procrustes поймали шифровщик FrankViskerson@mailfence.com

[KOte]

Поймали шифровальщик. вымогатель юлит, не дает гарантии что все будет восстановлено. Собрал все файлы открыл тему.

Addition.txt FRST.txt Read Instructions.txt virus.rar

Изменено 20 октября, 2024 пользователем KOte

[safety]

Сэмпл шифровальщика нашли? это может быть файл:

 C:\WINDOWS\VSS\WRITERS\APPLICATION\PES.EXE

логи сейчас проверю.

Эту программу надо деинсталлировать, этой вайпер, установлен злоумышленниками.

Hardwipe 5.1.4 (HKLM\...\{F8DDA2D6-F375-440C-B1D5-41479F167758}) (Version: 5.1.4 - Big Angry Dog)

Если было уже сканирование системы штатным антивирусом, или антивирусными утилитами Cureit или KVRT

проверьте по логам, было ли обнаружение данного файла.

 C:\WINDOWS\VSS\WRITERS\APPLICATION\PES.EXE

----------------

в логах FRST файл шифровальщика не обнаружен.

 

по очистке системы:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу без перезагрузки системы

 

Start::
Startup: C:\Users\admin256\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Read Instructions.txt [2024-10-14] () [Файл не подписан]
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Read Instructions.txt [2024-10-14] () [Файл не подписан]
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Read Instructions.txt.{FrankViskerson@mailfence.com} ID[000C293E193C].locked [2024-10-14] () [Файл не подписан]
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
End::

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Изменено 7 октября пользователем safety

Изменено 20 октября, 2024 пользователем safety

[KOte]

Big Angry Dog уже удален.

PES.rar

kvrt нашел и поместил в карантин файл pes

[safety]

да, PES.exe - это сэмпл шифровальщика.

SHA1: 72953E1CB724BD35D2AF1F31B1A6A9B952A39668