rcru64 HEUR:Trojan-Ransom.Win32.Generic зашифрованы файлы

[Антон56]

Добрый день!
Была взломана ОС и зашифрованы файлы.

 

Будьте добры, по возможности помочь в расшифровке файлов.

 

Спасибо!

Антон56.zip

[safety]

Если систему сканировали штатным антивирусом, KVRT или Cureit, добавьте логи сканирования, в архиве, без пароля.

 

Если был обнаружен этот файл:

Xinfecter.exe

Добавьте данный файл в архив с паролем virus, прикрепите файл архива к вашему сообщению.

проверьте есть ли данный файл в карантине антивирусов.

 

[safety]

По очистке системы:

 

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

Start::
HKU\S-1-5-21-2447162672-3052992343-2195509564-500\...\Run: [YandexBrowserAutoLaunch_ECDD6029C5CCE0A7929A253137E11B62] =>
Startup: C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ReadMe.hta [2025-12-25] () [Файл не подписан]
Startup: C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Restore_Your_Files.txt [2025-12-25] () [Файл не подписан]
S2 SqlBakup; C:\Users\�4<8=8AB@0B>@\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Xinfecter.exe [X]
2025-12-25 05:02 - 2025-12-25 05:02 - 000006148 _____ C:\Users\Администратор\Desktop\ReadMe.hta
2025-12-25 05:02 - 2025-12-25 05:02 - 000000081 _____ C:\Users\ReadMe.hta
2025-12-25 05:01 - 2025-12-25 10:12 - 000001268 _____ C:\Users\Администратор\AppData\S-6748.bat
2025-12-25 05:01 - 2025-12-25 10:12 - 000000686 _____ C:\Users\Администратор\AppData\S-8459.vbs
2025-12-25 05:01 - 2025-12-25 10:12 - 000000138 _____ C:\Users\Администратор\AppData\S-2153.bat
2025-12-25 04:49 - 2025-12-25 04:57 - 000000050 _____ C:\R_cfg.ini
2025-12-25 04:49 - 2025-12-25 04:49 - 000003460 _____ C:\Users\Администратор\AppData\N-Save-56L9L.sys
2025-12-25 04:49 - 2025-12-25 04:49 - 000003460 _____ C:\Users\N-Save-56L9L.sys
2025-12-25 04:49 - 2025-12-25 04:49 - 000003460 _____ C:\N-Save-56L9L.sys
2025-12-25 04:49 - 2025-12-25 04:49 - 000000417 _____ C:\Windows\SysMain.sys
2025-12-25 04:57 - 2023-01-30 18:42 - 000000050 _____ C:\Users\Администратор\Desktop\R_cfg.ini
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

[Антон56]

Установка и проверка Касперским была произведена после обнаружения данной ситуации.

 

Прикладываю архив с файлом Xinfecter.exe

 

Уточните пожалуйста, необходимо ли сейчас выполнять рекомендации в сообщении выше "По очистке системы:"?

 

Спасибо!

Xinfecter.rar Лог проверки системы Касперским.txt

[safety]

Последние два файла из карантина с именами yilaw37@hotmail.com* восстановите на рабочий стол, заархивируйте с паролем virus, прикрепите к вашему сообщению, потом файлы удалите с рабочего стола.

 

Цитата

Уточните пожалуйста, необходимо ли сейчас выполнять рекомендации в сообщении выше "По очистке системы:"?

Да, необходимо. Эти вспомогательные файлы, остались после  шифрования, )за исключением ссылки на Яндекс, это просто очистка мусора в реестре).

Изменено вчера в 13:13 пользователем safety

[Антон56]

Готово. Файлы во вложении.

Fixlog.txt Desktop.zip

[safety]

Для дополнительного анализа проверьте ЛС.

[safety]

К сожалению, с расшифровкой файлов не сможем помочь по данному типу шифровальщика.

 

Общие рекомендации:

 

Теперь, когда ваши файлы были зашифрованы, примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);