на всякий P.S. Пишу сюда, так как в профильном разделе система не дает создать тему без логов Автологгера. Проги качать не хочу, мне не нужно лечение, просто ответьте по скриншоту, что это было

Нужна помощь! Зашифровали сервер и рабочие станции. 
на сервере весит на черном экране написать на телеграмм begood327 и ввод пароля. Раздел С на диске зашифрован. На одном компьютере шифровка не сработала и антивирус Касперского отправил в карантин mesh.exe. Программа Diskcryptor видит зашифрованный диск и просит пароль для расшифровки. Подскажите кто сталкивался с таким что делать? Бэкапов нет 

антивирус Касперского куплен и был установлен на все компьютеры 

Телефон, Cubot KingKong X, Android 14. Антивирус, бесплатный Kaspersky для Android из Play Маркета, всегда обновляю, так что версия самая свежая (точный номер не смотрел).

Что происходит по порядку:
- Пользуюсь телефоном около двух лет, раньше всё было нормально, Касперский изредка что-то находил и вычищал.
- Примерно неделю назад началось: при запуске приложений стали выскакивать рекламные баннеры, закрываются с трудом.
- Заодно на телефон само собой лезет какое-то странное приложение «Система Android», Касперский блокирует его как троян (HEUR:Trojan-Proxy.AndroidOS.Vo1d.b), но оно появляется снова и снова.
- Ещё проверил телефон программой Dr.Web, она нашла Android.Triada.6320 в системном файле /system/lib64/libandroid_runtime.so.

Погуглил, пишут, что это какой-то серьёзный вирус в самой прошивке и обычным сбросом не убирается. Но я в этом не разбираюсь, поэтому и пишу сюда.

За аккаунты уже не переживаю, пароли и двухфакторку сменил с другого, чистого устройства. Остался вопрос по самому телефону:

1. Что это вообще такое и насколько опасно (кроме рекламы)?
2. Как это убрать и реально ли вообще?
3. Поможет ли сброс до заводских настроек, или бесполезно?
4. Можно ли потом спокойно пользоваться телефоном, держать банки, Госуслуги, или лучше не рисковать?

Скрин с тем, что нашёл Касперский, прикладываю. Готов сделать что скажете, даже что-то сложное, если объясните по шагам.

Заранее спасибо!

upd: я удаляю если Касперский меня просит об этом, только почти в ту же секунду/минуту она появляется в предупреждениях, может вообще в рандомное время это сделать, никаких закономерностей.

*****@*****.tld-CL 1.3.0.0.id-LMNNOOPQQRSSSTUUVWWWXXYZAABBBCDDEFFF-29.05.2016 21@*****@*****.tld

Так выглядит полное название одного из зашифрованного файла

В настройках расширений хром есть надпись "этим браузером управляет ваша организация".

Также в хром есть политика, которую я не устанавливал (во всяком случае не помню этого).

После смены пароля google аккаунта и выхода на всех устройствах - сообщение пропало.

Проверка антивирусом Касперского результатов не дала. Хром на всякий случай удалил. 

Что это может быть?

В основном тут появляется, но могут и другие файлы заражаться. После удаления опять появляется. Особенно если видимо подключить съёмные носители, где есть вирус.

Тип: Вирус
Название: Virus.Win32.Renamer.j
Точность: Точно
Степень угрозы: Высокая
Тип объекта: Файл
Имя объекта: Ground.exe
Путь к объекту: C:\Users\Дмитрий\AppData\Roaming
MD5 объекта: 0E54CD5BF552F73867A28525921CAD0F

Есть какие то специализированные утилиты для борьбы с это заразой ?  Обычная версия антивирусной программы не очень то помогает. Слишком много всего находит, что не нужно удалять.

Хорошо бы если сделали утилиту именно под этот вирус, чтобы проверяло и не позволяло распространяться. И искало всё файлы начинающиеся на G, особенно если есть такой же файл, но без буквы G впереди и проверяло что внутри файла.  Остальное бы ничего не проверяло.

Вроде бы вирус старый и простой, но Антивирусы, в том числе Касперского с ним не справляются...

В разделе "Защита от эксплоитов" каждый день получаю сообщение об обнаружении этого вредоносного объекта на системном приожении svchost. Сканирование системы выявило 10 файлов с подписью not-a-virus. 

Событие: Запрещено
Приложение: Host Process for Windows Services
Пользователь: NT AUTHORITY\СИСТЕМА
Тип пользователя: Системный пользователь
Компонент: Защита от эксплойтов
Описание результата: Запрещено
Тип: Троянское приложение
Название: PDM:Exploit.Win32.Generic

Собрал трейс-файлы (логи). Могу ли я их вам отправить?

Путь к объекту - C:\Recovery\Customizations\FactoryApps.ppkg//ICB\0\MachineSpecific\File\C$\SWSetup\APP\Applications\HP\Win10Welc_NN4RB2\1.0.502.733\src. Но проводник такой путь не находит.

Как быть?

Мои файлы зашифрованы программой-вымогателем. Прошу помочь точно определить 
вариант и найти дешифратор, если он существует.

