lockbit v3 black Прошу помощи с расшифровкой Trojan.Encoder.31074

[Helsing13]

Добрый день! В результате атаки была зашифрована система. Все файлы стали с расширением lpdVIpAg7.

После перезагрузки система работает но не все программы запускаются.

Во вложении: письмо требование, пример зашифрованных файлов, отчеты о работе FRST, и несколько подозрительных исполняемых файлов.

 

Пароль на оба архива: 1234

 

virus.zip lpdVIpAg7.README.txt Addition.txt FRST.txt files.zip

[safety]

Касперского установили после шифрования?

2025-08-04 12:01 - 2025-08-04 12:02 - 000000000 ____D C:\Program Files (x86)\Kaspersky Lab

 

Если систему сканировали Касперским и курейтом, добавьте пожалуйста, логи и отчеты сканирования, в архиве, без пароля.

 

Начало атаки с шифрованием где-то здесь:

2025-08-02 01:22 - 2018-06-09 16:01 - 000000028 _____ C:\Users\User\Documents\Shadow.bat

 

 

Есть предположения каким образом файл шифровальщика попал в систему?

Изменено 4 августа, 2025 пользователем safety

[Helsing13]

Прикладываю файлы отчета Cureit и выборочной проверки Kaspersky. ТАк же пытался найти варианты расшифровки самостоятельно, на сайте nomoreransome.org по типу шифровальщика даже нашелся специальный файл (скриншот прилагаю) который сообщил, после ввода decryption id, что можно запросить помощь в Европоле, после письма прислали два ключа и генератор дешифровщика, но это не помогло.

antivir.zip

Изменено 4 августа, 2025 пользователем Helsing13

[safety]

Цитата

после письма прислали два ключа и генератор дешифровщика, но это не помогло.

Было бы чудом, если бы эти ключи подошли. Но то, что этот механизм работает - это неплохо. Хоть какой то порядок есть в этом.

 

По отчету Касперского:

папка с RDPWrap ваша?

Сегодня, 04.08.2025 14:11:19    C:\Distr\RDPWrap-v1.6.2\RDPWInst.exe    Обнаружено    Мы нашли приложение, которое может быть использовано

по отчету Cureit:

C:\users\user\documents\ns v.222.exe - infected - 12ms, 128000 bytes

Что еше осталось в этой папке незамеченным? (Кроме сканера ns*.exe и найденных файлов *.bat) Вложенной папки с Everything не осталось? Возможно, что из папки *\Documents и был запуск шифровальщика. Если есть такая возможность, выполните поиск сэмпла среди удаленных файлов, ориентируясь на дату и время процесса шифрования. (мог быть удален вручную или автоматически после завершения процесса шифрования)

------

+

проверьте ЛС.

Изменено 5 августа, 2025 пользователем safety