Решена с расшифровкой. Нужна помощь в расшифровке данных (hopeandhonest@smime.ninja)

[kolian_by]

Помогите расшифровать данные после шифровальщика hopeandhonest@smime.ninja. Во вложении зашифрованные файлы и логи.

 

[thyrex]

Не вижу логов в архиве. Начните с правил раздела

 

[kolian_by]

прошу прощения, не добавил в первый архив

 

[thyrex]

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать)

Start::
CreateRestorePoint:
IFEO\Magnify.exe: [Debugger] qw.exe
IFEO\narrator.exe: [Debugger] qw.exe
Folder: c:\windows\fonts
HKU\S-1-5-18\...\Run: [svchost] => "c:\windows\fonts\s\1\svchost.exe" (Нет файла) <==== ВНИМАНИЕ
2022-08-01 13:05 - 2022-08-01 13:05 - 000001794 _____ C:\Users\Администратор\how_to_decrypt.hta
2022-08-01 13:05 - 2022-08-01 13:05 - 000001794 _____ C:\how_to_decrypt.hta
2022-08-01 13:04 - 2022-08-01 13:04 - 000001794 _____ C:\Users\Администратор\Downloads\how_to_decrypt.hta
2022-08-01 13:04 - 2022-08-01 13:04 - 000001794 _____ C:\Users\Администратор\Documents\how_to_decrypt.hta
2022-08-01 13:04 - 2022-08-01 13:04 - 000001794 _____ C:\Users\Администратор\Desktop\how_to_decrypt.hta
2022-08-01 13:04 - 2022-08-01 13:04 - 000001794 _____ C:\Users\Администратор\AppData\Roaming\how_to_decrypt.hta
2022-08-01 13:04 - 2022-08-01 13:04 - 000001794 _____ C:\Users\Администратор\AppData\how_to_decrypt.hta
2022-08-01 13:03 - 2022-08-01 13:03 - 000001794 _____ C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2022-08-01 13:03 - 2022-08-01 13:03 - 000001794 _____ C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-08-01 13:03 - 2022-08-01 13:03 - 000001794 _____ C:\Users\Администратор\AppData\LocalLow\how_to_decrypt.hta
2022-08-01 13:03 - 2022-08-01 13:03 - 000001794 _____ C:\Users\Администратор\AppData\Local\Temp\how_to_decrypt.hta
2022-08-01 13:01 - 2022-08-01 13:01 - 000001794 _____ C:\Users\Администратор\AppData\Local\Apps\how_to_decrypt.hta
2022-08-01 13:01 - 2022-08-01 13:01 - 000001794 _____ C:\Users\Supportese\how_to_decrypt.hta
2022-08-01 13:00 - 2022-08-01 13:00 - 000001794 _____ C:\Users\Supportese\Downloads\how_to_decrypt.hta
2022-08-01 13:00 - 2022-08-01 13:00 - 000001794 _____ C:\Users\Supportese\Documents\how_to_decrypt.hta
2022-08-01 13:00 - 2022-08-01 13:00 - 000001794 _____ C:\Users\Supportese\Desktop\how_to_decrypt.hta
2022-08-01 13:00 - 2022-08-01 13:00 - 000001794 _____ C:\Users\Supportese\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2022-08-01 13:00 - 2022-08-01 13:00 - 000001794 _____ C:\Users\Supportese\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-08-01 13:00 - 2022-08-01 13:00 - 000001794 _____ C:\Users\Supportese\AppData\Roaming\how_to_decrypt.hta
2022-08-01 13:00 - 2022-08-01 13:00 - 000001794 _____ C:\Users\Supportese\AppData\LocalLow\how_to_decrypt.hta
2022-08-01 13:00 - 2022-08-01 13:00 - 000001794 _____ C:\Users\Supportese\AppData\Local\Temp\how_to_decrypt.hta
2022-08-01 13:00 - 2022-08-01 13:00 - 000001794 _____ C:\Users\Supportese\AppData\how_to_decrypt.hta
