования система так же заражена и Neshta,

Стоит проверить ее с помощью загрузочного диска KRD

Neshta не прослеживалась визуально и раньше(не изменялись исполняемые файлы .exe).

 

Утилита KRD поработала 15 минут и решено было её остановить, если бы была Neshta -было бы много сообщений.

За это время она нашла 2 элемента:

Trojan.Multi.GenAutorunReg.a
Бесфайловый объект
Троянская программа
    OS:  Windows 7 x64
--------------------------------------------------------
HEUR:Trojan-Ransom.Win32.Phobos.vho
C:\Users\NoName\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Fast.exe
Троянская программа
    OS:  Windows 7 x64
    MD5:  442D4E80550A6E0DC210A7FB7EE43F3C
    SHA256:  3D42D7BA81D48F395ED578C63302EF2F5D44BC2E0DC7F3D775D25ED0DB54EF33

 

Windows однозначно переустанавливать.

 

3 часа назад, safety сказал:

С расшифровкой файлов по Phobos не сможем вам помочь.

Днём ранее мы обратились в фирму, которая легко находится по слову Хантер....

Они прислали в ответ восстановленный файл.

Цена правда около 500 000 рублей за восстановление.

На их сайте написано, что и договор заключают, и их представитель приезжает...

 

 

Fixlog.txt

Изменено пользователем user7
Опубликовано (изменено)
16 minutes ago, user7 said:

Neshta не прослеживалась визуально и раньше(не изменялись исполняемые файлы .exe).

Судя по FixLog.txt система очищена от тел шифровальщика из автозапуска.

файл, вызывающий заражение Neshta однозначно был в системе судя по логам FRST, но возможно не были затронуты исполняемые файлы при сборе логов.

Скорее всего по причине того что svchost.com не был прописан в автозапуск.:

2024-03-31 13:18 - 2024-03-31 13:18 - 000041472 _____ C:\Windows\svchost.com
HKLM\...\exefile\shell\open\command: C:\Windows\svchost.com "%1" %* <==== ВНИМАНИЕ
Изменено пользователем safety
  • Like (+1) 1
Опубликовано
17 минут назад, safety сказал:

Судя по FixLog.txt система очищена от тел шифровальщика из автозапуска.

файл, вызывающий заражение Neshta однозначно был в системе судя по логам FRST, но возможно не были затронуты исполняемые файлы при сборе логов.

Скорее всего по причине того что svchost.com не был прописан в автозапуск.:


2024-03-31 13:18 - 2024-03-31 13:18 - 000041472 _____ C:\Windows\svchost.com
HKLM\...\exefile\shell\open\command: C:\Windows\svchost.com "%1" %* <==== ВНИМАНИЕ

 

Спасибо.

Тему наверное можно закрывать?
 

Опубликовано
17 часов назад, user7 сказал:

обратились в фирму, которая легко находится по слову Хантер

Подобных фирм немало, обычно это посредники вымогателей.

https://www.safezone.cc/threads/vnimanie-servisy-posredniki-po-rasshifrovke-fajlov.25232/

  • Спасибо (+1) 1
  • 1 год спустя...
Опубликовано (изменено)

@user7

 

Цитата

 

Они прислали в ответ восстановленный файл.

Цена правда около 500 000 рублей за восстановление.

На их сайте написано, что и договор заключают, и их представитель приезжает...

 

И это ключевое слово. 500 тыс рублей за дешифратор.

 

Ваши файлы могут быть расшифрованы бесплатно, напишите здесь, если расшифровка файлов еще актуальна.

