mimic/n3wwv43 ransomware Нужна помощь, Шифровальщик cyberfear

[AJIEKCAHDP]

Утром (26.02.2025) Зашифровало абсолютно все.  Помогите пож. 

26022025.rar

[thyrex]

Правила оформления запроса о помощи

[AJIEKCAHDP]

Добрый вечер. Если не правильно оформил тему , сорян(я не так часто прошу о помощи). 
26 февраля знакомая ,как обычно включила комп с файловой 1С и вносила данные  в базу.
Днем ранее (25.02 ) программисты по 1С помогали с обновлением базы и 26 должны были 
продолжить помогать.  Но, 26.02 после подключения программистов 1С (программисты 
позвонили и сказали чтобы выключили комп, очень быстро. Якобы вирус. И сказали зовите 
системного администратора. Знакомая позвонила мне, т.к я помогал ей с компом(офис
 установить, инет настроить ну и т.д.)). Сразу комп выключил, скачал с инета 
последние образы флэшек Касперского и Dr.Web. Во вложении файлы: Письмо с требованием, 
Patch (зашифрованный) и Patch (не зашифрованный, но антивирус на него ругается изначально )) ).

[safety]

Читать вы, видимо, не любите, только писать.

 

Цитата

 

4.  Что необходимо сделать:

• Подготовьте логи анализа системы при помощи Farbar Recovery Scan Tool. Если система была переустановлена, то предупредите консультантов в своей теме об этом.
• Подготовьте несколько небольших зашифрованных документов (двух будет достаточно), файл с требованиями злоумышленников и упакуйте их в архив.
• Сохраните в отдельном архиве с паролем (virus) файл шифровальщика, если его удалось найти (он может понадобится для отправки в техподдержку компании).

 

•  

[AJIEKCAHDP]

Добрый вечер

Addition.txt FRST.txt

[safety]

Логи сканирования Cureit, KVRT добавьте, пожалуйста, в архиве, без пароля. Если архивы будут большими, тогда загрузите на облачный диск и дайте ссылку на скачивание здесь.

[AJIEKCAHDP]

Reports.rar

 

KVRT папка Quarantine удалено

Если я не ошибаюсь, в папке Quarantine сам троян

 

Строгое предупреждение от модератора Mark D. Pearlstone

Не публикуйте вредоносные файлы, а также ссылки на них.

[AJIEKCAHDP]

27 минут назад, AJIEKCAHDP сказал:

Reports.rar 2.08 kB · 0 загрузок

 

KVRT папка Quarantine удалено

Если я не ошибаюсь, в папке Quarantine сам троян

 

Строгое предупреждение от модератора Mark D. Pearlstone

Не публикуйте вредоносные файлы, а также ссылки на них.

Извините, правила не внимательно читал.

[safety]

Будьте внимательны,

полные логи (с карантином) KVRT не нужны, только папка с очетами.

 

По очистке системы

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

Start::
2025-02-26 12:24 - 2025-02-26 12:24 - 000000000 ____D C:\Users\Print\AppData\Roaming\Process Hacker 2
2025-02-26 11:31 - 2025-02-26 11:31 - 000000000 ____D C:\temp
2025-02-26 23:08 - 2024-02-28 10:12 - 000000000 __SHD C:\Users\Print\AppData\Local\194E1F27-9FC8-0395-4FCD-F9086C4C4FA6
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Изменено 3 марта пользователем safety

[AJIEKCAHDP]

Добрый вечер.

Fixlog_06-03-2025 22.28.19.txt

[safety]

04.03.2025 в 00:56, AJIEKCAHDP сказал:

Если я не ошибаюсь, в папке Quarantine сам троян

да, судя по отчету KVRT  система была очищена от тел шифровальщика.

 

Без приватного ключа, которого у нас нет, расшифровка файлов невозможна по данному типу шифровальщика.

 

теперь, когда ваши файлы были зашифрованы, примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);