mimic/n3wwv43 ransomware KOZANOSTRA 1пк

[Tleskk]

пролез через RDP, видимо

cureit.zip sample.zip

Decrypt_KOZANOSTRA.txt

Изменено 19 июня пользователем Tleskk
забыл файл от самого шифровальщика

[safety]

Чуть позже, сегодня проверю логи. Судя по скриншоту, Cureit нашел тело шифровальщика.

[safety]

Добавьте так же логи FRST (или  отсюда) для анализа и очистки зашифрованной системы.

 

[Tleskk]

FRST.txtAddition.txt

[safety]

По очистке системы:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

Start::
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiSpyware] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiVirus] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
HKU\.DEFAULT\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
S3 GPUZ-v2; \??\C:\Temp\GPUZ-v2.sys [X]
S3 HWiNFO_180; \??\C:\Temp\HWiNFO64A_180.SYS [X]
2025-06-19 17:06 - 2025-06-19 17:06 - 000000000 ____D C:\Users\Xpom2\AppData\Roaming\Process Hacker 2
2025-06-19 17:03 - 2025-06-19 20:30 - 000000000 ____D C:\Program Files\Process Hacker 2
2025-06-19 17:03 - 2025-06-19 17:03 - 000000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Process Hacker 2
2025-06-19 20:44 - 2023-05-25 01:17 - 000000000 ____D C:\Temp
2025-06-19 20:30 - 2023-10-06 19:09 - 000000000 __SHD C:\Users\Xpom2\AppData\Local\26330E46-1A0C-AC35-CFEA-B8F30E2ACC7F
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Папку C:\FRST\Quarantine  заархивируйте с паролем virus, архив загрузите на облачный диск и дайте ссылку на скачивание в вашем сообщении.

+

проверьте ЛС.

Изменено 21 июня пользователем safety