Перейти к содержанию

Шифровальщик, предположительно RCRU64 Ransomware

AlexeySam
 Поделиться

Рекомендуемые сообщения

AlexeySam

AlexeySam

Опубликовано
Опубликовано

Добрый день!
Сервер заражен шифровальщиком. Судя по именам файлов это какая то разновидность RCRU64 Ransomware. 
Dr.Web CureIt определил его как Trojan.Encoder.43907 (Xinfecter.exe)

При сканировании системы были найдены файлы (см скриншот)

FRST.txtAddition.txtзашифрованные файлы и записка.zipimage.thumb.jpeg.ebbcde6b6758d2e24f6c1f3ccbf90c8f.jpeg

safety

safety

Опубликовано
Опубликовано (изменено)
Цитата

Dr.Web CureIt определил его как Trojan.Encoder.43907 (Xinfecter.exe)

да, этот файл шифровальщика RCRU64.

https://www.virustotal.com/gui/file/f11237efc8c57e56701d7804b11239041e96d52a104cba2f47d487fc1e50bfa8/detection

 

Проверьте, пожалуйста, что в этих папках:

2025-12-18 00:41 - 2025-12-18 02:12 - 000000000 ____D C:\Users\Administrator\Desktop\AR2
2025-12-18 00:39 - 2025-12-18 02:12 - 000000000 ____D C:\Users\Administrator\Desktop\extpassword
2025-12-18 00:34 - 2025-12-18 02:12 - 000000000 ____D C:\Users\Administrator\Desktop\mimi
2025-12-18 00:33 - 2025-12-18 02:12 - 000000000 ____D C:\Users\Administrator\Desktop\S
 

Изменено пользователем safety
  • Like (+1) 1
AlexeySam

AlexeySam

Опубликовано
  • Автор
Опубликовано

Дополнительно прикладываю архив с вирус ом xinfecter.zip
Пароль virus

image.thumb.png.b6a8aedfc0b35d6e9ca7a6d2b423458b.pngimage.thumb.png.f18b9807a805cd5536b5bf64f3a6b58c.pngimage.thumb.png.86ddf763b648c37ab56e49bbc5ad152b.pngimage.thumb.png.0c21870f2dc3549a15fb4804f98becda.png

Прикладываю скриншотами: 

safety

safety

Опубликовано
Опубликовано

угу, инструменты атаки.

 

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы 

Start::
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Restriction <==== ATTENTION
Startup: C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Restore_Your_Files.txt [2025-12-17] () [File not signed]
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Restore_Your_Files.txt [2025-12-17] () [File not signed]
2025-12-18 02:12 - 2025-12-18 02:12 - 000006148 _____ C:\Users\Kalitkin\Desktop\ReadMe.hta
2025-12-18 02:12 - 2025-12-18 02:12 - 000000081 _____ C:\Users\ReadMe.hta
2025-12-18 00:55 - 2025-12-18 00:55 - 000003460 _____ C:\Users\N-Save-1PP4R.sys
2025-12-18 00:55 - 2025-12-18 00:55 - 000003460 _____ C:\Users\arh1lect0r\AppData\N-Save-1PP4R.sys
2025-12-18 00:55 - 2025-12-18 00:55 - 000003460 _____ C:\N-Save-1PP4R.sys
2025-12-18 00:55 - 2025-12-18 00:55 - 000000417 _____ C:\Windows\SysMain.sys
2025-12-18 00:54 - 2025-12-18 00:57 - 000000036 _____ C:\R_cfg.ini
2025-12-18 00:41 - 2025-12-18 02:12 - 000000000 ____D C:\Users\Administrator\Desktop\AR2
2025-12-18 00:39 - 2025-12-18 02:12 - 000000000 ____D C:\Users\Administrator\Desktop\extpassword
2025-12-18 00:37 - 2020-02-05 11:10 - 000029184 _____ () C:\Users\Administrator\Desktop\AccountRestore  2.exe
2025-12-18 00:34 - 2025-12-18 02:12 - 000000000 ____D C:\Users\Administrator\Desktop\mimi
2025-12-18 00:33 - 2025-12-18 02:12 - 000000000 ____D C:\Users\Administrator\Desktop\S
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

AlexeySam

AlexeySam

Опубликовано
  • Автор
Опубликовано
56 минут назад, safety сказал:

угу, инструменты атаки.

