Перейти к содержанию

шифровальщик-вымогатель

Бека-Алматы

Автор Бека-Алматы
в Помощь в борьбе с шифровальщиками-вымогателями

 Поделиться

Рекомендуемые сообщения

Бека-Алматы

Бека-Алматы

Опубликовано
Опубликовано

Добрый день! после открытия порта на роутере, компьютер  зашифровался вирусом , прошу помощи с решение проблем

файл приложил 

ЛОГИ и файлы.zip

thyrex

thyrex

Опубликовано
Опубликовано

Перечитайте правила и пришлите необхолимые логи, а не то, что Вам вздумалось.

safety

safety

Опубликовано
Опубликовано

Если систему сканировали уже антивирусом, сканерами Cureit или KVRT, добавьте, пожалуйста, логи сканирования. Лучше в архиве.

safety

safety

Опубликовано
Опубликовано

Cureit ничего не нашел, возможно шифровальщик самоудалился.

There are no infected objects detected

 

К сожалению, по данному типу шифровальщика не сможем вам помочь с расшифровкрй без приватного ключа.

 

по логу FRST:

уточните, пожалуйста, это легальные приложения в автозапуске?

Startup: C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\winhost.lnk [2024-08-01]
ShortcutTarget: winhost.lnk -> C:\Users\user\Pictures\StartMenuExperience.exe (KC Softwares) [Файл не подписан]

HKU\S-1-5-21-4113691338-926295891-1755116701-1000\...\Run: [gbijkII] => C:\Users\user\Pictures\winamp.exe [3142656 2024-04-22] (Nullsoft, Inc.) [Файл не подписан]
HKU\S-1-5-21-4113691338-926295891-1755116701-1000\...\Run: [Jyvrx1H] => C:\Users\user\Pictures\winamp.exe [3142656 2024-04-22] (Nullsoft, Inc.) [Файл не подписан]
HKU\S-1-5-21-4113691338-926295891-1755116701-1000\...\RunOnce: [!BCILauncher] => C:\Windows\Temp\MUBSTemp\BCILauncher.exe [18464 2024-06-27] (Microsoft Corporation -> ) <==== ВНИМАНИЕ

 

Бека-Алматы

Бека-Алматы

Опубликовано
  • Автор
Опубликовано

нет

Startup: C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\winhost.lnk [2024-08-01]
ShortcutTarget: winhost.lnk -> C:\Users\user\Pictures\StartMenuExperience.exe (KC Softwares) [Файл не подписан]

HKU\S-1-5-21-4113691338-926295891-1755116701-1000\...\Run: [gbijkII] => C:\Users\user\Pictures\winamp.exe [3142656 2024-04-22] (Nullsoft, Inc.) [Файл не подписан]
HKU\S-1-5-21-4113691338-926295891-1755116701-1000\...\Run: [Jyvrx1H] => C:\Users\user\Pictures\winamp.exe [3142656 2024-04-22] (Nullsoft, Inc.) [Файл не подписан]
HKU\S-1-5-21-4113691338-926295891-1755116701-1000\...\RunOnce: [!BCILauncher] => C:\Windows\Temp\MUBSTemp\BCILauncher.exe [18464 2024-06-27] (Microsoft Corporation -> ) <==== ВНИМАНИЕ

 

подскажите что делать или есть варианты? у меня тут 1с база уствновлен 

safety

safety

Опубликовано
Опубликовано

по очистке системы в FRST выполните:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу без перезагрузки.

  

