Перейти к содержанию

Рекомендуемые сообщения

Опубликовано

Заблокирован диск. Прошу помощи с разблокировкой. Скорее всего подобрали пароль. В системе только два пользователя.

1.rar

Опубликовано (изменено)

добавьте несколько зашифрованных ooo4ps файлов

+

Смотрим аналогичную тему здесь на форуме.

 

Изменено пользователем safety
Опубликовано (изменено)

По вашим логам:

1. Это

(explorer.exe ->) (AO Kaspersky Lab -> Kaspersky Lab AO) C:\temp\CoinVaultDecryptor.exe

не поможет с расшифровкой, тип шифровальщика другой.

 

2. этот файл

C:\temp\logon.ps1 <==== ВНИМАНИЕ

добавьте, пожалуйста, в архиве, с паролем virus

 

3. декрипторы не следует запускать все подряд, если не определили тип шифровальщика.

Цитата

2025-02-23 23:45 - 2025-02-23 23:45 - 000002064 _____ C:\CoinVaultDecryptor.1.0.1.0_23.02.2025_23.45.08_log.txt
2025-02-23 23:44 - 2025-02-23 23:44 - 000002424 _____ C:\ShadeDecryptor.1.2.1.0_23.02.2025_23.44.06_log.txt
2025-02-23 23:41 - 2025-02-23 23:43 - 000002402 _____ C:\WildfireDecryptor.1.0.1.0_23.02.2025_23.41.35_log.txt
2025-02-23 23:40 - 2025-02-23 23:41 - 000002304 _____ C:\RannohDecryptor.1.26.1.0_23.02.2025_23.40.37_log.txt
2025-02-23 23:34 - 2025-02-23 23:37 - 000002484 _____ C:\RakhniDecryptor.1.47.2.0_23.02.2025_23.34.32_log.txt

 

4. произошел взлом учетной записи

2025-02-21 18:55 - 2025-02-21 19:45 - 000000000 ____D C:\Users\USR1CV83

 

5. запуск шифрования системного и дополнительных разделов (Bitlocker) выполнялся под данной учетной записью.

 

6.  пробуйте выполнить поиск среди удаленных файлов (с помощью r-studio, r.safer, getdataback.) в TEMP данного пользователя USR1CV83 скриптов *.cmd, *.bat, *.ps1 ближе или чуть дальше к моменту шифрования.

2025-02-21 18:55 - 2025-02-21 19:45 - 000000000 ____D C:\Users\USR1CV83
2025-02-21 19:45 - 2024-08-22 13:25 - 000000940 _____ C:\ProgramData\Microsoft\Windows\Start Menu\FILES_ENCRYPTED.txt

 

Изменено пользователем safety
Опубликовано

2. приложилlogon.rar

3. буду знать, спасибо

4. да, увидел

 image.png.f7a7e58364e5d673a928eabb60cf1c31.png

 

6. пойду делать

 

мне главное разблокировать диск, на нём базы

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Pospelovdima
      Автор Pospelovdima
      Подхватил заразу a38261062@gmail.com ooo4ps  может есть у кого решение ?
    • niktnt
      Автор niktnt
      Добрый день.
      Шифровальщик загрузился на сервер из ремоут десктоп менеджера и на всем куда смог попасть зашифровал все диски кроме с:\.
      На предположительном компьютере-источнике зашифрован и диск C:\
      Файлы о выкупе продолжают создаваться при старте системы.
      Addition.txt FRST.txt virus_bitlocker.zip
    • sss28.05.2025
      Автор sss28.05.2025
      Добрый день.
      Зловред залетел моментом на многие сервера по спику из ремоут десктоп менеджера и на всем куда смог попасть зашифровал все диски кроме с:\
      вложил файл PLEASE READ.txt PLEASE READ_пароль_1111.7z на рабочий стол пользователя под которым попал на сервер.
      На одном из серверов удалось поймать файл в C:\Users\%username%\Documents\vc.txtvc_пароль_1111.7z
      Пособирал файлики которые менялись на компе в момент атаки - может чем-то поможет для анализа_файлы которые изменились в момент доступа_злодея_пароль_1111.7z
       
       
       
      PLEASE READ_пароль_1111.7z
    • Alkart1975
      Автор Alkart1975
      Здравствуйте.
      Зловред зашифровал битлокером несистемный диск. Злоумышленники просят выкуп на почту davidblaine@mail2world.com и bitlockerlock.unlock@gmail.com
      С диска С удалены файлы баз данных и документы. На компьютере несколько пользователей. 
      На рабочем столе одного из пользователей оставлен файл PLEASE READ с требованием оплаты.
      Прошу помощи. Возможно ли расшифровать диск? Или восстановить файлы баз данных 1С. 
      Addition.txt FRST.txt PLEASE READ.txt
    • Yann
      Автор Yann
      И снова здраствуйте.
      Недавно обращался по поводу вируса который пережил снос винды и форматирование, казалось что проблема была решена, но как оказалось не полностью.
      Сегодня при скачке экзешника мод менеджера с официального сайта снова был детект антивирусом, тоже самое что было при скачивании экзешника браузера из прошлой темы.
      Пробовал скачивать с других устройств, по той же ссылке и проблем не возникало, другие люди по моей просьбе повторяли это действие и тоже без проблем, так что это очевидно не проблема ресурса с которого скачивалось.
      Такое ощущение что он пытается подделывать здоровые исполнительные файлы на лету, как только они попадают на пк.
      Ради интереса сделал несколько попыток скачать надеясь увидеть в журнале карантина что нибудь полезное.
      Судя по всему маскируется под временные файлы системы, доктор веб определяет его как trojan.siggen31.50695, при этом ни CureIt ни KVRT ничего не находят при скане.
      С системой пока что никаких проблем нету, не излишних нагрузок, не просадок стабильности, но очевидно что там что то осталось.
      Прошу помощи добить эту заразу!
      Прикладываю новые логи и скрин из журнала карантина:
       
      CollectionLog-2025.08.26-18.15.zip
×
×
  • Создать...