Перейти к содержанию

Зашифрованы файлы id[13A55AA4-1122].[versacee@tuta.io].HUNTER


Рекомендуемые сообщения

Здравствуйте!

Компьютер  с Windows 7 SP1 работал без пререканий какое-то время.

И вот случилось это:файлы зашифрованы.

Предположительно, взлом компьютера был через подбор пароля RDP Удалённого стола.

Не зашифрованы остались файлы журнала Windows , но они были почищены до даты взлома. Журнал начал писаться уже после взлома.

Поэтому  самой интересной инфы нет.

 

password virus.7z FRST+Addition.7z

пример зашифрованных файлов.7z

Изменено пользователем user7
Ссылка на сообщение
Поделиться на другие сайты

По очистке системы:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт автоматически очистит систему и завершит работу без перезагрузки системы

 

Start::
Startup: C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Fast.exe [2024-03-29] ()
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Fast.exe [2024-03-29] ()
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
2024-03-31 14:49 - 2024-03-31 14:49 - 000005529 _____ C:\Users\Public\Desktop\info.hta
2024-03-31 14:49 - 2024-03-31 14:49 - 000005529 _____ C:\Users\NoName\Desktop\info.hta
2024-03-31 14:49 - 2024-03-31 14:49 - 000005529 _____ C:\info.hta
2024-03-31 13:29 - 2024-03-29 20:05 - 000057344 _____ C:\Users\NoName\AppData\Local\Fast.exe
2024-03-31 13:28 - 2024-03-29 20:05 - 000057344 _____ C:\Fast.exe
2024-03-31 13:27 - 2024-04-02 11:00 - 000000000 ____D C:\Users\NoName\AppData\Roaming\Process Hacker 2
2024-03-31 13:23 - 2024-03-31 14:10 - 000000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Process Hacker 2
2024-03-31 13:23 - 2024-03-31 14:03 - 000000000 ____D C:\Program Files\Process Hacker 2
2024-03-31 13:18 - 2024-03-31 13:18 - 000041472 _____ C:\Windows\svchost.com
2024-04-02 11:29 - 2024-03-29 20:05 - 000057344 _____ () C:\Users\user\AppData\Local\Fast.exe
AlternateDataStreams: C:\ProgramData\TEMP:4FC01C57 [140]
AlternateDataStreams: C:\ProgramData\TEMP:8834911E [252]
HKLM\...\exefile\shell\open\command: C:\Windows\svchost.com "%1" %* <==== ВНИМАНИЕ
End::

Добавьте файл Fixlog.txt из папки, откуда запускали FRST в ваше сообщение.

 

Возможно, помимо шифрования система так же заражена и Neshta,

Стоит проверить ее с помощью загрузочного диска KRD

 

С расшифровкой файлов по Phobos не сможем вам помочь.

Изменено пользователем safety
Ссылка на сообщение
Поделиться на другие сайты
3 часа назад, safety сказал:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST в ваше сообщение.

файл во вложении.

3 часа назад, safety сказал:

Возможно, помимо шифрования система так же заражена и Neshta,

Стоит проверить ее с помощью загрузочного диска KRD

Neshta не прослеживалась визуально и раньше(не изменялись исполняемые файлы .exe).

 

Утилита KRD поработала 15 минут и решено было её остановить, если бы была Neshta -было бы много сообщений.

За это время она нашла 2 элемента:

Trojan.Multi.GenAutorunReg.a
Бесфайловый объект
Троянская программа
    OS:  Windows 7 x64
--------------------------------------------------------
HEUR:Trojan-Ransom.Win32.Phobos.vho
C:\Users\NoName\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Fast.exe
Троянская программа
    OS:  Windows 7 x64
    MD5:  442D4E80550A6E0DC210A7FB7EE43F3C
    SHA256:  3D42D7BA81D48F395ED578C63302EF2F5D44BC2E0DC7F3D775D25ED0DB54EF33

 

Windows однозначно переустанавливать.

 

3 часа назад, safety сказал:

С расшифровкой файлов по Phobos не сможем вам помочь.

Днём ранее мы обратились в фирму, которая легко находится по слову Хантер....

Они прислали в ответ восстановленный файл.

Цена правда около 500 000 рублей за восстановление.

На их сайте написано, что и договор заключают, и их представитель приезжает...

