Перейти к содержанию

Заражен Шифровальщиком. Возможно @blocked

Влад1992
 Поделиться

Рекомендуемые сообщения

thyrex

thyrex

Опубликовано
Опубликовано

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать) 

Start::
CreateRestorePoint:
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiSpyware] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
HKLM\SYSTEM\...\Terminal Server: [fDenyTSConnections] = 0 <==== ВНИМАНИЕ
HKU\S-1-5-21-4056201694-2214060035-1460139132-1000\...\Run: [YandexBrowserAutoLaunch_B64B7D5D07784CD66F00CA43360BB68B] => "C:\Users\User\AppData\Local\Yandex\YandexBrowser\Application\browser.exe" --shutdown-if-not-closed-by-system-restart (Нет файла)
HKU\S-1-5-21-4056201694-2214060035-1460139132-1000\...\MountPoints2: {3d65be67-ddfa-11ef-bbed-b42e9948cc5f} - E:\SISetup.exe
HKU\S-1-5-21-4056201694-2214060035-1460139132-1000\...\MountPoints2: {46e7e1a4-b937-11e9-9140-d0db6b252977} - E:\MInstAll\MInst.exe
HKU\S-1-5-21-4056201694-2214060035-1460139132-1000\...\MountPoints2: {4cf9aa45-7ed5-11ea-bce1-b42e9948cc5f} - E:\HiSuiteDownLoader.exe
HKU\S-1-5-21-4056201694-2214060035-1460139132-1000\...\MountPoints2: {c3a7f3a4-e5ee-11eb-badd-b42e9948cc5f} - 华为手机助手安装向导.exe
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\ekvbfmpjfceohqm.txt [2025-08-27] () [Файл не подписан]
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
2025-08-27 10:55 - 2025-08-27 10:55 - 000000000 ____H C:\Users\DD\Documents\Default.rdp
2025-08-27 09:34 - 2025-08-27 09:34 - 000001185 _____ C:\Users\DD\Desktop\ekvbfmpjfceohqm.txt
2025-08-27 09:31 - 2025-08-27 09:31 - 000001185 _____ C:\Windows\Tasks\ekvbfmpjfceohqm.txt
2025-08-27 09:31 - 2025-08-27 09:31 - 000001185 _____ C:\Windows\SysWOW64\ekvbfmpjfceohqm.txt
2025-08-27 09:31 - 2025-08-27 09:31 - 000001185 _____ C:\Windows\SysWOW64\Drivers\ekvbfmpjfceohqm.txt
2025-08-27 09:31 - 2025-08-27 09:31 - 000001185 _____ C:\Windows\system32\Tasks\ekvbfmpjfceohqm.txt
2025-08-27 09:31 - 2025-08-27 09:31 - 000001185 _____ C:\Windows\system32\spool\prtprocs\x64\ekvbfmpjfceohqm.txt
2025-08-27 09:30 - 2025-08-27 09:35 - 000001185 _____ C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\ekvbfmpjfceohqm.txt
2025-08-27 09:30 - 2025-08-27 09:35 - 000001185 _____ C:\Users\User\AppData\Local\ekvbfmpjfceohqm.txt
2025-08-27 09:30 - 2025-08-27 09:30 - 000001185 _____ C:\Windows\system32\ekvbfmpjfceohqm.txt
2025-08-27 09:30 - 2025-08-27 09:30 - 000001185 _____ C:\Windows\system32\Drivers\etc\ekvbfmpjfceohqm.txt
2025-08-27 09:30 - 2025-08-27 09:30 - 000001185 _____ C:\Windows\system32\Drivers\ekvbfmpjfceohqm.txt
2025-08-27 09:30 - 2025-08-27 09:30 - 000001185 _____ C:\Windows\system32\config\ekvbfmpjfceohqm.txt
2025-08-27 09:30 - 2025-08-27 09:30 - 000001185 _____ C:\Windows\Minidump\ekvbfmpjfceohqm.txt
2025-08-27 09:30 - 2025-08-27 09:30 - 000001185 _____ C:\Windows\ekvbfmpjfceohqm.txt
2025-08-27 09:29 - 2025-08-27 09:35 - 000001185 _____ C:\Users\User\Downloads\ekvbfmpjfceohqm.txt
2025-08-27 09:29 - 2025-08-27 09:35 - 000001185 _____ C:\Users\User\Documents\ekvbfmpjfceohqm.txt
2025-08-27 08:43 - 2025-08-27 09:35 - 000001185 _____ C:\Users\Public\Documents\ekvbfmpjfceohqm.txt
2025-08-27 08:43 - 2025-08-27 09:35 - 000001185 _____ C:\Users\Public\Desktop\ekvbfmpjfceohqm.txt
2025-08-27 08:43 - 2025-08-27 09:35 - 000001185 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ekvbfmpjfceohqm.txt
2025-08-27 08:43 - 2025-08-27 09:35 - 000001185 _____ C:\ProgramData\Microsoft\Windows\Start Menu\ekvbfmpjfceohqm.txt
2025-08-27 08:43 - 2025-08-27 09:35 - 000001185 _____ C:\ProgramData\ekvbfmpjfceohqm.txt
2025-08-27 08:43 - 2025-08-27 09:34 - 000001185 _____ C:\Users\User\ekvbfmpjfceohqm.txt
2025-08-27 08:43 - 2025-08-27 09:34 - 000001185 _____ C:\Users\User\Desktop\ekvbfmpjfceohqm.txt
2025-08-27 08:43 - 2025-08-27 09:34 - 000001185 _____ C:\Users\User\AppData\Roaming\ekvbfmpjfceohqm.txt
2025-08-27 08:43 - 2025-08-27 09:34 - 000001185 _____ C:\Users\User\AppData\ekvbfmpjfceohqm.txt
2025-08-27 08:43 - 2025-08-27 09:34 - 000001185 _____ C:\Users\sec\ekvbfmpjfceohqm.txt
2025-08-27 08:43 - 2025-08-27 09:34 - 000001185 _____ C:\Users\sec\Downloads\ekvbfmpjfceohqm.txt
2025-08-27 08:43 - 2025-08-27 09:34 - 000001185 _____ C:\Users\sec\Documents\ekvbfmpjfceohqm.txt
2025-08-27 08:43 - 2025-08-27 09:34 - 000001185 _____ C:\Users\sec\Desktop\ekvbfmpjfceohqm.txt
