proton ransomware .1cxz шифровальщик на сервере.

[dpk]

Ночью к серверу подключились по rdp. На рабочем столе обнаружились папки злоумышленника. Одна из них hi в ней лежал stub.exe. Все журналы событий были почищены.

В безопасном режиме прошелся cureit, а так же лог FRST в безопасном режиме был сделан. Папка hi под паролем virus. Папка files под паролем shifr.

hi.zip files.zip

[safety]

2 часа назад, dpk сказал:

Папка hi под паролем virus

Да, это #Proton / #Shinra #Ransomware

https://www.virustotal.com/gui/file/99067d26b7cc568c78e595aa1e0eed2e2f29a421612f0d30ddece76d1095acd5/detection

Для дальнейшего очистки системы необходимы логи FRST (или  отсюда)

[dpk]

Прикладываю логи FRST

FRST.txt

[Sandor]

Addition.txt тоже нужен, добавьте, пожалуйста.

[dpk]

Так же прикладываю

Addition.txt

[safety]

По очистке системы:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

Start::
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore: [DisableConfig] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore: [DisableSR] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
HKLM\...\Policies\system: [legalnoticecaption] Your computer is encrypted
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
2025-06-17 15:14 - 2025-06-17 15:14 - 000430289 _____ C:\Users\Администратор.WIN-S4OA8B6CLHV\Desktop\Stub.zip
2025-06-17 14:31 - 2025-06-17 14:38 - 461484001 _____ C:\Users\Администратор.WIN-S4OA8B6CLHV\Desktop\2622570.zip
2025-06-17 14:08 - 2025-06-17 14:08 - 001356357 _____ C:\Users\Администратор.WIN-S4OA8B6CLHV\Desktop\hi.zip
2025-06-17 03:01 - 2025-06-17 03:01 - 005062710 _____ C:\ProgramData\29BBECEB7FA1B8D9C03F717C9A7CBF28.bmp
2025-06-17 16:47 - 2025-06-17 16:47 - 024948195 _____ C:\Users\Администратор.WIN-S4OA8B6CLHV\Desktop\viruss.zip
2025-06-17 02:35 - 2025-06-17 03:01 - 000000000 ____D C:\Users\Администратор.WIN-S4OA8B6CLHV\Desktop\hi
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Папку C:\FRST\Quarantine  заархивируйте с паролем virus, архив загрузите на облачный диск и дайте ссылку на скачивание в вашем сообщении.