Перейти к содержанию
20 лет клубу! Куда отправится Kaspersky Club? Нажми, чтобы узнать локацию! ;)

Шифровальщик с расширением .ywgulm_p2k

sevzap
 Поделиться

Рекомендуемые сообщения

sevzap

sevzap

Опубликовано
Опубликовано (изменено)


Операционная система
Выпуск    Windows 10 Pro
Версия    22H2
Сборка ОС    19045.6456

Суть проблемы:
Здравствуйте, 
Столкнулись с шифровальщиком, который зашифровал все файлы кроме системных с расширением .ywgulm_p2k
На форуме не увидели статью какую либо по поводу этого шифровальщика,
может быть сталкивались и может быть уже существует дешифратор? 
Файлы примера есть, сделали архивы, если нужно приложить их, возможно один из них шифровальщик, по крайней мере это единственное что было на него похожее. 
Также со вчерашнего дня периодически сами по себе устанавливались приложения со скриншота 3, даже если их удалять, возможно взаимосвязано.
Скриншот 4 предположительный шифровальщик. 

Пароли от архивов:
Файлы_с_компьютера - 2@Sa1241
Зашифрованный_файл__Письмо - sfqweQ
возможно_шифровальщик_.ptmp888BC3 -  1!@ASDXzaw

Screenshot1.jpg

Screenshot2.jpg

Screenshot3.jpg

Screenshot4.jpg

 

Addition.txt FRST.txt

Файлы_с_компьютера.7z

Изменено пользователем sevzap
safety

safety

Опубликовано
Опубликовано (изменено)

В этой папке проверьте что есть

2024-02-06 00:28 C:\Users\Маргарита\AppData\Local\{DB0E178A-8261-A6FA-2FBA-43F520C6A451}

 

По очистке системы:

 