Start::
HKU\S-1-5-21-4113691338-926295891-1755116701-1000\...\Run: [gbijkII] => C:\Users\user\Pictures\winamp.exe [3142656 2024-04-22] (Nullsoft, Inc.) [Файл не подписан]
HKU\S-1-5-21-4113691338-926295891-1755116701-1000\...\Run: [Jyvrx1H] => C:\Users\user\Pictures\winamp.exe [3142656 2024-04-22] (Nullsoft, Inc.) [Файл не подписан]
HKU\S-1-5-21-4113691338-926295891-1755116701-1000\...\RunOnce: [!BCILauncher] => C:\Windows\Temp\MUBSTemp\BCILauncher.exe [18464 2024-06-27] (Microsoft Corporation -> ) <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
Startup: C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\winhost.lnk [2024-08-01]
ShortcutTarget: winhost.lnk -> C:\Users\user\Pictures\StartMenuExperience.exe (KC Softwares) [Файл не подписан]
2024-08-01 14:57 - 2024-08-01 14:57 - 000000413 _____ C:\Users\user\README kasper.txt
2024-08-01 14:57 - 2024-08-01 14:57 - 000000413 _____ C:\Users\user\Downloads\README kasper.txt
2024-08-01 14:57 - 2024-08-01 14:57 - 000000413 _____ C:\Users\user\Documents\README kasper.txt
2024-08-01 14:57 - 2024-08-01 14:57 - 000000413 _____ C:\Users\user\Desktop\README kasper.txt
2024-08-01 14:57 - 2024-08-01 14:57 - 000000413 _____ C:\Users\user\AppData\Roaming\README kasper.txt
2024-08-01 14:57 - 2024-08-01 14:57 - 000000413 _____ C:\Users\user\AppData\README kasper.txt
2024-08-01 14:57 - 2024-08-01 14:57 - 000000413 _____ C:\Users\user\AppData\LocalLow\README kasper.txt
2024-08-01 14:57 - 2024-08-01 14:57 - 000000413 _____ C:\Users\user\AppData\Local\README kasper.txt
2024-08-01 14:57 - 2024-08-01 14:57 - 000000413 _____ C:\Users\README kasper.txt
2024-08-01 14:57 - 2024-08-01 14:57 - 000000413 _____ C:\Users\DefaultAppPool\README kasper.txt
2024-08-01 14:57 - 2024-08-01 14:57 - 000000413 _____ C:\Users\DefaultAppPool\Downloads\README kasper.txt
2024-08-01 14:57 - 2024-08-01 14:57 - 000000413 _____ C:\Users\DefaultAppPool\Documents\README kasper.txt
2024-08-01 14:57 - 2024-08-01 14:57 - 000000413 _____ C:\Users\DefaultAppPool\Desktop\README kasper.txt
2024-08-01 14:57 - 2024-08-01 14:57 - 000000413 _____ C:\Users\DefaultAppPool\AppData\Roaming\README kasper.txt
2024-08-01 14:57 - 2024-08-01 14:57 - 000000413 _____ C:\Users\DefaultAppPool\AppData\README kasper.txt
2024-08-01 14:57 - 2024-08-01 14:57 - 000000413 _____ C:\Users\DefaultAppPool\AppData\LocalLow\README kasper.txt
2024-08-01 14:57 - 2024-08-01 14:57 - 000000413 _____ C:\Users\DefaultAppPool\AppData\Local\README kasper.txt
2024-08-01 14:57 - 2024-08-01 14:57 - 000000413 _____ C:\README kasper.txt
2024-08-01 14:57 - 2024-08-01 14:57 - 000000413 _____ C:\ProgramData\README kasper.txt
2024-08-01 14:57 - 2024-08-01 14:57 - 000000413 _____ C:\Program Files\README kasper.txt
2024-08-01 14:57 - 2024-08-01 14:57 - 000000413 _____ C:\Program Files\Common Files\README kasper.txt
2024-08-01 14:57 - 2024-08-01 14:57 - 000000413 _____ C:\Program Files (x86)\README kasper.txt
End::

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Папку C:\FRST\Quarantine заархивируйте с паролем virus, загрузите на облачный диск, и дайте ссылку на скачивание в ЛС.

safety

safety

Опубликовано
Опубликовано (изменено)

winamp.exe, другое имя Elevator.exe -  банковский троян.

https://www.virustotal.com/gui/file/5d7639942a4e285ba985fbf6c9f34b7fdfc7ea7119921cbdebf8509dc6fa09a0/detection

ДрВеб его, к сожалению, не детектирует, потому и не нашелся троян при сканировании Cureit

Изменено пользователем safety
Бека-Алматы

Бека-Алматы

Опубликовано
  • Автор
Опубликовано (изменено)

удалена ссылка

Изменено пользователем safety
safety

safety

Опубликовано
Опубликовано (изменено)
45 минут назад, Бека-Алматы сказал:

удалена ссылка

на архив надо ставить пароль, так как в карантин попадают вредоносные объекты

переделайте архив, ссылку публиковать не здесь, а в личном сообщении.

