pay2key Все файлы теперь с разрешением .gwad1

[Alex724]

Добрый день.

У нас тоже компьютер зашифровало и все файлы теперь с разрешением .gwad1

Судя по ветке шансов нет? 

Или каждый раз всё по-разному?

 

Сообщение от модератора Mark D. Pearlstone

Перемещено из темы.

[safety]

Добавьте логи FRST из зашифрованной системы, записку о выкупе + несколько зашифрованных файлов в архиве, без пароля.

Если систему сканировали KVRT, Cureit или штатным антивирусом, добавьте логи и отчеты сканирования в архиве, без пароля.

Если сохранилось письмо от злоумышленников с архивным вложением, сохраните сообщение в файл в формате EML. заархивируйте файл с паролем virus, добавьте в ваше сообщение.

Изменено 19 сентября пользователем safety

[Alex724]

Вроде всё сделал.

Прилагаю три образца.

Файлы зашифрованы Trojan-Ransom.Win32.Mimic.

https://disk.yandex.ru/d/LCUQXKFkrQWhrg

[safety]

По очистке системы:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

Start::
HKLM\...\Run: [browser.exe] => C:\Users\admin\AppData\Local\HowToRestoreFiles.txt [4062 2025-09-17] () [Файл не подписан]
HKLM-x32\...\Run: [] => [X]
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
HKLM\...\Policies\system: [legalnoticetext] All your files have been stolen! You still have the original files, but they have been encrypted.
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
Task: {0C3830BD-FDBF-4005-A5B0-B75BBDF1D100} - \Microsoft\Windows\UNP\RunCampaignManager -> Нет файла <==== ВНИМАНИЕ
CHR HKU\S-1-5-21-2818620433-374405529-3521301990-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [fhkbfkkohcdgpckffakhbllifkakihmh]
CHR HKU\S-1-5-21-2818620433-374405529-3521301990-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [lmjegmlicamnimmfhcmpkclmigmmcbeh]
CHR HKU\S-1-5-21-2818620433-374405529-3521301990-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [mjmpfdkmpojoeemjmfiddlhkkndcdpno]
CHR HKU\S-1-5-21-2818620433-374405529-3521301990-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [pbefkdcndngodfeigfdgiodgnmbgcfha]
CHR HKLM-x32\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj]
CHR HKLM-x32\...\Chrome\Extension: [gjaojbkkfpedgefidkagjeibcbfnakke] - hxxps://fastproxy.app/service/update2/crx?partner=02
CHR HKLM-x32\...\Chrome\Extension: [glcimepnljoholdmjchkloafkggfoijh]
CHR HKLM-x32\...\Chrome\Extension: [iifchhfnnmpdbibifmljnfjhpififfog]
CHR HKLM-x32\...\Chrome\Extension: [pbcgcpeifkdjijdjambaakmhhpkfgoec]
2025-09-17 12:29 - 2025-09-17 12:29 - 000000000 ____D C:\temp
2025-09-17 12:29 - 2024-09-19 04:29 - 000000000 __SHD C:\Users\admin\AppData\Local\3F24CCE5-EADD-79FD-541C-45594CF2EC25
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Папку C:\FRST\Quarantine  заархивируйте с паролем virus, архив загрузите на облачный диск и дайте ссылку на скачивание в вашем сообщении.

 

+

 

Если сохранилось письмо от злоумышленников с архивным вложением, сохраните сообщение в файл в формате EML. заархивируйте файл с паролем virus, добавьте в ваше сообщение.

Изменено 19 сентября пользователем safety