Выполнить очистку в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы 

Start::
IFEO\agntsvc.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\AutodeskDesktopApp.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\axlbridge.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\bedbh.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\benetns.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\bengien.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\beserver.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\CompatTelRunner.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\CoreSync.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\Creative Cloud.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\dbeng50.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\dbsnmp.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\encsvc.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\EnterpriseClient.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\fbguard.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\fbserver.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\fdhost.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\fdlauncher.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\httpd.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\isqlplussvc.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\java.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\logoff.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\msaccess.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\MsDtSrvr.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\msftesql.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\mspub.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\mydesktopqos.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\mydesktopservice.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\mysqld-nt.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\mysqld-opt.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\mysqld.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\node.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\ocautoupds.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\ocomm.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\ocssd.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\oracle.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\perfmon.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\pvlsvr.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\python.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\QBDBMgr.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\QBDBMgrN.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\QBIDPService.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\qbupdate.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\QBW32.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\QBW64.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\Raccine.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\RaccineElevatedCfg.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\RaccineSettings.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\Raccine_x86.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\RAgui.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\raw_agent_svc.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\SearchApp.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\SearchIndexer.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\SearchProtocolHost.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\shutdown.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\SimplyConnectionManager.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\sqbcoreservice.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\sql.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\sqlagent.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\sqlbrowser.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\sqlmangr.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\sqlservr.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\sqlwriter.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\Ssms.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\Sysmon.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\Sysmon64.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\taskkill.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\tasklist.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\taskmgr.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\tbirdconfig.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\TeamViewer.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\TeamViewer_Service.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\tomcat6.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\tv_w32.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\tv_x64.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\VeeamDeploymentSvc.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\vsnapvss.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\vxmon.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\wdswfsafe.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\wpython.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\wsa_service.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\wsqmcons.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\wxServer.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\wxServerView.exe: [Debugger] C:\Windows\System32\Systray.exe
IFEO\xfssvccon.exe: [Debugger] C:\Windows\System32\Systray.exe
Startup: C:\Users\Маргарита\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\STL15042026.lnk [2026-04-15] <==== ВНИМАНИЕ
ShortcutTarget: STL15042026.lnk -> C:\Users\Маргарита\AppData\Local\Temp\STL15042026.exe () [Файл не подписан] <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\BraveSoftware\Brave: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Vivaldi: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\YandexBrowser: Ограничение <==== ВНИМАНИЕ
Task: {753FD157-1968-47AD-AFF4-5C83363C2063} - System32\Tasks\Driver Booster Scheduler => C:\Program Files (x86)\IObit\Driver Booster\12.1.0\Scheduler.exe [193904 2024-08-15] (IObit CO., LTD -> IObit) <==== ВНИМАНИЕ
Task: {E1C15FE9-2AF4-46BB-8928-65962B5784A9} - System32\Tasks\Driver Booster SkipUAC (Маргарита) => C:\Program Files (x86)\IObit\Driver Booster\12.1.0\DriverBooster.exe [8264544 2024-11-11] (IObit CO., LTD -> IObit) <==== ВНИМАНИЕ
Task: {3C433CD8-E0AC-4BDA-9878-249881EE4E7E} - System32\Tasks\Driver Booster Update => C:\Program Files (x86)\IObit\Driver Booster\12.1.0\AutoUpdate.exe [2445664 2024-10-29] (IObit CO., LTD -> IObit) <==== ВНИМАНИЕ
Task: {4E0C82C0-08E1-4875-ADC3-33D2C8114007} - System32\Tasks\forestgamper.exe => C:\Users\Маргарита\AppData\Roaming\forestgamper.exe [573440 2026-02-04] () [Файл не подписан] <==== ВНИМАНИЕ
Task: {2DFFF5C7-ED7A-42D6-A1BE-77D1CF5EC155} - System32\Tasks\promitey.exe => C:\Users\Маргарита\AppData\Roaming\promitey.exe [457216 2026-04-13] () [Файл не подписан] <==== ВНИМАНИЕ
Task: {CC48D71D-BE7B-4445-A8BE-11767515F109} - System32\Tasks\Uninstaller_SkipUac_Маргарита => C:\Program Files (x86)\IObit\IObit Uninstaller\IObitUninstaler.exe [9867200 2025-10-21] (IObit Co., Ltd. -> IObit) -> C:\Program Files (x86)\IObit\IObit Uninstaller\\/UninstallExplorer <==== ВНИМАНИЕ
Task: {72D296B7-5F74-4551-A3F4-A670B452159C} - System32\Tasks\IObit DB2024B5 (One-Time) => "C:\Program Files (x86)\IObit\Driver Booster\Pub\dbrpop.exe"  -> C:\Program Files (x86)\IObit\Driver Booster\Pub\\/rpop <==== ВНИМАНИЕ
CHR HKLM\...\Chrome\Extension: [jabjbhgjaidecageckilhonbggakppme]
CHR HKU\S-1-5-21-3158957314-1300476196-277271842-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [acbchkahfmndkenefkcklofjmipghjjp]
CHR HKU\S-1-5-21-3158957314-1300476196-277271842-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [cpegcopcfajiiibidlaelhjjblpefbjk]
CHR HKU\S-1-5-21-3158957314-1300476196-277271842-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj]
CHR HKU\S-1-5-21-3158957314-1300476196-277271842-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [jabjbhgjaidecageckilhonbggakppme]
CHR HKU\S-1-5-21-3158957314-1300476196-277271842-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [ohedcglhbbfdgaogjhcclacoccbagkjg]
CHR HKU\S-1-5-21-3158957314-1300476196-277271842-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [pbefkdcndngodfeigfdgiodgnmbgcfha]
CHR HKLM-x32\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj]
CHR HKLM-x32\...\Chrome\Extension: [iifchhfnnmpdbibifmljnfjhpififfog]
CHR HKLM-x32\...\Chrome\Extension: [jabjbhgjaidecageckilhonbggakppme]
CHR HKLM-x32\...\Chrome\Extension: [pbcgcpeifkdjijdjambaakmhhpkfgoec]
CHR HKLM-x32\...\Chrome\Extension: [pfhgbfnnjiafkhfdkmpiflachepdcjod]
Edge HKLM-x32\...\Edge\Extension: [iifchhfnnmpdbibifmljnfjhpififfog]
Edge HKLM-x32\...\Edge\Extension: [jabjbhgjaidecageckilhonbggakppme]
Edge HKLM-x32\...\Edge\Extension: [pfhgbfnnjiafkhfdkmpiflachepdcjod]
S2 IObitUnSvr; C:\Program Files (x86)\IObit\IObit Uninstaller\IUService.exe [193472 2025-08-18] (IObit Co., Ltd. -> IObit) <==== ВНИМАНИЕ
2026-05-08 12:38 - 2026-05-08 12:38 - 001664186 _____ (456<<DC@4JGA?3AC3FG<I) C:\Users\Маргарита\AppData\Roaming\STLnew.exe
2026-05-08 10:31 - 2026-05-08 10:31 - 000000000 ____D C:\temp
2026-02-03 11:58 - 2026-02-03 09:19 - 000717312 _____ () C:\Users\Маргарита\AppData\Roaming\doc_03022026_buh_1C_vr6gdsr3gt6e6he33h3eth_PDF.com
2026-02-04 09:21 - 2026-02-04 09:21 - 000573440 _____ () C:\Users\Маргарита\AppData\Roaming\forestgamper.exe
2026-04-13 14:45 - 2026-04-13 14:45 - 000457216 _____ () C:\Users\Маргарита\AppData\Roaming\promitey.exe
2026-05-08 12:38 - 2026-05-08 12:38 - 001664186 _____ (456<<DC@4JGA?3AC3FG<I) C:\Users\Маргарита\AppData\Roaming\STLnew.exe
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Папку C:\FRST\Quarantine заархивируйте с паролем virus, архив загрузите на облачный диск и дайте ссылку на скачивание в вашем сообщении

