lockbit v3 black Поймали щифровальщик j8mzhi9uZ

[zshurik]

Доброго дня.
Постигла неприятная участь в виде шифровальщика decrutor 1.0
Утилита Farbar Recovery Scan Tool не отрабатывает на целевом компьютере, при запуске просто зависает. Проверили систему AVZ, сам вирус отловить не удалось. Зато нашлись файлы от его работы в профиле пользователя, под которым видимо все и началось. Шифрованные файлы и файл readme прилагаются в архиве files. Также отдельным архивом decrutor_files прилагаются найденные файлы из папки документы профиля пользователя-виновника. Пароль на архивы virus

Буду очень признателен за помощь в восстановлении информации.

files.zip decrutor_files.zip

[safety]

Добавьте пожалуйста, логи FRST из зашифрованной системы из безопасного режима системы.

Так же уточните, когда было шифрование.

Изменено 30 июля, 2024 пользователем safety

[zshurik]

1 час назад, safety сказал:

Добавьте пожалуйста, логи FRST из зашифрованной системы из безопасного режима системы.

Так же уточните, когда было шифрование.

В данный момент не имею физического доступа к железу. В обычном режиме FRST виснет на запуске.

Про шифрование тоже со слов пользователя скорее всего дня 3 назад.

Изменено 30 июля, 2024 пользователем zshurik
добавление ответа

[safety]

Добавьте дополнительно образ автозапуска системы в uVS.

 

1. Скачать архив программы можно отсюда:

2. Распакуйте данный архив с программой в отдельный каталог и запустите файл Start.exe
(для Vista, W7, W8, W10, W11 запускаем с правами администратора)
3. В стартовом окне программы - нажмите "запустить под текущим пользователем"
(если текущий пользователь с правами администратора).

4. Далее, меню "Файл" / Сохранить Полный образ автозапуска.

5. дождитесь, пока процесс создания файла образа завершится.
Сохраненный файл образа автозапуска (с именем Ваш_компьютер_дата_время.txt) автоматически добавится в архив 7z или rar.
6. Файл архива с образом автозапуска прикрепите к вашему сообщению на форуме. Ждем ответ.

 

[zshurik]

25 минут назад, safety сказал:

Добавьте дополнительно образ автозапуска системы в uVS.

 

1. Скачать архив программы можно отсюда:

2. Распакуйте данный архив с программой в отдельный каталог и запустите файл Start.exe
(для Vista, W7, W8, W10, W11 запускаем с правами администратора)
3. В стартовом окне программы - нажмите "запустить под текущим пользователем"
(если текущий пользователь с правами администратора).

4. Далее, меню "Файл" / Сохранить Полный образ автозапуска.

5. дождитесь, пока процесс создания файла образа завершится.
Сохраненный файл образа автозапуска (с именем Ваш_компьютер_дата_время.txt) автоматически добавится в архив 7z или rar.
6. Файл архива с образом автозапуска прикрепите к вашему сообщению на форуме. Ждем ответ.

 

Архив прилагаю. Запускал start_x64.exe

AVERON_2024-07-30_15-28-05_v4.99.0v x64.7z

Изменено 30 июля, 2024 пользователем zshurik

[safety]

Выполняем очистку системы в uVS:

 

Выполните в uVS скрипт из буфера обмена.

ЗАпускаем start,exe от имени Администратора (если не запущен)

текущий пользователь,

Копируем скрипт ниже из браузера в буфер обмена. Закрываем браузер.

В главном меню выбираем "Скрипт - выполнить скрипт из буфера обмена"

Скрипт автоматически очистит систему и завершит работу без перезагрузки.

 

;uVS v4.99.0v x64 [http://dsrt.dyndns.org:8888]
;Target OS: NTv6.1
v400c
OFFSGNSAVE
;---------command-block---------
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DIIFCHHFNNMPDBIBIFMLJNFJHPIFIFFOG%26INSTALLSOURCE%3DONDEMAND%26UC
delref %SystemDrive%\USERS\BUHGALTER\APPDATA\LOCAL\PROGRAMS\OPERA\LAUNCHER.EXE
delref %SystemDrive%\USERS\DRUDENKO\APPDATA\LOCAL\PROGRAMS\OPERA\LAUNCHER.EXE
delall %SystemDrive%\USERS\LBELOUS\DESKTOP\GOOGLE CHROME [157499].EXE
apply

QUIT

Добавьте файл дата_времяlog.txt из папки откуда запускали uVS

[zshurik]

33 минуты назад, safety сказал:

 

 

Все сделал по инструкции. Файл во вложении.

