Перейти к содержанию
Набор на стажировку в «Лабораторию Касперского»! Пробуй сам и зови друзей

Большинство файлов на компьютере зашифровали

MatroskinPR
 Share Подписчики 1

Рекомендуемые сообщения

MatroskinPR

MatroskinPR 0

Опубликовано
Опубликовано (изменено)

Здравствуйте
Столкнулся с проблемой зашифрованных файлов на моём пк, в какой момент это произошло и после каких действий сказать точно не могу, так же обнаружил что был удалён антивирус, утром он ещё был.
Все файлы переименованы с ссылкой {yourdataonline@aliyun.com}, можно ли их спасти?
Прикрепляю логи и некоторые файлы в том числе и файл с некоторой инструкцией который удалось найти

Addition.txt FRST.txt Архив WinRAR.rar

Чуть не забыл про само требование

RESTORE_FILES_INFO.txt

Изменено пользователем MatroskinPR
Ссылка на сообщение
Поделиться на другие сайты
mike 1

mike 1 1 044

Опубликовано
Опубликовано (изменено)

Здравствуйте.

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

  1. Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  2. Скопируйте приведенный ниже текст в Блокнот и сохраните файл в кодировке Юникод как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool: 
    CreateRestorePoint:
CloseProcesses:
Startup: C:\Users\john\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\mystartup.lnk [2021-04-02]
ShortcutTarget: mystartup.lnk -> C:\Users\Unknown\AppData\Local\Temp\RESTORE_FILES_INFO.txt (Нет файла)
2021-04-02 15:32 - 2020-10-31 02:36 - 001179648 _____ (wj32) C:\Users\john\Documents\PHru.exe
2021-04-02 15:32 - 2019-12-17 15:12 - 000035328 _____ () C:\Users\john\Documents\pass.exe
2021-03-27 12:14 - 2021-03-27 12:14 - 000000000 __SHD C:\rdp
2021-03-27 12:14 - 2021-03-27 12:14 - 000000000 __SHD C:\ProgramData\ESET
2021-03-27 12:14 - 2021-03-27 12:14 - 000000000 __SHD C:\Program Files\RDP Wrapper
2021-03-27 12:14 - 2021-03-27 12:14 - 000000000 __SHD C:\Program Files\ESET
2021-03-27 12:14 - 2021-03-27 12:14 - 000000000 __SHD C:\Program Files\Common Files\McAfee
2021-03-27 12:14 - 2021-03-27 12:14 - 000000000 __SHD C:\Program Files (x86)\Panda Security
2021-03-27 12:14 - 2021-03-27 12:14 - 000000000 __SHD C:\Program Files (x86)\GRIZZLY Antivirus
2021-03-27 12:13 - 2021-04-02 15:51 - 000000000 __SHD C:\ProgramData\install
2021-03-27 12:13 - 2021-04-02 15:32 - 000000000 __SHD C:\ProgramData\WindowsTask
2021-03-27 12:13 - 2021-04-02 15:32 - 000000000 __SHD C:\ProgramData\Windows
2021-03-27 12:13 - 2021-03-27 12:22 - 000000000 __SHD C:\ProgramData\RealtekHD
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\ProgramData\Setup
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\ProgramData\RunDLL
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\ProgramData\Norton
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\ProgramData\McAfee
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\ProgramData\Kaspersky Lab Setup Files
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\ProgramData\Kaspersky Lab
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\ProgramData\grizzly
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\ProgramData\Doctor Web
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\ProgramData\360safe
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files\SpyHunter
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files\Malwarebytes
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files\Kaspersky Lab
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files\Enigma Software Group
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files\COMODO
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files\Cezurity
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files\ByteFence
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files\AVG
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files (x86)\SpyHunter
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files (x86)\Microsoft JDX
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files (x86)\Kaspersky Lab
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files (x86)\Cezurity
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files (x86)\AVG
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files (x86)\AVAST Software
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\Program Files (x86)\360
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\KVRT_Data
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 __SHD C:\AdwCleaner
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 ____D C:\Windows\speechstracing
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 ____D C:\ProgramData\System32
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 ____D C:\ProgramData\MB3Install
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 ____D C:\ProgramData\Malwarebytes
2021-03-27 12:13 - 2021-03-27 12:13 - 000000000 ____D C:\ProgramData\Indus
hosts:
zip:C:\FRST\Quarantine

     

  3. Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  4. Обратите внимание, что компьютер будет перезагружен.
  5. Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

 

Сделайте новый логи FRST. 

