proton ransomware шифровальщик, возможно Proton/shinra

[plak]

один из компьютеров в сети подцепил шифровальщик. зашифрована масса файлов как на самом пк, так и на папках с общим доступом на другом пк (все имеют формат .1cxz). ос не запустилась при включении. восстановил загрузчик, ос работает, нашел сам .exe (название содержит текст из вымогателя), по почте из файла вымогателя нашел упоминание на гитхабе в файле shinra. nomoreransom и id-ransomware ничего не находят. ос на зараженном пк пока не трогаю, но он может понадобиться, поэтому пока есть время, могу попробовать что-то поискать на нем, если укажете где искать. прикладываю

1. результаты Farbar Recovery Scan Tool
2. зашифрованные файлы
3. шифровальщик

4. текст вымогателя

пароль на все файлы virus

shifr.rar

[safety]

Судя по зашифрованным файлам, записке о выкупе, это действительно Proton/Shinra

https://www.virustotal.com/gui/file/8d1ba1ad1acf781dad37cffe7ee3c1bd7206719d2fae39beb803c6fc6142a645

логи проверю чуть позже.

[safety]

По очистке системы:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

Start::
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore: [DisableConfig] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore: [DisableSR] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
S3 AIDA64Driver; \??\C:\Users\Lena\AppData\Local\Temp\Rar$EXb12212.33648\AIDA64\kerneld.x64 [X] <==== ВНИМАНИЕ
S3 NEProtect; \??\C:\Games\Steam\steamapps\common\Once Human\NEProtect.sys [X]
S3 RTCore64; \??\C:\Program Files (x86)\MSI Afterburner\RTCore64.sys [X]
2025-04-17 13:01 - 2025-04-13 23:17 - 000516096 _____ C:\Users\Lena\Downloads\4C8BDB8FC1F02F77C03F717C9A7CBF28.exe
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение