Решена с расшифровкой. Помогите пожалуйста в расшифровке после hopeandhonest@smime.ninja

[kekovk]

Сервер был зашифрован ещё в марте 2022 года, сразу передали человеку который ранее расшифровал другой сервер, но с этим очень затянул, а в итоге и не получилось расшифровать, поэтому только сейчас обращаюсь. Как он заявлял запускал какой то алгоритм дешифровки поэтому не могу сказать точно что именно он делал с сервером и файлами
Системный диск был перенесён на другой пк, но как основной, а не дополнительный, запустил и сканировал на актуальной системе, система не переустанавливалась и антивирусом не сканировалась.

 

[akok]

Ваши файлы. Посмотрю логи и подготовлю инструкцию по расшифровке.

 

[akok]

Все ли администраторы ваши? Смените пароли на RDP
RuslanDir (S-1-5-21-3072145850-1412498129-3986016805-1015 - Limited - Enabled)
saidamoscow (S-1-5-21-3072145850-1412498129-3986016805-1005 - Limited - Enabled) => C:\Users\saidamoscow
set (S-1-5-21-3072145850-1412498129-3986016805-1017 - Administrator - Enabled) => C:\Users\set
Shamil (S-1-5-21-3072145850-1412498129-3986016805-1016 - Administrator - Enabled)
АдминистраторPhoto (S-1-5-21-3072145850-1412498129-3986016805-500 - Administrator - Enabled) => C:\Users\Администратор

Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  SystemRestore: On
  CreateRestorePoint:
  HKU\S-1-5-21-3072145850-1412498129-3986016805-1017\...\Run: [1055E494-1F5627E8hta] => C:\Users\set\AppData\Local\Temp\how_to_decrypt.hta [1794 2022-03-18] () [Файл не подписан] <==== ВНИМАНИЕ
  Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-03-18] () [Файл не подписан]
  Startup: C:\Users\saidamoscow\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-03-18] () [Файл не подписан]
  Startup: C:\Users\set\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-03-18] () [Файл не подписан]
  Startup: C:\Users\Администратор\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\how_to_decrypt.hta [2022-03-18] () [Файл не подписан]
  2022-03-18 16:50 - 2022-03-18 16:50 - 000001794 _____ () C:\Program Files\how_to_decrypt.hta
  2022-03-18 16:50 - 2022-03-18 16:50 - 000001794 _____ () C:\Program Files (x86)\how_to_decrypt.hta
  2022-03-18 16:50 - 2022-03-18 16:50 - 000001794 _____ () C:\Program Files\Common Files\how_to_decrypt.hta
  2022-03-18 16:50 - 2022-03-18 16:50 - 000001794 _____ () C:\Program Files (x86)\Common Files\how_to_decrypt.hta
  2022-03-18 16:55 - 2022-03-18 16:55 - 000001794 _____ () C:\Users\Администратор\AppData\Roaming\how_to_decrypt.hta
  2022-03-18 16:55 - 2022-03-18 16:55 - 000001794 _____ () C:\Users\Администратор\AppData\Roaming\Microsoft\how_to_decrypt.hta
  2022-03-18 16:54 - 2022-03-18 16:54 - 000001794 _____ () C:\Users\Администратор\AppData\Local\how_to_decrypt.hta
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Сервер перезагрузите вручную.

Подробнее читайте в этом руководстве.

 

[akok]

Инструкцию отправил в личные сообщения.

 

[kekovk]

у неизвестного мне пользователя set на рабочем столе нашёл экзешник, возможный файл вируса и там же Clearlock.ini файл, так же скинул файлы которые не расшифровались, и фикс лог

 

[thyrex]

Ключ отправил.

Найденный файл и есть шифратор. Из-под этого пользователя и шифровали, кстати.

 

[kekovk]

вторым ключом необходимые файлы тоже удалось расшифровать, а сейчас самый важный диск с актуальными документами и базами 1С остался у человека который пытался расшифровать сервер, он болеет поэтому в течении недели постарается вернуть диск, потом только я смогу отправить другие файлы если их не получится расшифровать, восстанавливать систему не будем, так как уже завели сервер на других дисках, просто перекинем необходимые файлы.
как я понял расшифрованные файлы можно спокойно перекинуть на актуальный сервер или при их запуске есть вероятность повторной шифровки?

 

[thyrex]

Повторно шифроваться ничего не будет.

 

[akok]

Если вас повторно не взломают )

 

[kekovk]

Наконец забрал диск с актуальными данными, скинул файлы которые не расшифровались двумя предыдущими ключами

 

[Sandor]

Проверьте ЛС.

 

[kekovk]

Спасибо, 3-й ключ расшифровал, но часть, скидываю файлы которые не расшифровались

 

[Sandor]

Отправил.

 

[kekovk]

Диск расшифрован полностью, большое спасибо всей команде Safezone.

 

[Sandor]

Возьмите на заметку - Рекомендации после удаления вредоносного ПО
Удачи!

 

[kekovk]

Ознакомлюсь, спасибо и вам

 

[kekovk]

ещё раз спасибо всей команде Safezone!