Решена с расшифровкой. Поймал шифровальщик hopeandhonest@smime.ninja.

[denver]

Здравстувуйте.
Споймал шифровальщик hopeandhonest@smime.ninja.
Система не переустанавливалась, никакие действия не производились.
Следую инструкции.

 

[akok]

Ваши файлы.

 

[akok]

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  SystemRestore: On
  CreateRestorePoint:
  VirusTotal: C:\Windows\winlogin.exe
  HKU\S-1-5-21-34079016-3942667954-767136576-1006\...\Run: [8A0A1B38-7720D4BAhta] => c:\Users\Supportese\AppData\Local\Temp\how_to_decrypt.hta [1794 2022-03-30] () [Файл не подписан] <==== ВНИМАНИЕ
  HKU\S-1-5-18\...\Run: [MSFEEditor] => C:\Windows\winlogin.exe [550400 2022-02-18] () [Файл не подписан]
  Startup: C:\Users\denver\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-03-30] () [Файл не подписан]
  IFEO\sethc.exe: [Debugger] C:\Windows\system32\cmd.exe
  IFEO\Utilman.exe: [Debugger] C:\Windows\system32\cmd.exe /k start taskmgr.exe
  Startup: C:\Users\Supportese\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-03-30] () [Файл не подписан]
  HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
  Task: {3F383BF7-D528-4180-B193-0FC967A8B496} - System32\Tasks\{638052AA-55BA-438E-91E0-A3AF7D5FF31C} => C:\Users\denver\Downloads\7214\leafsdcard.exe (Нет файла)
  2022-03-30 11:42 - 2022-03-30 11:42 - 000001794 _____ () C:\Program Files\how_to_decrypt.hta
  2022-03-30 11:44 - 2022-03-30 11:44 - 000001794 _____ () C:\Program Files (x86)\how_to_decrypt.hta
  2022-03-30 11:41 - 2022-03-30 11:41 - 000001794 _____ () C:\Program Files\Common Files\how_to_decrypt.hta
  2022-03-30 11:43 - 2022-03-30 11:43 - 000001794 _____ () C:\Program Files (x86)\Common Files\how_to_decrypt.hta
  2022-03-30 11:51 - 2022-03-30 11:51 - 000001794 _____ () C:\Users\denver\AppData\Roaming\how_to_decrypt.hta
  2022-03-30 11:50 - 2022-03-30 11:50 - 000001794 _____ () C:\Users\denver\AppData\Roaming\Microsoft\how_to_decrypt.hta
  2022-03-30 11:47 - 2022-03-30 11:47 - 000001794 _____ () C:\Users\denver\AppData\Local\how_to_decrypt.hta
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

 

[denver]

Результат

 

[akok]

Проверьте ЛС, отправил инструкцию по расшифровке. C:\Windows\winlogin.exe, проверьте на VirusTotal сами, и дайте ссылку на результат сканирования.

 

[denver]

Запустил расшифровку. Расшифровались не все файлы. Прикрепляю нерасшифрованные файлы.

 

[Sandor]

Здравствуйте!

Второй ключ отправил вам личным сообщением.

 

[denver]

Всё расшифровалось! Спасибо Вам огромное!!!

 

[thyrex]

Вас просили еще ссылку проверки файла на Вирустотал

 

[denver]

Ссылка на virustotal

VirusTotal

VirusTotal

www.virustotal.com

 

[akok]

Удалите файл вручную, с автозагрузки я его снял.

Подготовьте лог лог SecurityCheck by glax24

Чтобы автоматически удалить все файлы и папки, созданные FRST, в том числе сам инструмент, переименуйте FRST/FRST64.exe в uninstall.exe и запустите его. Процедура требует перезагрузки