proton ransomware Предположительно Proton / Shinra

[Arakki]

Столкнулся с шифровальщиком. Сайт ID Ransomware определил вирус как Proton/Shinra. Могу прикрепить только файл с угрозой и вымогательством. Попытки найти декодер не увенчались успехом. Однако при обращении в **** мне ответили, что декодер существует и сайт готов его предоставить за 500.000 рублей.

 

Указанный вами сайт является мошенническим, который предлагает пострадавшим посредничество между жертвой и злоумышленниками.  Т.е. они предлагают вам то же самое, что и злоумышленники в своей записке о выкупе, и мало чем от них отличаются.

 

Так вот, может с момента последних постов в этом форуме декодер существует? Или верить в такое не стоит? Как полностью очистить вирус с устройства?

HowToRecover.txt

Изменено 11 ноября пользователем safety
Не надо рекламировать сайты посредников и мошенников

[safety]

1. Универсального декодера, который подошел бы всем - нет.

 

Добавьте несколько зашифрованных файлов в архиве, без пароля + логи FRST

Для начала надо определить тип шифровальщика, затем уже сделаем вывод о возможности расшифровки файлов.

+

Если систему сканировали KVRT, Cureit или штатным антивирусом, добавьте отчеты по сканированию, в архиве, без пароля.

 

Изменено 11 ноября пользователем safety

[Arakki]

Держите, логи + зашифрованные файлы

 

Addition.txt FRST.txt Новая папка.zip

[safety]

Судя по логам,

HKLM\...\exefile\shell\open\command: C:\Windows\svchost.com "%1" %* <==== ВНИМАНИЕ

2025-11-08 02:53 - 2025-11-09 12:15 - 000041472 _____ C:\Windows\svchost.com

файлы системы могли быть заражены вирусом Neshta

 

Необходимо пролечить систему с загрузочного диска KRD

После очистки системы, соберите еще раз логи FRST из нормального режима для контроля очистки.

 

[Arakki]

Запустил систему с загрузочной флешки. KRD выполнил быструю проверку, затем предложил расширенную. После расширенной проверки вывел файлы (329 штук), действительно Neshta. Далее выполнилось лечение системы. Само лечение НЕ УДАЛОСЬ, файлы просто были перемещены в карантин (328 штук). Не знаю, насколько критична разница в 1 файл...?

Addition.txt FRST.txt

 

Хочу отметить еще, что все действия выполняю в безопасном режиме. В обычном не получается ничего открыть (тот же браузер и проводник)

[safety]

Выполните очистку системы

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

Start::
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore: [DisableConfig] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows NT\SystemRestore: [DisableSR] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\BraveSoftware\Brave: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Vivaldi: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\YandexBrowser: Ограничение <==== ВНИМАНИЕ
2025-11-08 02:53 - 2025-11-09 12:15 - 000041472 _____ C:\Windows\svchost.com
HKLM\...\exefile\shell\open\command: C:\Windows\svchost.com "%1" %* <==== ВНИМАНИЕ
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

 

Проверьте возможность загрузить систему в нормальный режим.

[Arakki]

Fixlog.txtОчистку выполнил с безопасного режима. После перезагрузки вошел в пользователя в обычном режиме. Microsoft Defender "Кричит об угрозах" файлов Neshta. При открытии защитника угрозы сразу пропадают и через некоторое время снова появляются с уведомлениями от защитника. Яндекс браузер, с которого всегда работал - не открывается.  Fixlog.txt
 После быстрой проверки самим защитником - вредоносные файлы находятся, но сразу же начинают исчезать по одному, исключая возможность предпринять какие-либо действия. 
 

 

Спустя некоторое время файлы пропадать перестали, осталось большое множество, подробности о некоторых из них прикрепил, может о чем-то скажут данные скрины

 

[safety]

Значит не пролечили должным образом Neshta.

Пробуйте еще раз пролечить систему с помощью лайв диска от ДрВеб

 

[Arakki]

Скачал утилиту, отформатировал флешку. Сделал все по инструкции с сайта, однако при попытке запуска система не видит флешку. Только основной диск. Также из изменений: даже в безопасном режиме перестал работать браузер, любой. Невозможно запустить командную строку, не работает поиск, не открывается диспетчер задач 

[safety]

Пробуйте из безопасного пролечить систему с помощью Cureit или KVRT. Neshta не даст нормально работать системе. В крайнем случае придется снимать системный диск, подключать его к чистому устройству, и выполнять лечение тем же KVRT или Cureit, запуская их на чистой машине, и выбирая в качестве цели - зараженный системный диск.

[Arakki]

Выполнил лечение с помощью CureIt. Microsoft Defender продолжает кричать

 

 

Fixlog.txt

Изменено 13 ноября пользователем Arakki

[safety]

12 часов назад, Arakki сказал:

Выполнил лечение с помощью CureIt

Добавьте логи сканирования Cureit, в архиве, без пароля.

Если систему не получится пролечить придется выполнить переустановку.

Пока что имеем первый случай, когда утилиты и загрузочные диски не справляются с Neshta,

Изменено 14 ноября пользователем safety

[Arakki]

Вновь перестало работать все в безопасном режиме. Браузер и утилиты открываются очень медленно и только от имени администратора. Вновь провел сканирование с помощью CureIt. Обнаружился новый файл - фото прикрепил. После перезагрузки очередное сканирование с помощью CureIt, KVRT, угроз не обнаружено. Прикрепляю снова логи FRST

Скан CureIt.docx FRST1.docx Addition1.docx

[safety]

А в docx зачем эти файлы поместили? Они изначально в текстовом формате формируются, вот их  в таком виде и добавьте, можно в одном архиве.

[Arakki]

Пока не нашел способа, как достать их из ПК. Не могу писать сообщения в ветке с заражённого компьютера, перекидывал через телефон.

Прикрепил

Addition1.txt FRST1.txt Скан CureIt.txt

Изменено 14 ноября пользователем Arakki