2025-08-27 08:43 - 2025-08-27 09:34 - 000001185 _____ C:\Users\sec\AppData\Roaming\Microsoft\Windows\Start Menu\ekvbfmpjfceohqm.txt
2025-08-27 08:43 - 2025-08-27 09:34 - 000001185 _____ C:\Users\sec\AppData\Roaming\ekvbfmpjfceohqm.txt
2025-08-27 08:43 - 2025-08-27 09:34 - 000001185 _____ C:\Users\sec\AppData\Local\ekvbfmpjfceohqm.txt
2025-08-27 08:43 - 2025-08-27 09:34 - 000001185 _____ C:\Users\sec\AppData\ekvbfmpjfceohqm.txt
2025-08-27 08:43 - 2025-08-27 09:34 - 000001185 _____ C:\Users\Public\ekvbfmpjfceohqm.txt
2025-08-27 08:43 - 2025-08-27 09:34 - 000001185 _____ C:\Users\Public\Downloads\ekvbfmpjfceohqm.txt
2025-08-27 08:43 - 2025-08-27 09:34 - 000001185 _____ C:\Users\Default\ekvbfmpjfceohqm.txt
2025-08-27 08:43 - 2025-08-27 09:34 - 000001185 _____ C:\Users\Default\Downloads\ekvbfmpjfceohqm.txt
2025-08-27 08:43 - 2025-08-27 09:34 - 000001185 _____ C:\Users\Default\Documents\ekvbfmpjfceohqm.txt
2025-08-27 08:43 - 2025-08-27 09:34 - 000001185 _____ C:\Users\Default\Desktop\ekvbfmpjfceohqm.txt
2025-08-27 08:43 - 2025-08-27 09:34 - 000001185 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\ekvbfmpjfceohqm.txt
2025-08-27 08:43 - 2025-08-27 09:34 - 000001185 _____ C:\Users\Default\AppData\Roaming\ekvbfmpjfceohqm.txt
2025-08-27 08:43 - 2025-08-27 09:34 - 000001185 _____ C:\Users\Default\AppData\Local\ekvbfmpjfceohqm.txt
2025-08-27 08:43 - 2025-08-27 09:34 - 000001185 _____ C:\Users\Default\AppData\ekvbfmpjfceohqm.txt
2025-08-27 08:43 - 2025-08-27 09:34 - 000001185 _____ C:\Users\DD\ekvbfmpjfceohqm.txt
2025-08-27 08:43 - 2025-08-27 09:34 - 000001185 _____ C:\Users\DD\Downloads\ekvbfmpjfceohqm.txt
2025-08-27 08:43 - 2025-08-27 09:34 - 000001185 _____ C:\Users\DD\Documents\ekvbfmpjfceohqm.txt
2025-08-27 08:43 - 2025-08-27 09:34 - 000001185 _____ C:\Users\DD\AppData\Roaming\Microsoft\Windows\Start Menu\ekvbfmpjfceohqm.txt
2025-08-27 08:43 - 2025-08-27 09:34 - 000001185 _____ C:\Users\DD\AppData\Roaming\ekvbfmpjfceohqm.txt
2025-08-27 08:43 - 2025-08-27 09:34 - 000001185 _____ C:\Users\DD\AppData\Local\ekvbfmpjfceohqm.txt
2025-08-27 08:43 - 2025-08-27 09:34 - 000001185 _____ C:\Users\DD\AppData\ekvbfmpjfceohqm.txt
2025-08-27 08:42 - 2025-08-27 08:42 - 000001185 _____ C:\Program Files\Common Files\ekvbfmpjfceohqm.txt
2025-08-27 08:42 - 2025-08-27 08:42 - 000001185 _____ C:\Program Files (x86)\ekvbfmpjfceohqm.txt
2025-08-27 08:41 - 2025-08-27 08:43 - 000001185 _____ C:\Users\ekvbfmpjfceohqm.txt
2025-08-27 08:41 - 2025-08-27 08:41 - 000001185 _____ C:\Program Files\ekvbfmpjfceohqm.txt
2025-08-27 08:38 - 2025-08-27 08:38 - 000001185 _____ C:\ekvbfmpjfceohqm.txt
2025-08-27 08:13 - 2025-08-27 08:13 - 000000000 ____H C:\Users\User\Documents\Default.rdp
2025-08-27 08:00 - 2025-08-27 08:42 - 000000000 ____D C:\Program Files\RDP Wrapper
WMI:subscription\__FilterToConsumerBinding->CommandLineEventConsumer.Name=\"BVTConsumer\"",Filter="__EventFilter.Name=\"BVTFilter\"::
WMI:subscription\__EventFilter->BVTFilter::[Query => SELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE TargetInstance ISA "Win32_Processor" AND TargetInstance.LoadPercentage > 99]
WMI:subscription\CommandLineEventConsumer->BVTConsumer::[CommandLineTemplate => cscript KernCap.vbs][WorkingDirectory => C:\\tools\\kernrate]
FirewallRules: [{7E053364-62E2-4E0B-923D-7D3A49C1C867}] => (Allow) C:\Program Files (x86)\360\Total Security\360TsLiveUpd.exe => Нет файла
FirewallRules: [{C67AB98E-0EA2-4519-851E-7054E58133CD}] => (Block) %ProgramFiles%\Autodesk\AutoCAD 2016\AcWebBrowser\AcWebBrowser.exe => Нет файла
FirewallRules: [{4750F9D9-C1D1-42D3-A7BA-0D441386A937}] => (Block) %ProgramFiles%\Autodesk\AutoCAD 2016\AcWebBrowser\AcWebBrowser.exe => Нет файла
FirewallRules: [TCP Query User{7CBFE0D6-E4A0-4D55-B26B-EF9E5B62BB94}C:\users\user\downloads\anydesk.exe] => (Allow) C:\users\user\downloads\anydesk.exe => Нет файла
FirewallRules: [UDP Query User{7DB75455-F4AF-4028-B7C9-92C14484AC2B}C:\users\user\downloads\anydesk.exe] => (Allow) C:\users\user\downloads\anydesk.exe => Нет файла
FirewallRules: [TCP Query User{1C61C2FB-712F-4FD9-B131-390D39334745}C:\Program Files (x86)\Helper\jdk11\bin\java.exe] => (Allow) C:\Program Files (x86)\Helper\jdk11\bin\java.exe => Нет файла
FirewallRules: [UDP Query User{0D81D3DE-4F28-404F-A970-BF7F40D1276C}C:\Program Files (x86)\Helper\jdk11\bin\java.exe] => (Allow) C:\Program Files (x86)\Helper\jdk11\bin\java.exe => Нет файла
Reboot:
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

