pay2key GWAD1

[KHAN]

Добрый день.

Все файлы зашифрованы вирусом с расширением ".GWAD1".

Прому помочь очистить систему от шифровальщика.

 

CollectionLog-2025.09.23-23.02.zip Шифрованный файл.rar

[KHAN]

FRST_log.zip

шифр.txt

[kir7777]

Тоже самое, прошу помощи.
Какой тип шифровальщика?

 

[safety]

7 минут назад, kir7777 сказал:

Тоже самое, прошу помощи.

Создайте отдельную тему, не пишите в чужой теме.

[safety]

Шифрование точно было в это системе?

 

Эти файлы заархивируйте с паролем virus, добавьте архив в ваше сообщение.

Цитата

2025-03-18 11:13 - 2025-03-18 10:10 - 000953344 __RSH (Microsoft) C:\Users\boss7\AppData\Roaming\tAPdeJm.exe
2025-09-17 14:56 - 2025-09-17 14:56 - 001441280 _____ () C:\Users\buh\AppData\Roaming\Current.exe
2025-09-08 12:58 - 2025-09-15 11:13 - 005392804 _____ (Oleg N. Scherbakov) C:\Users\buh\AppData\Roaming\encryptor.exe
2025-09-04 12:43 - 2025-09-04 12:43 - 001706496 _____ () C:\Users\buh\AppData\Roaming\MemberName.exe
2025-09-04 12:43 - 2025-09-04 12:13 - 003340056 _____ () C:\Users\buh\AppData\Roaming\Name.exe

 

 

Изменено 9 часов назад пользователем safety

[KHAN]

@safety точно было.

Это лог из восстановленной системы до шифрования.

[safety]

Т.е. систему откатили на одну-две недели назад, до момента шифрования.

Так понимаю, что логи FRST вы сделали уже из восстановленной системы.

Файлы, указанные в списке можете добавить в один архив?

Изменено 4 часа назад пользователем safety

[KHAN]

Точнее, на два дня назад до полного шифрования.

[safety]

Эти файлы, значит уже были в системе до шифрования.

Вы уверены, что откатили систему на безопасную точку восстановления?

Для проверки, заархивируйте файлы с паролем virus, добавьте архив в ваше сообщение.

  Цитата

2025-03-18 11:13 - 2025-03-18 10:10 - 000953344 __RSH (Microsoft) C:\Users\boss7\AppData\Roaming\tAPdeJm.exe
2025-09-17 14:56 - 2025-09-17 14:56 - 001441280 _____ () C:\Users\buh\AppData\Roaming\Current.exe
2025-09-08 12:58 - 2025-09-15 11:13 - 005392804 _____ (Oleg N. Scherbakov) C:\Users\buh\AppData\Roaming\encryptor.exe
2025-09-04 12:43 - 2025-09-04 12:43 - 001706496 _____ () C:\Users\buh\AppData\Roaming\MemberName.exe
2025-09-04 12:43 - 2025-09-04 12:13 - 003340056 _____ () C:\Users\buh\AppData\Roaming\Name.exe

Изменено 3 часа назад пользователем safety

[KHAN]

Выложил архив на диск

https://disk.yandex.ru/d/ltaD-FQCNqsszg

 

[safety]

Хорошо, чуть позже проверю, напишу по результату.

[KHAN]

Спасибо, буду ждать.