mimic/n3wwv43 ransomware Данные зашифрованы UVE. Просят деньги за расшифровку. Что делать?

[safety]

да есть в корне записка о выкупе, и это может быть только если диск С расшарен для записи.

В противном случае запуск шифровальщика был, да сплыл, или скрылся.

а так похоже что профиль C:\Users\Admin в общем доступе.

 

В той папке проверьте что есть:

2025-09-07 19:54 C:\Users\Admin\AppData\Local\28B04320-3169-792D-9126-537F02F1B84D

есть там такие файлы как session.tmp?

 

Изменено 13 сентября, 2025 пользователем safety

[Strelezzz]

Зайти в папку не удалось. Отчет со скринами ошибок в документе Word

Мои действия?

Выяснилось.docx

[safety]

Такой скрипт выполните в FRST

 

Start::
Unlock:: C:\Users\Admin\AppData\Local\28B04320-3169-792D-9126-537F02F1B84D
Reboot::
End::

 

после перезагрузки системы еще раз проверьте что в этой папке.

Результат уже проверю завтра, время у меня позднее.

Изменено 14 сентября, 2025 пользователем safety

[Strelezzz]

8 часов назад, safety сказал:

Такой скрипт выполните в FRST

 

Start::
Unlock:: C:\Users\Admin\AppData\Local\28B04320-3169-792D-9126-537F02F1B84D
Reboot::
End::

 

после перезагрузки системы еще раз проверьте что в этой папке.

Результат уже проверю завтра, время у меня позднее.

Всё также нет доступа к этой папке (после копирования скрипта и перезагрузки). 

Fixlog.txt

Изменено 13 сентября, 2025 пользователем safety

[safety]

Поправил скрипт, проверьте выполнение еще раз.

[Strelezzz]

7 часов назад, safety сказал:

Поправил скрипт, проверьте выполнение еще раз.

Всё еще нет доступа к папке

Fixlog.txt

[safety]

Скрипт был исправлен, смотрите выше.

 

Судя по фикслогу вы запустили прежний скрипт, до внесенного исправления. Возможно, по этой причине папка не разблокирована.

Цитата

fixlist содержимое:
*****************
Start::
Unlock C:\Users\Admin\AppData\Local\28B04320-3169-792D-9126-537F02F1B84D
Reboot::
End::
*****************

 

Изменено 14 сентября, 2025 пользователем safety

[Strelezzz]

20 минут назад, safety сказал:

Скрипт был исправлен, смотрите выше.

 

Судя по фикслогу вы запустили прежний скрипт, до внесенного исправления. Возможно, по этой причине папка не разблокирована.

 

Мне казалось, я запустил исправленный.

Запустил теперь и другой. Доступ так и не появился...

Fixlog.txt

[safety]

С одинарной кавычкой еще проверьте:

 

Start::
Unlock: C:\Users\Admin\AppData\Local\28B04320-3169-792D-9126-537F02F1B84D
Reboot::
End::

 

[Strelezzz]

21 час назад, safety сказал:

да есть в корне записка о выкупе, и это может быть только если диск С расшарен для записи.

В противном случае запуск шифровальщика был, да сплыл, или скрылся.

а так похоже что профиль C:\Users\Admin в общем доступе.

 

В той папке проверьте что есть:

2025-09-07 19:54 C:\Users\Admin\AppData\Local\28B04320-3169-792D-9126-537F02F1B84D

есть там такие файлы как session.tmp?

 

Последний скрипт помог. В папке два файла. Среди них и session.tmp. Время создания совпадает с предполагаемым временем распространения вируса.

Fixlog.txt

[safety]

А еще есть кроме session.tmp?

[Strelezzz]

2 минуты назад, safety сказал:

А еще есть кроме session.tmp?

Everything.db весом 70Мб

[safety]

Да, эта папка с шифровальщиком.

Странно что ее не было в обычном списке, по логам FRST отобразилась лишь в списке заблокированных каталогов.

Возможно что файлы шифровальщика были самоудалены после завершения шифрования.

Так что у вас точно было как минимум два запуска: на первом и втором ПК.

[Strelezzz]

1 минуту назад, safety сказал:

Да, эта папка с шифровальщиком.

Странно что ее не было в обычном списке, по логам FRST отобразилась лишь в списке заблокированных каталогов.

Возможно что файлы шифровальщика были самоудалены после завершения шифрования.

Так что у вас точно было как минимум два запуска: на первом и втором ПК.

Я так понимаю, на ПК №2 угроза купирована. Как быть с ПК №1? мои действия?

[safety]

ПК 1 очищен скриптом. Эту папку

C:\Users\Admin\AppData\Local\28B04320-3169-792D-9126-537F02F1B84D

после разблокировки можете вручную удалить.

ПК 2 так же очищен.

По расшифровке файлов я ответил вам выше.

Изменено 14 сентября, 2025 пользователем safety