proton Вирус-шифровальщик, вымогатель

[LexaSLX]

Добрый день! Через RDP на наш сервер проник вирус-шифровальщик,  появился новый том М (Зарезервировано системой) , на нем один файл HELP.txt, с координатами вымогателя. Так же этот файл появился во всех папках. Система грузится, но все файлы (1C, Office, html и др.) зашифрованы. На рабочем столе висит картинка с надписью: "We encrypted adn stolen all of your files. Open HELP.txt and follow the instructions to recover your files." . Нужна помощь в расшифровки.  В приложении результат сканирования FRST, а также оригиналы документов и их зашифрованные версииFRST.txt

Addition.txt ориг и шифр.zip

HELP.txt

Изменено 4 часа назад пользователем LexaSLX

[safety]

Систему сканировали KVRT или Сureit? Можете предоставить логи сканирования или отчеты? в архиве без пароля.

 

По очистке системы:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

Start::
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore: [DisableConfig] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore: [DisableSR] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKLM\...\Policies\system: [legalnoticecaption] Your computer is encrypted
HKLM\...\Policies\system: [legalnoticetext] We encrypted and stolen all of your files.
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
2025-08-17 01:11 - 2025-08-17 01:11 - 005074998 _____ C:\ProgramData\1D952DEEB88F25A29001B1E8AD24FD1F.bmp
2025-08-16 23:38 - 2025-08-16 23:38 - 000000163 _____ C:\Users\solovyovav\AppData\Roaming\Microsoft\Windows\Start Menu\HELP.txt
2025-08-16 23:00 - 2025-08-16 23:00 - 020386224 ___SH (Famatech Corp. ) C:\Users\Admin\Desktop\._cache_Advanced_Port_Scanner_2.5.3869.exe
2025-08-16 23:00 - 2025-07-06 20:57 - 021157888 ____N (Synaptics) C:\Users\Admin\Desktop\Advanced_Port_Scanner_2.5.3869.exe
2025-08-16 23:18 - 2025-08-16 23:36 - 000000000 ____D C:\Users\Admin\Desktop\9001B1E8AD24FD1F
2025-08-16 23:18 - 2025-08-16 22:12 - 000662016 _____ C:\Users\Admin\Desktop\Stub.exe
2025-08-16 23:06 - 2025-08-16 23:36 - 000000000 ____D C:\Users\Admin\Desktop\Mimik
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Папку C:\FRST\Quarantine  заархивируйте с паролем virus, архив загрузите на облачный диск и дайте ссылку на скачивание в вашем сообщении.

Изменено 1 час назад пользователем safety