Перейти к содержанию

Зашифровало нужные файлы.

Muhamor
 Поделиться

Рекомендуемые сообщения

safety

safety

Опубликовано
Опубликовано

По очистке системы в FRST

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу без перезагрузки системы

  

Start::
HKU\S-1-5-21-687615590-526448768-3763864210-1000\...\Run: [5572.tmp] => C:\Users\ДОУ 163\AppData\Roaming\5572.tmp.exe [190040 2023-12-21] (Nevada -> Microsoft ® JScript Diagnostics) [Файл не подписан] <==== ВНИМАНИЕ
HKU\S-1-5-21-687615590-526448768-3763864210-1000\...\Run: [944755.tmp] => C:\Users\ДОУ 163\AppData\Roaming\944755.tmp.exe [260720 2023-12-25] (Cleveland -> Windows Runtime MIDI Device server DLL) [Файл не подписан] <==== ВНИМАНИЕ
HKU\S-1-5-21-687615590-526448768-3763864210-1000\...\Run: [Windows] => C:\Users\ДОУ 163\AppData\Local\Temp\556.tmp.exe [374136 2024-01-11] (Dakota LLC -> ODBC Installer) [Файл не подписан] <==== ВНИМАНИЕ
HKU\S-1-5-21-687615590-526448768-3763864210-1000\...\Run: [2488563.tmp] => C:\Users\ДОУ 163\AppData\Roaming\2488563.tmp.exe [260720 2024-02-05] (Cleveland -> Windows Runtime MIDI Device server DLL) [Файл не подписан] <==== ВНИМАНИЕ
HKU\S-1-5-21-687615590-526448768-3763864210-1000\...\Run: [SputnikUpdater] => C:\ProgramData\SputnikUpdater.exe [169448 2024-05-06] (Man -> Network Store Information RPC interface) [Файл не подписан] <==== ВНИМАНИЕ
HKU\S-1-5-21-687615590-526448768-3763864210-1000\...\Run: [oazgxw] => C:\Users\ДОУ 163\AppData\Roaming\oazgxw.exe (Нет файла) <==== ВНИМАНИЕ
HKU\S-1-5-21-687615590-526448768-3763864210-1000\...\Run: [sputnik_updater] => C:\Users\ДОУ 163\AppData\Roaming\sputnik_updater.exe [207224 2024-07-31] (ESET, spol. s r.o. -> Don HO don.h@free.fr) [Файл не подписан] <==== ВНИМАНИЕ
HKU\S-1-5-18\...\Run: [] => [X]
Startup: C:\Users\ДОУ 163\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\updater.lnk [2024-09-30]
ShortcutTarget: updater.lnk -> C:\Users\ДОУ 163\AppData\Roaming\updater.exe (Cleveland -> CPL системы) [Файл не подписан] <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
Task: {D6145342-E1B8-4394-AF60-59C50392DD21} - System32\Tasks\Browserupdphenix => C:\Users\ДОУ 163\AppData\Local\Browserupdphenix\Browserupdphenix.exe [922112 2019-12-18] () [Файл не подписан] -> %LOCALAPPDATA%\Browserupdphenix\--s=E9CAFEF761B4F0AA25735299E5E07E70FD0951A822E54A93C8707D02A048E3D9E9AD8E48794A491BE917F8FC41 --id=1 --sub-id=558 <==== ВНИМАНИЕ
CHR HKU\S-1-5-21-687615590-526448768-3763864210-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [pbefkdcndngodfeigfdgiodgnmbgcfha]
CHR HKLM-x32\...\Chrome\Extension: [iifchhfnnmpdbibifmljnfjhpififfog]
CHR HKLM-x32\...\Chrome\Extension: [pbcgcpeifkdjijdjambaakmhhpkfgoec]
2024-09-18 13:44 - 2024-09-18 13:19 - 000001852 _____ C:\Users\gsjfwaJ\qNluQAAAi.README.txt
2024-09-18 13:44 - 2024-09-18 13:19 - 000001852 _____ C:\Users\gsjfwaJ\Downloads\qNluQAAAi.README.txt
2024-09-18 13:44 - 2024-09-18 13:19 - 000001852 _____ C:\Users\gsjfwaJ\Documents\qNluQAAAi.README.txt
2024-09-18 13:44 - 2024-09-18 13:19 - 000001852 _____ C:\Users\gsjfwaJ\Desktop\qNluQAAAi.README.txt
2024-09-18 13:44 - 2024-09-18 13:19 - 000001852 _____ C:\Users\gsjfwaJ\AppData\Roaming\qNluQAAAi.README.txt
2024-09-18 13:44 - 2024-09-18 13:19 - 000001852 _____ C:\Users\gsjfwaJ\AppData\qNluQAAAi.README.txt
2024-09-18 13:44 - 2024-09-18 13:19 - 000001852 _____ C:\Users\gsjfwaJ\AppData\LocalLow\qNluQAAAi.README.txt
2024-09-18 13:44 - 2024-09-18 13:19 - 000001852 _____ C:\Users\gsjfwaJ\AppData\Local\qNluQAAAi.README.txt
2024-09-18 13:36 - 2024-09-18 13:19 - 000001852 _____ C:\Users\ДОУ 163\AppData\LocalLow\qNluQAAAi.README.txt
2024-09-18 13:36 - 2024-09-18 13:19 - 000001852 _____ C:\Users\ДОУ 163\AppData\Local\qNluQAAAi.README.txt
2024-09-18 13:31 - 2024-09-18 13:19 - 000001852 _____ C:\Users\ДОУ 163\AppData\Roaming\qNluQAAAi.README.txt
2024-09-18 13:31 - 2024-09-18 13:19 - 000001852 _____ C:\Users\ДОУ 163\AppData\qNluQAAAi.README.txt
2024-09-18 13:19 - 2024-09-18 13:19 - 000001852 _____ C:\Users\ДОУ 163\qNluQAAAi.README.txt
2024-09-18 13:19 - 2024-09-18 13:19 - 000001852 _____ C:\Users\ДОУ 163\Downloads\qNluQAAAi.README.txt
2024-09-18 13:19 - 2024-09-18 13:19 - 000001852 _____ C:\Users\ДОУ 163\Documents\qNluQAAAi.README.txt
2024-09-18 13:19 - 2024-09-18 13:19 - 000001852 _____ C:\Users\ДОУ 163\Desktop\qNluQAAAi.README.txt
2024-09-18 13:19 - 2024-09-18 13:19 - 000001852 _____ C:\Users\qNluQAAAi.README.txt
2024-09-18 13:19 - 2024-09-18 13:19 - 000001852 _____ C:\qNluQAAAi.README.txt
2024-05-06 12:00 - 2024-05-06 12:00 - 000169448 _____ (Network Store Information RPC interface) C:\ProgramData\SputnikUpdater.exe
2024-02-05 15:55 - 2024-02-05 15:55 - 000260720 _____ (Windows Runtime MIDI Device server DLL) C:\Users\ДОУ 163\AppData\Roaming\2488563.tmp.exe
2023-12-21 12:52 - 2023-12-21 12:52 - 000190040 _____ (Microsoft ® JScript Diagnostics) C:\Users\ДОУ 163\AppData\Roaming\5572.tmp.exe
2023-12-25 13:35 - 2023-12-25 13:35 - 000260720 _____ (Windows Runtime MIDI Device server DLL) C:\Users\ДОУ 163\AppData\Roaming\944755.tmp.exe
2024-09-18 13:31 - 2024-09-18 13:19 - 000001852 _____ () C:\Users\ДОУ 163\AppData\Roaming\qNluQAAAi.README.txt
2024-07-31 08:44 - 2024-07-31 08:44 - 000207224 _____ (Don HO don.h@free.fr) C:\Users\ДОУ 163\AppData\Roaming\sputnik_updater.exe
2023-12-21 12:52 - 2023-12-25 13:35 - 000241768 _____ (CPL системы) C:\Users\ДОУ 163\AppData\Roaming\updater.exe
2024-09-18 13:36 - 2024-09-18 13:19 - 000001852 _____ () C:\Users\ДОУ 163\AppData\Local\qNluQAAAi.README.txt
End::

