mimic/n3wwv43 ransomware Шифровальщик PHILIP_KIRKOROV

[i.molvinskih 0]

Здраствуйте, в архиве требования, два зашифрованных файла и лог FRST.

Шифрование произошло сегодня, журнал событий был очищен.

требования_и_зашифрованные_файлы.zip

[Sandor 1 280]

Здравствуйте!

 

• Отключите до перезагрузки антивирус.
• Выделите следующий код:

  Start::
  HKLM\...\Run: [KIRKOROV.exe] => C:\Users\zazhivihin\AppData\Local\PHILIP_KIRKOROV_DECRYPTION.txt [2082 2024-04-15] () [Файл не подписан]
  HKU\S-1-5-21-1682545234-2459113795-792553799-500\...\Run: [BitTorrent Sync] => "C:\Users\Администратор\AppData\Roaming\BitTorrent Sync\BTSync.exe"  /MINIMIZED (Нет файла)
  Task: {E0B5A966-968A-4A6A-B50B-B9E086CD5480} - System32\Tasks\BPMonline DomRu push Telegram => C:\inetpub\telegram\domru.vbs  (Нет файла)
  Task: {96AECD8E-F240-448F-882E-D46F220922B9} - System32\Tasks\BPMonline push Telegram => C:\inetpub\telegram\push.vbs  (Нет файла)
  CHR HKLM-x32\...\Chrome\Extension: [goalojoobcfkhddpbjcmhdceeegmaphh]
  2024-04-14 17:46 - 2024-04-15 07:17 - 000000000 ____D C:\Users\zazhivihin\AppData\Roaming\Process Hacker
  2024-04-14 17:43 - 2024-04-15 07:17 - 000002082 _____ C:\Users\zazhivihin\Desktop\PHILIP_KIRKOROV_DECRYPTION.txt
  2024-04-14 17:43 - 2024-04-15 07:17 - 000002082 _____ C:\Users\zazhivihin\AppData\Local\PHILIP_KIRKOROV_DECRYPTION.txt
  2024-04-14 17:42 - 2024-04-15 07:17 - 000002082 _____ C:\PHILIP_KIRKOROV_DECRYPTION.txt
  HKU\S-1-5-21-1682545234-2459113795-792553799-1001\Software\Classes\exefile: "%1" %* <==== ВНИМАНИЕ
  FirewallRules: [{B036F38D-97AC-4F10-A9B8-A47705CFC61E}] => (Allow) LPort=25422
  FirewallRules: [{0D84582A-5BB9-49CA-B628-A75129F2DC5A}] => (Allow) LPort=254
  End::

   

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер перезагрузите вручную.

Подробнее читайте в этом руководстве.

 

Программу Process Hacker деинсталлируйте, если не самостоятельно её ставили.

 

Пароли на учётные записи администраторов смените и уменьшите количество таких учёток.

К сожалению, расшифровки этого типа вымогателя нет.

[i.molvinskih 0]

Fixlog.txt

[Sandor 1 280]

Скрипт отработал успешно, следы зачищены.