2022-08-01 13:00 - 2022-08-01 13:00 - 000001794 _____ C:\Users\Public\how_to_decrypt.hta
2022-08-01 13:00 - 2022-08-01 13:00 - 000001794 _____ C:\Users\Public\Downloads\how_to_decrypt.hta
2022-08-01 12:54 - 2022-08-01 12:54 - 000001794 _____ C:\Users\02\how_to_decrypt.hta
2022-08-01 12:54 - 2022-08-01 12:54 - 000001794 _____ C:\Users\02\Downloads\how_to_decrypt.hta
2022-08-01 12:54 - 2022-08-01 12:54 - 000001794 _____ C:\Users\02\Documents\how_to_decrypt.hta
2022-08-01 12:54 - 2022-08-01 12:54 - 000001794 _____ C:\Users\02\Desktop\how_to_decrypt.hta
2022-08-01 12:54 - 2022-08-01 12:54 - 000001794 _____ C:\Users\02\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2022-08-01 12:54 - 2022-08-01 12:54 - 000001794 _____ C:\Users\02\AppData\Roaming\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-08-01 12:54 - 2022-08-01 12:54 - 000001794 _____ C:\Users\02\AppData\Roaming\how_to_decrypt.hta
2022-08-01 12:54 - 2022-08-01 12:54 - 000001794 _____ C:\Users\02\AppData\LocalLow\how_to_decrypt.hta
2022-08-01 12:54 - 2022-08-01 12:54 - 000001794 _____ C:\Users\02\AppData\Local\Temp\how_to_decrypt.hta
2022-08-01 12:54 - 2022-08-01 12:54 - 000001794 _____ C:\Users\02\AppData\how_to_decrypt.hta
2022-08-01 12:52 - 2022-08-01 12:52 - 000001794 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Programs\how_to_decrypt.hta
2022-08-01 12:52 - 2022-08-01 12:52 - 000001794 _____ C:\ProgramData\Microsoft\Windows\Start Menu\how_to_decrypt.hta
2022-08-01 12:51 - 2022-08-01 12:51 - 000001794 _____ C:\Users\Public\Documents\how_to_decrypt.hta
2022-08-01 12:51 - 2022-08-01 12:51 - 000001794 _____ C:\Users\Public\Desktop\how_to_decrypt.hta
2022-08-01 12:51 - 2022-08-01 12:51 - 000001794 _____ C:\ProgramData\how_to_decrypt.hta
2022-08-01 12:51 - 2022-08-01 12:51 - 000001794 _____ C:\Program Files (x86)\how_to_decrypt.hta
2022-08-01 12:50 - 2022-08-01 12:50 - 000001794 _____ C:\Users\how_to_decrypt.hta
2022-08-01 12:50 - 2022-08-01 12:50 - 000001794 _____ C:\Program Files\how_to_decrypt.hta
2022-08-01 12:50 - 2022-08-01 12:50 - 000001794 _____ C:\Program Files\Common Files\how_to_decrypt.hta
2022-08-01 12:46 - 2022-01-24 18:30 - 001424896 _____ (Misc314) C:\Users\Supportese\Desktop\mouselock.exe
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: перезагрузку компьютера нужно выполнить вручную после данного скрипта.

 

[kolian_by]

готово

 

[thyrex]

1. Выделите следующий код и скопируйте в буфер обмена (правая кнопка мыши – Копировать)

Start::
CreateRestorePoint:
c:\windows\fonts\1
c:\windows\fonts\init
c:\windows\fonts\s
c:\windows\fonts\ua
c:\windows\fonts\w
End::

2. Запустите Farbar Recovery Scan Tool от имени Администратора по правой кнопке мыши.
3. Нажмите один раз на кнопку Fix (Исправить) и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: перезагрузку компьютера нужно выполнить вручную после данного скрипта.

 

[kolian_by]

готово

 

[thyrex]

Проверьте ЛС

 

[kolian_by]

Спасибо большое. Все файлы расшифровались.

 

[thyrex]

Удачи. Не болейте, ибо в следующий раз легким испугом может не обойтись.