  • Обратите внимание: будет выполнена перезагрузка компьютера.


 

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • fastheel
      Шифровальщик
      Автор fastheel
      Зашифровали сервер , сам вирус был пойман ( есть файл) и есть флаг с которым он был запущен

      update.exe   -pass e32fae18c0e1de24277c14ab0359c1b7
      Addition.txt FRST.txt u4IHZAluh.README.txt Desktop.zip
    • plak
      шифровальщик, возможно Proton/shinra
      Автор plak
      один из компьютеров в сети подцепил шифровальщик. зашифрована масса файлов как на самом пк, так и на папках с общим доступом на другом пк (все имеют формат .1cxz). ос не запустилась при включении. восстановил загрузчик, ос работает, нашел сам .exe (название содержит текст из вымогателя), по почте из файла вымогателя нашел упоминание на гитхабе в файле shinra. nomoreransom и id-ransomware ничего не находят. ос на зараженном пк пока не трогаю, но он может понадобиться, поэтому пока есть время, могу попробовать что-то поискать на нем, если укажете где искать. прикладываю
      1. результаты Farbar Recovery Scan Tool
      2. зашифрованные файлы
      3. шифровальщик
      4. текст вымогателя
      пароль на все файлы virus
      shifr.rar
    • KOHb39
      Шифровальщик blackFL
      Автор KOHb39
      Словили этот злополучный шифровальщик.
      На одной машине удалось изолировать его ехе файл судя по дате создания, файл гулял по ПК в сети.
      Может ли это как-то помочь в расшифровке? Кому передать и каким способом?
    • Влад1810
      Шифровальщик blackFL
      Автор Влад1810
      Аналогично зашифровало, нужна помощьНовая папка.7z
      BlackField_ReadMe.txt
    • Restinn
      Шифровальщик blackFL
      Автор Restinn
      Добрый день. Помогите в расшифровке. Ночью 06.08 все зашифровал и все. В инете никакой инфы нет
      Касперский не был установлен
      Прикрепил файлы и текстовый док 
      Новая папка.rar BlackField_ReadMe.txt
×
×
  • Создать...