lockbit v3 black Помогите расшифровать файлы

[ДмитрийВН]

Добрый день!

Помогите расшифровать файлы.

 

RKBa8YJzW.README.txt 7DV41G9.zip FRST.txt

[Sandor]

Здравствуйте!

 

Версия Farbar Recovery Scan Tool устаревшая. Скачайте актуальную (или с зеркала) и переделайте отчёт. Не забудьте файл Addition.txt

[safety]

+

Если систему сканировали Cureit, KVRT или штатным антивирусом добавьте отчеты по сканированию и обнаружениям в архиве, без пароля.

[ДмитрийВН]

Addition.txt FRST.txt

 

6 часов назад, safety сказал:

+

Если систему сканировали Cureit, KVRT или штатным антивирусом добавьте отчеты по сканированию и обнаружениям в архиве, без пароля.

Диск сканировался keswin_14.1.0.423_ru_aes256 на другом компьютере

KES14.zip

[safety]

По очистке системы: можно из безопасного режима.

 

Выполнить очистку в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

Start::
HKLM-x32\...\Run: [] => [X]
Startup: C:\Users\PC\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\RKBa8YJzW.README.txt [2168 2026-09-09] () 
HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Microsoft\Edge: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\BraveSoftware\Brave: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Vivaldi: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\YandexBrowser: Ограничение <==== ВНИМАНИЕ
HKU\S-1-5-21-2381133379-4269685911-299250586-1001\...\Policies\system: [DisableTaskMgr] 1 <==== ВНИМАНИЕ
2026-09-09 06:50 - 2026-09-09 07:34 - 000000000 ____D C:\Users\PC\AppData\Roaming\Process Hacker 2
2026-09-09 05:54 - 2026-09-09 07:17 - 000000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Process Hacker 2
2026-09-09 05:54 - 2026-09-09 07:17 - 000000000 ____D C:\Program Files\Process Hacker 2
2026-09-09 05:45 - 2026-09-09 07:22 - 000000000 ____D C:\Users\PC\AppData\Roaming\Wise Force Deleter
2026-09-09 05:45 - 2026-09-09 05:45 - 000001271 _____ C:\Users\Public\Desktop\Wise Force Deleter.lnk
2026-09-09 05:45 - 2026-09-09 05:45 - 000000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Wise Force Deleter
2026-09-09 05:45 - 2026-09-09 05:45 - 000000000 ____D C:\Program Files (x86)\Wise
2026-09-09 05:25 - 2026-09-09 05:25 - 000000000 ____D C:\ProgramData\LockHunter
2026-09-09 05:23 - 2026-09-09 07:22 - 000000000 ____D C:\Users\PC\AppData\Roaming\LockHunter
2026-09-09 05:23 - 2026-09-09 05:23 - 000000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\LockHunter
2026-09-09 05:23 - 2026-09-09 05:23 - 000000000 ____D C:\Program Files\LockHunter
2026-09-09 04:49 - 2026-09-09 04:49 - 000000000 ____D C:\ProgramData\IObit
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

 

Изменено 10 сентября пользователем safety

[safety]

6 минут назад, ДмитрийВН сказал:

Диск сканировался keswin_14.1.0.423_ru_aes256 на другом компьютере

сэмпл не обнаружен.

Возможно, что атака была через рассылку в почте - проверьте, есть ли сообщение от 08.09-09.09. с вложением в почте наименованием типа "акт сверки" чего то.

Если это сообщение сохранилось, сохраните сообщение в формате EML, заархивируйте файл EMP с паролем virus и добавьте архив в ваше сообщение.

[safety]

C расшифровкой файлов по данному типу шифровальщика не сможем помочь

 

Общие рекомендации:

 

Теперь, когда ваши файлы были зашифрованы, примите серьезные меры безопасности:

1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);