Перейти к содержанию

Зашифрованы файлы id[13A55AA4-1122].[versacee@tuta.io].HUNTER


Рекомендуемые сообщения

Здравствуйте!

Компьютер  с Windows 7 SP1 работал без пререканий какое-то время.

И вот случилось это:файлы зашифрованы.

Предположительно, взлом компьютера был через подбор пароля RDP Удалённого стола.

Не зашифрованы остались файлы журнала Windows , но они были почищены до даты взлома. Журнал начал писаться уже после взлома.

Поэтому  самой интересной инфы нет.

 

password virus.7z FRST+Addition.7z

пример зашифрованных файлов.7z

Изменено пользователем user7
Ссылка на комментарий
Поделиться на другие сайты

По очистке системы:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт автоматически очистит систему и завершит работу без перезагрузки системы

 

Start::
Startup: C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Fast.exe [2024-03-29] ()
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Fast.exe [2024-03-29] ()
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
2024-03-31 14:49 - 2024-03-31 14:49 - 000005529 _____ C:\Users\Public\Desktop\info.hta
2024-03-31 14:49 - 2024-03-31 14:49 - 000005529 _____ C:\Users\NoName\Desktop\info.hta
2024-03-31 14:49 - 2024-03-31 14:49 - 000005529 _____ C:\info.hta
2024-03-31 13:29 - 2024-03-29 20:05 - 000057344 _____ C:\Users\NoName\AppData\Local\Fast.exe
2024-03-31 13:28 - 2024-03-29 20:05 - 000057344 _____ C:\Fast.exe
2024-03-31 13:27 - 2024-04-02 11:00 - 000000000 ____D C:\Users\NoName\AppData\Roaming\Process Hacker 2
2024-03-31 13:23 - 2024-03-31 14:10 - 000000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Process Hacker 2
2024-03-31 13:23 - 2024-03-31 14:03 - 000000000 ____D C:\Program Files\Process Hacker 2
2024-03-31 13:18 - 2024-03-31 13:18 - 000041472 _____ C:\Windows\svchost.com
2024-04-02 11:29 - 2024-03-29 20:05 - 000057344 _____ () C:\Users\user\AppData\Local\Fast.exe
AlternateDataStreams: C:\ProgramData\TEMP:4FC01C57 [140]
AlternateDataStreams: C:\ProgramData\TEMP:8834911E [252]
HKLM\...\exefile\shell\open\command: C:\Windows\svchost.com "%1" %* <==== ВНИМАНИЕ
End::

Добавьте файл Fixlog.txt из папки, откуда запускали FRST в ваше сообщение.

 

Возможно, помимо шифрования система так же заражена и Neshta,

Стоит проверить ее с помощью загрузочного диска KRD

 

С расшифровкой файлов по Phobos не сможем вам помочь.

Изменено пользователем safety
Ссылка на комментарий
Поделиться на другие сайты

3 часа назад, safety сказал:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST в ваше сообщение.

файл во вложении.

3 часа назад, safety сказал:

Возможно, помимо шифрования система так же заражена и Neshta,

Стоит проверить ее с помощью загрузочного диска KRD

Neshta не прослеживалась визуально и раньше(не изменялись исполняемые файлы .exe).

 

Утилита KRD поработала 15 минут и решено было её остановить, если бы была Neshta -было бы много сообщений.

За это время она нашла 2 элемента:

Trojan.Multi.GenAutorunReg.a
Бесфайловый объект
Троянская программа
    OS:  Windows 7 x64
--------------------------------------------------------
HEUR:Trojan-Ransom.Win32.Phobos.vho
C:\Users\NoName\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Fast.exe
Троянская программа
    OS:  Windows 7 x64
    MD5:  442D4E80550A6E0DC210A7FB7EE43F3C
    SHA256:  3D42D7BA81D48F395ED578C63302EF2F5D44BC2E0DC7F3D775D25ED0DB54EF33

 

Windows однозначно переустанавливать.

 

3 часа назад, safety сказал:

С расшифровкой файлов по Phobos не сможем вам помочь.

Днём ранее мы обратились в фирму, которая легко находится по слову Хантер....

