Перейти к содержанию

Зашифровало нужные файлы.

Muhamor
 Поделиться

Рекомендуемые сообщения

safety

safety

Опубликовано
Опубликовано

По очистке системы в FRST

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу без перезагрузки системы

  

Start::
HKU\S-1-5-21-687615590-526448768-3763864210-1000\...\Run: [5572.tmp] => C:\Users\ДОУ 163\AppData\Roaming\5572.tmp.exe [190040 2023-12-21] (Nevada -> Microsoft ® JScript Diagnostics) [Файл не подписан] <==== ВНИМАНИЕ
HKU\S-1-5-21-687615590-526448768-3763864210-1000\...\Run: [944755.tmp] => C:\Users\ДОУ 163\AppData\Roaming\944755.tmp.exe [260720 2023-12-25] (Cleveland -> Windows Runtime MIDI Device server DLL) [Файл не подписан] <==== ВНИМАНИЕ
HKU\S-1-5-21-687615590-526448768-3763864210-1000\...\Run: [Windows] => C:\Users\ДОУ 163\AppData\Local\Temp\556.tmp.exe [374136 2024-01-11] (Dakota LLC -> ODBC Installer) [Файл не подписан] <==== ВНИМАНИЕ
HKU\S-1-5-21-687615590-526448768-3763864210-1000\...\Run: [2488563.tmp] => C:\Users\ДОУ 163\AppData\Roaming\2488563.tmp.exe [260720 2024-02-05] (Cleveland -> Windows Runtime MIDI Device server DLL) [Файл не подписан] <==== ВНИМАНИЕ
HKU\S-1-5-21-687615590-526448768-3763864210-1000\...\Run: [SputnikUpdater] => C:\ProgramData\SputnikUpdater.exe [169448 2024-05-06] (Man -> Network Store Information RPC interface) [Файл не подписан] <==== ВНИМАНИЕ
HKU\S-1-5-21-687615590-526448768-3763864210-1000\...\Run: [oazgxw] => C:\Users\ДОУ 163\AppData\Roaming\oazgxw.exe (Нет файла) <==== ВНИМАНИЕ
HKU\S-1-5-21-687615590-526448768-3763864210-1000\...\Run: [sputnik_updater] => C:\Users\ДОУ 163\AppData\Roaming\sputnik_updater.exe [207224 2024-07-31] (ESET, spol. s r.o. -> Don HO don.h@free.fr) [Файл не подписан] <==== ВНИМАНИЕ
HKU\S-1-5-18\...\Run: [] => [X]
Startup: C:\Users\ДОУ 163\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\updater.lnk [2024-09-30]
ShortcutTarget: updater.lnk -> C:\Users\ДОУ 163\AppData\Roaming\updater.exe (Cleveland -> CPL системы) [Файл не подписан] <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
Task: {D6145342-E1B8-4394-AF60-59C50392DD21} - System32\Tasks\Browserupdphenix => C:\Users\ДОУ 163\AppData\Local\Browserupdphenix\Browserupdphenix.exe [922112 2019-12-18] () [Файл не подписан] -> %LOCALAPPDATA%\Browserupdphenix\--s=E9CAFEF761B4F0AA25735299E5E07E70FD0951A822E54A93C8707D02A048E3D9E9AD8E48794A491BE917F8FC41 --id=1 --sub-id=558 <==== ВНИМАНИЕ
CHR HKU\S-1-5-21-687615590-526448768-3763864210-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [pbefkdcndngodfeigfdgiodgnmbgcfha]
CHR HKLM-x32\...\Chrome\Extension: [iifchhfnnmpdbibifmljnfjhpififfog]
CHR HKLM-x32\...\Chrome\Extension: [pbcgcpeifkdjijdjambaakmhhpkfgoec]
2024-09-18 13:44 - 2024-09-18 13:19 - 000001852 _____ C:\Users\gsjfwaJ\qNluQAAAi.README.txt
2024-09-18 13:44 - 2024-09-18 13:19 - 000001852 _____ C:\Users\gsjfwaJ\Downloads\qNluQAAAi.README.txt
2024-09-18 13:44 - 2024-09-18 13:19 - 000001852 _____ C:\Users\gsjfwaJ\Documents\qNluQAAAi.README.txt
2024-09-18 13:44 - 2024-09-18 13:19 - 000001852 _____ C:\Users\gsjfwaJ\Desktop\qNluQAAAi.README.txt
2024-09-18 13:44 - 2024-09-18 13:19 - 000001852 _____ C:\Users\gsjfwaJ\AppData\Roaming\qNluQAAAi.README.txt
2024-09-18 13:44 - 2024-09-18 13:19 - 000001852 _____ C:\Users\gsjfwaJ\AppData\qNluQAAAi.README.txt
2024-09-18 13:44 - 2024-09-18 13:19 - 000001852 _____ C:\Users\gsjfwaJ\AppData\LocalLow\qNluQAAAi.README.txt
2024-09-18 13:44 - 2024-09-18 13:19 - 000001852 _____ C:\Users\gsjfwaJ\AppData\Local\qNluQAAAi.README.txt
2024-09-18 13:36 - 2024-09-18 13:19 - 000001852 _____ C:\Users\ДОУ 163\AppData\LocalLow\qNluQAAAi.README.txt
2024-09-18 13:36 - 2024-09-18 13:19 - 000001852 _____ C:\Users\ДОУ 163\AppData\Local\qNluQAAAi.README.txt
2024-09-18 13:31 - 2024-09-18 13:19 - 000001852 _____ C:\Users\ДОУ 163\AppData\Roaming\qNluQAAAi.README.txt
2024-09-18 13:31 - 2024-09-18 13:19 - 000001852 _____ C:\Users\ДОУ 163\AppData\qNluQAAAi.README.txt
2024-09-18 13:19 - 2024-09-18 13:19 - 000001852 _____ C:\Users\ДОУ 163\qNluQAAAi.README.txt
2024-09-18 13:19 - 2024-09-18 13:19 - 000001852 _____ C:\Users\ДОУ 163\Downloads\qNluQAAAi.README.txt
2024-09-18 13:19 - 2024-09-18 13:19 - 000001852 _____ C:\Users\ДОУ 163\Documents\qNluQAAAi.README.txt
2024-09-18 13:19 - 2024-09-18 13:19 - 000001852 _____ C:\Users\ДОУ 163\Desktop\qNluQAAAi.README.txt
2024-09-18 13:19 - 2024-09-18 13:19 - 000001852 _____ C:\Users\qNluQAAAi.README.txt
2024-09-18 13:19 - 2024-09-18 13:19 - 000001852 _____ C:\qNluQAAAi.README.txt
2024-05-06 12:00 - 2024-05-06 12:00 - 000169448 _____ (Network Store Information RPC interface) C:\ProgramData\SputnikUpdater.exe
2024-02-05 15:55 - 2024-02-05 15:55 - 000260720 _____ (Windows Runtime MIDI Device server DLL) C:\Users\ДОУ 163\AppData\Roaming\2488563.tmp.exe
2023-12-21 12:52 - 2023-12-21 12:52 - 000190040 _____ (Microsoft ® JScript Diagnostics) C:\Users\ДОУ 163\AppData\Roaming\5572.tmp.exe
2023-12-25 13:35 - 2023-12-25 13:35 - 000260720 _____ (Windows Runtime MIDI Device server DLL) C:\Users\ДОУ 163\AppData\Roaming\944755.tmp.exe
2024-09-18 13:31 - 2024-09-18 13:19 - 000001852 _____ () C:\Users\ДОУ 163\AppData\Roaming\qNluQAAAi.README.txt
2024-07-31 08:44 - 2024-07-31 08:44 - 000207224 _____ (Don HO don.h@free.fr) C:\Users\ДОУ 163\AppData\Roaming\sputnik_updater.exe
2023-12-21 12:52 - 2023-12-25 13:35 - 000241768 _____ (CPL системы) C:\Users\ДОУ 163\AppData\Roaming\updater.exe
2024-09-18 13:36 - 2024-09-18 13:19 - 000001852 _____ () C:\Users\ДОУ 163\AppData\Local\qNluQAAAi.README.txt
End::

