Перейти к содержанию
Летний корпоратив «Лаборатории Касперского» 2025. Как попасть?

Шифровальщик BlackBit

ad_art
 Поделиться

Рекомендуемые сообщения

ad_art Новичок

ad_art

Опубликовано
Опубликовано (изменено)

Здравствуйте, требуется помощь в расшифровке файлов.

Прилагаю образец вируса в запароленном архиве, ключи реестра содержащие данные для шифрации.

First.txt Addition.txt Зашифрованные файлы.7z Оригинальные файлы.7z virus_sample.7z Требования вируса.7z reg_keys.7z

Изменено пользователем ad_art
Ссылка на комментарий
Поделиться на другие сайты
safety Гигант мысли

safety

Опубликовано
Опубликовано

Выполните скрипт очистки системы в FRST

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

  

Start::
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKLM\...\Policies\system: [legalnoticecaption] Encrypted by BlackBit
HKLM\...\Policies\system: [legalnoticetext] All your files have been encrypted due to a security problem with your computer
HKU\S-1-5-21-3010375954-1847709270-144726189-1001\...\Policies\system: [DisableTaskMgr] 1
Startup: C:\Users\Boss\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\winlogon.exe [2024-01-08] (Microsoft) [Файл не подписан] <==== ВНИМАНИЕ
Startup: C:\Users\Boss\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\wvtymcow.bat [2024-12-21] () [Файл не подписан]
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\winlogon.exe [2024-01-08] (Microsoft) [Файл не подписан] <==== ВНИМАНИЕ
Task: {1133A43D-FEB2-4E81-80E2-F108AD024B2B} - System32\Tasks\BlackBit => C:\Users\Boss\AppData\Roaming\winlogon.exe [556032 2024-01-08] (Microsoft) [Файл не подписан] <==== ВНИМАНИЕ
2024-12-21 16:11 - 2024-12-21 16:11 - 000005924 _____ C:\info.hta
2024-12-21 16:11 - 2024-12-21 16:11 - 000003190 _____ C:\Windows\system32\Tasks\BlackBit
2024-12-21 16:11 - 2024-12-21 16:11 - 000000388 _____ C:\Users\Public\Restore-My-Files.txt
2024-12-21 16:11 - 2024-12-21 16:11 - 000000388 _____ C:\Users\Public\Downloads\Restore-My-Files.txt
2024-12-21 16:11 - 2024-12-21 16:11 - 000000388 _____ C:\Users\Public\Documents\Restore-My-Files.txt
2024-12-21 16:11 - 2024-12-21 16:11 - 000000388 _____ C:\Users\Boss\Restore-My-Files.txt
2024-12-21 16:11 - 2024-12-21 16:11 - 000000388 _____ C:\Users\Boss\Downloads\Restore-My-Files.txt
2024-12-21 16:11 - 2024-12-21 16:11 - 000000388 _____ C:\Users\Boss\Documents\Restore-My-Files.txt
2024-12-21 16:11 - 2024-12-21 16:11 - 000000388 _____ C:\Restore-My-Files.txt
2024-12-21 16:11 - 2024-12-21 16:11 - 000000388 _____ C:\ProgramData\Restore-My-Files.txt
2024-12-21 16:11 - 2024-12-21 16:11 - 000000388 _____ C:\Program Files\Restore-My-Files.txt
2024-12-21 16:11 - 2024-12-21 16:11 - 000000388 _____ C:\Program Files (x86)\Restore-My-Files.txt
2024-12-21 16:11 - 2024-01-08 23:55 - 000556032 ___SH (Microsoft) C:\Windows\winlogon.exe
2024-12-21 16:11 - 2024-01-08 23:55 - 000556032 ___SH (Microsoft) C:\Users\Boss\AppData\Roaming\winlogon.exe
2024-12-21 16:11 - 2024-01-08 23:55 - 000556032 ___SH (Microsoft) C:\ProgramData\winlogon.exe
2024-12-21 16:01 - 2024-12-20 02:58 - 000110592 ____S C:\q2wb2j5d.exe
2024-12-21 16:11 - 2024-12-21 16:11 - 000110592 ___SH () C:\ProgramData\ak4iduo1.exe
2024-12-21 16:26 - 2024-12-21 16:26 - 000500645 _____ () C:\ProgramData\arh.7z.exe
2024-12-21 16:11 - 2024-12-21 16:11 - 000110592 ___SH () C:\ProgramData\pkrwduxn.exe
2024-12-21 16:11 - 2024-01-08 23:55 - 000556032 ___SH (Microsoft) C:\ProgramData\winlogon.exe
2024-12-21 16:11 - 2024-12-21 16:11 - 000000388 _____ () C:\Program Files\Restore-My-Files.txt
2024-12-21 16:11 - 2024-12-21 16:11 - 000000388 _____ () C:\Program Files (x86)\Restore-My-Files.txt
2024-12-21 16:11 - 2024-01-08 23:55 - 000556032 ___SH (Microsoft) C:\Users\Boss\AppData\Roaming\winlogon.exe
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Папку C:\FRST\Quarantine  заархивируйте с паролем virus, архив загрузите на облачный диск и дайте ссылку на скачивание в вашем сообщении.

