Перейти к содержанию

Шифровальщик .lsjx

SкаZочNик
 Поделиться

Рекомендуемые сообщения

SкаZочNик

SкаZочNик

Опубликовано
Опубликовано

Здравствуйте!

Заражение компьютера произошло еще 7-го сентября вечером через взлом RDP. Комп попал в руки только сейчас. К расширениям всех файлов добавился вот такой хвост: .[reopening2025@gmail.com].lsjx

Шифровальщик все еще активен в системе, т.к. после перезагрузки зашифровал свежие файлы. Есть незашифрованные копии этих свежих файлов. В результате действия вируса на зараженной машине был удален Kaspersky Small Office Security. Также на зараженном ПК обнаружен файл с именем, полностью совпадающим с ID в письме о выкупе. Причем этот файл настойчиво пытается запуститься и требует разрешения на запуск. На другом, назараженном ПК KES этот файл определяет как Trojan-Ransom.Win32.Generic. В случае необходимости архив с файлом-вирусом, а также с незашифрованными копиями файлов также могу приложить..

Files.7z FRST.txt

safety

safety

Опубликовано
Опубликовано (изменено)

Добавьте так же этот настойчивый файл, в архиве, с паролем virus, + добавьте второй файл логоы FRST - Addition.txt

 

По очистке системы

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

  

Start::
IFEO\mpcmdrun.exe: [Debugger] C:\Windows\System32\systray.exe
GroupPolicy: Restriction ? <==== ATTENTION
2025-09-07 11:15 - 2025-09-07 23:04 - 000000000 ____D C:\Users\User\Desktop\masScan_1.6
2025-09-18 11:16 - 2025-09-18 11:13 - 000397824 _____ C:\Users\User\Desktop\45185400DDB72424C6B59F6EBB230948.exe
2025-09-07 11:13 - 2025-09-07 11:13 - 007987254 _____ C:\ProgramData\45185400DDB72424C6B59F6EBB230948.bmp
2025-09-07 11:12 - 2025-09-07 11:12 - 000000612 _____ C:\#HowToRecover.txt
2025-09-07 11:08 - 2025-09-07 11:12 - 000000000 ____D C:\Program Files (x86)\Advanced Port Scanner
2025-09-07 11:07 - 2025-09-14 11:30 - 000041472 _____ C:\Windows\svchost.com
2025-09-07 11:06 - 2025-09-07 11:12 - 000000000 ____D C:\Users\User\Desktop\x64-Release
2025-09-07 02:34 - 2025-09-07 11:12 - 000000000 ____D C:\Program Files\RDP Wrapper
2025-09-07 02:34 - 2025-09-07 02:34 - 000037376 _____ (Microsoft Corporation) C:\Windows\System32\rfxvmt.dll
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Папку C:\FRST\Quarantine  заархивируйте с паролем virus, архив загрузите на облачный диск и дайте ссылку на скачивание в вашем сообщении.

Изменено пользователем safety
SкаZочNик

SкаZочNик

Опубликовано
  • Автор
Опубликовано

Файл в запароленном архиве добавил. Addition.txt не создался. FRST запускал из под восстановления системы. Если нужно, то могу попробовать запустить FRST в загруженной системе зараженного ПК.

45185400DDB72424C6B59F6EBB230948.7z

safety

safety

Опубликовано
Опубликовано (изменено)

по файлу: это Proton.

ESET-NOD32 A Variant Of Win64/Filecoder.Proton.A

Kaspersky Trojan.Win32.DelShad.ohu

DrWeb Trojan.Encoder.37448

https://www.virustotal.com/gui/file/35a9f1e3fe571a1b164d3febb8c53f2b7b6b62ea11a24c94c10de16e06851284

 

Перед очисткой в KRD заархивируйте с паролем virus данную папку: 

2025-09-07 11:06 - 2025-09-07 11:12 - 000000000 ____D C:\Users\User\Desktop\x64-Release

+

Сделайте, пожалуйста, проверку/очистку системы с помощью KRD, так как судя по логам FRST из среды восстановления система могла быть заражена дополнительно вирусом Neshta.

После завершения проверки, перегрузите систему в нормальный режим и сделайте новые  полные логи FRST.

Изменено пользователем safety
SкаZочNик

SкаZочNик

Опубликовано
  • Автор
Опубликовано
В 19.09.2025 в 10:43, safety сказал:

Перед очисткой в KRD заархивируйте с паролем virus данную папку: 

2025-09-07 11:06 - 2025-09-07 11:12 - 000000000 ____D C:\Users\User\Desktop\x64-Release

Файл во вложении

В 19.09.2025 в 10:43, safety сказал:

Сделайте, пожалуйста, проверку/очистку системы с помощью KRD, так как судя по логам FRST из среды восстановления система могла быть заражена дополнительно вирусом Neshta

Сделал. Действительно сидел вирус Neshta. На всякий случай сохранил лог и карантин. Нужно прикладывать?

