proxima Через RDP шифровальщик с расширением .frank

[Croony]

Addition.txt FRST.txt Desktop.zip Frank_Help.txt

[safety]

Систему проверили сканерами Cureit или KVRT? Можете предоставить отчет о сканировании?

[Croony]

report_2025.01.16_12.28.27.klr.zip

report_2025.01.16_12.41.37.klr.zipНа одном ничего на втором сервере нашел

Изменено 16 января пользователем Croony

[safety]

1 час назад, Croony сказал:

на втором сервере нашел

К шифровальщику вряд ли относится обнаруженный детект, скорее это какой то патч к 1с.

 

По очистке системы:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

Start::
HKLM\...\Winlogon: [LegalNoticeCaption] Frank Ransomware
HKLM\...\Winlogon: [LegalNoticeText]  - All your files are stolen and encrypted - Find Frank_Help.txt file - and follow instructions
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
2025-01-16 03:46 - 2025-01-16 03:46 - 000000957 _____ C:\Frank_Help.txt
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

 

Если необходима очистка второго устройства, тогда добавьте из него логи FRST.

[Croony]

Fixlog.txt

 

Addition.txtFRST.txt

[safety]

Этот файл вам известен? Можете его проверить на Virustotal.com и дать ссылку на результат проверки здесь?

2025-01-16 06:18 - 2025-01-16 06:18 - 000006656 _____ C:\ProgramData\Dcpher.exe

 

Изменено 16 января пользователем safety

[Croony]

Я так понимаю расшифровка не возможна?

[safety]

Проверьте ЛС

==========

по этому файлу вы не ответили, что это?

Цитата

 

Этот файл вам известен? Можете его проверить на Virustotal.com и дать ссылку на результат проверки здесь?

2025-01-16 06:18 - 2025-01-16 06:18 - 000006656 _____ C:\ProgramData\Dcpher.exe

 

 

Изменено 16 января пользователем safety

[safety]

Сделайте, пожалуйста, экспорт ключей из реестра в файл с любого из зашифрованных серверов:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AeDebug

и

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options

файлы заархивируйте без пароля и добавьте в ваше сообщение