lockbit v3 black Вирус шифровальщик зашифровал файлы через RDP, расширение 5FDkZJUPI

[realpro]

Добрый день, вирус вероятно проник через RDP, распространился по сетевым папкам и компьютерам, где был включен удаленный рабочий стол. Пробовал использовать средства дешифрования с https://www.nomoreransom.org/ и https://noransom.kaspersky.com/ru/ - ни один из способов не помог. Прикрепил письмо, результат сканирования FRST и примеры зашифрованных файлов. Спасибо.

virus.rar 5FDkZJUPI.README.txt FRST.txt Addition.txt

[safety]

Систему сканировали KVRT, Cureit или штатным антивирусом? Можете предоставить логи проверки в архиве, без пароля?

[realpro]

Доброго дня.

Отчет cureit в приложении

cureit.zip

[safety]

Ничего не нашел.

C:\Users\Компьютер\AppData\Local\Temp\chrome_BITS_12004_1255479537\5FDkZJUPI.README.txt - Ok - 4ms, 980 bytes

 

Эти файлы заархивируйте с паролем virus, добавьте в ваше сообщение.

2025-10-12 02:21 - 2025-10-12 02:21 - 000501248 ___SH (Microsoft Corporation) C:\WINDOWS\system32\kvc.exe
2025-10-12 02:21 - 2025-10-12 02:21 - 000340480 ___SH (Microsoft Corporation) C:\WINDOWS\system32\kvc_crypt.dll
2025-10-12 02:21 - 2025-10-12 02:21 - 000165888 ___SH (Microsoft Corporation) C:\WINDOWS\system32\kvc_pass.exe

 

[realpro]

Отправил

kvc.zip

[safety]

возможно, дампы с хэшами паролей были получены через эти файлы.

https://www.virustotal.com/gui/file/1d9bc762ac65a7907e2ed63180df5d51204fe0329a7856a9a7cc3337a8b05f2c

[realpro]

В итоге возможно раскодировать файлы?

[safety]

Увы расшифровка по Lockbit v3 Black без приватного ключа невозможна.

 

Проверьте ЛС для дополнительного анализа системы

 

Как избежать новых ситуаций с шифрованием:

 

Общие рекомендации:

 

Теперь, когда ваши файлы были зашифрованы, примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);

Изменено 15 октября пользователем safety