 

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы 

Start::
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Restriction <==== ATTENTION
Startup: C:\Users\Administrator\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Restore_Your_Files.txt [2025-12-17] () [File not signed]
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Restore_Your_Files.txt [2025-12-17] () [File not signed]
2025-12-18 02:12 - 2025-12-18 02:12 - 000006148 _____ C:\Users\Kalitkin\Desktop\ReadMe.hta
2025-12-18 02:12 - 2025-12-18 02:12 - 000000081 _____ C:\Users\ReadMe.hta
2025-12-18 00:55 - 2025-12-18 00:55 - 000003460 _____ C:\Users\N-Save-1PP4R.sys
2025-12-18 00:55 - 2025-12-18 00:55 - 000003460 _____ C:\Users\arh1lect0r\AppData\N-Save-1PP4R.sys
2025-12-18 00:55 - 2025-12-18 00:55 - 000003460 _____ C:\N-Save-1PP4R.sys
2025-12-18 00:55 - 2025-12-18 00:55 - 000000417 _____ C:\Windows\SysMain.sys
2025-12-18 00:54 - 2025-12-18 00:57 - 000000036 _____ C:\R_cfg.ini
2025-12-18 00:41 - 2025-12-18 02:12 - 000000000 ____D C:\Users\Administrator\Desktop\AR2
2025-12-18 00:39 - 2025-12-18 02:12 - 000000000 ____D C:\Users\Administrator\Desktop\extpassword
2025-12-18 00:37 - 2020-02-05 11:10 - 000029184 _____ () C:\Users\Administrator\Desktop\AccountRestore  2.exe
2025-12-18 00:34 - 2025-12-18 02:12 - 000000000 ____D C:\Users\Administrator\Desktop\mimi
2025-12-18 00:33 - 2025-12-18 02:12 - 000000000 ____D C:\Users\Administrator\Desktop\S
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Fixlog.txt
Во вложении 

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • gregy
      Поймали шифровальщика, как вернуть файлы?
      Автор gregy
      Система 2008r2, установлен Kaspersky Small Office Security лицензионный. Как я понимаю поймали RCRU64 Ransomware. При сканирование был найден rcru_64.exe.
      Часть файлов зашифрована. Сбиты настройки системы.Помогите пожалуйста дешифровать файлы.
      В приложение логи c AutoLogger, письмо, которое лежит во всех папках.
      rcru_64.exe в карантине.
       
      CollectionLog-2021.07.12-00.56.zip Read_Me!_.txt
    • o089901
      зловред зашифровал файлы на сервере 1с
      Автор o089901
      после вынужденной перезагрузки сервера перестали работать базы 1с, как оказалось файлы на сервере зашифрованы вирусом
      FRST.txt virus.7z
      AppData.7z N-Save-XJOZE.7z
    • Дмитрий Борисович
      Шифровальщик с расширением LOQ
      Автор Дмитрий Борисович
      Приветствую!
      8 декабря, примерно в 20 часов была замечена активность шифровальщика.
      Выявлено шифрование файлов на всех активных компьютерах сети.
      Зашифрованные файлы с расширением - .loq
      В корне диска C:\ найден файл с раширением .txt следующего содержания:
       
      All Your Files Are Locked And Important Data Downloaded !

      Your Files Are No Longer Accessible Don't Waste Your Time, Without Our Decryption Program Nobody Can't Help You .
      If Payment Isn't Made After A While We Will Sell OR Publish Some Of Your Data . You Don't Have Much Time!

      Your ID : HFXGT
      If You Want To Restore Them Email Us : Evo.team1992@gmail.com
      If You Do Not Receive A Response Within 24 Hours, Send A Message To Our Second Email : Qqq113168@gmail.com
      To Decrypt Your Files You Need Buy Our Special Decrypter In Bitcoin .
      Every Day The Delay Increases The Price !! The Decryption Price Depends On How Fast You Write To Us Email.
      We Deliver The Decryptor Immediately After Payment , Please Write Your System ID In The Subject Of Your E-mail.
      What is the guarantee !
      Before Payment You Can Send Some Files For Decryption Test.
      If We Do Not Fulfill Our Obligations, No One Does Business With Us , Our Reputation Is Important To Us 
      It's Just Business To Get Benefits.
      ===============================================================================
      Attention !
      Do Not Rename,Modify Encrypted Files .
      Do Not Try To Recover Files With Free Decryptors Or Third-Party Programs And Antivirus Solutions Because 
      It May Make Decryption Harder Or Destroy Your Files Forever !
      ===============================================================================
      Buy Bitcoin !
      https://www.kraken.com/learn/buy-bitcoin-btc
      https://www.coinbase.com/how-to-buy/bitcoin
       
       
      Архив.zip
    • hafer
      Поймали шифровальщик. Расширение файлов _[ID-KTRKI_Mail-Vertalic@Tuta.io].LKH
      Автор hafer
      Windows Server 2012 Standart
      Зашифрованы документы, базы 1с на диске С и D
      FRST.zip
    • denis_01r
      Шифровальщик [ID-CTIKC_Mail-Vertalic@Tuta.io].HAA
      Автор denis_01r
      Добрый день!
      На сервер 1С попал вирус. 1С серверная, УТ11. Стоит на mssql. Вирус - шифровальщик. Зашифровал все файлы mdf и ldf. Теперь к концу файла после расширения приписано _[ID-CTIKC_mail-Veryic@Tuta.io].haa
      Ничем не открывается естественно
      На текущий момент система переустановлена. Но есть бекап.
      Addition (1).txt FRST (1).txt
×
×
  • Создать...