lockbit v3 black Добрый день. Словили шифровальщик с расширением .gxj5ip3z2

[RomanNQ]

Прикладываю файл записки и зашифрованный файл. Прошу помочь с идентификацией шифровальщика и возможно с поиском дескриптора.   

gxj5ip3z2.README.txt Система_контроля_передвижений_и_перемещений_docx_gxj5ip3z2.rar

[Sandor]

Здравствуйте!

 

Добавьте логи Farbar по Порядоку оформления запроса о помощи

[RomanNQ]

В 27.02.2026 в 13:13, Sandor сказал:

Здравствуйте!

 

Добавьте логи Farbar по Порядоку оформления запроса о помощи

Добрый день. Прикладываю.

Логи FarBar + файлы.rar

[safety]

Нужны логи именно FRST

Цитата

Подготовьте логи анализа системы при помощи Farbar Recovery Scan Tool. 

 

[RomanNQ]

В 27.02.2026 в 13:13, Sandor сказал:

Здравствуйте!

 

Добавьте логи Farbar по Порядоку оформления запроса о помощи

Добрый день. Прикладываю.

Logs.rar

[Sandor]

Отчёт Addition.txt получился неполный. При сканировании раздела "Другие области" может создаться впечатление, что программа зависла. На самом деле это не так. Просто наберитесь терпения и дождитесь окончания сканирования. Будут сообщения о сохранении отчётов.

 

Переделайте, пожалуйста.

[RomanNQ]

Переделал

Logs.rar

[Sandor]

Да, теперь верно, спасибо. Некоторое время подождите, коллега ответит.

[safety]

Если систему сканировали в KVRT, добавьте пожалуйста, папку Reports из данного каталога

2026-03-03 18:02 - 2026-03-03 18:02 - 000000000 ____D C:\KVRT2020_Data
 

По очистке системы:

 

Выполнить очистку в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

Start::
HKU\S-1-5-21-4266679172-3956440942-254586335-500\Control Panel\Desktop\\Wallpaper -> C:\ProgramData\gxj5ip3z2.bmp
HKLM-x32\...\Run: [] => [X]
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
HKU\S-1-5-21-2488661680-701220267-4147538178-1001\...\MountPoints2: {1be93ace-3850-11ea-9f5e-b42e99b348db} - "E:\Run.exe" 
HKU\S-1-5-18\...\Run: [] => [X]
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\BraveSoftware\Brave: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Vivaldi: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\YandexBrowser: Ограничение <==== ВНИМАНИЕ
CHR HKU\S-1-5-21-4266679172-3956440942-254586335-1660\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [gndelhfhcfbdhndfpcinebijfcjpmpec]
CHR HKU\S-1-5-21-4266679172-3956440942-254586335-1660\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [pbefkdcndngodfeigfdgiodgnmbgcfha]
CHR HKU\S-1-5-21-4266679172-3956440942-254586335-1699\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [jabjbhgjaidecageckilhonbggakppme]
CHR HKU\S-1-5-21-4266679172-3956440942-254586335-1699\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [pbefkdcndngodfeigfdgiodgnmbgcfha]
CHR HKLM-x32\...\Chrome\Extension: [cdjkkeofanojcdolaakkckkmfcjejlij]
CHR HKLM-x32\...\Chrome\Extension: [iifchhfnnmpdbibifmljnfjhpififfog]
CHR HKLM-x32\...\Chrome\Extension: [pfhgbfnnjiafkhfdkmpiflachepdcjod]
2026-02-24 01:16 - 2026-02-24 01:16 - 004147254 _____ C:\ProgramData\gxj5ip3z2.bmp
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

 

Для доп. анализа проверьте ЛС.

Изменено 5 марта пользователем safety

[RomanNQ]

Спасибо! Прилагаю Fixlog.txt

Fixlog.txt

[safety]

С расшифровкой файлов по данному типу не сможем помочь.

 

Общие рекомендации:

 

Теперь, когда ваши файлы были зашифрованы, примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);

[RomanNQ]

Спасибо! За рекомендации особенно.

Скажите, а есть шанс что расшифровщик может появиться на этот тип? Где можно следить за этим?

[safety]

Универсальный дешифратор для данного типа - маловероятно, возможно по каким то вариантам/группам могут появиться ключи.

Но в связи с всеобщей коммерциализацией мышления, предоставление ключей в общий доступ, как проявление доброй воли, становится большой редкостью.

Если кто то из злоумышленников решится на подобные действия, напишем об этом здесь на форуме.

Можно сохранить важные зашифрованные документы на отдельный носитель, хотя бы на год.

В этот раз кто-то смог дождаться дешифратора по Phobos после 4 летнего ожидания.

Изменено 16 марта пользователем safety

[RomanNQ]

Спасибо!