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Папку C:\FRST\Quarantine заархивируйте с паролем virus, архив загрузите на облачный диск, и дайте ссылку на скачивание в личные сообщения (ЛС).

safety

safety

Опубликовано
Опубликовано (изменено)

по файлам:

C:\ProgramData\SputnikUpdater.exe

https://www.virustotal.com/gui/file/4f13775086f8150ee957bc1a0aa640e33dbebaa9b32c075faa5b9e832bec8a9f?nocache=1

5572.tmp.exe

https://www.virustotal.com/gui/file/9a4a9c7cae60f9e86f9cd93f950ea71ebfc5552e7a40018b156890113415e076

944755.tmp.exe

https://www.virustotal.com/gui/file/324986febf9846f4287d1e77d9310064a9ae6ef80a67836c04118b9e2891041b

2488563.tmp.exe

https://www.virustotal.com/gui/file/324986febf9846f4287d1e77d9310064a9ae6ef80a67836c04118b9e2891041b

sputnik_updater.exe

https://www.virustotal.com/gui/file/9905eb3f141031643936add68fbf3e2f49562fcfb6d3271659c70984cdfa17c7?nocache=1

updater.exe

https://www.virustotal.com/gui/file/6115e9a01a23c503a1f0f0ce3e9b162468175d9e9e2ae1524b259f3481bb18a1

 

С расшифровкой файлов по данному типу шифровальщика не сможем помочь.

 

Обратите внимание, что room155 делает рассылку для бухгалтеров, финансистов с вложением архива, содержащего вредоносное приложение.

Заблокируйте через локальные политики у сотрудников возможность запускать исполняемые файлы из архивов.

