mimic/n3wwv43 ransomware Вирус шифровальщик, расширение .encrypted

[tireks]

Добрый день, сервер был взломан и заражен шифровальщиком, просим помощи в очистке системы от вируса и расшифровки файлов если это возможно.

отчеты FRST и архив (ransomware.zip) вероятного шифровальщика прикрепили.

FRST.txt Addition.txt ransomware.zip

[safety]

Возможно запуск шифровальщика был на другом устройстве в вашей сети..

на данном устройстве зашифрованы, скорее всего только общие папки.

Индикаторов запуска сэмпла шифровальщика в логах нет.

 

Нужны логи с устройства, на котором был запуск процесса шифрования.

Ищите в папке c:\temp файл session.tmp. размер 32 байта.

Изменено Суббота в 12:01 пользователем safety

[tireks]

Нашли. Куда загрузить файл session.tmp ?

[safety]

4 часа назад, tireks сказал:

Нашли. Куда загрузить файл session.tmp ?

Сделайте логи FRST на этом устройстве.

ession.tmp не поможет нам расшифровать ваши файлы, он указывает, что на данном устройстве был запуск процесса шифрования.

Изменено Суббота в 19:06 пользователем safety

[tireks]

Этот сервер виртуальный на proxmox, систему загрузить не можем, но есть прямой доступ к образу системы , возможно ли проверить каким-то иным способом? 

[safety]

Пробуйте проверить с помощью KRD.

[tireks]

Отчет сканирования прикрепили.

report_2025.09.28_21.51.28.klr.zip

[safety]

Этот файл можно восстановить из карантина, заархивировать с паролем virus, загрузить архив на облачный диск и дать ссылку на скачивание здесь?

Цитата

            <Event3 Action="Detected" Time="134035700507114614" Object="@Filesystem[dfd63084-60b7-4d42-c572-0ef156c7c1c4]/Users/noname/AppData/Local/51271509-366D-30C9-038E-A0FA16B1DDED/lucky_john.exe" Info="HEUR:Trojan-Ransom.Win32.Mimic.gen" />

+

Эту папку проверьте что в ней осталось:

c:/Users/noname/AppData/Local/51271509-366D-30C9-038E-A0FA16B1DDED

Изменено 7 часов назад пользователем safety

[tireks]

Ссылка на архив

Изменено 4 часа назад пользователем safety
архив загружен, ссылка удалена.

[safety]

хорошо, проверю архив немного позже. Данную папку можно удалить из системы и проверить возможность загрузки системы.

Если система загрузится, сделайте логи FRST для окончательной очистки системы.

Изменено 4 часа назад пользователем safety

[tireks]

Система загрузилась, прогнали ещё раз FRST, отчет приложили.

FRST.txt Addition.txt

Изменено 2 часа назад пользователем tireks