Перейти к содержанию

Шифровальщик Demetro9990@cock.li


Пользователь Владимир

Рекомендуемые сообщения

Доброго дня.

На компьютере большинство файлов сменили расширение, в конце дописано Demetro9990@cock.li

После поиска информации в интернете выяснил что шифровальщик.

Прошу вашей помощи в расшифровке и удалению программы с ПК.

Примеры файлов в архиве, текстовый сообщение от вымогателей.

README.txt зашифрован.rar Addition.txt FRST.txt

Изменено пользователем Пользователь Владимир
опечатки
Ссылка на комментарий
Поделиться на другие сайты

7 часов назад, safety сказал:

Содержимое этой папки покажите

2024-12-11 03:11 - 2024-12-12 03:52 - 000000000 ____D C:\temp

 

там один файл session.tmp создан 11.12.2024

 

7 часов назад, safety сказал:

Содержимое этой папки покажите

2024-12-11 03:11 - 2024-12-12 03:52 - 000000000 ____D C:\temp

 

не могу отправить вам личное сообщение.

хотел поделиться ссылкой на архив с файлами, которые обнаружил на ПК. Если вам что то скажет GoldBrute и FIX и немного текстовых файлов

Ссылка на комментарий
Поделиться на другие сайты

9 минут назад, Пользователь Владимир сказал:

хотел поделиться ссылкой на архив с файлами, которые обнаружил на ПК. Если вам что то скажет GoldBrute и FIX и немного текстовых файлов

Архив с паролем virus загрузите на облачный диск и дайте ссылку на скачивание  здесь, в вашем сообщении.

-------------

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

 

Start::
HKLM\...\Run: [PIDAR.exe] => notepad.exe "C:\Users\admasu\AppData\Local\README.txt" (Нет файла)
HKLM-x32\...\Run: [K7TSStart] => "C:\Program Files (x86)\K7 Computing\K7TSecurity\K7TSecurity.exe" (Нет файла)
HKLM\...\Policies\system: [legalnoticetext] Hello my dear friend (Do not scan the files with antivirus in any case. In case of data loss, the consequences
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
2024-12-11 03:11 - 2024-12-12 03:52 - 000000000 ____D C:\temp
2024-12-12 04:02 - 2023-10-21 01:21 - 000000000 __SHD C:\Users\admasu\AppData\Local\3F4FFA8F-24F8-6F78-A0DA-370314484853
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Папку C:\FRST\Quarantine  заархивируйте с паролем virus, архив загрузите на облачный диск и дайте ссылку на скачивание в вашем сообщении.

Изменено пользователем safety
Ссылка на комментарий
Поделиться на другие сайты

1 час назад, safety сказал:

Архив с паролем virus загрузите на облачный диск и дайте ссылку на скачивание  здесь, в вашем сообщении.

-------------

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

 

Start::
HKLM\...\Run: [PIDAR.exe] => notepad.exe "C:\Users\admasu\AppData\Local\README.txt" (Нет файла)
HKLM-x32\...\Run: [K7TSStart] => "C:\Program Files (x86)\K7 Computing\K7TSecurity\K7TSecurity.exe" (Нет файла)
HKLM\...\Policies\system: [legalnoticetext] Hello my dear friend (Do not scan the files with antivirus in any case. In case of data loss, the consequences
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
2024-12-11 03:11 - 2024-12-12 03:52 - 000000000 ____D C:\temp
2024-12-12 04:02 - 2023-10-21 01:21 - 000000000 __SHD C:\Users\admasu\AppData\Local\3F4FFA8F-24F8-6F78-A0DA-370314484853
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Папку C:\FRST\Quarantine  заархивируйте с паролем virus, архив загрузите на облачный диск и дайте ссылку на скачивание в вашем сообщении.

вот ссылка на файлы Quarantine и вот ссылка на файлы, пароли одинаковые

Fixlog.txt

Изменено пользователем safety
ссылку на инструменты стер
  • Like (+1) 1
Ссылка на комментарий
Поделиться на другие сайты

57 минут назад, Пользователь Владимир сказал:

вот ссылка на файлы, пароли одинаковые

здесь инструменты злоумышленника для брута учетных записей + файлы паролей -словари, которые он использует для брута.

 

В системе есть остатки от антивируса Pro32, можно воспользоваться удалением всех остатков в помощью штатной утилиты.

 

С расшифровкой файлов по данному типу шифровальщика не сможем помочь без приватного ключа. (Который только у злоумышленников)

Изменено пользователем safety
Ссылка на комментарий
Поделиться на другие сайты

34 минуты назад, safety сказал:

здесь инструменты злоумышленника для брута учетных записей + файлы паролей -словари, которые он использует для брута.

 

В системе есть остатки от антивируса Pro32, можно воспользоваться удалением всех остатков в помощью штатной утилиты.

 

С расшифровкой файлов по данному типу шифровальщика не сможем помочь без приватного ключа. (Который только у злоумышленников)

понял вас, и на этом спасибо.

Ссылка на комментарий
Поделиться на другие сайты

  • safety закрыл тема
Гость
Эта тема закрыта для публикации ответов.
  • Похожий контент

    • Тимур М
      Автор Тимур М
      Всем привет!

      На компе все файлы зашифровались с окончанием Demetro9990@cock.li 
      Написал письмо - просит 1400 долларов на биткоин кошелек.
       
      Можете как то помочь?
    • KOMK
      Автор KOMK
      Доброго времени суток.
      Поймали шифровальщик.Атакована вся организация. Выясняем источник откуда и как,но раскидался он по рдп на как минимум 7 рабочих мест, включая серв  АД и 1С. Так же на одном из предполагаемых источников заражения была обнаружена программа Everything API и крипто-программа КАРМА,мб оно как-то даст какую-то полезность?
      А так же папка с файлами именованная как "automim1"?
      Скажите вообще есть ли надежда что как-то можно найти остатки шифровальщика? Шифрованные файлы и файл записку прилагаю в архиве с паролем "virus":
      Остальное не знаю как добавить,вес больше 5мб получается.
       
      sekr_2.7z
    • darksimpson
      Автор darksimpson
      Добрый день.

      Помогите пожалуйста с определением зловреда и, возможно, с расшифровкой.

      Прикрепляю архив с логами FRST, двумя зашифрованными файлами и запиской.

      Спасибо!
      p4.zip
    • Игорь_Белов
      Автор Игорь_Белов
      Доброго времени суток. 
      Прошу помощи, словил вирус шифровальщик, недавно созданный сервер для теста 1с, поймал вирус, файлы баз данных зашифровались. 
      Прошу помочь в определение вируса, по возможности расшифровать. И как его побороть.
       
      scan.zip
    • Albina
      Автор Albina
      Добрый день. Словили шифровальщик. Помогите восстановить файлы. Бэкапов не делали((
      Анализ системы при помощи Farbar сделали. Архив с файлами прилагаем.
      С надеждой, Альбина
      Shortcut_23-04-2025 17.30.07.txt Logs.zip
×
×
  • Создать...