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Папку C:\FRST\Quarantine заархивируйте с паролем virus, архив загрузите на облачный диск, и дайте ссылку на скачивание в личные сообщения (ЛС).

safety

safety

Опубликовано
Опубликовано (изменено)

по файлам:

C:\ProgramData\SputnikUpdater.exe

https://www.virustotal.com/gui/file/4f13775086f8150ee957bc1a0aa640e33dbebaa9b32c075faa5b9e832bec8a9f?nocache=1

5572.tmp.exe

https://www.virustotal.com/gui/file/9a4a9c7cae60f9e86f9cd93f950ea71ebfc5552e7a40018b156890113415e076

944755.tmp.exe

https://www.virustotal.com/gui/file/324986febf9846f4287d1e77d9310064a9ae6ef80a67836c04118b9e2891041b

2488563.tmp.exe

https://www.virustotal.com/gui/file/324986febf9846f4287d1e77d9310064a9ae6ef80a67836c04118b9e2891041b

sputnik_updater.exe

https://www.virustotal.com/gui/file/9905eb3f141031643936add68fbf3e2f49562fcfb6d3271659c70984cdfa17c7?nocache=1

updater.exe

https://www.virustotal.com/gui/file/6115e9a01a23c503a1f0f0ce3e9b162468175d9e9e2ae1524b259f3481bb18a1

 

С расшифровкой файлов по данному типу шифровальщика не сможем помочь.

