mimic/n3wwv43 ransomware Зашифрованы копьютеры и сервера в домене

[F_Aliaksei]

Добрый день. Зашифрованы компьютеры и сервера в домене.

Hello my dear friend (Do not scan the files with antivirus in any case. In case of data loss, the consequences are yours)
Your data is encrypted by KOZANOSTRA
Your decryption ID is HUQ7OPKpvUiVOz-fEMJo4L9kGcByDd1JvpaG1EG6QgE*KOZANOSTRA-HUQ7OPKpvUiVOz-fEMJo4L9kGcByDd1JvpaG1EG6QgE
Unfortunately for you, a major IT security weakness left you open to attack, your files have been encrypted
The only method of recovering files is to purchase decrypt tool and unique key for you.
If you want to recover your files, write us
1) eMail - vancureez@tuta.io
2) Telegram - @DataSupport911 or https://t.me/DataSupport911

Attention!

Do not rename encrypted files. 
Do not try to decrypt your data using third party software - it may cause permanent data loss. 
We are always ready to cooperate and find the best way to solve your problem. 
The faster you write - the more favorable conditions will be for you. 
Our company values its reputation. We give all guarantees of your files decryption.

FRST.txt Addition.txt Остатки МЦ Фомин.xls.rar СЧЕТ 10 ДЛЯ СПИСАНИЯ_ИТ.xls.rar

Изменено 19 июня пользователем safety

[safety]

По очистке системы:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

Start::
HKLM\...\Run: [svhost] => C:\Users\direktor\AppData\Local\EB5A0E64-B4C8-AE41-3E62-7CDFD86EE06F\svhost.exe [2469376 2024-05-02] () [Файл не подписан]
HKLM-x32\...\Run: [] => [X]
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiSpyware] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
IFEO\CompatTelRunner.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\logoff.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\perfmon.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\SearchApp.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\SearchIndexer.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\SearchProtocolHost.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\shutdown.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\taskkill.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\tasklist.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\taskmgr.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\wsqmcons.exe: [Debugger] C:\Windows\System32\Systray.exe
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
S3 AIDA64Driver; \??\C:\TCPU69\Programm\AIDA64\kerneld.x64 [X]
S3 amdkmdag; \SystemRoot\System32\DriverStore\FileRepository\u0368456.inf_amd64_fc65705fd5034968\B367348\amdkmdag.sys [X]
S3 AMDSAFD; \SystemRoot\System32\DriverStore\FileRepository\amdsafd.inf_amd64_8e2568524f674315\amdsafd.sys [X]
S3 GPU-Z-v2; \??\C:\Users\foma99\AppData\Local\Temp\GPU-Z-v2.sys [X] <==== ВНИМАНИЕ
2025-06-18 22:54 - 2025-06-18 23:03 - 000002265 _____ C:\Users\direktor\Desktop\Process Hacker 2.lnk.KOZANOSTRA-HUQ7OPKpvUiVOz-fEMJo4L9kGcByDd1JvpaG1EG6QgE
2025-06-18 22:54 - 2025-06-18 22:54 - 000000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Process Hacker 2
2025-06-18 22:54 - 2025-06-18 22:54 - 000000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\IObit Unlocker
2025-06-18 22:54 - 2025-06-18 22:54 - 000000000 ____D C:\ProgramData\IObit
2025-06-18 22:54 - 2025-06-18 22:54 - 000000000 ____D C:\Program Files\Process Hacker 2
2025-06-18 22:54 - 2025-06-18 22:54 - 000000000 ____D C:\Program Files (x86)\IObit
2025-06-19 08:21 - 2024-06-05 00:54 - 000000000 __SHD C:\Users\direktor\AppData\Local\EB5A0E64-B4C8-AE41-3E62-7CDFD86EE06F
2025-06-18 23:03 - 2024-04-24 15:15 - 000001132 _____ C:\Users\Public\Desktop\Advanced IP
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Папку C:\FRST\Quarantine  заархивируйте с паролем virus, архив загрузите на облачный диск и дайте ссылку на скачивание в вашем сообщении.