Они прислали в ответ восстановленный файл.

Цена правда около 500 000 рублей за восстановление.

На их сайте написано, что и договор заключают, и их представитель приезжает...

 

 

Fixlog.txt

Изменено пользователем user7
Ссылка на комментарий
Поделиться на другие сайты

16 minutes ago, user7 said:

Neshta не прослеживалась визуально и раньше(не изменялись исполняемые файлы .exe).

Судя по FixLog.txt система очищена от тел шифровальщика из автозапуска.

файл, вызывающий заражение Neshta однозначно был в системе судя по логам FRST, но возможно не были затронуты исполняемые файлы при сборе логов.

Скорее всего по причине того что svchost.com не был прописан в автозапуск.:

2024-03-31 13:18 - 2024-03-31 13:18 - 000041472 _____ C:\Windows\svchost.com
HKLM\...\exefile\shell\open\command: C:\Windows\svchost.com "%1" %* <==== ВНИМАНИЕ
Изменено пользователем safety
  • Like (+1) 1
Ссылка на комментарий
Поделиться на другие сайты

17 минут назад, safety сказал:

Судя по FixLog.txt система очищена от тел шифровальщика из автозапуска.

файл, вызывающий заражение Neshta однозначно был в системе судя по логам FRST, но возможно не были затронуты исполняемые файлы при сборе логов.

Скорее всего по причине того что svchost.com не был прописан в автозапуск.:


2024-03-31 13:18 - 2024-03-31 13:18 - 000041472 _____ C:\Windows\svchost.com
HKLM\...\exefile\shell\open\command: C:\Windows\svchost.com "%1" %* <==== ВНИМАНИЕ

 

Спасибо.

Тему наверное можно закрывать?
 

Ссылка на комментарий
Поделиться на другие сайты

17 часов назад, user7 сказал:

обратились в фирму, которая легко находится по слову Хантер

Подобных фирм немало, обычно это посредники вымогателей.

https://www.safezone.cc/threads/vnimanie-servisy-posredniki-po-rasshifrovke-fajlov.25232/

  • Спасибо (+1) 1
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • tamerlan
      Автор tamerlan
      Доброго дня. зашифровались все файлы в формат .danie 
      Волнует только расшифровать файл базы 1С, пото просто переустановлю систему и все. 
      Помогите пожалуйста.
    • Mep3aBEz
      Автор Mep3aBEz
      Добрый день!
      6 мая 2025 года зашифровались файлы.
      Как проник вирус неизвестно.
       
      Произошло:
      Ночью на виртуалку на Win10x64 с включенным RDP в папку c:\users\admin\music попал файл AD.exe
      На самой виртуалке ничего не зашифровалось, но два рабочих компьютера на Win11, которые были включены в тот момент зашифровались.
      Также не зашифровался ни один (из 5) рабочий сервер на виртуалках с WS2022.
      С зашифрованных компов была удалена система, поэтому лог анализа системы прикрепить не могу, файл шифровальщика тоже не сохранили.
       
       
       
      encrypt_files.zip
    • orbita06
      Автор orbita06
      легла вся сеть и 4 сервера вирус удален нужна программа дешифровальщика
    • robocop1974
      Автор robocop1974
      Добрый день. Если есть возможность выяснить есть ли дешифратор?
      Система была переустановлена (но имеется клон, для анализа смогу без проблем предоставить логи Farbar Recovery Scan Tool, но к сожалению позже).
      В архиве несколько зашифрованных файлов.
      *.txt, *.html файлов для выкупа не было. Но была папка с названием "DontDeleteThisFolder" в ней лежал файл "enc". Файл так же в архиве.
       
      Пробовал некоторые дешифраторы с сайта Касперского и Крипто-шерифа, но к сожалению безуспешно.
       
      Заранее спасибо за уделенное время!
       
      files.zip
    • MidgardS1
      Автор MidgardS1
      Привет! Столкнулись с таким же шифровальщиком. Подскажите, есть возможность расшифровать данные?
       
      Сообщение от модератора Mark D. Pearlstone Перенесено из темы.
×
×
  • Создать...