proxima Помогите расшифровать

[Kemerovo]

Здравствуйте! Помогите расшифровать данные которые были зашифрованы вирусом вымогателем… расширение файла BlackR

Изменено 8 сентября пользователем Kemerovo

[safety]

Если найден вредоносный файл - добавьте в отдельный архив с паролем virus, записку о выкупе + несколько зашифрованных файлов добавьте в архиве, без пароля.

+

Необходимы логи FRST с зашифрованного устройства.

+

Если систему сканировали Cureit, KVRT или штатным антивирусом добавьте отчеты по сканированию и обнаружениям в архиве, без пароля.

[Kemerovo]

Здравствуйте, отправляю вам требуемые файлы..

Записка о выкупе.rar логи FRST.rar Отчет KVRT.rar Файлы зашифр.rar

[safety]

Судя по отчету KVRT файл шифровальщика не найден, возможно что самоудалился

 

По очистке системы:

 

Выполнить очистку в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

Start::
HKLM\...\Winlogon: [LegalNoticeCaption] BlackR Ransomware
HKLM\...\Winlogon: [LegalNoticeText]  - All your files are stolen and encrypted - Find BlackR_Help.txt file - and follow instructions
IFEO\1cv8.exe: [Debugger] Hotkey Disabled
IFEO\CompatTelRunner.exe: [Debugger] Hotkey Disabled
IFEO\ConfigSecurityPolicy: [Debugger] Hotkey Disabled
IFEO\DlpUserAgent: [Debugger] Hotkey Disabled
IFEO\emagent.exe: [Debugger] Hotkey Disabled
IFEO\EXCEL.EXE: [Debugger] Hotkey Disabled
IFEO\FileCoAuth.exe: [Debugger] Hotkey Disabled
IFEO\GRAPH.EXE: [Debugger] Hotkey Disabled
IFEO\iisexpress.exe: [Debugger] Hotkey Disabled
IFEO\inetinfo.exe: [Debugger] Hotkey Disabled
IFEO\MpCmdRun.exe: [Debugger] Hotkey Disabled
IFEO\MpDefenderCoreService: [Debugger] Hotkey Disabled
IFEO\MpDlpCmd: [Debugger] Hotkey Disabled
IFEO\MpDlpService: [Debugger] Hotkey Disabled
IFEO\mpextms: [Debugger] Hotkey Disabled
IFEO\MRT.exe: [Debugger] Hotkey Disabled
IFEO\MsMpEng: [Debugger] Hotkey Disabled
IFEO\MsMpEng.exe: [Debugger] Hotkey Disabled
IFEO\MsMpEngCP.exe: [Debugger] Hotkey Disabled
IFEO\MSOSYNC.EXE: [Debugger] Hotkey Disabled
IFEO\MSPUB.EXE: [Debugger] Hotkey Disabled
IFEO\NisSrv: [Debugger] Hotkey Disabled
IFEO\NisSrv.exe: [Debugger] Hotkey Disabled
IFEO\OfficeClickToRun.exe: [Debugger] Hotkey Disabled
IFEO\ONENOTE.EXE: [Debugger] Hotkey Disabled
IFEO\oracle.exe: [Debugger] Hotkey Disabled
IFEO\oradim.exe: [Debugger] Hotkey Disabled
IFEO\OUTLOOK.EXE: [Debugger] Hotkey Disabled
IFEO\POWERPNT.EXE: [Debugger] Hotkey Disabled
IFEO\scalc.exe: [Debugger] Hotkey Disabled
IFEO\SearchFilterHost.exe: [Debugger] Hotkey Disabled
IFEO\SearchProtocolHost.exe: [Debugger] Hotkey Disabled
IFEO\SecurityHealthHost: [Debugger] Hotkey Disabled
IFEO\SecurityHealthService: [Debugger] Hotkey Disabled
IFEO\SecurityHealthService.exe: [Debugger] Hotkey Disabled
IFEO\SecurityHealthSystray: [Debugger] Hotkey Disabled
IFEO\SecurityHealthSystray.exe: [Debugger] Hotkey Disabled
IFEO\smartscreen.exe: [Debugger] Hotkey Disabled
IFEO\soffice.bin: [Debugger] Hotkey Disabled
IFEO\soffice.exe: [Debugger] Hotkey Disabled
IFEO\swriter.exe: [Debugger] Hotkey Disabled
IFEO\tnslsnr.exe: [Debugger] Hotkey Disabled
IFEO\Veeam.Backup.CloudService.exe: [Debugger] Hotkey Disabled
IFEO\Veeam.Backup.InstallerService.exe: [Debugger] Hotkey Disabled
IFEO\Veeam.Backup.MountService.exe: [Debugger] Hotkey Disabled
IFEO\Veeam.Backup.Service.exe: [Debugger] Hotkey Disabled
IFEO\Veeam.Backup.WmiServer.exe: [Debugger] Hotkey Disabled
IFEO\Veeam.EndPoint.Service.exe: [Debugger] Hotkey Disabled
IFEO\Veeam.VssHwSnapshotProvider.exe: [Debugger] Hotkey Disabled
IFEO\VeeamDeploymentSvc.exe: [Debugger] Hotkey Disabled
IFEO\VeeamHvIntegrationSvc.exe: [Debugger] Hotkey Disabled
IFEO\VeeamNFSSvc.exe: [Debugger] Hotkey Disabled
IFEO\VeeamTransportSvc.exe: [Debugger] Hotkey Disabled
IFEO\VISIO.EXE: [Debugger] Hotkey Disabled
IFEO\vmcompute.exe: [Debugger] Hotkey Disabled
IFEO\vmms.exe: [Debugger] Hotkey Disabled
IFEO\vmwp.exe: [Debugger] Hotkey Disabled
IFEO\w3wp.exe: [Debugger] Hotkey Disabled
IFEO\WINWORD.EXE: [Debugger] Hotkey Disabled
GroupPolicy: Ограничение ? <==== ВНИМАНИЕ
Policies: C:\ProgramData\NTUSER.pol: Ограничение <==== ВНИМАНИЕ
2026-09-05 12:27 - 2026-09-05 12:27 - 004608054 _____ C:\ProgramData\43.mp
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Папку C:\FRST\Quarantine заархивируйте с паролем virus, архив загрузите на облачный диск, и дайте ссылку на скачивание здесь

