Перейти к содержанию

Зашифрованы файлы id[13A55AA4-1122].[versacee@tuta.io].HUNTER


Рекомендуемые сообщения

Здравствуйте!

Компьютер  с Windows 7 SP1 работал без пререканий какое-то время.

И вот случилось это:файлы зашифрованы.

Предположительно, взлом компьютера был через подбор пароля RDP Удалённого стола.

Не зашифрованы остались файлы журнала Windows , но они были почищены до даты взлома. Журнал начал писаться уже после взлома.

Поэтому  самой интересной инфы нет.

 

password virus.7z FRST+Addition.7z

пример зашифрованных файлов.7z

Изменено пользователем user7
Ссылка на сообщение
Поделиться на другие сайты

По очистке системы:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт автоматически очистит систему и завершит работу без перезагрузки системы

 

Start::
Startup: C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Fast.exe [2024-03-29] ()
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Fast.exe [2024-03-29] ()
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
2024-03-31 14:49 - 2024-03-31 14:49 - 000005529 _____ C:\Users\Public\Desktop\info.hta
2024-03-31 14:49 - 2024-03-31 14:49 - 000005529 _____ C:\Users\NoName\Desktop\info.hta
2024-03-31 14:49 - 2024-03-31 14:49 - 000005529 _____ C:\info.hta
2024-03-31 13:29 - 2024-03-29 20:05 - 000057344 _____ C:\Users\NoName\AppData\Local\Fast.exe
2024-03-31 13:28 - 2024-03-29 20:05 - 000057344 _____ C:\Fast.exe
2024-03-31 13:27 - 2024-04-02 11:00 - 000000000 ____D C:\Users\NoName\AppData\Roaming\Process Hacker 2
2024-03-31 13:23 - 2024-03-31 14:10 - 000000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Process Hacker 2
2024-03-31 13:23 - 2024-03-31 14:03 - 000000000 ____D C:\Program Files\Process Hacker 2
2024-03-31 13:18 - 2024-03-31 13:18 - 000041472 _____ C:\Windows\svchost.com
2024-04-02 11:29 - 2024-03-29 20:05 - 000057344 _____ () C:\Users\user\AppData\Local\Fast.exe
AlternateDataStreams: C:\ProgramData\TEMP:4FC01C57 [140]
AlternateDataStreams: C:\ProgramData\TEMP:8834911E [252]
HKLM\...\exefile\shell\open\command: C:\Windows\svchost.com "%1" %* <==== ВНИМАНИЕ
End::

Добавьте файл Fixlog.txt из папки, откуда запускали FRST в ваше сообщение.

 

Возможно, помимо шифрования система так же заражена и Neshta,

Стоит проверить ее с помощью загрузочного диска KRD

 

С расшифровкой файлов по Phobos не сможем вам помочь.

Изменено пользователем safety
Ссылка на сообщение
Поделиться на другие сайты
3 часа назад, safety сказал:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST в ваше сообщение.

файл во вложении.

3 часа назад, safety сказал:

Возможно, помимо шифрования система так же заражена и Neshta,

Стоит проверить ее с помощью загрузочного диска KRD

Neshta не прослеживалась визуально и раньше(не изменялись исполняемые файлы .exe).

 

Утилита KRD поработала 15 минут и решено было её остановить, если бы была Neshta -было бы много сообщений.

За это время она нашла 2 элемента:

Trojan.Multi.GenAutorunReg.a
Бесфайловый объект
Троянская программа
    OS:  Windows 7 x64
--------------------------------------------------------
HEUR:Trojan-Ransom.Win32.Phobos.vho
C:\Users\NoName\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Fast.exe
Троянская программа
    OS:  Windows 7 x64
    MD5:  442D4E80550A6E0DC210A7FB7EE43F3C
    SHA256:  3D42D7BA81D48F395ED578C63302EF2F5D44BC2E0DC7F3D775D25ED0DB54EF33

 

Windows однозначно переустанавливать.

 

3 часа назад, safety сказал:

С расшифровкой файлов по Phobos не сможем вам помочь.

Днём ранее мы обратились в фирму, которая легко находится по слову Хантер....

Они прислали в ответ восстановленный файл.

Цена правда около 500 000 рублей за восстановление.

На их сайте написано, что и договор заключают, и их представитель приезжает...

 

 

Fixlog.txt

Изменено пользователем user7
Ссылка на сообщение
Поделиться на другие сайты
16 minutes ago, user7 said:

Neshta не прослеживалась визуально и раньше(не изменялись исполняемые файлы .exe).

Судя по FixLog.txt система очищена от тел шифровальщика из автозапуска.

файл, вызывающий заражение Neshta однозначно был в системе судя по логам FRST, но возможно не были затронуты исполняемые файлы при сборе логов.

Скорее всего по причине того что svchost.com не был прописан в автозапуск.:

2024-03-31 13:18 - 2024-03-31 13:18 - 000041472 _____ C:\Windows\svchost.com
HKLM\...\exefile\shell\open\command: C:\Windows\svchost.com "%1" %* <==== ВНИМАНИЕ
Изменено пользователем safety
Ссылка на сообщение
Поделиться на другие сайты
17 минут назад, safety сказал:

Судя по FixLog.txt система очищена от тел шифровальщика из автозапуска.

файл, вызывающий заражение Neshta однозначно был в системе судя по логам FRST, но возможно не были затронуты исполняемые файлы при сборе логов.

Скорее всего по причине того что svchost.com не был прописан в автозапуск.:


2024-03-31 13:18 - 2024-03-31 13:18 - 000041472 _____ C:\Windows\svchost.com
HKLM\...\exefile\shell\open\command: C:\Windows\svchost.com "%1" %* <==== ВНИМАНИЕ

 

Спасибо.

Тему наверное можно закрывать?
 

Ссылка на сообщение
Поделиться на другие сайты
17 часов назад, user7 сказал:

обратились в фирму, которая легко находится по слову Хантер

Подобных фирм немало, обычно это посредники вымогателей.

https://www.safezone.cc/threads/vnimanie-servisy-posredniki-po-rasshifrovke-fajlov.25232/

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • ОлегОлег
      От ОлегОлег
      Компьютеры зашифрованы. Помогите
    • AciDancer
      От AciDancer
      Доброй ночи.
      Поймал мой боец с админским доступом шифровальщик-вымогатель.
      Бэкапы есть только критической инфраструктуры и конечно же туда не входят пользовательские папки терминала и личные папки на файловом хранилище... 
      Сейчас уже всё основное восстановил, но как Вы понимаете - пользователи за свои папки меня растерзают. 
      Слёзно прошу помощи.
      Файлы логов диагностики + архив с 2мя зашифрованными файлами - прилагаю.
      Addition.txt FRST.txt Shortcut.txt zip arhive.zip
    • morose
      От morose
      У меня есть этот файл, подскажите как отправить вам
       
      Сообщение от модератора kmscom Сообщение вынесено из темы Вирус-шифровальщик [blankqq@tuta.io].elpy  
    • Denys Kordelski
      От Denys Kordelski
      ??? Какой утилитой можно спасти Фалы с расширением - [Hunter-X@tuta.io].HUNTER             Которые появились после вируса шифровщика.. Был бы очень благодарен за пмошь.
    • Pavelyelnikov
      От Pavelyelnikov
      Мы вообще библиотека, у нас резервные копии сервера зашифрованы.  [Hunter-X@tuta.io].HUNTER только id у нас другой id[A0D2CDAB-3335].[Hunter-X@tuta.io].HUNTER
       
      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.
×
×
  • Создать...