 

 

Fixlog.txt

Изменено пользователем user7
Ссылка на сообщение
Поделиться на другие сайты
16 minutes ago, user7 said:

Neshta не прослеживалась визуально и раньше(не изменялись исполняемые файлы .exe).

Судя по FixLog.txt система очищена от тел шифровальщика из автозапуска.

файл, вызывающий заражение Neshta однозначно был в системе судя по логам FRST, но возможно не были затронуты исполняемые файлы при сборе логов.

Скорее всего по причине того что svchost.com не был прописан в автозапуск.:

2024-03-31 13:18 - 2024-03-31 13:18 - 000041472 _____ C:\Windows\svchost.com
HKLM\...\exefile\shell\open\command: C:\Windows\svchost.com "%1" %* <==== ВНИМАНИЕ
Изменено пользователем safety
  • Like (+1) 1
Ссылка на сообщение
Поделиться на другие сайты
17 минут назад, safety сказал:

Судя по FixLog.txt система очищена от тел шифровальщика из автозапуска.

файл, вызывающий заражение Neshta однозначно был в системе судя по логам FRST, но возможно не были затронуты исполняемые файлы при сборе логов.

Скорее всего по причине того что svchost.com не был прописан в автозапуск.:


2024-03-31 13:18 - 2024-03-31 13:18 - 000041472 _____ C:\Windows\svchost.com
HKLM\...\exefile\shell\open\command: C:\Windows\svchost.com "%1" %* <==== ВНИМАНИЕ

 

Спасибо.

Тему наверное можно закрывать?
 

Ссылка на сообщение
Поделиться на другие сайты
17 часов назад, user7 сказал:

обратились в фирму, которая легко находится по слову Хантер

Подобных фирм немало, обычно это посредники вымогателей.

https://www.safezone.cc/threads/vnimanie-servisy-posredniki-po-rasshifrovke-fajlov.25232/

  • Спасибо (+1) 1
Ссылка на сообщение
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Justbox
      От Justbox
      Добрый день!
      Найден шифровальщик 
      зашифровал файлы под именем имя_файла.id[00F2B780-3351].[qqtiq@tuta.io]
       
      примеры зашифрованных файлов.rar с файлом info.txt
       
      Определить Шифровальщик не получается, в связи с чем невозможно определить существует ли дешифровщик к нему.
      Нужна помощь! 
       
      примеры зашифрованных файлов.rar
    • LamerMan
      От LamerMan
      Здравствуйте, 04.10.2022 на комп попал вирус-шифровальщик Elbie Ransomware, все файлы стали с расширением .lnk.id[E2638681-3398].[helprequest@techmail.info].Elbie
      Обратились в компанию по расшифровке, сказали цену 250 тыс. рублей. Сотрудник подключился удаленно и просканировал систему, оставив за собой софт(приложу во вложения)
      На момент заражения был открыт порт 3389 и настроено рдп с несложными паролями, на компе стоял Kaspersky Free (AVP21.3), есть предположение, что злоумышленник ботнетом пинговал айпишники с к классическими портами, затем забрутфорсил пароль
      Программа сотрудника аутсорс компании сканирует файлы, а затем выдает какой-то код, я так и не разобрался что с ним делать, он сказал что этим кодом пишется дешифратор. Так же там есть .exe программа, в которой ей кнопка decrypt, но она требует какой-то ключ, надеюсь, найдется человек, который сможет с этим разобраться
      Elbie Decrypt.zip
    • Anton S
      От Anton S
      Добрый день.
      С 4:00 22.07.24 зашифровало все данные на ПК и ещё несколько по сети. Злоумышленник после оплаты пропал... Хотя и прислал "PHOBOS decryption tool", но без ключей, видимо попался мошенник. Удалось запустить Касперского нашёл "HEUR:Trojan-Ransom.Win32.Generic" в нескольких местах. 
      x-decrypt@worker.com.rar FRST.txt Addition.txt
    • PvC
      От PvC
      Здравствуйте. Требуется помощь по расшифровке.
      Тип шифровальщика - id[EA15627C-3531].[Accord77777@aol.com].faust
      Addition.txt FRST.txt Образцы.zip
    • Ak.512
      От Ak.512
      Здравствуйте!

      Большая часть инфраструктуры была атакована шифровальщиком-вымогателем, прикладываем файлы диагностики по инструкции.Addition.txtОбразцы.rarinfo.txtFRST.txt
      Предварительно атака началась в 23:00 14.07.2024, однако примерное направление пока не выяснили.

       
×
×
  • Создать...