mimic/n3wwv43 ransomware Вирус вымогатель

[Vertex1551]

Сегодня зайдя в сервер увидел это, пароль от админа не подходит, данные хотелось бы восстановить Windows server 2008r2

[Vertex1551]

Вытащил диск, вот пару зашифрованных файлов пароль infected

files.rar

[safety]

Похоже на Mimic,

добавьте несколько зашифрованных файлов+записку о выкупе в одном архиве без пароля, + нужны будут логи FRST от имени Администратора для последующей очистки системы.

[Vertex1551]

9 часов назад, safety сказал:

Похоже на Mimic,

добавьте несколько зашифрованных файлов+записку о выкупе в одном архиве без пароля, + нужны будут логи FRST от имени Администратора для последующей очистки системы.

Пароль от админа не подходит, есть второй пк к которому подключен этот диск, вот файлы

1.rar

[safety]

Проверьте, есть на этом диске такая папка?:

буква диска:\Users\учетная запись пользователя\AppData\Local\D4A4227A-D012-4CEA-21D3-0BAD0BF6CDED

Если есть, заархивируйте ее с паролем virus, загрузите на облачный диск и дайте ссылку здесь на скачивание.

Изменено 5 сентября, 2025 пользователем safety

[Vertex1551]

14 часов назад, safety сказал:

Похоже на Mimic,

добавьте несколько зашифрованных файлов+записку о выкупе в одном архиве без пароля, + нужны будут логи FRST от имени Администратора для последующей очистки системы.

нету такого 

 

 

4 часа назад, safety сказал:

Проверьте, есть на этом диске такая папка?:

буква диска:\Users\учетная запись пользователя\AppData\Local\D4A4227A-D012-4CEA-21D3-0BAD0BF6CDED

Если есть, заархивируйте ее с паролем virus, загрузите на облачный диск и дайте ссылку здесь на скачивание.

нету такого файла

[safety]

С расшифровкой файлов не сможем помочь по данному типу шифровальщика.

 

Общие рекомендации:

 

Теперь, когда ваши файлы были зашифрованы, примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);

[Vertex1551]

7 часов назад, safety сказал:

С расшифровкой файлов не сможем помочь по данному типу шифровальщика.

 

Общие рекомендации:

 

Теперь, когда ваши файлы были зашифрованы, примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);

даже если в админа зайти смогу ?

[safety]

Если вы войдете в админку и соберете логи FRST, мы сможем проверить остатки файлов шифровальщика в системе и вычистить систему.

[Vertex1551]

8 часов назад, safety сказал:

Если вы войдете в админку и соберете логи FRST, мы сможем проверить остатки файлов шифровальщика в системе и вычистить систему.

ладно, не нужно, спасибо

 

[safety]

то-то и оно, что вам лень-матушка сделать свою работу.

данная папка может быть скрытой.

буква диска:\Users\учетная запись пользователя\AppData\Local\D4A4227A-D012-4CEA-21D3-0BAD0BF6CDED

возможно, что наименование папки отличается от указанной, если сэмпл был изменен.

Изменено 7 сентября, 2025 пользователем safety

[Vertex1551]

В 07.09.2025 в 05:08, safety сказал:

то-то и оно, что вам лень-матушка сделать свою работу.

данная папка может быть скрытой.

буква диска:\Users\учетная запись пользователя\AppData\Local\D4A4227A-D012-4CEA-21D3-0BAD0BF6CDED

возможно, что наименование папки отличается от указанной, если сэмпл был изменен.

Скрытые папки проверил, да уже и не актуально)