Перейти к содержанию

поймал шифровальщика !

feel_174
 Share

Рекомендуемые сообщения

SQ Гигант мысли

SQ

Опубликовано
Опубликовано

Здравствуйте,

 

- Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".

    B92LqRQ.png

  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
Ссылка на комментарий
Поделиться на другие сайты
feel_174 Новичок

feel_174

Опубликовано
  • Автор
Опубликовано

Здравствуйте,

 

- Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".

    B92LqRQ.png

  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

 

Addition.txt

FRST.txt

Ссылка на комментарий
Поделиться на другие сайты
SQ Гигант мысли

SQ

Опубликовано
Опубликовано

Это RSAUtil и расшифровки нет (нашими силами). Только зачистка следов вируса.

  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CreateRestorePoint:
CloseProcesses:
FF Plugin: @microsoft.com/GENUINE -> disabled [No File]
FF Plugin-x32: @microsoft.com/GENUINE -> disabled [No File]
File: C:\Windows\System32\Drivers\3C3C099.sys
File: C:\Users\User\Desktop\DECODE_ALL_FILES.bat
Zip: C:\Users\User\Desktop\DECODE_ALL_FILES.bat
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\Все пользователи\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\User\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\User\Downloads\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\User\Documents\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\User\AppData\Local\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\Public\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\Public\Downloads\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\Public\Documents\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\Public\Desktop\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\postgres_service\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\postgres_service\Downloads\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\postgres_service\Documents\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\postgres_service\Desktop\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\postgres_service\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\postgres_service\AppData\Local\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\Default\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\Default\Downloads\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\Default\Documents\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\Default\Desktop\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\Default\AppData\Local\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\Default User\Downloads\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\Default User\Documents\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\Default User\AppData\Local\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\ProgramData\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\ProgramData\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\How_return_files.txt
Folder: C:\Users\User\AppData\Roaming\Process Hacker 2
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ () C:\Users\User\AppData\Local\How_return_files.txt
AlternateDataStreams: C:\ProgramData\TEMP:638A134E [146]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:638A134E [146]
Reboot:
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
  • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
Ссылка на комментарий
Поделиться на другие сайты
feel_174 Новичок

feel_174

Опубликовано
  • Автор
Опубликовано

Это RSAUtil и расшифровки нет (нашими силами). Только зачистка следов вируса.

  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

    CreateRestorePoint:
CloseProcesses:
FF Plugin: @microsoft.com/GENUINE -> disabled [No File]
FF Plugin-x32: @microsoft.com/GENUINE -> disabled [No File]
File: C:\Windows\System32\Drivers\3C3C099.sys
File: C:\Users\User\Desktop\DECODE_ALL_FILES.bat
Zip: C:\Users\User\Desktop\DECODE_ALL_FILES.bat
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\Все пользователи\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\User\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\User\Downloads\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\User\Documents\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\User\AppData\Local\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\Public\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\Public\Downloads\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\Public\Documents\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\Public\Desktop\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\postgres_service\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\postgres_service\Downloads\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\postgres_service\Documents\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\postgres_service\Desktop\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\postgres_service\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\postgres_service\AppData\Local\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\Default\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\Default\Downloads\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\Default\Documents\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\Default\Desktop\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\Default\AppData\Local\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\Default User\Downloads\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\Default User\Documents\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\Users\Default User\AppData\Local\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\ProgramData\Microsoft\Windows\Start Menu\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\ProgramData\How_return_files.txt
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ C:\How_return_files.txt
Folder: C:\Users\User\AppData\Roaming\Process Hacker 2
2018-04-24 18:55 - 2018-04-24 20:11 - 000000278 _____ () C:\Users\User\AppData\Local\How_return_files.txt
AlternateDataStreams: C:\ProgramData\TEMP:638A134E [146]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:638A134E [146]
Reboot:
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите.
  • Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.

 

Fixlog.txt

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • IrinaC
      Поймали шифровальщика
      От IrinaC
      Здравствуйте!
      Сегодня утром появился шифровальщик, при том в такое время, когда никто не работает, в 6.13 по Москве. Никто не признается, что скачал и запустил зараженный файл, допускаем, что было подключение извне.
      Базы данных, документы, архивы - все файлы получили расширение *.Bpant. При этом, зашифровано всё только на диске D. Диск С остался нетронутым. Логи, зашифрованные данные, письмо от злоумышленников прилагаю.
      Addition.txt FRST.txt Шифровки.rar
    • BORIS59
      [РАСШИФРОВАНО] Поймал шифровальщика вымогателя.
      От BORIS59
      Доброго времечка поймал шифровальщик, система не переустанавливалась.
      Зашифровали файлы (WANNACASH NCOV v170720), требуют выкуп!
      Попался на поиске ключей ESET, в 2020г. Обращался в ESET про пудрили
      мозг и смылись. Приложил скрин kvrt сделан сразу после шифровки.
      Подскажите, пожалуйста, возможно восстановить?

      Farbar Recovery Scan Tool.zip Файлы с требованиями злоумышленников.zip Зашифрованные файлы.zip
    • yarosvent
      поймали шифровальщика
      От yarosvent
      Доброго,
      просим помочь расшифровать данные
    • LeraB
      Поймали шифровальщика на несколько серверов
      От LeraB
      Приветствую.
      Поймали шифровальщика, который работает до сих.
      Ничего не переустанавливали и не трогали, проверяем только доступность компьютеров, их работу и ищем, где он еще может работать. Если понятно, что шифровальщик еще где-то работает, то отключаем этот сервер/компьютер.
      Все, что можно спасти, копируем.
      Пострадала почти вся сеть, не только лок.пк и сервера, но и NAS (именно smb)
      Шифровальщик затронул большинство нужных файлов, но не все.
      Логи собрали с одного сервера, примеры файлов с него же.
      Файл шифровальщика пока найти не удалось, как и выяснить все остальное, кроме того, как оно работает с ночи примерно с 00:00 12.12.2024
      FRST.txt Addition.txt архив.zip
    • Алексей Андронов
      Поймали по почте шифровальщик-вымогатель
      От Алексей Андронов
      Добрый день!
       
      Поймали шифровальщика, который работает до сих пор на отключенном от интернета ПК.
      Ничего не переустанавливали и не трогали.
      Все, что можно спасти, копируем.
      Пострадал один ПК и один резервный сменный накопитель.
      Шифровальщик затронул большинство файлов.
      Предположительно получен по почте 02.12.24 под видом акта сверки расчетов
       
      Прошу помощи в излечении и расшифровке
       
      Во вложении логи FRST, архив с документами и запиской вымогателей и, предположительно, дроппер с которого произошло заражение и резидентный модуль
      архив.zip virus.zip Addition.txt FRST.txt
×
×
  • Создать...