 

Обратите внимание, что room155 делает рассылку для бухгалтеров, финансистов с вложением архива, содержащего вредоносное приложение.

Заблокируйте через локальные политики у сотрудников возможность запускать исполняемые файлы из архивов.

Изменено пользователем safety

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • strana2016
      Вирус-шифровальщик labubu
      Автор strana2016
      Поймали такой вирус, на одном из компьютеров сети появился файл с требованиями LABUBU, Новый сетевой диск и часть данных на компьютере, а так же в общей папке локальной сети зашифрована .dom. Kaspersky отключился. Можно ли полагать, что это все, что он успел зашифровать или лучше не включать зараженный компьютер? И может ли через общую папку он проникнуть в компьютеры других пользователей? Спасибо

    • Alex955
      Шифровальщик зашифровал все файлы в формат .UxJ9PqWn7
      Автор Alex955
      Добрый день , все файлы зашифрованы и переведены в неизвестный формат .UxJ9PqWn7   есть ли шансы восстановить файлы? куда копать?
      UxJ9PqWn7.README.txt FN-00455.pdf.zip
    • yaregg
      Diamond Ransomware
      Автор yaregg
      Вчера подключался некий "удалённый специалист" через anydesk.RDP порты были закрыты. Сегодня были проблемы с логином (пароль не походил). Зашёл под администратором, всё зашифровано.
      При помощи KVRT поймал исполняемый файл. Судя по всему, это LockBit V3 black и на расшифровку можно не рассчитывать?
       
       
       
       
      файлы.rarAddition.txtFRST.txt
    • Владислав Николаевич
      Зашифровали Lockbit.HA!MTB
      Автор Владислав Николаевич
      Сервер и все физические тачки зашифрованы.
      Нигде на просторах интернета не нашел дешифратор.
      На всех устройствах стоял Kaspersky Endpoint Security, но что-то пошло не так.
      В архиве текстовик с телеграммом вредителя и пример файлов, которые зашифрованы.
      Друзья, хелп)
      Crypt.rar
    • Алексейtime
      Вирус шифровальщик 21.12.2025
      Автор Алексейtime
      Доброе время суток, сегодня обнаружил что всё зашифровано, проверили cureit ничего не обнаружил, от слова ничего. Файлы зашифрованы и конечно же письмо ниже. Подскажите есть смысл с этим бороться или можно всё похоронить? Один из файлов прикрепил

                                                     YOUR FILES HAVE BEEN ENCRYPTED!
      Hello. All of your files have been encrypted by ransomware. Your important documents, photos, and databases are no longer accessible.
      We have used strong encryption algorithms that cannot be broken. Do not try to recover the files yourself or use third-party tools. This will only lead to permanent data loss. The only way to get your files back is to pay the ransom.
      To restore your data, you must send a payment in Bitcoin
      You have 24 hours to make the payment. If you do not pay within this timeframe, the price will double. If you ignore this message for 7 days, your files will be deleted forever.
      To buy Bitcoin and send it, you would typically:
      Search online for instructions on how to buy Bitcoin.
      Follow instructions on a cryptocurrency exchange platform.
      Send the specified amount to the provided address.
      After sending the payment, you might be instructed to send a unique ID to an email address to receive a decryption key.
      Your Unique ID: ***
      Email: chunwen@atomicmail.io
      Jabber : chunwen@xmpp.jp
      How to use it? (for newbie)
      Sign up
      https://www.xmpp.jp/signup
      press https://www.xmpp.jp/client/
      Press add a contact in a left side
      XMPP ADRESS
      and add my jabber chunwen@xmpp.jp and press add
      Write me a message with your Unique ID
      IT IS FAST AND ANONYMOUS!
      The message would often state that the intention is solely financial and that once payment is confirmed, a decryption tool would be provided, with no further contact.
       
      amuhUv4.rar
×
×
  • Создать...