Перейти к содержанию

Рекомендуемые сообщения

Добрый день!

 

Словил шифровальщик.

Похоже что зашли на сервер по RDP.

Зашифровано всё, в том числе и бэкапы. 

Файлы имеют вид - [WinLock@keemail.me][код]имя файла.Loki

 

Есть способ расшифровать такие файлы ?

 

[mod]Не надо выкладывать вирусы на форуме[/mod] 

FRST.zip files.zip

Изменено пользователем mike 1
Карантин в теме
Ссылка на комментарий
Поделиться на другие сайты

Здравствуйте.

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

  1. Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  2. Скопируйте приведенный ниже текст в Блокнот и сохраните файл в кодировке Юникод как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
CreateRestorePoint:
(Microsoft) [Файл не подписан] C:\Windows\winlogon.exe
HKLM-x32\...\Run: [Michael Gillespie] => C:\Windows\winlogon.exe [583168 2022-04-09] (Microsoft) [Файл не подписан] <==== ВНИМАНИЕ
HKU\S-1-5-21-3744054650-1620138917-4001793172-500\...\Run: [Michael Gillespie] => C:\ProgramData\winlogon.exe [583424 2022-05-02] () [Файл не подписан] <==== ВНИМАНИЕ
HKU\S-1-5-21-3744054650-1620138917-4001793172-500\...\Policies\system: [DisableTaskMgr] 1
HKU\S-1-5-18\...\Run: [Michael Gillespie] => C:\ProgramData\winlogon.exe [583424 2022-05-02] () [Файл не подписан] <==== ВНИМАНИЕ
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\winlogon.exe [2022-04-09] (Microsoft) [Файл не подписан] <==== ВНИМАНИЕ
Startup: C:\Users\Администратор.WIN-68M88C5TC44\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\winlogon.exe [2022-04-09] (Microsoft) [Файл не подписан] <==== ВНИМАНИЕ
Startup: C:\Users\Администратор.WIN-68M88C5TC44\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\wvtymcow.bat [2022-05-02] () [Файл не подписан]
Task: {985E7D08-E1DA-44FD-8C5B-0F18563D3A7A} - System32\Tasks\Loki => C:\Users\Администратор.WIN-68M88C5TC44\AppData\Roaming\winlogon.exe [583168 2022-04-09] (Microsoft) [Файл не подписан] <==== ВНИМАНИЕ
2022-05-02 07:30 - 2022-05-02 10:06 - 000000109 _____ C:\Windows\SysWOW64\wvtymcow.bat
virustotal: C:\Windows\SysWOW64\winlogon.exe
2022-05-02 05:12 - 2022-05-02 14:49 - 000001836 ____H C:\Users\Администратор.WIN-68M88C5TC44\Desktop\0.cmd
2022-05-02 05:11 - 2022-05-02 14:49 - 001851728 _____ C:\Users\Администратор.WIN-68M88C5TC44\Desktop\aPH.exe
2022-05-02 03:50 - 2022-05-02 14:49 - 000583424 ___SH C:\ProgramData\winlogon.exe
2022-05-02 02:02 - 2022-04-09 04:34 - 000583168 ___SH (Microsoft) C:\Users\Администратор.WIN-68M88C5TC44\AppData\Roaming\winlogon.exe
2022-05-02 03:50 - 2022-05-02 14:49 - 000583424 ___SH () C:\ProgramData\winlogon.exe
2022-05-02 02:02 - 2022-05-02 02:02 - 000000314 _____ () C:\Program Files\Restore-My-Files.txt
2022-05-02 02:02 - 2022-05-02 02:02 - 000000314 _____ () C:\Program Files (x86)\Restore-My-Files.txt
2022-05-02 07:30 - 2022-05-02 07:30 - 000000314 _____ () C:\Users\Администратор.WIN-68M88C5TC44\AppData\Roaming\Restore-My-Files.txt
2022-05-02 02:02 - 2022-04-09 04:34 - 000583168 ___SH (Microsoft) C:\Users\Администратор.WIN-68M88C5TC44\AppData\Roaming\winlogon.exe
zip:C:\FRST\Quarantine

 

3. Запустите FRST и нажмите один раз на кнопку Исправить и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

4. Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • vasia15
      Автор vasia15
      вирус блокирует возможность скачать антивирус,все программы заполняет кракозябрами,установить нет возможности.прошу помощи.сам не справляюсь.
    • norma.ekb
      Автор norma.ekb
      Добрый день.
      Открыли архив, полученный по почте и после этого все файлы на ПК  изменились на тип FONL. Прошу помочь с расшифровкой.
      Файл шифровальщик сохранен (из полученного архива). 
      Файлы для примера и сообщение вымогателей .rar FRST.rar
    • Andrew Vi Ch
      Автор Andrew Vi Ch
      Добрый день.
      Поймали указанный шифровальщик, в системных логах были ошибки службы ngrok, перехватили AD, остановили KES, зашифрованы все виртуальные машины (Hyper-V), базы данных... в общем - 99% инфраструктуры. Вычищены теневые копии.
      Приложены архивы: 
      encrypted.zip - 2 зашифрованных файла + текстовик с единственной строкой "message us for decrypt" (расширение зашифрованных файлов .X1g2d2vbb)
      frst.zip - логи FRST
      lock.zip - запароленный в соответствии с инструкцией архив с исполняемым файлом шифровальщика.
      Прошу оказать содействие в расшифровке.
      Спасибо.
    • KOMK
      Автор KOMK
      Доброго времени суток.
      Поймали шифровальщик.Атакована вся организация. Выясняем источник откуда и как,но раскидался он по рдп на как минимум 7 рабочих мест, включая серв  АД и 1С. Так же на одном из предполагаемых источников заражения была обнаружена программа Everything API и крипто-программа КАРМА,мб оно как-то даст какую-то полезность?
      А так же папка с файлами именованная как "automim1"?
      Скажите вообще есть ли надежда что как-то можно найти остатки шифровальщика? Шифрованные файлы и файл записку прилагаю в архиве с паролем "virus":
      Остальное не знаю как добавить,вес больше 5мб получается.
       
      sekr_2.7z
    • dampe
      Автор dampe
      Добрый день! прошу помощи, может кто то уже смог решить эту проблему. На облачный сервер проник вирус и зашифровал файлы, БД и заблокировал битлокером диск. Прикладываю лог Elcomsoft Encrypted Disk Hunter и пример зашифрованного файла
      EEDH - 02.03.2025 13-20-38.log ВМТ.pdf.rar
×
×
  • Создать...