Перейти к содержанию

Рекомендуемые сообщения

Опубликовано

Добрый день. Прошу помощи вычислить шифровщик или помочь с расшифровкой на платной или бесплатной основе. Были зашифрованы файлы различных форматов на сервере почти все фалы были с окончанием название_файла_расширение.lock5. На рабочем столе был обнаружен файл с контактами и требованиями злоумышленников How_to_back_files.html.

 

Текст требования (также прикреплю скрин и пример зашифрованного фала в архиве)

 

 

 

Снимок экрана 2024-05-02 175444.png

инструкция по переадресации почты.docx.rar

Опубликовано (изменено)

Подготовьте логи анализа системы при помощи Farbar Recovery Scan Tool.

 

добавьте записку о выкупе в виде файла.

Изменено пользователем safety
Опубликовано

Этот файл добавьте в архив с паролем virus, загрузите на облачный диск, и дайте ссылку на скачивание в ЛС

C:\Users\администратор.FTH\Music\lock5\lock5.exe

Опубликовано
5 минут назад, safety сказал:

Этот файл добавьте в архив с паролем virus, загрузите на облачный диск, и дайте ссылку на скачивание в ЛС

C:\Users\администратор.FTH\Music\lock5\lock5.exe

отправил, спасибо

Опубликовано (изменено)

похоже, что MedusaLocker

A Variant Of Win64/Filecoder.MedusaLocker.A

https://www.virustotal.com/gui/file/07fb00cbae37c156c381339657d6efe08edc222db34d10c7315866e1ac4e64fd?nocache=1

 

детект на ID-Ransomware:

https://id-ransomware.malwarehunterteam.com/identify.php?case=0ee5d04de710d00fc083fd9c0771d5cf9832e237

 

Добавьте дополнительно образ автозапуска системы в uVS.

1. Скачать архив программы можно отсюда:

2. Распакуйте данный архив с программой в отдельный каталог и запустите файл Start.exe
(для Vista, W7, W8, W10, W11 запускаем с правами администратора)
3. В стартовом окне программы - нажмите "запустить под текущим пользователем"
(если текущий пользователь с правами администратора).

4. Далее, меню "Файл" / Сохранить Полный образ автозапуска.

5. дождитесь, пока процесс создания файла образа завершится.
Сохраненный файл образа автозапуска (с именем Ваш_компьютер_дата_время.txt) автоматически добавится в архив 7z или rar.
6. Файл архива с образом автозапуска прикрепите к вашему сообщению на форуме. Ждем ответ.

 

 

Изменено пользователем safety
Опубликовано (изменено)
32 minutes ago, wswolf said:

да, это Медуза, вчера смогли найти на зарубежном сайте статью по нему, по указанной почте

 и ключ автозапуска подходит:

HKEY_USERS\S-1-5-21-3186155435-563192258-938970277-500\Software\Microsoft\Windows\CurrentVersion\Run\BabyLockerKZ

 

Тела шифровальщика уже нет. Удаляем только ссылку в автозапуске.

 

Выполните в uVS скрипт из буфера обмена.

ЗАпускаем start,exe от имени Администратора (если не запущен)

текущий пользователь,

Копируем скрипт ниже из браузера в буфер обмена. Закрываем браузер.

В главном меню выбираем "Скрипт - выполнить скрипт из буфера обмена"

Скрипт автоматически очистит систему и завершит работу без перезагрузки.

 

;uVS v4.15.3v [http://dsrt.dyndns.org:8888]
;Target OS: NTv10.0
v400c
OFFSGNSAVE
;---------command-block---------
delall %SystemDrive%\USERS\АДМИНИСТРАТОР.FTH\MUSIC\LOCK5\LOCK5.EXE
apply

QUIT

 

Изменено пользователем safety
Опубликовано

готово, скрипт отработал.

Нужно прислать лог?

Опубликовано

да, можно добавить здесь файл лога:

дата_времяlog.txt из папки, откуда запускали uVS.

Опубликовано

Во вложении.

Подскажите, пожалуйста, получится как то с помощью этих данных расшифровать данные?

 

2024-05-03_14-10-24_log.txt

Опубликовано
1 hour ago, wswolf said:

Подскажите, пожалуйста, получится как то с помощью этих данных расшифровать данные?

увы, по расшифровке файлов после Medusalocker ничего не известно.

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • drexdey
      Автор drexdey
      Взломали сервер и зашифровали файлы, теперь они имеют вид .innok, Не знаем, что делать и куда обращаться, надеюсь на вашу помощь. Файлы прилагаю к данному посту
      ззашифрованные.rar Addition.txt FRST.txt
    • Maximus02
      Автор Maximus02
      1.zip
       
      Здравствуйте!
       
      Словили шифровальшик. Пока не выяснили источник, где был произведен запуск шифровальщика. Есть зашифрованные файлы с размером и окончанием .tae7AeTe. Также есть оригинальный файл с нулевым окончанием. Зашифровано все на NAS Synology.
      Помогите пожалуйста с расшифровкой, если это возможно.
    • Andrey_ka
      Автор Andrey_ka
      Добрый день! Может , кто подскажет... попался диск с архивами одного предприятия , диск стоял на NAS Iomega, со временем hdd был поврежден , но данные с него я смог вытащить , файловая структура целая , но как выяснилось ни один из файлов нормально не открывается, уточни у бывших работников и выяснил , что еще до того как он умер у них начались подобные проблемы и большую часть информации они успели переписать ( все указывает на работу вируса шифровальщика) , взяв несколько файлов попытался онлайн прогнать разными анализаторами вирусов , результат один вирусов не обнаружено ... теперь о самих файлах - неважно это файлы doc, docx, pdf и т.д. тенденция прослеживается такая, начало файла смещение 0x2E0 защифрованно, в конец файла добавлено 1126 байт , код начинается D9 9D 68 и полностью одинаковы во всех файлах кроме последних 0x84 байта. Ни то, что бы информация очень востребована , любопытно, что это за вирус и тд... если кому интересно , образцы файлов выложу и дамп концовки ....    
          вставить выделенную цитату в окно ответа
            xТитульный.docx Титульный.docx titdump.txt
    • Mep3aBEz
      Автор Mep3aBEz
      Добрый день!
      6 мая 2025 года зашифровались файлы.
      Как проник вирус неизвестно.
       
      Произошло:
      Ночью на виртуалку на Win10x64 с включенным RDP в папку c:\users\admin\music попал файл AD.exe
      На самой виртуалке ничего не зашифровалось, но два рабочих компьютера на Win11, которые были включены в тот момент зашифровались.
      Также не зашифровался ни один (из 5) рабочий сервер на виртуалках с WS2022.
      С зашифрованных компов была удалена система, поэтому лог анализа системы прикрепить не могу, файл шифровальщика тоже не сохранили.
       
       
       
      encrypt_files.zip
    • tamerlan
      Автор tamerlan
      Доброго дня. зашифровались все файлы в формат .danie 
      Волнует только расшифровать файл базы 1С, пото просто переустановлю систему и все. 
      Помогите пожалуйста.
×
×
  • Создать...