Шифровальщик (перебор rdp)

[R-r-r]

схватил вчера, адрес brunobiden76@gmail.com  и brickscold6@gmail.com  FRST прогнал

Arm_Helv.ttf.[ID-4D2D8606].[brunobiden76@gmail.com].zip Arm_Helv.ttf.[ID-4D2D8606].[brunobiden76@gmail.com]_pw_virus.zip Armguard.ttf.[ID-4D2D8606].[brunobiden76@gmail.com]_pw_virus.zip FRST.txt #HOW-TO-RESTORE-YOUR-FILES.txt Addition.txt

[safety]

В этой папке посмотри что осталось

C:\Users\Administrator\Desktop\64

Заархивируйте папку с паролем virus, загрузите архив на облачный диск, и дайте ссылку на скачивание здесь.

[safety]

По очистке системы:

 

Выполнить очистку в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

Start::
HKLM-x32\...\Run: [] => [X]
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiSpyware] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiVirus] Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Ограничение <==== ВНИМАНИЕ
IFEO\mpcmdrun.exe: [Debugger] C:\Windows\System32\systray.exe
GroupPolicy: Ограничение - Chrome <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
Task: {57194EE6-A7CA-44A7-A9F1-B909AE4B81B7} - System32\Tasks\Windows Update ALPHV => "C:\Users\Administrator\Desktop\64\64.exe"  __DETACHED__ (Нет файла)
2026-06-13 19:40 - 2026-06-13 19:44 - 000011942 ____C C:\#README!.hta
2026-06-13 19:21 - 2026-06-13 19:44 - 000003310 ____C C:\Windows\system32\Tasks\Windows Update ALPHV
C:\Users\Administrator\Desktop\64
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Папку C:\FRST\Quarantine заархивируйте с паролем virus, архив загрузите на облачный диск, и дайте ссылку на скачивание здесь

[R-r-r]

AVZ говорит: C:\Program Files\Microsoft Office\root\vfs\ProgramFilesCommonX64\Microsoft Shared\OFFICE16\1033\osmia32.msi/{MS-OLE}/\MsiDigitalSignatureEx >>>>> Trojan.DiskEraser.32  

это загружается и живое из автозагрузки общего профиля: 

https://disk.yandex.ru/d/eZXDei0oOSZZsg

а папка C:\Users\Administrator\Desktop\64 самозашифровалась:

https://disk.yandex.ru/d/9YBxKEPzMWO91g

[R-r-r]

тут сидит: C:\program data\microsoft\windows\start menu\Programs\startup\ дата файла 28.05.2026 15:27    Похоже сохраняет шифрованный ключ для каждого файла в начале файла..  

Fixlog.txt