proton ransomware Файлы зашифрованы Trojan.Encoder.37448 #Proton

[UcherMD1408]

В 30.04.2025 в 10:03, UcherMD1408 сказал:

Даю ссылку на доступ к архивной папке HI

....

Ссылка на архивную папку Quarantine 

 

ниже рабочая ссылка на папку Quarantine

архив загружен, ссылка удалена

 

направляю данные с 3-го ПК

FRST.txt Addition.txt

Изменено 1 мая пользователем safety
архив загружен, ссылка удалена

[safety]

По третьему ПК просто записки #HowToRecover.txt найдите все и удалите.  Папки с  инструментами шифрования нет, возможно удалена, или не попала в лог.

-------------

хэши по первому ПК:

SHA1: 9BAE9A01368F4DBA20C9BA2C09A986E6CF86A083

https://www.virustotal.com/gui/file/99067d26b7cc568c78e595aa1e0eed2e2f29a421612f0d30ddece76d1095acd5

SHA1: 99532E1FDE9137101DD6DABC495035C3E6C94D96

https://www.virustotal.com/gui/file/8d1ba1ad1acf781dad37cffe7ee3c1bd7206719d2fae39beb803c6fc6142a645

хэши по второму ПК те же самые:

SHA1: 99532E1FDE9137101DD6DABC495035C3E6C94D96

SHA1: 9BAE9A01368F4DBA20C9BA2C09A986E6CF86A083

 

Третий ПК можно просканировать свежим KVRT, если что-то там осталось, должно детектироваться как:

HEUR:Trojan-Ransom.Win32.Generic

 

 

Изменено 1 мая пользователем safety

[UcherMD1408]

В 30.04.2025 в 13:30, UcherMD1408 сказал:

 

 

Fixlog.txt 2.86 kB · 1 загрузка

также направляю отчет от Malwarebytes после очистки системы скриптом (2-ой комп)

Malwarebytes Отчет о проверке 2025-05-01 095225.txt

 

3 часа назад, safety сказал:

По третьему ПК просто записки #HowToRecover.txt найдите все и удалите.  Папки с  инструментами шифрования нет, возможно удалена, или не попала в лог.

-------------

хэши по первому ПК:

SHA1: 9BAE9A01368F4DBA20C9BA2C09A986E6CF86A083

https://www.virustotal.com/gui/file/99067d26b7cc568c78e595aa1e0eed2e2f29a421612f0d30ddece76d1095acd5

SHA1: 99532E1FDE9137101DD6DABC495035C3E6C94D96

https://www.virustotal.com/gui/file/8d1ba1ad1acf781dad37cffe7ee3c1bd7206719d2fae39beb803c6fc6142a645

хэши по второму ПК:

SHA1: 99532E1FDE9137101DD6DABC495035C3E6C94D96

SHA1: 9BAE9A01368F4DBA20C9BA2C09A986E6CF86A083

 

Третий ПК можно просканировать свежим KVRT, если что-то там осталось, должно детектироваться как:

HEUR:Trojan-Ransom.Win32.Generic

 

 

подскажите, как с этим работать? Зашел по ссылкам, вижу что поставщики безопасности пометили эти файлы как вредоносные, а что дальше то делать?  

на 3-ем компе удалил все #HowToRecover.txt, просканировал KVRT и MB (Malwarebytes) - угроз не обнаружено

[safety]

44 минуты назад, UcherMD1408 сказал:

также направляю отчет от Malwarebytes после очистки системы скриптом (2-ой комп)

Актуального здесь ничего не найдено. Файлы шифровальщика найдены в корзине удаленных файлов.

 

Цитата

подскажите, как с этим работать? Зашел по ссылкам, вижу что поставщики безопасности пометили эти файлы как вредоносные, а что дальше то делать?  

А ничего не надо с этим делать. Это информация по детектам, просто к сведению.

 

Если других ПК нет среди пострадавших,

то резюмируем.

 

Расшифровка файлов по данному типу невозможна без приватного ключа, которого у нас нет.

Восстановление файлов возможно только из бэкапов, если они не пострадали при шифровании.

 

теперь, когда ваши файлы были зашифрованы, примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);

 

Если нужен анализ причин проникновения злоумышленников, проверьте ЛС.

Изменено 1 мая пользователем safety

[UcherMD1408]

понятно, спасибо!