Перейти к содержанию

Поймал шифровальщик. Он своё "грязное" дело сделал. :(


Рекомендуемые сообщения

Здравствуйте!

 

Собственно, проблема из названия темы. Свою миссию по шифрованию файлов шифровальщик сделал на "отлично".  Файлы стали с расширением ".no_more_ransom".

 
Зараженный компьютер полечил через Kaspersky Rescuue Disk.
 

CollectionLog-2017.03.13-09.05.zip

Ссылка на комментарий
Поделиться на другие сайты

Здравствуйте,

- Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
    B92LqRQ.png
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.



 

Ссылка на комментарий
Поделиться на другие сайты

Знакома ли Вам?
 

C:\windows\UC.PIF
C:\windows\RAR.PIF
C:\windows\PKZIP.PIF
C:\windows\PKUNZIP.PIF
C:\windows\LHA.PIF
C:\windows\ARJ.PIF
  • Закройте и сохраните все открытые приложения.
  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
    CreateRestorePoint:
    CloseProcesses:
    CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
    CHR HKLM-x32\...\Chrome\Extension: [dkekdlkmdpipihonapoleopfekmapadh] - hxxp://clients2.google.com/service/update2/crx
    CHR HKLM-x32\...\Chrome\Extension: [jkfblcbjfojmgagikhldeppgmgdpjkpl] - hxxp://clients2.google.com/service/update2/crx
    CHR HKLM-x32\...\Chrome\Extension: [lgdnilodcpljomelbbnpgdogdbmclbni] - hxxp://clients2.google.com/service/update2/crx
    File: C:\windows\UC.PIF
    File: C:\windows\RAR.PIF
    File: C:\windows\PKZIP.PIF
    File: C:\windows\PKUNZIP.PIF
    File: C:\windows\LHA.PIF
    File: C:\windows\ARJ.PIF
    2017-03-09 16:16 - 2017-03-10 17:01 - 00000000 __SHD C:\Users\Все пользователи\services
    2017-03-09 16:16 - 2017-03-10 17:01 - 00000000 __SHD C:\ProgramData\services
    2017-03-09 15:31 - 2017-03-10 16:58 - 00000000 __SHD C:\Users\Все пользователи\Windows
    2017-03-09 15:31 - 2017-03-10 16:58 - 00000000 __SHD C:\ProgramData\Windows
    2013-12-20 11:03 - 2013-12-20 11:08 - 17838984 _____ (Adobe Systems Incorporated) C:\Users\1\AppData\Local\Temp\fp_pl_pfs_installer.exe
    2010-03-16 09:58 - 2010-03-16 09:58 - 0149352 ____R (Microsoft Corporation) C:\Users\1\AppData\Local\Temp\ose00000.exe
    2013-06-10 08:58 - 2013-06-10 08:58 - 0003072 ____H () C:\Users\1\AppData\Local\Temp\runprog.exe
    2011-06-21 08:42 - 2011-06-21 08:42 - 0455600 ____R (Macrovision Corporation) C:\Users\1\AppData\Local\Temp\_isFC96.exe
    Reboot:
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
  • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
Ссылка на комментарий
Поделиться на другие сайты

 

Знакома ли Вам?

 

C:\windows\UC.PIF
C:\windows\RAR.PIF
C:\windows\PKZIP.PIF
C:\windows\PKUNZIP.PIF
C:\windows\LHA.PIF
C:\windows\ARJ.PIF

Файлы не знакомы. Удалил.

 

Сделано.

Лог прилагаю.

fixlist.txt

Ссылка на комментарий
Поделиться на другие сайты

Если есть лицензия на продукты Kaspersky Lab, то пробуйте https://forum.kasperskyclub.ru/index.php?showtopic=48525

 

Спасибо. Эта ссылка, как я понял, касается момента дешифрования файлов?

А что говорят логи? Компьютер вылечен?

Ссылка на комментарий
Поделиться на другие сайты

 

А что говорят логи? Компьютер вылечен?

Согласно логам, ничего плохого не замечено.

 

Еще раз СПАСИБО за Ваш бескорыстный труд!

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • alexlaev
      Автор alexlaev
      Доброго бодрого, придя на работу в понедельник пришло осознание того что на сервере происходит что-то неладное, появились файлы с расширением .[nullhex@2mail.co].0C8D0E91
      Ничего не поняв, начал искать что могло произойти, один из компьютеров был подвержен атаке, в ночь с пятницы на субботу по местному времени в 3:30 утра 28.06.2025 было совершено подключение по RDP к данному компьютеру. После анализа действий программы Clipdiary (благо была установлена на компьютере) было выявлено что злоумышленник владеет всей информацией о паролях от сервера, пользователей, список пользователей в сети, и начал свою атаку глубже. Этот компьютер имел админку к серверу, поэтому злоумышленник без труда добрался до него и начал шифровать данные как и на двух других компьютерах. По итогу то ли то что злоумышленнику стало скучно, то ли из-за того что компьютер завис в этот момент (на часах было 10:03 29.06.2025 (я смотрел на время на экране уже на следующий день в понедельник 30.06.2025 в 11:30, поэтому обратил внимание сразу что время не совпадает и комп заблокирован и завис)) у злоумышленника доступ к серверу пропал, потому как по RDP только из локалки можно к нему цепляться. Файлы незначительные повреждены, но уже восстановлены из бэкапа(благо делается каждый день)
      А вот с компьютерами меньше повезло, три компа полностью зашифрованы. Прилагаю файлы и проверку в программе указанной в теме правил.
      vse tut.rar
    • DanilDanil
      Автор DanilDanil
      Словил на VM шифровальщик. GPT в deepsearch предположил, что это mimic ( N3ww4v3) - на основе проанализированных зашифрованных файлов и оставленной злоумышленниками записке. Зашифрованны базы данных. Бэкапов не было...
      Есть ли возможность дешифровать? Вот это оставили злоумышленники. Зашифрованный файл прикрепить не могу, форум ограничивает.
      Important_Notice.txt
    • PsuchO
      Автор PsuchO
      Всем привет, намедне поймал шифровальщик X77C, эта скотина успела побить все файлы, до которых дотянулась.
      В итоге у всех файлов изменились имена tb73.8382_front.psd.[ID-BAE12624][recovery-data09@protonmail.com].mz4, а оригинал вот tb73.8382_front.psd
      Плюсом к этому в каждой папке лежал тектовик со следующим описанием
       
      Открыл зашифрованный ps1 скрипт и вот что внутри
       
      Всё это на виртуалках на удалённом хосте, при этом странно, что сам хост не заразили, а вот виртуалки внутри него - заразили, как это вышло и почему, фиг знает.
      Поэтому подрубить проверяльщики через внешние USB и прочее не получится, как я понимаю. Буду рад любым советам и любой помощи.
      Прикладываю зашифрованный файл
      Front.psd.[ID-BAE12624][recovery-data09@protonmail.com].mz4.zip
    • user344
      Автор user344
      Здравствуйте! Недавно компьютер в простое начинает переодически нагружаться до 100%, вентиляторы начинают крутить на полную в течении 5-10 минут, только начинаешь водить мышкой по рабочему столу, то сразу же нагрузка падает до дефолтных значений. Проверял лечащай утилитой др.веб и kvrt они вирусов не нашли.
      CollectionLog-2025.06.25-21.11.zip
    • Vklass
      Автор Vklass
      Зашифровали сервер, пропала недельная работа, прощу помощи  логи FRST в архиве 
      Вирус 2.zip
×
×
  • Создать...