Morvan.exe шифровальщик

[not-lamer]

Добрый день.

 

Похоже пользователь запустил с правами администратора червя. Бесплатный Аваст не среагировал.

 

Есть возможность дешифровать файлы?

 

Логи  Farbar Recovery Scan Tool  и архив шифрованного файла прикрепил.

 

Заранее спасибо за ответ!

Addition.txt

FRST.txt

ReadMe_Decryptor.txt

version.txt.Billy_will_help_you@protonmail.com.rar

[Mark D. Pearlstone]

Порядок оформления запроса о помощи

[not-lamer]

Порядок оформления запроса о помощи

 

Спасибо, лог автоматического сборщика логов во вложении.

CollectionLog-2018.08.06-18.39.zip

[mike 1]

RDP Wrapper сами себе ставили?

 

Есть возможность дешифровать файлы?

Спросите в техподдержке Вашего антивируса.

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 

• Временно выгрузите антивирус, файрволл и прочее защитное ПО.

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

CreateRestorePoint:
CloseProcesses:
HKU\S-1-5-21-2537381921-3755684774-2304650851-1004\...\Run: [MarvelHost] => C:\Users\draw\AppData\Roaming\Marvel.exe
CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
CHR StartupUrls: Default -> "hxxp://yandex.ru/?clid=2101081","hxxp://searchfunmoods.com/?f=1&a=download&chnl=download&cd=2XzuyEtN2Y1L1QzutDtD0F0Fzy0A0DyC0EyDtDyCtCyCyD0AtN0D0Tzu0CtAtByCtN1L2XzutBtFtBtFtDtFtAyEyE&cr=1372964208","hxxp://www.yandex.ru/?win=106&clid=1946475-10362","hxxp://www.google.com/","hxxp://www.google.com"
2018-08-05 04:01 - 2018-07-21 18:15 - 000262144 _____ C:\Users\draw\Documents\1MrGreen.exe
zip:C:\FRST\Quarantine

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

• Обратите внимание, что компьютер будет перезагружен.

• Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

 

 

[not-lamer]

RDP Wrapper ставили сами, несколько лет работали, проблем не возникало.

 

По всей вероятности уязвимость была в двухсимвольном пароле пользователя с правами администратора.

 

Спасибо за скрипт.

Fixlog.txt

06.08.2018_22.05.17.zip

[mike 1]

Куда просили архив отправить и что сделали Вы?

 

По всей вероятности уязвимость была в двухсимвольном пароле пользователя с правами администратора.

Если квартиру не закрывать на ключ, то в нее залезет любой вор. Что по факту и произошло. А залезли удаленно по RDP. 

Изменено 6 августа, 2018 пользователем mike 1