Изменено пользователем safety

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Алексейtime
      Вирус шифровальщик 21.12.2025
      Автор Алексейtime
      Доброе время суток, сегодня обнаружил что всё зашифровано, проверили cureit ничего не обнаружил, от слова ничего. Файлы зашифрованы и конечно же письмо ниже. Подскажите есть смысл с этим бороться или можно всё похоронить? Один из файлов прикрепил

                                                     YOUR FILES HAVE BEEN ENCRYPTED!
      Hello. All of your files have been encrypted by ransomware. Your important documents, photos, and databases are no longer accessible.
      We have used strong encryption algorithms that cannot be broken. Do not try to recover the files yourself or use third-party tools. This will only lead to permanent data loss. The only way to get your files back is to pay the ransom.
      To restore your data, you must send a payment in Bitcoin
      You have 24 hours to make the payment. If you do not pay within this timeframe, the price will double. If you ignore this message for 7 days, your files will be deleted forever.
      To buy Bitcoin and send it, you would typically:
      Search online for instructions on how to buy Bitcoin.
      Follow instructions on a cryptocurrency exchange platform.
      Send the specified amount to the provided address.
      After sending the payment, you might be instructed to send a unique ID to an email address to receive a decryption key.
      Your Unique ID: ***
      Email: chunwen@atomicmail.io
      Jabber : chunwen@xmpp.jp
      How to use it? (for newbie)
      Sign up
      https://www.xmpp.jp/signup
      press https://www.xmpp.jp/client/
      Press add a contact in a left side
      XMPP ADRESS
      and add my jabber chunwen@xmpp.jp and press add
      Write me a message with your Unique ID
      IT IS FAST AND ANONYMOUS!
      The message would often state that the intention is solely financial and that once payment is confirmed, a decryption tool would be provided, with no further contact.
       
      amuhUv4.rar
    • avkor66
      Шифровальщик с расширением .SanxK6eaA
      Автор avkor66
      Доброго дня всем форумчанам!
       
      Настигла беда, поймали шифровальщик на рабочий сервер, зашифровал все текстовые документы, изображения, базы данных 1С и прочее, все файлы с расширением ".SanxK6eaA"
      Пршлись по каждой папке, в каждой папке оставили файл с информацией о выкупе "SanxK6eaA.README.txt" с просьбой связаться по электронному адресу: mrbroock@msgsafe.io 
      Просят 1000$ и дают непонятные гарантии.
      Kaspersky Internet Security нашел один вирус: "HEUR:Trojan.Multi.Runner.y"  не знаю, относится он к шифровальщикам или нет, не знаю.
       
      Сориентируйте пожалуйста по дальнейшим действиям
      В приложении файлы зашифрованные, незашифрованные, требования, логи.
      Заранее спасибо.
      virus.zip
    • ростислав88
      Файлы зашифрованы Trojan.Encoder.31074 (Lockbit 3)
      Автор ростислав88
      Зашифровали файлы на 10 компах. Данные пока такие, попробую собрать больше попой же. 
      Текст требования
       
      И несколько зараженный файлов  в архиве.
       
      Desktop.rar
    • Evgen2454
      Шифровальщик Ransom:Win32/Lockbit.RPA!MTB с расширением .bGe6JmZwv
      Автор Evgen2454
      Добрый день. 07.07.2023 в ночь взломали все сервера и положили всю сеть. Обнаружили когда с утра не работала 1с. Ощущение будто ломали ручками потому что не до всех мест долезли и местами после подключения видны открытые окна которые оставили злоумышленники (было отрыто окно групповых политик где устанавливалось изображение рабочего стола). Файл exe который всё ломает антивирусом видится как Ransom:Win32/Lockbit.RPA!MTB. Сохранялся исполняемый файл в несколько директорий, вот которые заметил:

      C:\Windows\SYSVOL\domain\scripts
      \\domain.local\NETLOGON
      \\domain.local\SYSVOL\domain.local\scripts

      так же через время на принтеры отправили 999 копий текста вымогателей. Архив с вирусом есть. Очень нужна помощь по восстановлению данных.
      Addition.txtFRST.txtзашифрованный файл.rarbGe6JmZwv.README.txt
    • Андрей121
      Шифровальщик Trojan.Encoder.32210 (Lockbit 3) file.4HNnrRWXy
      Автор Андрей121
      Добрый вечер! Обнаружили что 21.06.2023 тихо взломали 2 наших сервера с помощью вируса шифровальщика вроде бы Trojan.Encoder.31074 (Lockbit 3). Обнаружил после того как пользователи начали жаловаться на то что документы не открываются. На сам рабочий стол доступ имелся и было обнаружено что лицензионного антивирусного программного обеспечения kaspersky endpoint security нигде нет. Решил написать пост в данной теме на форуме ( в dr web сразу отказались помочь т.к сказали что это невозможно, только сказали имя шифровальщика). Переписку с вымогателями не вел. Систему не лечил и не чистил. Очень нужна помощь по восстановлению данных.
×
×
  • Создать...