phobos Шифровальщик с расширением .deep

[Alexey2309]

Здравствуйте! Словили шифровальщика, теперь все файлы с таким хвостом .id[86E0E144-3352].[miltonqq@tuta.io].deep

Образцы в архиве. Пароль: virus

Система загружается но ничего сделать не дает, не могу даже открыть диспетчер задач.

virus.zip

[safety]

Quote

Система загружается но ничего сделать не дает, не могу даже открыть диспетчер задач.

 

Возможно есть еще активное заражение.

Подготовьте логи анализа системы при помощи Farbar Recovery Scan Tool.

Изменено 15 мая, 2024 пользователем safety

[Alexey2309]

Лог прикрепил.

FRST.txt

[safety]

В безопасном режиме Safe mode сможете загрузить систему?

 

в SM создайте образ автозапуска системы с помощью uVS для проверки.

 

1. Скачать архив программы можно отсюда:

2. Распакуйте данный архив с программой в отдельный каталог и запустите файл Start.exe
(для Vista, W7, W8, W10, W11 запускаем с правами администратора)
3. В стартовом окне программы - нажмите "запустить под текущим пользователем"
(если текущий пользователь с правами администратора).

4. Далее, меню "Файл" / Сохранить Полный образ автозапуска.

5. дождитесь, пока процесс создания файла образа завершится.
Сохраненный файл образа автозапуска (с именем Ваш_компьютер_дата_время.txt) автоматически добавится в архив 7z или rar.
6. Файл архива с образом автозапуска прикрепите к вашему сообщению на форуме. Ждем ответ.

[Alexey2309]

Доброе. Раздел пришлось монтировать в r-studio, а потом уже сканировать. Файл в прикрепил.

SRV-1C_2019-12-10_10-34-22_v4.15.4v.7z

[safety]

По очистке в uVS

 

активных тел шифровальщика нет.

скриптом очищаем ссылки на запуск тела шифровальщика, (SQLLL.EXE, которого уже нет)

 

Выполните в uVS скрипт из буфера обмена.

ЗАпускаем start,exe от имени Администратора (если не запущен)

текущий пользователь,

Копируем скрипт ниже из браузера в буфер обмена. Закрываем браузер.

В главном меню выбираем "Скрипт - выполнить скрипт из буфера обмена"

Скрипт автоматически очистит систему и завершит работу без перезагрузки системы.

 

;uVS v4.15.4v [http://dsrt.dyndns.org:8888]
;Target OS: NTv0.0
v400c
OFFSGNSAVE
;---------command-block---------
delall %SystemDrive%\USERS\АДМИНИСТРАТОР.WIN-CRDH5Q3A9SP\APPDATA\LOCAL\SQLLL.EXE
delall %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\DESKTOP.INI.ID[86E0E144-3352].[MILTONQQ@TUTA.IO].DEEP
delall %SystemDrive%\USERS\АДМИНИСТРАТОР.WIN-CRDH5Q3A9SP\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\DESKTOP.INI.ID[86E0E144-3352].[MILTONQQ@TUTA.IO].DEEP
delall %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\ANYDESK.LNK.ID[86E0E144-3352].[MILTONQQ@TUTA.IO].DEEP
apply
QUIT

Далее,

Добавьте файл дата_времяlog.txt из папки откуда запускали uVS