В 19.09.2025 в 10:43, safety сказал:

После завершения проверки, перегрузите систему в нормальный режим и сделайте новые  полные логи FRST.

Файлы во вложении.

x64-Release.7z Addition.txt FRST.txt

safety

safety

Опубликовано
Опубликовано (изменено)

просьба не цитировать. В этом нет необходимости, просто пишите свой ответ.

+

добавьте отчет о проверки из папки с KRD. в архиве, без пароля.

2025-09-21 02:19 - 2025-09-21 11:16 - 000000000 ____D C:\KRD2024_Data

 

сэмпл, который был запущен из папки x64-Release, действительно заражен Neshta,

ESET-NOD32 Win32/Neshta.A

DrWebWin32.HLLP.Neshta
Kaspersky Virus.Win32.Neshta.a

https://www.virustotal.com/gui/file/b590495f5819d947fdac45ba8198e59643d858055c4b482d9c54f9d7055447e5

 

и в первую очередь антивирусы реагтруют на него. Тот что был в автозапуске  - это уже файл шифровальщика.

---------

По очистке системы:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить". 

Start::
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
HKLM\...\Policies\system: [legalnoticecaption] Encrypted by trust
HKLM\...\Policies\system: [legalnoticetext] Email us for recovery: reopening2025@gmail.com
HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\BraveSoftware\Brave: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Vivaldi: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\YandexBrowser: Ограничение <==== ВНИМАНИЕ
2025-09-20 20:51 - 2025-09-20 20:51 - 000403679 _____ C:\Users\User\Desktop\x64-Release.7z
2025-09-07 22:15 - 2025-09-21 10:59 - 000000000 ____D C:\Users\User\Desktop\masScan_1.6
2025-09-07 22:13 - 2025-09-07 22:13 - 007987254 _____ C:\ProgramData\45185400DDB72424C6B59F6EBB230948.bmp
2025-09-07 13:34 - 2025-09-21 02:32 - 000000000 ____D C:\Program Files\RDP Wrapper
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Изменено пользователем safety

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Zero69
      Файлы заблокировал вирус-шифровальщик .dbx5
      Автор Zero69
      Добрый день!
       
      Столкнулись с проблемой шифровки всех файлов на ПК. 
      Системные файлы не затронуты - только пользовательские.
      Пробовал расшифровать на сайте nomoreransom.org, но безуспешно.
      Снять логи с ПК сейчас не возможно, в архив приложил 2 зашифрованных файла и txt файл с требованием выкупа.
      virus.zip
    • ToRaMoSoV
      Вирус шифровальщик [reopening2025@gmail.com].lsjx
      Автор ToRaMoSoV
      Здравствуйте, сегодня утром обнаружил, что мой компьютер с windows 10 был атакован вирусом шифровальщиком. Главная учётная запись (админ) была основной для использования удалённого управления через rdp. Я пробросив порт через роутер и купив статику, попал под брутфорс. Меня взломали в течении пары часов(атака началась в 23 по мск, а закончилась в 1-2 часу). По результатам которой все файлы были зашифрованы, службы виндовс отключены, а пароль от админки утерян. На рабочем столе учетки юзера я обнаружил записку (фото приложил). Также прикладываю фото файла. Архив и сам вирус я не обнаружил (читал похожие случаи)
      l!lAll of your files are encrypted!!! To decrypt them send e-mail to this address: Write the ID in the email subject
       
      ID: A6D959082E20B73AC6B59F6EBB230948
       
      Email 1: reopening2025@gmail.com Telegram: @Rdp21
       
      To ensure decryption you can send 1-2 files less than 1MB we will de
       
      We have backups of all your files. If you dont pay us we will sell a and place them in the dark web with your companys domain extension.
       
      IF 48 HOURS PASS WITHOUT YOUR ATTENTION, BRACE YOURSELF FOR A DOUBLE WE DON'T PLAY AROUND HERE, TAKE THE HOURS SERIOUSLY.

    • dma164
      Вирус-шифровальщик
      Автор dma164
      Здравствуйте!
      Путем взлома RDP были зашифрованы файлы на машине, а также на доступных ей сетевых дисках, получили расширение .lsjx. При этом на машине был удален KES через KAVRemover, установлены приложения для сканирования портов.
      После проверки CureIT было найдено множество файлов, зараженных вирусом Neshta. В автозагрузке был обнаружен файл шифровальщика (?), классифицируемый Касперским как Trojan-Ransom.Win32.Generic и с именем, совпадающим с ID в  письме . Лог CureIT 11 Мб- не прикладывается

      FRST.txt файлы.zip
    • Alex19863332
      Шифровальщик .de7
      Автор Alex19863332
      Добрый день! Поймали точно такой же вирус. Помогите) 🙏 Shadow Explorer-не помог( просто Desktop.7zпустое окно, как будь-то нет ни одного файла)
      Addition.txt FRST.txt
    • nogaev21
      .de7
      Автор nogaev21
      Вот такого шифровальщика поймал
      READ-ME.txt
×
×
  • Создать...