 

Цитата

10:20:03 Scan path: C:\DATA\kc\ЛОГИ и файлы\21.07.2025
10:20:03 Decrypt files...
10:20:03 Encrypted: C:\DATA\kc\ЛОГИ и файлы\21.07.2025\DAP1150A1_FW102b06.bin.id[78A17FE4-3335].[versacee@tuta.io].HUNTER
10:20:03 Encrypted: C:\DATA\kc\ЛОГИ и файлы\21.07.2025\dap1150_v100b17_fw.rar.id[78A17FE4-3335].[versacee@tuta.io].HUNTER

10:20:03 Encrypted: C:\DATA\kc\ЛОГИ и файлы\21.07.2025\Лицензионное соглашение.docx.id[C0C0407B-3335].[Hunter-X@tuta.io].HUNTER
10:20:03 Encrypted: C:\DATA\kc\ЛОГИ и файлы\21.07.2025\DAP1150A1_FW111B05.bin.id[78A17FE4-3335].[versacee@tuta.io].HUNTER
10:20:03 Encrypted: C:\DATA\kc\ЛОГИ и файлы\21.07.2025\Readme.txt.id[C0C0407B-3335].[Hunter-X@tuta.io].HUNTER
10:20:03 Encrypted: C:\DATA\kc\ЛОГИ и файлы\21.07.2025\Руководство.docx.id[C0C0407B-3335].[Hunter-X@tuta.io].HUNTER
10:20:03 Decrypted: C:\DATA\kc\ЛОГИ и файлы\21.07.2025\Лицензионное соглашение.docx
10:20:03 Decrypted: C:\DATA\kc\ЛОГИ и файлы\21.07.2025\Readme.txt
10:20:03 Decrypted: C:\DATA\kc\ЛОГИ и файлы\21.07.2025\dap1150_v100b17_fw.rar
10:20:03 Decrypted: C:\DATA\kc\ЛОГИ и файлы\21.07.2025\DAP1150A1_FW102b06.bin
10:20:03 Decrypted: C:\DATA\kc\ЛОГИ и файлы\21.07.2025\DAP1150A1_FW111B05.bin
10:20:03 Decrypted: C:\DATA\kc\ЛОГИ и файлы\21.07.2025\Руководство.docx
10:20:03 ========================
10:20:03 Files:                 8
10:20:03 Encrypted:             6
10:20:03 Decrypted:             6
10:20:03 Deleted:               0
10:20:03 Warnings:              0
10:20:03 Errors:                0
10:20:03 ========================
10:20:03 Elapsed: 34.4679ms

 

Изменено пользователем safety

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Denys Kordelski
      Автор Denys Kordelski
      ??? Какой утилитой можно спасти Фалы с расширением - [Hunter-X@tuta.io].HUNTER             Которые появились после вируса шифровщика.. Был бы очень благодарен за пмошь.
    • ant1tr3nd
      Автор ant1tr3nd
      Добрый день. Сервер был заражен шифровальщиком. 
      Все файлы он переименовал и добавил расширение
      ~$АНАЛИЗ  2020.xlsx.id[07348D30-3335].[Hunter-X@tuta.io].HUNTER
      Вот как выглядит зашифрованный файл. Раньше назывался просто АНАЛИЗ 2020
      Прошу помочь(
       
    • morose
      Автор morose
      Вы писали: @ant1tr3nd, Ваши файлы могут быть расшифрованы, напишите в ответ, если расшифровка еще актуальна для вас.  
      _SAM9939.jpg.id[36121455-3335].[Hunter-X@tuta.io].zip
    • Денис А
      Автор Денис А
      Добрый день.
      Помогите, пожалуйста, расшифровать файлы на ПК.
      Приложил файлы зашифрованные. лог FRST и текстовый файл с требованием выкупа.
       
      Заранее спасибо.
      AeyLALoFF.README.txt зашифрованные файлы.rar Addition.txt
      FRST.txt
    • progig
      Автор progig
      Доброго времени суток 30.07 все ПК сети введенные  в домен одновременно перезагрузились. Виндовс больше не запустился, все остановилось на "восстановлении системы". Система не восстанавливалась, у некоторых ПК диски вовсе упали в RAW. Поверх был установлен виндовс, но старые файлы пользователей так и не открылись( у всех файлов(кроме .txt, которые открываются) одна и та же дата/время изменения файла с минутной разницей). Файл FRST сделан из под командной строки "восстановления системы". Файл Addition не формируется. Записки о выкупе не обнаружено.
      Прикрепляю файл FRST и зашифрованные файлы. FRST.rarзашифрованные файлы.rar
×
×
  • Создать...