+

добавьте во вложение файл записки о выкупе

Изменено пользователем safety
sevzap

sevzap

Опубликовано
  • Автор
Опубликовано

safety
Добрый день, 
Выполнили указанные вами рекомендацииFixlog — копия.txt

 

В эту папку не смогли получить доступ и перейти 2024-02-06 00:28 C:\Users\Маргарита\AppData\Local\{DB0E178A-8261-A6FA-2FBA-43F520C6A451},
ошибку прикладываю на скриншоте. Была схожая папка, но немного с другим названием {DC5A0E50-A69F-C369-0935-C116A49E594F}.
Содержимое так же на скриншотах.
Исправить выполнили Fixlog.txt прикладываем.
Ссылка на папку с архивом:
https://disk.yandex.ru/d/3w1Ii1g1z3eLow
Пароль, как вы и указали - virus
Записку скопировал в ворд файл: письмо_выкупа.txt

 

 

 

Спойлер

2026-05-12_10-11-21.png

2026-05-12_10-07-55.png

2026-05-12_10-06-49.png

2026-05-12_10-06-40.png

2026-05-12_10-06-32.png

2026-05-12_10-06-23.png

2026-05-12_10-06-13.png

2026-05-12_10-06-06.png

2026-05-12_10-05-55.png

2026-05-12_10-05-46.png

2026-05-12_10-05-32.png

2026-05-12_10-05-19.png

2026-05-12_10-04-45.png

2026-05-12_10-04-21.png

 

письмо_выкупа.txt

safety

safety

Опубликовано
Опубликовано
2 часа назад, sevzap сказал:

Содержимое так же на скриншотах.

По файлам. Папки на скринах все рабочие, не относятся к шифровальщику

Из тех, что были удалены скриптом выделю один из них:

Kaspersky HEUR:Backdoor.MSIL.XWorm.gen

https://www.virustotal.com/gui/file/6bd486cfbaef5bcf2102a0d2009274af1db804fb409f2f36b7a765457b3553db

остальные так же детектируются как трояны и вирусы.

