phobos Зашифрованы файлы id[13A55AA4-1122].[versacee@tuta.io].HUNTER

[user7]

Здравствуйте!

Компьютер  с Windows 7 SP1 работал без пререканий какое-то время.

И вот случилось это:файлы зашифрованы.

Предположительно, взлом компьютера был через подбор пароля RDP Удалённого стола.

Не зашифрованы остались файлы журнала Windows , но они были почищены до даты взлома. Журнал начал писаться уже после взлома.

Поэтому  самой интересной инфы нет.

 

password virus.7z FRST+Addition.7z

пример зашифрованных файлов.7z

Изменено 3 апреля пользователем user7

[safety]

По очистке системы:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт автоматически очистит систему и завершит работу без перезагрузки системы

 

Start::
Startup: C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Fast.exe [2024-03-29] ()
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Fast.exe [2024-03-29] ()
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
2024-03-31 14:49 - 2024-03-31 14:49 - 000005529 _____ C:\Users\Public\Desktop\info.hta
2024-03-31 14:49 - 2024-03-31 14:49 - 000005529 _____ C:\Users\NoName\Desktop\info.hta
2024-03-31 14:49 - 2024-03-31 14:49 - 000005529 _____ C:\info.hta
2024-03-31 13:29 - 2024-03-29 20:05 - 000057344 _____ C:\Users\NoName\AppData\Local\Fast.exe
2024-03-31 13:28 - 2024-03-29 20:05 - 000057344 _____ C:\Fast.exe
2024-03-31 13:27 - 2024-04-02 11:00 - 000000000 ____D C:\Users\NoName\AppData\Roaming\Process Hacker 2
2024-03-31 13:23 - 2024-03-31 14:10 - 000000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Process Hacker 2
2024-03-31 13:23 - 2024-03-31 14:03 - 000000000 ____D C:\Program Files\Process Hacker 2
2024-03-31 13:18 - 2024-03-31 13:18 - 000041472 _____ C:\Windows\svchost.com
2024-04-02 11:29 - 2024-03-29 20:05 - 000057344 _____ () C:\Users\user\AppData\Local\Fast.exe
AlternateDataStreams: C:\ProgramData\TEMP:4FC01C57 [140]
AlternateDataStreams: C:\ProgramData\TEMP:8834911E [252]
HKLM\...\exefile\shell\open\command: C:\Windows\svchost.com "%1" %* <==== ВНИМАНИЕ
End::

Добавьте файл Fixlog.txt из папки, откуда запускали FRST в ваше сообщение.

 

Возможно, помимо шифрования система так же заражена и Neshta,

Стоит проверить ее с помощью загрузочного диска KRD

 

С расшифровкой файлов по Phobos не сможем вам помочь.

Изменено 3 апреля пользователем safety

[user7]

3 часа назад, safety сказал:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST в ваше сообщение.

файл во вложении.

3 часа назад, safety сказал:

Возможно, помимо шифрования система так же заражена и Neshta,

Стоит проверить ее с помощью загрузочного диска KRD

Neshta не прослеживалась визуально и раньше(не изменялись исполняемые файлы .exe).

 

Утилита KRD поработала 15 минут и решено было её остановить, если бы была Neshta -было бы много сообщений.

За это время она нашла 2 элемента:

Trojan.Multi.GenAutorunReg.a
Бесфайловый объект
Троянская программа
    OS:  Windows 7 x64
--------------------------------------------------------
HEUR:Trojan-Ransom.Win32.Phobos.vho
C:\Users\NoName\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Fast.exe
Троянская программа
    OS:  Windows 7 x64
    MD5:  442D4E80550A6E0DC210A7FB7EE43F3C
    SHA256:  3D42D7BA81D48F395ED578C63302EF2F5D44BC2E0DC7F3D775D25ED0DB54EF33

 

Windows однозначно переустанавливать.

 

3 часа назад, safety сказал:

С расшифровкой файлов по Phobos не сможем вам помочь.

Днём ранее мы обратились в фирму, которая легко находится по слову Хантер....

Они прислали в ответ восстановленный файл.

Цена правда около 500 000 рублей за восстановление.

На их сайте написано, что и договор заключают, и их представитель приезжает...

 

 

Fixlog.txt

Изменено 3 апреля пользователем user7

[safety]

16 minutes ago, user7 said:

Neshta не прослеживалась визуально и раньше(не изменялись исполняемые файлы .exe).

Судя по FixLog.txt система очищена от тел шифровальщика из автозапуска.

файл, вызывающий заражение Neshta однозначно был в системе судя по логам FRST, но возможно не были затронуты исполняемые файлы при сборе логов.

Скорее всего по причине того что svchost.com не был прописан в автозапуск.:

2024-03-31 13:18 - 2024-03-31 13:18 - 000041472 _____ C:\Windows\svchost.com
HKLM\...\exefile\shell\open\command: C:\Windows\svchost.com "%1" %* <==== ВНИМАНИЕ

Изменено 3 апреля пользователем safety

[user7]

17 минут назад, safety сказал:

Судя по FixLog.txt система очищена от тел шифровальщика из автозапуска.

файл, вызывающий заражение Neshta однозначно был в системе судя по логам FRST, но возможно не были затронуты исполняемые файлы при сборе логов.

Скорее всего по причине того что svchost.com не был прописан в автозапуск.:

2024-03-31 13:18 - 2024-03-31 13:18 - 000041472 _____ C:\Windows\svchost.com
HKLM\...\exefile\shell\open\command: C:\Windows\svchost.com "%1" %* <==== ВНИМАНИЕ

 

Спасибо.

Тему наверное можно закрывать?
 

[Sandor]

17 часов назад, user7 сказал:

обратились в фирму, которая легко находится по слову Хантер

Подобных фирм немало, обычно это посредники вымогателей.

https://www.safezone.cc/threads/vnimanie-servisy-posredniki-po-rasshifrovke-fajlov.25232/