mimic/n3wwv43 ransomware Шифровальщик Demetro9990@cock.li

[Пользователь Владимир]

Доброго дня.

На компьютере большинство файлов сменили расширение, в конце дописано Demetro9990@cock.li

После поиска информации в интернете выяснил что шифровальщик.

Прошу вашей помощи в расшифровке и удалению программы с ПК.

Примеры файлов в архиве, текстовый сообщение от вымогателей.

README.txt зашифрован.rar Addition.txt FRST.txt

Изменено Пятница в 06:16 пользователем Пользователь Владимир
опечатки

[safety]

Содержимое этой папки покажите

2024-12-11 03:11 - 2024-12-12 03:52 - 000000000 ____D C:\temp

 

[Пользователь Владимир]

7 часов назад, safety сказал:

Содержимое этой папки покажите

2024-12-11 03:11 - 2024-12-12 03:52 - 000000000 ____D C:\temp

 

там один файл session.tmp создан 11.12.2024

 

7 часов назад, safety сказал:

Содержимое этой папки покажите

2024-12-11 03:11 - 2024-12-12 03:52 - 000000000 ____D C:\temp

 

не могу отправить вам личное сообщение.

хотел поделиться ссылкой на архив с файлами, которые обнаружил на ПК. Если вам что то скажет GoldBrute и FIX и немного текстовых файлов

[safety]

9 минут назад, Пользователь Владимир сказал:

хотел поделиться ссылкой на архив с файлами, которые обнаружил на ПК. Если вам что то скажет GoldBrute и FIX и немного текстовых файлов

Архив с паролем virus загрузите на облачный диск и дайте ссылку на скачивание  здесь, в вашем сообщении.

-------------

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

 

Start::
HKLM\...\Run: [PIDAR.exe] => notepad.exe "C:\Users\admasu\AppData\Local\README.txt" (Нет файла)
HKLM-x32\...\Run: [K7TSStart] => "C:\Program Files (x86)\K7 Computing\K7TSecurity\K7TSecurity.exe" (Нет файла)
HKLM\...\Policies\system: [legalnoticetext] Hello my dear friend (Do not scan the files with antivirus in any case. In case of data loss, the consequences
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
2024-12-11 03:11 - 2024-12-12 03:52 - 000000000 ____D C:\temp
2024-12-12 04:02 - 2023-10-21 01:21 - 000000000 __SHD C:\Users\admasu\AppData\Local\3F4FFA8F-24F8-6F78-A0DA-370314484853
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Папку C:\FRST\Quarantine  заархивируйте с паролем virus, архив загрузите на облачный диск и дайте ссылку на скачивание в вашем сообщении.

Изменено Пятница в 08:09 пользователем safety

[Пользователь Владимир]

1 час назад, safety сказал:

Архив с паролем virus загрузите на облачный диск и дайте ссылку на скачивание  здесь, в вашем сообщении.

-------------

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

 

Start::
HKLM\...\Run: [PIDAR.exe] => notepad.exe "C:\Users\admasu\AppData\Local\README.txt" (Нет файла)
HKLM-x32\...\Run: [K7TSStart] => "C:\Program Files (x86)\K7 Computing\K7TSecurity\K7TSecurity.exe" (Нет файла)
HKLM\...\Policies\system: [legalnoticetext] Hello my dear friend (Do not scan the files with antivirus in any case. In case of data loss, the consequences
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
2024-12-11 03:11 - 2024-12-12 03:52 - 000000000 ____D C:\temp
2024-12-12 04:02 - 2023-10-21 01:21 - 000000000 __SHD C:\Users\admasu\AppData\Local\3F4FFA8F-24F8-6F78-A0DA-370314484853
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Папку C:\FRST\Quarantine  заархивируйте с паролем virus, архив загрузите на облачный диск и дайте ссылку на скачивание в вашем сообщении.

вот ссылка на файлы Quarantine и вот ссылка на файлы, пароли одинаковые

Fixlog.txt

Изменено Пятница в 09:16 пользователем safety
ссылку на инструменты стер

[safety]

57 минут назад, Пользователь Владимир сказал:

вот ссылка на файлы, пароли одинаковые

здесь инструменты злоумышленника для брута учетных записей + файлы паролей -словари, которые он использует для брута.

 

В системе есть остатки от антивируса Pro32, можно воспользоваться удалением всех остатков в помощью штатной утилиты.

 

С расшифровкой файлов по данному типу шифровальщика не сможем помочь без приватного ключа. (Который только у злоумышленников)

Изменено Пятница в 09:25 пользователем safety

[Пользователь Владимир]

34 минуты назад, safety сказал:

здесь инструменты злоумышленника для брута учетных записей + файлы паролей -словари, которые он использует для брута.

 

В системе есть остатки от антивируса Pro32, можно воспользоваться удалением всех остатков в помощью штатной утилиты.

 

С расшифровкой файлов по данному типу шифровальщика не сможем помочь без приватного ключа. (Который только у злоумышленников)

понял вас, и на этом спасибо.