2024-07-30_16-12-06_log.txt

Изменено 30 июля, 2024 пользователем safety

[safety]

Пробуйте еще раз скачать FRST для вашей x64 системы.

после запуска программы дождитесь, пока программа проверит обновления и будет готова к использованию.

Затем нажимаем Scan или Сканировать, и ждем завершения этого процесса.

Если будет успешен, добавить файлы FRST.txt и Addition.txt в ваше сообщение.

[zshurik]

7 минут назад, safety сказал:

Пробуйте еще раз скачать FRST для вашей x64 системы.

после запуска программы дождитесь, пока программа проверит обновления и будет готова к использованию.

Затем нажимаем Scan или Сканировать, и ждем завершения этого процесса.

Если будет успешен, добавить файлы FRST.txt и Addition.txt в ваше сообщение.

Еще раз перекачал FRST
Запуск от имени админа, далее проверка обновлений и все, зависание

И в процессах никаких телодвижений по утилите

Изменено 30 июля, 2024 пользователем zshurik

[safety]

ок, проверьте ЛС

[zshurik]

Все таки удалось нетривиальным способом запустить утилиту FRST на целевой системе.

Может кому пригодится, у кого так же будет зависать:

создал нового пользователя, дал ему админские права и в текущей сессии администратора запустил утилиту от имени вновь созданного пользователя. Все отработало.

 

Во вложении файлы работы утилиты.

Addition.txt FRST.txt

[safety]

по логу FRST:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу без перезагрузки.

2024-07-26 15:30 - 2023-11-17 12:55 - 000151552 ____N C:\Users\buhgalter\Documents\LB3.exe
2024-07-26 15:30 - 2023-11-17 12:55 - 000147456 ____N C:\Users\buhgalter\Documents\LB3_pass.exe
2024-07-26 15:30 - 2022-03-08 09:10 - 000000285 ____N C:\Users\buhgalter\Documents\1c.cmd
2024-07-26 15:30 - 2020-11-13 13:30 - 000003611 ____N C:\Users\buhgalter\Documents\closeapps.bat
2024-07-26 15:30 - 2019-02-14 18:00 - 000000273 ____N C:\Users\buhgalter\Documents\backup.bat
2024-07-26 15:30 - 2019-02-14 18:00 - 000000063 ____N C:\Users\buhgalter\Documents\LogDelete.bat
2024-07-26 15:30 - 2019-01-30 09:41 - 000128000 ____N C:\Users\buhgalter\Documents\NS v.222.exe
2024-07-26 15:30 - 2018-06-09 11:01 - 000000028 ____N C:\Users\buhgalter\Documents\Shadow.bat
2024-07-26 15:31 - 2024-07-26 15:31 - 000002225 ____C C:\j8mzhi9uZ.README.txt
AutoConfigURL: [S-1-5-21-251471679-1498773680-3435766367-1004] => hxxp://stupdates.com/76ofrx/gGL.pac <==== ВНИМАНИЕ

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Заархивируйте папку C:\FRST\Quarantine с паролем virus, загрузите архив на облачный диск и дайте ссылку на скачивание в ЛС.

Изменено 30 июля, 2024 пользователем safety

[safety]

+ вопрос:

прокси ващ?

AutoConfigURL: [S-1-5-21-251471679-1498773680-3435766367-1004] => hxxp://stupdates.com/76ofrx/gGL.pac <==== ВНИМАНИЕ

 

[zshurik]

16 минут назад, safety сказал:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST

Не нахожу такой файл. Соответственно утилита ругается на отсутствие

7 минут назад, safety сказал:

+ вопрос:

прокси ващ?

AutoConfigURL: [S-1-5-21-251471679-1498773680-3435766367-1004] => hxxp://stupdates.com/76ofrx/gGL.pac <==== ВНИМАНИЕ

 

Нет

[safety]

14 минут назад, zshurik сказал:

Не нахожу такой файл. Соответственно утилита ругается на отсутствие

просто копируем скрипт в бцфер обмена, без  создания fixlist.txt

 

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу без перезагрузки.

(в скрипт добавил строку с AutoConfig)

Изменено 30 июля, 2024 пользователем safety