blacklegion Шифровальщик obsidiancpt

[Xender]

Словили шифровальщик obsidiancpt

KES 12.5 и 11.01 серверный не помогли

предположительно все машины с открытым рдп

как вылечить и расшифровать возможно?EncryptedFiles.7zFRST.txt

[thyrex]

Судя по наличию скрытой папки C:\LockBIT никаких шансов

[safety]

По очистке системы:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и перезагрузит ее

 

HKLM-x32\...\Run: [] => [X]
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiSpyware] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
Task: {5B8B7479-3CAA-4911-9685-4E68DE8DFA52} - System32\Tasks\RunDeleteFilesAsSystem => C:\Users\Администратор.INTRA\Desktop\Old Sus\Anti-recovery.exe  deleteFiles (Нет файла)
Task: {5991C89C-8679-406F-A371-44E0ADD0089E} - System32\Tasks\RunExeAsSystem_5-NS => C:\Users\Администратор.INTRA\Desktop\Old Sus\5-NS.exe  (Нет файла)
Task: {B7ECA56B-4AB1-4EB9-981A-9D13F97EEC91} - System32\Tasks\RunExeAsSystem_AntiService => C:\Users\Администратор.INTRA\Desktop\Old Sus\AntiService.exe  (Нет файла)
2024-07-14 05:36 - 2024-07-14 05:36 - 000001955 _____ C:\Users\Администратор.INTRA\Desktop\Readme.txt
2024-07-14 05:36 - 2024-07-14 05:36 - 000001955 _____ C:\Readme.txt
2024-07-14 05:36 - 2024-07-14 05:36 - 000000000 ___HD C:\LockBIT
2024-07-14 05:32 - 2024-07-14 05:32 - 000003326 _____ C:\Windows\System32\Tasks\RunDeleteFilesAsSystem
2024-07-14 05:32 - 2024-07-14 05:32 - 000003236 _____ C:\Windows\System32\Tasks\RunExeAsSystem_AntiService
2024-07-14 05:32 - 2024-07-14 05:32 - 000003210 _____ C:\Windows\System32\Tasks\RunExeAsSystem_5-NS
HKU\Администратор.INTRA\...\Run: [ObsidianCpt] => C:\Users\Администратор.INTRA\Desktop\ObsidianCpt.exe [123904 2024-07-11] ()
2024-07-11 01:31 - 2024-07-11 01:31 - 000123904 ____H () C:\Users\Администратор.INTRA\Desktop\ObsidianCpt.exe

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение.

Папку C:\FRST\Quarantine добавьте в архив с паролем virus, архив загрузите на облачный диск и дайте ссылку на скачивание архива в ЛС.