c77l Поймал шифровальщик READ-ME-Nullhexxx.txt

[Dmitri1265]

Добрый день. В офис прилетел шифровальщик. Помогите вылечить эту заразу.

\\\\ All your files are encrypted...

\\\\ Your ID : A0A6DDA1

        to decrypt send e-mail to this address : nullhexxx@gmail.com
        enter the ID of your files in the subject!
        if you do not receive a response within 24 hours, send a SESSION message

        SESSION ID : 
        0559068a38939525963deb1182c71ce2365f719b4d342a9b7354c6f069ded15a56

        you can access it from here.
        https://getsession.org/download

\\\\  What is our decryption guarantee ?

before paying you can send us up to 2 test files for free decryption!
The total size of files must be less than 2Mb!
files should not contain valuable information.(databases,backups)!
compress the file with zip or 7zip or rar compression programs and send it to us!
the longer you wait to contact us and recover your files, the less likely it will be that your data can be restored!

\\\ Warn!

BE AWARE THAT ONLY WE CAN DECRYPT YOUR FILES.
ANY ATTEMPT TO USE THIRD-PARTY RECOVERY OR DECRYPTION TOOLS MAY PERMANENTLY DAMAGE YOUR FILES, MAKING RECOVERY IMPOSSIBLE.
 

virus.rar FRST.txt Addition.txt

[safety]

Если систему сканировали Cureit, KVRT или штатным антивирусом добавьте отчеты по сканированию и обнаружениям в архиве, без пароля.

[Dmitri1265]

Если правельно скинул то отчет в архиве. Так же вроде нашел тело вируса

report KVRT.rar

[safety]

других отчетов в папке reports не  было? в данном отчете не вижу тех детектов, которые на скрине

+

Сделайте архив папки \Pictures\Hex с паролем virus, загрузите архив на облачный диск и дайте

+

восстановите из карантина файл 64.exe, добавьте в архив с паролем virus, архив добавьте в ваше сообщение. Восстановленный файл можно будет удалить.

Изменено 2 сентября пользователем safety

[Dmitri1265]

report KVRT(1).rar Да, был еще отчет

report KVRT(1).rar

Изменено 2 сентября пользователем Dmitri1265

[safety]

По очистке системы:

 

Выполнить очистку в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

Start::
HKLM-x32\...\Run: [] => [X]
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
HKU\.DEFAULT\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
HKU\.DEFAULT\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
HKU\.DEFAULT\SOFTWARE\Policies\YandexBrowser: Ограничение <==== ВНИМАНИЕ
2026-09-02 01:23 - 2026-09-02 01:23 - 011059254 _____ C:\ProgramData\Eclipse.bmp
2026-09-02 01:20 - 2026-09-02 01:20 - 000000896 _____ C:\Windows\sysinfo01.bios
C:\Users\Администратор.KRISTALL\Pictures
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Папку C:\FRST\Quarantine заархивируйте с паролем virus, архив загрузите на облачный диск, и дайте ссылку на скачивание здесь

[Dmitri1265]

https://disk.yandex.ru/d/LkwhYrlSceFAew

Fixlog.txt

[safety]

Очистка успешная, для доп. анализа проверьте ЛС.

[safety]

К сожалению,  с расшифровкой файлов по данному типу шифровальщика не сможем помочь без приватного ключа

 

Общие рекомендации:

 

Теперь, когда ваши файлы были зашифрованы, примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);