mimic/n3wwv43 ransomware Вирус шифровальщик

[sater123]

Добрый день. Зашифровались файлы размером более 8 мегабайт (их почта datastore@cyberfear.com). Помогите пожалуйста.

Зашифрованные файлы не могу прикрепить, так как их размер более 5Мб.

FRST.txt Addition.txt

[safety]

Зашифрованный файл можно поместить в архив, архив загрузить на облачный диск, и дать ссылку на загрузку в вашем сообщении.

 

По очистке системы:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

Start::
HKLM\...\Run: [datastorecyberfearcom.exe] => C:\Users\zagdali\AppData\Local\README.txt [352 2025-01-05] () [Файл не подписан]
HKLM\...\.com: mimicfile => notepad.exe "C:\Users\zagdali\AppData\Local\README.txt" <==== ВНИМАНИЕ
HKU\S-1-5-21-4244605380-1535158151-1800939307-1000\Software\Classes\exefile: "%1" %* <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall: Ограничение <==== ВНИМАНИЕ
HKLM\...\Policies\system: [legalnoticetext]                                                           Happynewyear!
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
2025-01-04 13:35 - 2025-01-05 09:12 - 000000352 _____ C:\Users\zagdali\AppData\Local\README.txt
2025-01-04 12:12 - 2025-01-04 12:12 - 000000352 _____ C:\Users\1\Desktop\README.txt
2025-01-04 11:25 - 2025-01-04 12:12 - 000000352 _____ C:\Users\1\AppData\Local\README.txt
2025-01-04 11:24 - 2025-01-05 08:51 - 000000352 _____ C:\README.txt
2025-01-04 11:24 - 2025-01-05 08:51 - 000000000 ____D C:\temp
2025-01-05 09:15 - 2024-09-10 01:11 - 000000000 __SHD C:\Users\zagdali\AppData\Local\D1708A0A-683E-BE80-41AD-E3EC3C116A23
2025-01-04 13:33 - 2024-05-12 05:41 - 000000000 __SHD C:\Users\1\AppData\Local\D1708A0A-683E-BE80-41AD-E3EC3C116A23
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Папку C:\FRST\Quarantine  заархивируйте с паролем virus, архив загрузите на облачный диск и дайте ссылку на скачивание в вашем сообщении.

Изменено 5 января пользователем safety

[sater123]

Зашифрованные файлы

README.txt

[safety]

ок, добавьте Fixlog.txt после выполнения скрипта, и ссылку на скачивание архива с карантином.

[sater123]

Ссылка на Карантин

Fixlog.txt

[safety]

Проверьте ЛС.