+ новые логи FRST соберите для контроля очистки

Ссылка на комментарий
Поделиться на другие сайты
safety Гигант мысли

safety

Опубликовано
Опубликовано

С расшифровкой файлов по данному типу шифровальщика, к сожалению, не сможем помочь.

Сохраните важные зашифрованные файлы на отдельный носитель, возможно в будущем расшифровка станет возможной.

Этот файл так же важен при расшифровке.

2024-12-21 16:11 - 2024-12-21 16:11 - 000003328 _____ C:\Cpriv.BlackBit

Без него расшифровка будет невозможной.

 

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • valkovaleksandr
      Шифровальщик cyberfear
      Автор valkovaleksandr
      Добрый день! Просьба помочь с  Шифровальщик cyberfear.
      Вот такая фигня вылазит при открытии текстовиков:
      Hello my dear friend (Do not scan the files with antivirus in any case. In case of data loss, the consequences are yours)
      Your data is encrypted
      Your personal ID: *****sJm4WtmxxeX8*datastore@cyberfear.com
      Unfortunately for you, a major IT security weakness left you open to attack, your files have been encrypted
      The only method of recovering files is to purchase decrypt tool and unique key for you.
      If you want to recover your files, write us to this e-mail: datastore@cyberfear.com
      In case of no answer in 24 hours write us to this backup e-mail: back2up@swismail.com
      Check your e-mail "Spam" or "Junk" folder if you don't get answer more than 6 hours.
      Contact us soon, because those who don't have their data leaked in our press release blog and the price they'll have to pay will go up significantly.
      Attention!
      Do not rename encrypted files. 
      Do not try to decrypt your data using third party software - it may cause permanent data loss. 
      We are always ready to cooperate and find the best way to solve your problem. 
      The faster you write - the more favorable conditions will be for you. 
      Our company values its reputation. We give all guarantees of your files decryption.
      FRST.txt Addition.txt README_SOLVETHIS.txt Привет.docx Текстовый документ.txt
       
      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.
    • vasia15
      вирус похож на шифровальщик
      Автор vasia15
      вирус блокирует возможность скачать антивирус,все программы заполняет кракозябрами,установить нет возможности.прошу помощи.сам не справляюсь.
    • norma.ekb
      Шифровальщик-вымогатель .FONL
      Автор norma.ekb
      Добрый день.
      Открыли архив, полученный по почте и после этого все файлы на ПК  изменились на тип FONL. Прошу помочь с расшифровкой.
      Файл шифровальщик сохранен (из полученного архива). 
      Файлы для примера и сообщение вымогателей .rar FRST.rar
    • AJIEKCAHDP
      Нужна помощь, Шифровальщик cyberfear
      Автор AJIEKCAHDP
      Утром (26.02.2025) Зашифровало абсолютно все.  Помогите пож. 
      26022025.rar
    • Andrew Vi Ch
      Шифровальщик Trojan.Encoder.31074
      Автор Andrew Vi Ch
      Добрый день.
      Поймали указанный шифровальщик, в системных логах были ошибки службы ngrok, перехватили AD, остановили KES, зашифрованы все виртуальные машины (Hyper-V), базы данных... в общем - 99% инфраструктуры. Вычищены теневые копии.
      Приложены архивы: 
      encrypted.zip - 2 зашифрованных файла + текстовик с единственной строкой "message us for decrypt" (расширение зашифрованных файлов .X1g2d2vbb)
      frst.zip - логи FRST
      lock.zip - запароленный в соответствии с инструкцией архив с исполняемым файлом шифровальщика.
      Прошу оказать содействие в расшифровке.
      Спасибо.
×
×
  • Создать...