 

Имеет смысл запретить запуск исполняемых файлов (с основными расширениями) на ваших устройствах из архивных вложений. Mimic/Pay2key, LockbitV3Black/Room155 -  одни из самых активных семейств шифровальщиков, используют для проникновения и запуска рассылки в электронной почте.

 

sevzap

sevzap

Опубликовано
  • Автор
Опубликовано

Поняли, подскажите, а после всех проделанных манипуляций есть возможность восстановить файлы, которые были зашифрованы? (после исправления они так же ещё не открываются) 
И если есть возможность, подскажите, что необходимо будет сделать? 

safety

safety

Опубликовано
Опубликовано

С расшифровкой файлов по данному типу не сможем помочь

 

Общие рекомендации:

 

Теперь, когда ваши файлы были зашифрованы, примите серьезные меры безопасности:


1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Tangous
      Снова... Зашифровали файлы и требуют выкуп.
      Автор Tangous
      Помогите пож.
      Проекты САМ и САД. Работа последних лет.
       
      Addition.txt FRST.txt sample_vir.zip
    • Игорь Мартынов
      Нужна помощь с вирусом-шифровальщиком, который добавил к расширению файлов .ywgulm_p2k
      Автор Игорь Мартынов
      Здравствуйте, наш бухгалтер подцепила вирус-шифровальщик pay2key, приложение, которое запустилось: kopiya_1C_doc_d5ef6rewg3ergw5g6rge5. В результате все файлы на компьютере получили расширение .ywgulm_p2k. Требование о выкупе прилагаю. Видел на этом форуме примеры заражения этим же вирусов, люди платили выкуп и получали дешифратор, в том числе выкладывали здесь. Можно ли получить данный дешифратор и попробовать расшифровать свои файлы со своим id.
      HowToRestoreFiles.txt Зашифрованные файлы.rar
    • Татьяна С
      Шифровальщик с расширением .ywgulm_p2k
      Автор Татьяна С
      Добрый день. Так же зашифровались файлы расширением ywgulm_p2k
      К ноутбуку с вирусом был подключен съемный диск. Вирус удалили, но документы остались зашифрованными.
      К сожалению, нет доступа к ноутбуку, на котором произошел сбой, а на другом не читается письмо-выкуп.
      Можно расшифровать документы на съемном диске с другого ноутбука? 
       
      Прикладываю файл, который похож на вирус. Именно с его распаковки начались проблемы
       
      копии платежных документовПАРОЛЬ 123.rar
       
      Сообщение от модератора kmscom Тема перенесена из Шифровальщик с расширением .ywgulm_p2k
       
    • Пользователь Оксана
      Вирус шифровальщик зашифровал все файлы на компьютере
      Автор Пользователь Оксана
      На электронную почту пришло письмо с вложением в виде счета на оплату задолженности от компании, по виду он был в формате пдф, по факту установилась программа на компьютер. Обнаружить эту программу не удалось, письмо из почты удалили, а на следующий день все файлы оказались зашифрованы. После того, как все файлы уже оказались зашифрованы, был установлен антивирус касперского, компьютер просканировали, вредоносные программы удалены. НО! Исчезла даже возможность перезагрузки компьютера, осталась только кнопка выключить. 
      Addition.txt FRST.txt Новая папка (2).zip
    • ki4ibek
      Шифровальщик qniv_p2k
      Автор ki4ibek
      У начальника зашифровались файлы, откуда подцепил вирус не знает. Читал много тем об этом шифровальщике полугодовалой давности, может появился способ расшифровки?
       
      Дополню, нашел в автозагрузке файл "stlnewkrip", которого быть не должно, файл уже был удален. В поиске выдает страничку гитхаба, но с кодом 404. Данный файл был подцеплен с почты, в виде картинки. Если кликнуть на нее, то снова перебрасывает на страницу того же гитхаба
      Addition.txt Fixlog.txt FRST.txt HowToRestoreFiles.txt
×
×
  • Создать...