proton ransomware Активность Trojan.Encoder.37448

[velykov]

Здравствуйте, возможно ли расшифровать данные предположительно после Trojan.Encoder.37448, судя по всему что-то в размере 1кб дописано в каждый файл, расширения у всех офисных файлов, картинок стали с расширением *.1cxz рядом лежит файл #HowToRecover.txt с содержимым:
 

Цитата

 

Warning: Your files have been stolen and encrypted.

If you want your files back, contact us at the email addresses shown below:

Iwannahelper@gmail.com

# In subject line please write your personal ID
ID: C28C6114CBF23D00C03F717C9A7CBF28

Check Your Spam Folder: After sending your emails, please check your spam/junk folder regularly to ensure you do not miss our response.

No Response After 24 Hours: If you do not receive a reply from us within 24 hours,
please create a new, valid email address (e.g., from Gmail, Outlook, etc.), and send your message again using the new email address.

 

 

Есть пример зашифрованных стандартных картинок, например хризантема и в зип архиве пример зашифрованного файла. Иконка у зашифрованного файла в виде черного символа биткойна.

#HowToRecover.txt t8TcrwidL6.zip

Addition.txt FRST.txt

Изменено 23 апреля пользователем velykov

[safety]

По очистке системы выполните:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

Start::
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore: [DisableConfig] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore: [DisableSR] Ограничение <==== ВНИМАНИЕ
HKLM\...\Policies\system: [legalnoticecaption] Your computer is encrypted
HKLM\...\Policies\system: [legalnoticetext] We encrypted and stolen all of your files.Open #HowToRecover.txt and follow the instructions to recover your
R3 kldlfmgr; system32\Drivers\kldlfmgr.sys [X]
R3 kldlfwpk; system32\Drivers\kldlfwpk.sys [X]
R3 Kldlimpc; system32\Drivers\Kldlimpc.sys [X]
R3 kldlksec; system32\Drivers\kldlksec.sys [X]
R3 kldlksl; system32\Drivers\kldlksl.sys [X]
R3 kldlndis; system32\Drivers\kldlndis.sys [X]
R3 kldlnio; system32\Drivers\kldlnio.sys [X]
2025-04-23 13:05 - 2025-04-23 13:05 - 007956534 _____ C:\ProgramData\C28C6114CBF23D00C03F717C9A7CBF28.bmp
2025-04-23 08:32 - 2023-01-22 22:20 - 013960560 _____ (Kaspersky Lab ZAO) C:\Users\PrinterMan\Desktop\r.exe
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Папку C:\FRST\Quarantine  заархивируйте с паролем virus, архив загрузите на облачный диск и дайте ссылку на скачивание в вашем сообщении.

[velykov]

Лог прикрепляю, возможно чем-то может помочь, вирус чуть позже, похоже система не хочет запускаться

Fixlog.txt

[safety]

Пробуйте в безопасном режиме систему запустить.

Изменено 23 апреля пользователем safety

[velykov]

Создал архив https://cloud.mail.ru/public/2aZd/MVqEYVeyJ

[safety]

Проверьте ЛС.

[velykov]

Второй ПК, файлы и логи

files.zip Addition.txt FRST.txt

[safety]

По очистке системы по второму ПК:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

Start::
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore: [DisableConfig] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore: [DisableSR] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
HKLM\...\Policies\system: [legalnoticecaption] Your computer is encrypted
HKLM\...\Policies\system: [legalnoticetext] We encrypted and stolen all of your files.
Task: {0B85D647-25E3-49F5-B54F-75146518D160} - \KMSAuto -> Нет файла <==== ВНИМАНИЕ
Task: {8F165859-F35D-41D7-9FB0-AF476DA6DA96} - \AutoKMS -> Нет файла <==== ВНИМАНИЕ
Task: {9E5079C2-620F-4134-AA42-FC4E585EC2BF} - \{270967E9-D4EF-43D4-9D48-A305C97920F6} -> Нет файла <==== ВНИМАНИЕ
Task: {B20F19D2-EAAA-4684-87FB-C2237BA05236} - \InternetSE -> Нет файла <==== ВНИМАНИЕ
Task: {557EBBB1-418F-4EB5-8F71-57B182B12926} - System32\Tasks\Price Fountain => C:\Users\Julia\AppData\Roaming\PRICEF~1\UPDATE~1\UPDATE~1.EXE  /Check (Нет файла)
2025-04-23 19:38 - 2025-04-23 19:38 - 008048694 _____ C:\ProgramData\2DED536E11C4177AC03F717C9A7CBF28.bmp
2025-04-23 15:16 - 2025-04-23 15:16 - 000003756 _____ C:\Windows\system32\Tasks\EOSv3 Scheduler onLogOn
2025-04-23 15:16 - 2025-04-23 15:16 - 000003316 _____ C:\Windows\system32\Tasks\EOSv3 Scheduler onTime
2025-04-22 09:35 - 2021-09-12 02:01 - 000481792 _____ (SoftPerfect Research) C:\Users\Julia\Desktop\nasp.exe
2025-04-22 09:34 - 2025-04-23 10:05 - 000000000 ____D C:\Users\Julia\Desktop\mimikatz
2025-04-22 09:34 - 2025-04-23 10:05 - 000000000 ____D C:\Users\Julia\Desktop\!logs
2025-04-22 09:33 - 2025-04-23 10:06 - 000000000 ____D C:\Users\Julia\Desktop\hi
2025-04-22 09:35 - 2025-04-23 13:31 - 000000000 ____D C:\Users\Julia\Desktop\passrecpk
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Папку C:\FRST\Quarantine  заархивируйте с паролем virus, архив загрузите на облачный диск и дайте ссылку на скачивание в вашем сообщении.

[velykov]

Архив загружен, ссылка удалена

Fixlog.txt

Изменено 24 апреля пользователем safety
Архив загружен, ссылка удалена

[safety]

Система успешно очищена. Расшифровка файлов, к сожалению, нашими силами невозможна.

 

теперь, когда ваши файлы были зашифрованы, примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);

Изменено 24 апреля пользователем safety

[velykov]

Спасибо