sauron Зашифрованы все файлы.

[timmonn]

Здравствуйте, шифровальщик зашифровал все файлы и переименовал файлы "Примерфайла.xml.[ID-6F6D95A2].[blackdecryptor@gmail.com].9w8ww

Не смог найти название этого шифровальщика чтоб поискать дешифровщик.

Прошу помочь с расшифровкой.

Addition.txt FRST.txt файлы.zip

[safety]

Добавьте, пожалуйста, логи сканирования Cureit, KVRT, можно в архиве  без пароля.

 

 

По очистке системы:

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

Start::
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore: [DisableConfig] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore: [DisableSR] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
U3 458C202DB160A314; \??\C:\Users\user\AppData\Local\Temp\AE151750-DC65DF94-2C918694-7A96F744\7135cadaf.sys [X] <==== ВНИМАНИЕ
2025-01-25 15:08 - 2025-01-25 15:08 - 006220854 _____ C:\ProgramData\Eclipse.bmp
2025-01-25 15:07 - 2025-01-25 15:08 - 000000401 _____ C:\#Recover-Files.txt
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

 

По восстановлению файлов.

 

Судя по логам, у вас есть точки восстановления, возможно получится восстановить зашифрованные файлы на системном диске.

Если они не повреждены.

 

19-01-2025 04:11:53 Центр обновления Windows
19-01-2025 04:11:53 Центр обновления Windows
19-01-2025 04:11:53 Центр обновления Windows
23-01-2025 04:11:51 Центр обновления Windows
23-01-2025 04:11:51 Центр обновления Windows

 

Изменено 27 января пользователем safety

[timmonn]

Вот

Fixlog.txt report_2025.01.27_11.56.11.klr.zip

[safety]

Судя по логу проверки, сэмпл шифровальщика был заражен вирусом Neshta, потому множество исполняемых файлов было заражено Neshta. Лучше почистить систему из под загрузочного диска. Скачайте iso образ диска отсюда.

После очистки системы добавьте новые логи FRST. (FRST будт лучше заново скачать)

[timmonn]

Просканировал с загрузочной флешки, все чисто.

Addition.txt FRST.txt

[safety]

Проверьте, доступна ли информация из точек восстановления.

[timmonn]

Нет. Восстановил систему, но файлы остались зашифрованы.  

Журналы очищены. Первое что там написано- удаление файлов точек восстановления.

[safety]

С расшифровкой файлов по данному типу шифровальщика не сможем помочь.

 

теперь, когда ваши файлы были зашифрованы, примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);