proton ransomware Зашифровали файлы на сервере *.red

[Valeriy_Chirchik]

В понедельник, 17.02.2025, все файлы на сервере зашифрованы.
Прилагаю файлы сканирования и требование оплаты дешифрования...

Очень надеюсь на Вашу помощь!!!

Спасибо!!!Virus.rarFRST.txtAddition.txt

[safety]

пароль какой на архив с зашифрованными? virus не проходит.

Систему сканировали сканерами KVRT или Cureit? Можете предоставить логи сканирования в архиве, без пароля?

Изменено 17 февраля пользователем safety

[Valeriy_Chirchik]

Пароль: Virus

[safety]

Систему сканировали сканерами KVRT или Cureit? Можете предоставить логи сканирования в архиве, без пароля?

 

Здесь было двойное шифрование файла: Proton+ поверх Mimic, но это единственный файл, с признаком шифрования Mimic

2025-02-15 20:39 - 2024-12-19 14:12 - 1353152338 _____ C:\Users\admin\Desktop\qnXIlzNyuv.red.datastore@cyberfear.com

 

По очистке системы:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

Start::
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore: [DisableConfig] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore: [DisableSR] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiSpyware] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiVirus] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
HKLM\...\Policies\system: [legalnoticecaption] Your computer is encrypted
HKLM\...\Policies\system: [legalnoticetext] We encrypted and stolen all of your files.
IFEO\mpcmdrun.exe: [Debugger] C:\Windows\System32\systray.exe
IFEO\sethc.exe: [Debugger] C:\windows\eventlog.exe
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
2025-02-15 10:53 - 2025-02-15 10:53 - 014336054 _____ C:\ProgramData\6F6C4F5A2AE0CC2FC1EA829E30C4C217.bmp
2025-02-15 10:15 - 2025-02-15 10:15 - 000001053 _____ C:\#HowToRecover.txt
2025-02-15 10:16 - 2024-12-23 14:28 - 000000000 ____D C:\Program Files (x86)\Advanced IP Scanner
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Папку C:\FRST\Quarantine  заархивируйте с паролем virus, архив загрузите на облачный диск и дайте ссылку на скачивание в вашем сообщении.

Изменено 18 февраля пользователем safety

[Valeriy_Chirchik]

https://disk.yandFixlog.txtex.uz/d/bILo2HMrkvUTow

[safety]

По этому файлу есть у вас соображения, откуда появилась приставка datastore@cyberfear.com?

2025-02-15 20:39 - 2024-12-19 14:12 - 1353152338 _____ C:\Users\admin\Desktop\qnXIlzNyuv.red.datastore@cyberfear.com

[Valeriy_Chirchik]

Инциндент произошёл в субботу.

Сотрудники обменивались pdf файлами по сети, и в какойто момент начали получать файлы с таким добавлением...

Меня больше файловый сервер беспокоит...

Там все файлы - *.red

 

[safety]

31 минуту назад, Valeriy_Chirchik сказал:

Инциндент произошёл в субботу.

Сотрудники обменивались pdf файлами по сети, и в какойто момент начали получать файлы с таким добавлением...

Это значит, что злоумышленники с Mimic ransomware гуляют в вашей сети.

Систему сканировали сканерами KVRT или Cureit? Можете предоставить логи сканирования в архиве, без пароля?

+

по расшифровке *.red, как по другим вариантам Proton-а нет решения без приватного ключа.

+

проверьте ЛС.

Изменено 18 февраля пользователем safety