mimic/n3wwv43 ransomware Зашифровал файлы вирус NESCHELKAIEBALOM 05042024

[Petyaxx]

Добрый день! Взломали компьютер из  вне, скорее всего подобрали пароль, удалили теневые копии и запустили шифровальщик.

Addition.txt FRST.txt vir.rar

Изменено 8 апреля, 2024 пользователем Petyaxx
добавил файлы

[Sandor]

Здравствуйте!

 

К сожалению, расшифровки этого типа вымогателя нет.

Помощь в очистке системы от его следов нужна или планируете переустановку?

[Petyaxx]

Да, нужна помощь в очистке от следов вируса, если возможно!

[Sandor]

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiSpyware] Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
  HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
  HKLM\...\Policies\system: [legalnoticecaption]  
  HKLM\...\Policies\system: [legalnoticetext] ￐ﾟ￑ﾀ￐ﾸ￐ﾲ￐ﾵ￑ﾂ￑ﾁ￑ﾂ￐ﾲ￑ﾃ￑ﾎ
  IFEO\1cv8.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\1cv8c.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\1cv8s.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\agntsvc.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\AutodeskDesktopApp.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\axlbridge.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\bedbh.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\benetns.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\bengien.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\beserver.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\CompatTelRunner.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\CoreSync.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\Creative Cloud.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\dbeng50.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\dbsnmp.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\encsvc.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\EnterpriseClient.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\fbguard.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\fbserver.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\fdhost.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\fdlauncher.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\httpd.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\isqlplussvc.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\java.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\logoff.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\msaccess.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\MsDtSrvr.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\msftesql.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\mspub.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\mydesktopqos.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\mydesktopservice.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\mysqld-nt.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\mysqld-opt.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\mysqld.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\node.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\ocautoupds.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\ocomm.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\ocssd.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\oracle.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\perfmon.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\pvlsvr.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\python.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\QBDBMgr.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\QBDBMgrN.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\QBIDPService.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\qbupdate.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\QBW32.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\QBW64.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\Raccine.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\RaccineElevatedCfg.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\RaccineSettings.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\Raccine_x86.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\RAgui.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\raw_agent_svc.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\SearchApp.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\SearchIndexer.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\SearchProtocolHost.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\shutdown.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\SimplyConnectionManager.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\sqbcoreservice.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\sql.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\sqlagent.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\sqlbrowser.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\sqlmangr.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\sqlservr.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\sqlwriter.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\Ssms.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\Sysmon.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\Sysmon64.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\taskkill.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\tasklist.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\taskmgr.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\tbirdconfig.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\tomcat6.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\VeeamDeploymentSvc.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\vsnapvss.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\vxmon.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\wdswfsafe.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\wpython.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\wsa_service.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\wsqmcons.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\wxServer.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\wxServerView.exe: [Debugger] C:\Windows\System32\Systray.exe
  IFEO\xfssvccon.exe: [Debugger] C:\Windows\System32\Systray.exe
  2024-04-05 01:12 - 2024-04-05 01:12 - 000002085 _____ C:\Users\Администратор.FER\Desktop\CHITAI_MENYA_NE_STOIT_ZHDAT_I_SCHELKAT_EBALOM.txt
  2024-04-05 01:10 - 2024-04-05 01:12 - 000002085 _____ C:\Users\CHITAI_MENYA_NE_STOIT_ZHDAT_I_SCHELKAT_EBALOM.txt
  2024-04-04 19:43 - 2024-04-04 20:33 - 000000000 ____D C:\Users\Администратор.FER\AppData\Roaming\Process Hacker
  2024-04-04 19:42 - 2024-04-05 01:12 - 000002085 _____ C:\CHITAI_MENYA_NE_STOIT_ZHDAT_I_SCHELKAT_EBALOM.txt
  2024-04-04 19:42 - 2024-04-05 01:07 - 000002085 _____ C:\Users\Администратор.FER\AppData\Local\CHITAI_MENYA_NE_STOIT_ZHDAT_I_SCHELKAT_EBALOM.txt
  2024-04-04 19:38 - 2024-04-04 20:33 - 000000000 ____D C:\Program Files\Process Hacker
  2024-04-05 01:12 - 2021-12-05 03:29 - 000000000 __SHD C:\Users\Администратор.FER\AppData\Local\9A72EF00-8444-52D7-C2DA-419249B4BE2E
  HKU\S-1-5-21-343818398-73586283-725345543-500\Software\Classes\exefile: "%1" %* <==== ВНИМАНИЕ
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер перезагрузите вручную.

Подробнее читайте в этом руководстве.

[Petyaxx]

Большое спасибо!

[Sandor]

36 минут назад, Sandor сказал:

Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Прикрепите, пожалуйста, после выполнения.

[Petyaxx]

Лог.

Fixlog.txt

[Sandor]

Спасибо.

Пароли администраторов смените, скорее всего были взломаны.

 

Читайте Рекомендации после удаления вредоносного ПО

[Petyaxx]

Список файлов которые были скачаны после взлома, может что то полезное будет для других.

123.txt

[Sandor]

Спасибо, но вложения в этом разделе форума могут скачивать только Консультанты и Модераторы.