[QUOTE]RP55 RP55 написал:
Task: {28A5D6E2-3727-427F-BC4E-197B719C56E1} - System32\Tasks\idsTYKIuEeScJ2 => C:\WINDOWS\system32\forfiles.exe [52224 2019-12-07] (Microsoft Windows -> Microsoft Corporation) -> /p C:\WINDOWS\system32 /m wscript.exe /c "cmd /C @FNAME ^"C:\ProgramData\KpUghsKSmazBhIVB\xKdWkBL.wsf^""[/QUOTE]

HJ можно списать после такого детекта:
O22 - Tasks: idsTYKIuEeScJ2 - C:\WINDOWS\system32\forfiles.exe /p C:\WINDOWS\system32 /m wscript.exe /c "cmd /C @FNAME ^"C:\ProgramData\KpUghsKSmazBhIVB\xKdWkBL.wsf^"" [B](sign: 'Microsoft')[/B]
Но без образа все это скучно смотреть.

[QUOTE]Дмитрий Гальцев написал:
Можете ли помочь с расшифровкой? Пример зашифрованного файла прикладываю в архиве.Буду очень очень благодарен за помощь, фото и видео очень ценны [/QUOTE]
Да, расшифровка файлов возможна. Напишите в почту [email protected]

[QUOTE]Валентин Поляков написал:
Здравствуйте! Не могли бы вы немного подробнее описать, как проявляет себя вирус?[/QUOTE]

[QUOTE]Полное имя C:\USERS\ASUS\APPDATA\LOCAL\BROWSERUPDPHENIX\BROWSERUPDPHENIX.EXE
Имя файла                   BROWSERUPDPHENIX.EXE
Тек. статус                 ?ВИРУС? ВИРУС ПОДОЗРИТЕЛЬНЫЙ в автозапуске
                           
Обнаруженные сигнатуры      
Сигнатура                   [B]Win32/Adware.Toolbar.Webalta.IG[/B] (delall) [глубина совпадения 64(64), необх. минимум 8, максимум 64] 2023-04-05
                           
www.virustotal.com          2023-09-12 12:45 [2019-12-01]
ESET-NOD32                  a variant of Win32/Adware.Toolbar.Webalta.IG
Kaspersky                   not-a-virus:HEUR:AdWare.Win32.FakeUpd.gen
BitDefender                 Gen:Variant.Razy.575883
Avast                       Win32:Adware-gen [Adw]
Emsisoft                    Gen:Variant.Razy.575883 (B)
DrWeb                       Adware.Toolbar.912
Microsoft                   BrowserModifier:Win32/Webalta
                           
Удовлетворяет критериям    
STARTPAGE.BLACK.LIST        ( ~ WEBALTA)(1) [auto (0)]
                           
Сохраненная информация      на момент создания образа
Статус                      ПОДОЗРИТЕЛЬНЫЙ в автозапуске [/QUOTE]

+[QUOTE]Полное имя C:\USERS\ASUS\APPDATA\LOCAL\PROTECTBROWSER\PROTECTBROWSER.EXE
Имя файла                   PROTECTBROWSER.EXE
Тек. статус                 ?ВИРУС? ВИРУС ПОДОЗРИТЕЛЬНЫЙ в автозапуске
                           
Обнаруженные сигнатуры      
Сигнатура                   JS.Siggen5.45720 [DrWeb] (delall) [глубина совпадения 64(64), необх. минимум 8, максимум 64] 2023-04-15
                           
www.virustotal.com          2023-10-09 04:43 [2023-03-30]
DrWeb                       JS.Siggen5.45720
K7AntiVirus                 Riskware ( 00584baa1 )
Symantec                    Trojan Horse
Kaspersky                   HEUR:Trojan.Win32.Agentb.gen
BitDefender                 Gen:Variant.Zusy.457792
Avast                       Win32:TrojanX-gen [Trj]
Emsisoft                    Gen:Variant.Zusy.457792 (B)
Microsoft                   Trojan:Win32/Malgent!MSR
                           
Сохраненная информация      на момент создания образа
Статус                      ПОДОЗРИТЕЛЬНЫЙ в автозапуске
[/QUOTE]

аналогичная тема чуть ниже в теме заражений.
https://forum.esetnod32.ru/forum6/topic17220/

[QUOTE]Добрый вечер!
Столкнулась с проблемой, в истории просмотров Ютуба появляются видео, которые я не смотрела.
Пробовала уже многое: 2 раза меняла пароль, чистила весь кэш, скидывала до дефолта весь гугл хром, удаляла и ставила заново, но зараза не отлипает.
Потом заметила также, что зараза липнет ко всем работающим браузерам.[/QUOTE]