Изменено 10 сентября пользователем safety

[safety]

Поправил скрипт, добавил еще две строки.

Характерные для Proixma/BlackShadow

HKLM\...\Winlogon: [LegalNoticeCaption] BlackR Ransomware
HKLM\...\Winlogon: [LegalNoticeText]  - All your files are stolen and encrypted - Find BlackR_Help.txt file - and follow instructions

Изменено 10 сентября пользователем safety

[Kemerovo]

https://disk.yandex.ru/d/dONSWa9QX3Hs5w (Fixlog.txt)

 

https://disk.yandex.ru/d/y7JBE86Qs06FEg (Карантин) 

[safety]

Судя по логу Fixlog очистка успешная, карантин сейчас проверю, интересует файл 43.mp

sha-256: 0043f71d80ac677d6b918e2a93a90d5736ebffbe1bb59eb05e445fc4bb34c894

нац. мультисканер показывает что файл безопасный

Kaspersky Статический анализ: Безопасный
Dr.Web Статический анализ: Безопасный
Athena Статический анализ: Безопасный
PT Sandbox Статический анализ: Безопасный

Вечером проверю еще другими антивирусами на VT

 

Для доп. анализа проверьте ЛС
 

 

Изменено 11 сентября пользователем safety

[Sandor]

Результат с VT:

https://www.virustotal.com/gui/file/0043f71d80ac677d6b918e2a93a90d5736ebffbe1bb59eb05e445fc4bb34c894?nocache=1

Детектов нет ни у кого.

Изменено 11 сентября пользователем Sandor

[safety]

C расшифровкой файлов по данному типу шифровальщика не сможем помочь

 

Общие рекомендации:

 

Теперь, когда ваши файлы были зашифрованы, примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);

[Kemerovo]

Спасибо вам! Будем работать над защитой.

А подскажите, Антивирус касперского премиум для дома, защищает от этих вымогателей шифровальщиков?

[safety]

Если злоумышленник получит полные права доступа к административной учетной записи, то но сможет удалить любой антивирус.