Перейти к содержанию

Рекомендуемые сообщения

Опубликовано (изменено)

да есть в корне записка о выкупе, и это может быть только если диск С расшарен для записи.

В противном случае запуск шифровальщика был, да сплыл, или скрылся.

а так похоже что профиль C:\Users\Admin в общем доступе.

 

В той папке проверьте что есть:

2025-09-07 19:54 C:\Users\Admin\AppData\Local\28B04320-3169-792D-9126-537F02F1B84D

есть там такие файлы как session.tmp?

 

Изменено пользователем safety
Опубликовано (изменено)

Такой скрипт выполните в FRST

 

Start::
Unlock:: C:\Users\Admin\AppData\Local\28B04320-3169-792D-9126-537F02F1B84D
Reboot::
End::

 

после перезагрузки системы еще раз проверьте что в этой папке.

Результат уже проверю завтра, время у меня позднее.

Изменено пользователем safety
Опубликовано (изменено)
8 часов назад, safety сказал:

Такой скрипт выполните в FRST

 

Start::
Unlock:: C:\Users\Admin\AppData\Local\28B04320-3169-792D-9126-537F02F1B84D
Reboot::
End::

 

после перезагрузки системы еще раз проверьте что в этой папке.

Результат уже проверю завтра, время у меня позднее.

Всё также нет доступа к этой папке (после копирования скрипта и перезагрузки). 

Fixlog.txt

2025-09-13_18-32-32.png

Изменено пользователем safety
Опубликовано
7 часов назад, safety сказал:

Поправил скрипт, проверьте выполнение еще раз.

Всё еще нет доступа к папке

Fixlog.txt

Опубликовано (изменено)

Скрипт был исправлен, смотрите выше.

 

Судя по фикслогу вы запустили прежний скрипт, до внесенного исправления. Возможно, по этой причине папка не разблокирована.

Цитата

fixlist содержимое:
*****************
Start::
Unlock C:\Users\Admin\AppData\Local\28B04320-3169-792D-9126-537F02F1B84D
Reboot::
End::
*****************

 

Изменено пользователем safety
Опубликовано
20 минут назад, safety сказал:

Скрипт был исправлен, смотрите выше.

 

Судя по фикслогу вы запустили прежний скрипт, до внесенного исправления. Возможно, по этой причине папка не разблокирована.

 

Мне казалось, я запустил исправленный.

Запустил теперь и другой. Доступ так и не появился...

Fixlog.txt

Опубликовано

С одинарной кавычкой еще проверьте:

 

Start::
Unlock: C:\Users\Admin\AppData\Local\28B04320-3169-792D-9126-537F02F1B84D
Reboot::
End::

 

Опубликовано
21 час назад, safety сказал:

да есть в корне записка о выкупе, и это может быть только если диск С расшарен для записи.

В противном случае запуск шифровальщика был, да сплыл, или скрылся.

а так похоже что профиль C:\Users\Admin в общем доступе.

 

В той папке проверьте что есть:

2025-09-07 19:54 C:\Users\Admin\AppData\Local\28B04320-3169-792D-9126-537F02F1B84D

есть там такие файлы как session.tmp?

 

Последний скрипт помог. В папке два файла. Среди них и session.tmp. Время создания совпадает с предполагаемым временем распространения вируса.

Fixlog.txt

Опубликовано
2 минуты назад, safety сказал:

А еще есть кроме session.tmp?

Everything.db весом 70Мб

Опубликовано

Да, эта папка с шифровальщиком.

Странно что ее не было в обычном списке, по логам FRST отобразилась лишь в списке заблокированных каталогов.

Возможно что файлы шифровальщика были самоудалены после завершения шифрования.

Так что у вас точно было как минимум два запуска: на первом и втором ПК.

Опубликовано
1 минуту назад, safety сказал:

Да, эта папка с шифровальщиком.

Странно что ее не было в обычном списке, по логам FRST отобразилась лишь в списке заблокированных каталогов.

Возможно что файлы шифровальщика были самоудалены после завершения шифрования.

Так что у вас точно было как минимум два запуска: на первом и втором ПК.

Я так понимаю, на ПК №2 угроза купирована. Как быть с ПК №1? мои действия?

Опубликовано (изменено)

ПК 1 очищен скриптом. Эту папку

C:\Users\Admin\AppData\Local\28B04320-3169-792D-9126-537F02F1B84D

после разблокировки можете вручную удалить.

ПК 2 так же очищен.

По расшифровке файлов я ответил вам выше.

Изменено пользователем safety

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Дмитрий С1990
      Автор Дмитрий С1990
      Был зашифрован ПК по средствам подключения по rdp  к учетной записи администратора и подобранному паролю.
      Addition.txt virus.7z FRST.txt
    • Илья-Р
      Автор Илья-Р
      Surtr зашифровал данные.
       
      Ниже сообщение.
       
      What happened to your files?
      Unfortunately, your server was compromised, 
      using a security hole in your server.
      All your files are encrypted with a military algorithm .
      in order to contact us you can email this address
      dectokyo@onionmail.org
      use this ID( l0s9viwsc8if5y ) for the title of your email.
      if you weren't able to contact us within 24 hours please email :
      dectokyo@cock.li , TELEGRAM :@tokyosupp
      Only we can decrypt your files.
      Please do not contact separate fraudulent sites.
      You can use freeand even paid software on the Internet, 
      but it is uselessand will cause you to lose filesand timeand money.
       
      В приложении архив RAR. 
       
      Подскажите, пожалуйста, как расшифровать?
      Surtr.rar
    • Zakot
      Автор Zakot
      На сервере вчера вирус зашифровал данные, возможно через RDP попал, сегодня обнаружили.
      virus.zipFRST.txtAddition.txt
    • Инфлюенсер
      Автор Инфлюенсер
      Добрый день, произошел взлом системы. Пострадали пк и сервера, злоумышленник зашифровал данные. Так же попросил выкуп. для теста дал пароль от одного из дисков с помощью которого удалось расшифровать диск с которого собраны логи по запросу, в данный момент диски заблокированы. Требуется ли с помощью программы R.Saver   попытаться вытащить какиет-о файлы, так как в настоящий момент  диски являются роу
      Addition.txtFRST.txt
    • Shystrik
      Автор Shystrik
      Добрый день, на одном из наших ПК появился шифровальщик, и зашифровал данные. Подскажите как от него избавиться и остановить его работу для начала. Нужно ли переустанавливать ОС на ПК ?
×
×
  • Создать...