[QUOTE]сергей кратов написал:
Просьба помочь составить fixlist для добивания майнера, проверку делал через adb и frst, антивирусами удалял, ничего не помогает так как сам немогу добить[/QUOTE]
Майнер  в системе был,
[QUOTE]Task: {B35C244E-7043-41FD-8485-874F68CDADA0} - System32\Tasks\Microsoft\Windows\MUI\WindowsUpdate => C:\Windows\SysWOW64\CompatTelRunner.exe --algo rx/0 --coin monero --url stratum+tcp://xmr-eu1.nanopool.org:14444 --user 49v2HfcBmdDdUJuN9YcsGycXenvUCDoVD7L9EiCsoaBN1sjkvQeD7eN7AeRyJtLs54E2roykbDVEUbq26SVYGZAySzhsGvS.AAA --pass x --threads 2 (Нет файла)
[/QUOTE]
но для проверки активности вредоносных программ, а так же анализа цепочки их запуска нужен образ автозапуска.

[QUOTE]Создайте образ автозапуска в uVS
http://forum.esetnod32.ru/forum9/topic2687/

( _новые логи FRST будут нужны потом )
+уточните, какие проблемы остались в системе после чистки.
[/QUOTE]
+1

По времени выходит шифрование было днем
2023-10-19 14:48 - 2023-10-19 14:48 - 000005462 _____ C:\Users\User\Desktop\info.hta
2023-10-19 14:48 - 2023-10-19 14:48 - 000000187 _____ C:\Users\User\Desktop\info.txt

Сэмплы шифровальщика скорее всего зачищены антивирусными сканерами.

С расшифровкой данных, к сожалению, не сможем помочь.
На текущий момент расшифровки в вирлабе нет. Сохраните важные зашифрованные документы на отдельный носитель,
возможно, в будущем, расшифровка станет возможной.

Судя по образу в системе уже нет активного шифровальщика. Это Filecoder.Phobos (расширение *.Elbie)
Или образ был создан под учетной записью без прав Администратора

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
(!) Не удалось открыть ключ: [Отказано в доступе. ]

HKEY_USERS\S-1-5-21-3559245007-3873300145-2388895131-1000\Software\Microsoft\Windows\CurrentVersion\Run
(!) Не удалось открыть ключ: [Отказано в доступе. ]

(!) Не удалось открыть ключ: [Отказано в доступе. ]
HKEY_USERS\S-1-5-21-3559245007-3873300145-2388895131-1003\Software\Microsoft\Windows\CurrentVersion\Run

К сожалению, по Phobos нет расшифровки без приватного ключа.

Сделайте, пожалуйста, еще логи FRST
https://forum.esetnod32.ru/forum9/topic2798/

[QUOTE]Тимофей Синицын написал:
Добрый день. Подхватили Phobos.
прикрепил лог ESETSysVulnCheck[/B] [/QUOTE]
+
Добавьте, пожалуйста, несколько зашифрованных файлов и записку о выкупе в архиве, и загрузите архив в ваше сообщение.
Если система не очищена тел шифровальщика,
сделайте образ автозапуска системы в uVS, прикрепите файл образа к вашему сообщению.
----------
по логу ESVC:

1. учетная запись ваша? создана накануне атаки.

Name,Creation date,Is enabled?,Is locked out?,Is administrator?,Has RDP access?
ROP,17.10.2023 20:25:11 (?),no,no,yes,yes

2. По параметрам политик:

Lockout threshold,Никогда ---
необходимо указывать 20-30 неверных попыток после чего учетная запись будет блокирована с целью предупреждения автоматического подбора (brute-force) пароля.

3.по антивирусам - антивирусная защита не установлена.

4. Timeline:
Datetime,Source,Event description
17.10.2023 20:25:12.464,TS - Lcl Session Man,"""ROP"" logged in from IP 89.39.107.157."
17.10.2023 20:25:11.999,Local Users,"Local user ""ROP"" was created."
17.10.2023 20:22:14.404,TS - Lcl Session Man,"""Logistika"" logged in from IP 89.39.107.157."

Возможно здесь начало атаки.
Надо сверить с датой и временем шифрования файлов.

(подобран пароль к учетной записи Logistika и создана новая учетная запись RDP c ip country:        NL)
по timeline:

Можно предположить, что шифрование было или вечером 17.10 или ночью 18.10.

Архив получил, спасибо. Проверяйте установку антивирусного продукта.

если архив получится большим > 5Мб, выложите его, пожалуйста, на облачный диск, и в почту пришлите только ссылку на скачивание.

[QUOTE]Алексей Шкель написал:
А нет там такого файла, папка ZOO есть, но в ней ничего подобного нет[/QUOTE]
да, вижу, не было в скрипте команды CZOO
zoo %SystemDrive%\PROGRAMDATA\MICROSOFT\NETWORK\CQAVUH77UZS\CHEC­KGLOBALD.BAT
вот этот файл должен быть в ZOO
или вообще эту папку вручную заархивируйте в Winrar или 7zip с паролем infected, и тогда полученный архив отправьте в почту [email protected]