mimic/n3wwv43 ransomware Шифровальщик ELPACO-team

[Malsim]

Добрый день!

 

Прошу помощи с шифровальщиком-вымогателем ELPACO.

 

Логи FRST/Additional + зашифрованные файлы + записка вымогателей во вложении. 

 

Заранее спасибо!

 

Virus.rar

[safety]

+

Добавьте дополнительно образ автозапуска системы в uVS.

 

1. Скачать архив программы можно отсюда:

2. Распакуйте данный архив с программой в отдельный каталог и запустите файл Start.exe
(для Vista, W7, W8, W10, W11 запускаем с правами администратора)
3. В стартовом окне программы - нажмите "запустить под текущим пользователем"
(если текущий пользователь с правами администратора).

4. Далее, меню "Файл" / Сохранить Полный образ автозапуска.

5. дождитесь, пока процесс создания файла образа завершится.
Сохраненный файл образа автозапуска (с именем Ваш_компьютер_дата_время.txt) автоматически добавится в архив 7z или rar.
6. Файл архива с образом автозапуска прикрепите к вашему сообщению на форуме. Ждем ответ.

[Malsim]

47 минут назад, safety сказал:

6. Файл архива с образом автозапуска прикрепите к вашему сообщению на форуме. Ждем ответ.

 

Добавил образ. 

Спасибо!

AFR586455_2024-09-19_13-28-15_v4.99.1v x64.7z

[safety]

Эти программы если не устанавливали, лучше деинсталлировать, возможно что они поучаствовали во взломе.

 

IObit Unlocker

Process Hacker 2.39 (r124)

 

Adobe Flash если не используете в приложениях, так же надо деинсталлировать,  они давно уже не поддерживаются.

Adobe Flash Player 23 PPAPI

Adobe Flash Player 23 ActiveX

Adobe Flash Player 23 NPAPI

по очистке системы в FRST:

----------------

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу без перезагрузки.

 

Start::
HKLM\...\Policies\system: [legalnoticetext] Hello my dear friend (Do not scan the files with antivirus in any case. In case of data loss, the consequences
IFEO\CompatTelRunner.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\logoff.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\perfmon.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\SearchApp.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\SearchIndexer.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\SearchProtocolHost.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\sethc.exe: [Debugger] c:\windows\system32\cmd.exe
IFEO\shutdown.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\taskkill.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\tasklist.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\taskmgr.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\wsqmcons.exe: [Debugger] C:\Windows\System32\Systray.exe
GroupPolicy: Restriction ? <==== ATTENTION
Policies: C:\ProgramData\NTUSER.pol: Restriction <==== ATTENTION
2024-08-31 15:16 - 2024-08-31 15:16 - 000000000 ____D C:\Users\adminis\AppData\Roaming\Process Hacker 2
2024-08-31 15:14 - 2024-08-31 15:14 - 000000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Process Hacker 2
2024-08-31 15:14 - 2024-08-31 15:14 - 000000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\IObit Unlocker
2024-08-31 15:14 - 2024-08-31 15:14 - 000000000 ____D C:\ProgramData\IObit
2024-08-31 15:14 - 2024-08-31 15:14 - 000000000 ____D C:\Program Files\Process Hacker 2
2024-08-31 15:14 - 2024-08-31 15:14 - 000000000 ____D C:\Program Files (x86)\IObit
2024-09-10 19:45 - 2022-08-25 13:15 - 000000000 __SHD C:\Users\HR_User\AppData\Local\BFB39C3B-80E3-D2AA-3AB8-6CBE04FD21C7
End::

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Заархивируйте папку C:\FRST\Quarantine с паролем virus, загрузите архив на облачный диск и дайте ссылку на скачивание в ЛС.

Изменено 19 сентября, 2024 пользователем safety

[Malsim]

Файл FixLog во вложении.

 

 

Fixlog.txt

[safety]

Для исследования уязвимостей системы проверьте ЛС.

[safety]

По расшифровке файлов:

 

К сожалению, по данному типу шифровальщика не сможем вам помочь, не имея приватного ключа.

[Malsim]

3 минуты назад, safety сказал:

По расшифровке файлов:

 

К сожалению, по данному типу шифровальщика не сможем вам помочь, не имея приватного ключа.

Понятно( В любом случае - огромное спасибо за помощь!