Изменено пользователем safety
Бека-Алматы

Бека-Алматы

Опубликовано
  • Автор
Опубликовано

хорошо 

Только что, safety сказал:

на архив надо ставить пароль

переделайте архив, ссылку публиковать не здесь, а в личном сообщении.

хорошо

safety

safety

Опубликовано
Опубликовано (изменено)

выполните очистке в uVS

 

Выполните в uVS скрипт из буфера обмена.

ЗАпускаем start,exe от имени Администратора (если не запущен)

текущий пользователь,

Копируем скрипт ниже из браузера в буфер обмена. Закрываем браузер.

В главном меню выбираем "Скрипт - выполнить скрипт из буфера обмена"

Скрипт автоматически очистит систему и завершит работу без перезагрузки. 

;uVS v4.99.0v x64 [http://dsrt.dyndns.org:8888]
;Target OS: NTv10.0
v400c
OFFSGNSAVE
zoo %SystemDrive%\USERS\USER\PICTURES\STARTMENUEXPERIENCE.EXE
addsgn 1B57B465AAA680BEC718627DA804DEC9E946303A4536D3B4490F09709C1ABD80BFEB8BD6D2B59D492BC80DA3625EC08E59D7A0FB39FEA064A42B80378B8F4657 8 WinGo/Agent.QA 7

zoo %SystemDrive%\USERS\USER\PICTURES\WINAMP.EXE
addsgn 1B77B465AAA680BEC718627DA804DEC9E946303A4536D3B4490F09709C1ABD80BFEB8BD6D2B59D492BC80DA3625EC08E59D7A0FB39FEA064A42B80378B8F4657 8 WinGo/ClipBanker.BT [ESET-NOD32] 7

chklst
delvir

czoo
QUIT

Добавьте файл дата_времяlog.txt из папки откуда запускали uVS

архив CZOO****.7z из  папки, откуда запускали uVS загрузите на облачный диск, и дайте ссылку на скачивание в ЛС.

Изменено пользователем safety

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Прохор
      Зашифровали корпоративный сервер
      Автор Прохор
      Добрый день, зашифровали корпоративные сервера с требованием выкупа. Что делать не знаем, прилагаю образец шифра и письмо мошенников.
      файлы.rar
    • mutosha
      нужна помощь в дешефровани blackFL (есть exe и строчка с паролем из power shell)
      Автор mutosha
      Добрый день.
       
      Поймали шифровальщика "blackFL", успел скопировать строчку с паролем из открытого power shell, н арабочем столе.
      "C:\Users\Администратор\Pictures>1.exe -path E:\ -pass b9ec0c541dbfd54c9af6ca6cccedaea9"
       
       
      Сам "1.exe" из ""C:\Users\Администратор\Pictures"  скопировать не успел, но нашел какой-то "1.exe" на рабочем столе, приложил.
      Прикладываю логи Farbar Recovery Scan Tool.
       
      Прикладываю ссылку на шифрованный  файл (7.5 мегабайта, а прикрепить можно только менее 5), когда-то это был mp4 ролик, ничего меньше по размеру не нашлось.
      https://transfiles.ru/j5o79
       
      Файлов с требованием у меня встречаются почему-то три с разными названиями, содержимое вроде одно.
       
      Очень надеюсь на помощь.
       
       
      1.7z Addition_01-12-2025 00.35.40.txt FRST_01-12-2025 00.31.27.txt README_BlackFL.txt lK0kDJCSf.README.txt READ_ME.txt
    • Сергей__
      BlackFL
      Автор Сергей__
      Зашифровались файлы BlackFL
      есть дешифратор?
      TNI.zip
    • Alex F
      Шифровальщик BlackFL
      Автор Alex F
      Добрый день.
       
      Прошу помощи в расшифровке файлов зашифрованных вирусом вымогателем.
       
      Архив во вложении. 
      Archive.7z
    • MBA
      Вирус шифровальщик. Файлы с расширением hype
      Автор MBA
      Добрый день. Заразились компы. Помогите с расшифровкой. Файлы зашифрованы и добавилось расширение с текстом ".EMAIL=[ranshype@gmail.com]ID=[35390D080FB82A02].hype". Архив с результатами сканирования, сообщением о выкупе и примерами зашифрованных файлов прилагаю;
      Архив.zip
×
×
  • Создать...