mimic/n3wwv43 ransomware elpaco-team можно ли самостоятельно решить проблему?

[МАН]

Сегодня с утра докторвебом было обнаружено повторное заражение. Потом прошелся касперским. В скане FRST упоминается какой-то руткит в службах. Касперский не реагирует.

HKLM\SYSTEM\CurrentControlSet\Services\458D82F7DB8524A3 <==== ВНИМАНИЕ (Rootkit!)

Опять появились вот такие вещи

GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
 

FRST.txt Addition.txt

[safety]

HKLM\SYSTEM\CurrentControlSet\Services\458D82F7DB8524A3 <==== ВНИМАНИЕ (Rootkit!)

Возможно эффект использования антивирусных сканеров.

 

ыполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт автоматически очистит систему, и завершит работу без перезагрузки

 

Start::
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKLM\...\Run: [QLogicSaveSystemInfo] => rundll32.exe qlco10011.dll,QLSaveSystemInfo (Нет файла)
HKLM\SYSTEM\CurrentControlSet\Services\458D82F7DB8524A3 <==== ВНИМАНИЕ (Rootkit!)
2024-07-10 08:41 - 2024-07-10 08:45 - 000000000 ____D C:\Users\amelnikov\Desktop\Encrypted
2024-07-09 14:55 - 2024-07-09 14:55 - 000000000 ____D C:\Users\amelnikov\AppData\Local\BD3FDDDF-6CAF-3EBC-D9CF-C8DF72D8F78A
2024-07-09 12:15 - 2024-07-09 12:15 - 000000000 ____D C:\tmp
AlternateDataStreams: C:\Users\Public\DRM:احتضان [48]
HKU\S-1-5-21-2121173459-1681163310-1468016665-1000\Software\Classes\exefile: "%1" %* <==== ВНИМАНИЕ
End::

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение.

Перегрузите систему,

и сделайте новые логи FRST, добавьте новые логи для контроля.

+

добавьте лог проверки в Cureit

+

вопрос:

KES установили уже после нового обнаружения в Cureit?

+

вопрос2:

xyz - служебная учетная запись, или учетка, созданная злоумышленниками?

 

Изменено 12 июля пользователем safety

[МАН]

HKLM\SYSTEM\CurrentControlSet\Services\458D82F7DB8524A3 <==== ВНИМАНИЕ (Rootkit!) исчезло из логов FRST еще вечером. 

 

Эти строки я пофиксил сам

GroupPolicy: Ограничение ? <==== ВНИМАНИЕ

Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ

 

Fixlog во вложении еще вечерний

FRST текущий

cureit проходил несколько раз 

KES установил после прохода cureit

учетку xyz создал сам

 

 

 

Fixlog.txt FRST.txt Addition.txt cureit(14616).log

[safety]

Windef видимо ограничен после установки KES

HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ

 

Fixlog отличается от скрипта, который вам надо было выполнить, 

 

Интересовали эти записи:

2024-07-10 08:41 - 2024-07-10 08:45 - 000000000 ____D C:\Users\amelnikov\Desktop\Encrypted
2024-07-09 14:55 - 2024-07-09 14:55 - 000000000 ____D C:\Users\amelnikov\AppData\Local\BD3FDDDF-6CAF-3EBC-D9CF-C8DF72D8F78A
2024-07-09 12:15 - 2024-07-09 12:15 - 000000000 ____D C:\tmp

По логу Курейта от 11.07 ничего не найдено.

 

Scan session started 2024/07/11 08:08:51 

 

Total 17422287795 bytes in 39944 files scanned (41797 objects)
Total 39939 files (41593 objects) are clean
There are no infected objects detected
Total 204 files are raised error condition
Scan time is 00:13:19.954

 

Этот инструмент не поможет:

2024-07-08 13:33 - 2024-07-08 13:33 - 000969845 _____ (ShadowExplorer.com ) C:\Users\psisoev\Downloads\ShadowExplorer-0.9-setup.exe

Mimic очищает точки восстановления.

Изменено 12 июля пользователем safety

[МАН]

Спасибо за поддержку!

2024-07-10 08:41 - 2024-07-10 08:45 - 000000000 ____D C:\Users\amelnikov\Desktop\Encrypted     создано мной

2024-07-09 12:15 - 2024-07-09 12:15 - 000000000 ____D C:\tmp    создано мной

 

Текущий проход во вложении

 

 

 

Fixlog.txt FRST.txt Addition.txt

[safety]

4 минуты назад, МАН сказал:

2024-07-10 08:41 - 2024-07-10 08:45 - 000000000 ____D C:\Users\amelnikov\Desktop\Encrypted     создано мной

2024-07-09 12:15 - 2024-07-09 12:15 - 000000000 ____D C:\tmp    создано мной

ясно, тогда пока все. Успехов в работе над безопасностью ваших устройств.

[МАН]

Спасибо!