pay2key Вирус шифровальщик GWADE1

[Artloky]

Все файлы зашифрованы вирусом с расширением ".GWAD1".

Архив с логами и файлами во вложении.

Помогите расшифровать пожалуйста

first_log+шифрованные файлы.rar

[safety]

Если систему сканировали с помощью KVRT или Cureit добавьте отчеты, логи сканирования в архиве без пароля.

 

По очистке системы:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

Start::
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\MRT: Ограничение <==== ВНИМАНИЕ
Startup: C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Current.vbs [2025-09-16] () [Файл не подписан]
Startup: C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Item.vbs [2025-09-24] () [Файл не подписан]
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
2025-09-23 16:20 - 2025-09-23 16:25 - 000004062 _____ C:\HowToRestoreFiles.txt
2025-09-23 16:20 - 2025-09-23 16:25 - 000000000 ____D C:\temp
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Папку C:\FRST\Quarantine  заархивируйте с паролем virus, архив загрузите на облачный диск и дайте ссылку на скачивание в вашем сообщении.

[Artloky]

готово

https://drive.google.com/file/d/1wVTDQhB5BD4X8HMDzcvzDti2ncPig0BO/view?usp=sharing

 

 

Fixlog.txt

 

Отчет и файлы карантина KRD

https://drive.google.com/file/d/1Kk6zfZhPtC8k5_5g1X2x46AgB1md7lHp/view?usp=sharing

https://drive.google.com/file/d/1EJs7_U5deA7KDD4L17rmqrFge7VHnFT_/view?usp=sharing

 

[safety]

Эту папку покажите что там осталось:

2025-09-25 04:13 - 2022-10-15 04:20 - 000000000 ____D C:\Users\user\AppData\Local\3F24CCE5-EADD-79FD-541C-45594CF2EC25

 

[Artloky]

только это

session.rar

[safety]

Почтовое сообщение если сохранилось еще, вместе с вложением:

Сохраните из почты в файл в формате EML, файл заархивируйте с паролем virus, архив загрузите в ваше сообщение.

[Artloky]

К сожалению не сохранилось письмо

 

[safety]

Хорошо, попробуем из карантина вытащить файлы шифровальщика.

Локальные политики надо настроить так чтобы исполняемые файлы с основным набором расширений не запускались из архивов.

Это проблема наверное 15 летней давности, и используется злоумышленниками до сих пор.

 

С расшифровкой файлов не сможем помочь по данному типу шифровальщика.

 

Общие рекомендации:

 

Теперь, когда ваши файлы были зашифрованы, примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);