Изменено пользователем mike 1
Ссылка на сообщение
Поделиться на другие сайты
MatroskinPR

MatroskinPR 0

Опубликовано
  • Автор
Опубликовано (изменено)

Вот новые логи и фикс, так же создался файл с временем и датой, попытался загрузить через форму выдало ошибку "Данный файл уже был загружен"

Addition.txt Fixlog.txt FRST.txt

Изменено пользователем MatroskinPR
Ссылка на сообщение
Поделиться на другие сайты
mike 1

mike 1 1 044

Опубликовано
Опубликовано (изменено)
12 часов назад, mike 1 сказал:

Скопируйте приведенный ниже текст в Блокнот и сохраните файл в кодировке Юникод

Не выполнено. Выделил специально цветом, но все равно не обратили внимания. 

 

Удалите или заблокируйте учетную запись john, если ее не создавали сами. 

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

  1. Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  2. Скопируйте приведенный ниже текст в Блокнот и сохраните файл в кодировке Юникод как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool: 
    CreateRestorePoint:
CloseProcesses:
() [Файл не подписан] C:\ProgramData\Windows\rutserv.exe
U3 aswbdisk; отсутствует ImagePath
Unlock: C:\ProgramData\Windows
C:\ProgramData\Windows

     

  3. Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  4. Обратите внимание, что компьютер будет перезагружен.
  5. Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму
Изменено пользователем mike 1
Ссылка на сообщение
Поделиться на другие сайты
MatroskinPR

MatroskinPR 0

Опубликовано
  • Автор
Опубликовано (изменено)

Вот следующие логи фикса и новые логи сконирования, создавал в юникоде, учетной записи john не обнаружил.

Fixlog.txt

Addition.txt FRST.txt

Изменено пользователем MatroskinPR
Ссылка на сообщение
Поделиться на другие сайты
mike 1

mike 1 1 044

Опубликовано
Опубликовано (изменено)

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

  1. Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  2. Скопируйте приведенный ниже текст в Блокнот в кодировке Юникод и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool: 
    CreateRestorePoint:
C:\ProgramData\Windows\rutserv.exe
2021-03-27 12:14 C:\ProgramData\Avira
CMD: net user john /delete

     

  3. Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  4. Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

 

Удалите папку C:\ProgramData\Windows.  

Изменено пользователем mike 1
Ссылка на сообщение
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Подписчики 1
Перейти к списку тем

  • Похожий контент

    • Tadmin
      [РАСШИФРОВАНО] Помощь с восстановлением файлов после шифровальщика hopeandhonest@smime.ninja
      От Tadmin
      Около года или двух назад один из наших корпоративных пк был заражен шифровальщиком, на нем хранилось множество фотографий, которые зашифровались, тот пк был сразу отформатирован, но перед этим зашифрованные файлы были перемещены, сейчас в них появилась нужда, прикрепляю пример зашифрованных файлов.
      hopeandhonest@smime.ninja.zip
    • DimonD
      [РАСШИФРОВАНО] Поймали шифровальщик
      От DimonD
      Добрый день. Помогите пожалуйста с расшифровкой файлов? так же на сервак ктото споймал эту гадость. 
       
      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.
    • iLuminate
      Подозрение на взлом сервера
      От iLuminate
      Есть подозрение на взлом, так как при переходе C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Administrative Tools\Администрирование - Ярлык появляется ярлык которые указан на скриншоте.

      FRST.txt Addition.txt
    • JhonD
      шифровальщик Jami_decryptionguy
      От JhonD
      Добрый день, посмотрите, есть ли надежда на восстановление файлов. 
      Addition.txt CONTACT_US.txt FRST.txt АКТ на списание ГСМ.DOCX
    • upvpst
      DCHELP.org
      От upvpst
      Добрый день! В сеть проник зловред подробно описанный по ссылке https://id-ransomware.blogspot.com/2023/04/dchelp-ransomware.html.
      Возможности зайти на сервер нет, так как файловые системы отображаются как нечитаемые. Пробуем вытащить файлы через R-Studio, Disk Drill и иные утилиты восстановления данных. Сталкивался ли кто-то еще с этими гадами? Есть ли выход?

×
×
  • Создать...