**Подробности заражения:**
- Добавленное расширение: .061117da4e327cac
- Затронутые файлы: .pdf, .docx, .dwg, .xlsx (всего 4 файла)
- Файл с требованием выкупа: выкуп.txt
- Содержание записки: "For data recovery, contacts us via Telegram Messenger @rahja1001"

**Идентификация:**
- HEX-анализ конца зашифрованного файла содержит строку: GENIELOCK
- Это указывает на семейство вымогателя GenieLocker
- Проверено на NoMoreRansom.org — дешифратора нет
- Резервные копии тоже зашифрованы

**Первые 64 байта зашифрованного файла:**
6E 13 16 0D C5 E0 44 52 22 D8 33 00 B3 DE 49 3A 
1C F1 6B A6 EB 20 68 70 A9 F5 A6 88 D8 D5 15 CE 
EC 5B A8 9C F4 05 5F CE 54 1D EE 60 5A ED 69 D4 
BF 1C A6 9A FF 1F 26 F9 CA 6B B2 7B 2D FB 2D 40

**Последние 64 байта зашифрованного файла:**
95 19 27 E7 A8 6D 0C E8 F1 BF C8 4F 52 E2 51 C4 
5C A3 F1 9A 5E C9 A6 CB 85 7B 45 85 9E DC DC D2 
5A 29 2F 18 DB 31 C0 2E C1 84 70 F5 78 3C 29 B7 
00 00 00 30 01 00 00 47 45 4E 49 45 4C 4F 43 4B

Буду очень благодарен за любую помощь в определении точного варианта и 
наличия дешифратора. Платить выкуп я не планирую.

Так же сообщаю что на компьютерах и серверах был установлен антивирус Касперского KES

Спасибо.
 

Good news for you:

   1) We can restore your entire system.
   2) We are not interested in publishing your information.
   3) Our motivation is purely financial.
   4) We are open to negotiations.
   5) We are ready to maintain complete confidentiality of this incident.

Let's explain the further steps in the situation:

    You can seek help from authorities - unfortunately, this path will not lead to a constructive resolution of the situation. 
        They will not assist you with decryption, seize your servers for OPsec, and your company's operations will be halted.
        Subsequently, the date will be disclosed, leading to fines, legal actions, and reputational damage.
    OR
    You initiate negotiations with us, and we reach a mutually beneficial and constructive solution for both parties.
        You pay a specified amount and receive the full decryption, support throughout the decryption process, 
        proofs that all information on our servers has been deleted, and a guarantee that it will never resurface, 
        ensuring no one learns about this incident.

To confirm our honest intentions.Send 2 different random files and you will get it decrypted.
It can be from different computers on your network to be sure that one key decrypts everything.
2 files we unlock for free 

To initiate negotiations, please write us a message to our telegram

Telegram : https: //t.me/ ADFScorp

If you do not receive a response within 24 hours, please send us an email.

Mail : *****@*****.tld

There will be no bad news for your company after successful negotiations for both sides. But there will be plenty of those bad news if case of failed negotiations, so don’t think about how to avoid it.

Just focus on negotiations, payment and decryption to make all of your problems solved by our specialists within 1 day after payment received: servers and data restored, everything will work good as new.

If you contact us after 72 hours of the incident, the initial price will increase, so contact us soon.

Сам файл https://drive.google.com/file/d/1wpHqp1pG-iEP8kUvuj4TohcfBD4QIBtx/view?usp=drive_link

Вирус-шифровальщик все файлы зашифровал. В конце каждого файла расширение .m6i7V6Glr .Прикладываю содержимое файла-требования его имя m6i7V6Glr.README.txt .

Не могу понять, чем зашифрованы файлы и как их расшифровать. Crypto sheriff показывает что это "Lockbit 3.0" или"BlackBasta", но локбит утилита не может проверить по ID так как требуется 16 символов, а в файле-требовании ID какой-то странный и он 15 символов всего. А для блекбаста вообще ничего не смог найти.

2. Kaspersky Total Security 21.24(неактивен)

Здравствуйте. Я веду небольшой блог по прохождению известных и малоизвестных игр. В связи с этим мне пишут некоторые разработчики со своими проектами. На этой почве ко мне втерлись в доверие хакеры. Они отправили мне батник с установкой непонятно чего, после запуска которого, как заверил главный мошенник происходят необратимые изменения в самом UEFI материнки. Почитал на сайтах, способа 2- перепрошить материнку программатором, либо купить новую. Денег нет совсем. Мошенники обещали "таблетку" за доступ к тг каналу и чату. Прилагаю код инсталлера и приложу все что попросите, увы сам Фаил вируса не дает прикрепить( скачать безопасно, не безопасно запускать installer) для изучения. Заплачу чем смогу, если кто-то реально объяснит проблему и напишет свою таблетку. Windows 10. Пиратка.

Прилагаю скриншоты самого вируса и автозапуска в диспетчере задач(только фото есть, извините, пришлось на время решения проблемы лишить хакеров доступа к моему компу и отключить интернет)

Текст батника-инсталлера:

Пожалуйста, кто-нибудь ответьте или посоветуйте к кому конкретно лучше обратиться, боюсь тут мне не помогут

Kaspersky Free блокирует собранный exe'ник (1.png)

На Virus Total возмущается только Касперский (2.png)

На Kaspersky Threat Intelligence Portal считает безопасным (3/png)

Приложил бы сам exe'еик, но ведь низзя. Скачать можно по ссылке https://disk.yandex.ru/d/9UMHf-jEsHLRzg. Исходный текст программки.

// Игра "23 спички"

#include <iostream>

int main()
{
	int matches = 23;
	std::cout << "There are " << matches << " matches on the table\n";
	while (matches > 0)
	{
		int move;
		do
		{
			std::cout << "How many matches will you take? ";
			std::cin >> move;
		} while (move<1 || move>matches || move > 3);
		matches -= move;
		std::cout << "You took " << move << ", there are " << matches << " matches left\n";
		if (matches == 0)
		{
			std::cout << "You lost";
			break;
		}
		move = (matches - 1) % 4;
		if (move == 0)move = 1;
		matches -= move;
		std::cout << "I take " << move << ", there are " << matches << " matches left\n";
		if (matches == 0)
		{
			std::cout << "You won";
			break;
		}
	}
}

Вирус похоже отобрал права администратора, закрывает папки, диспетчер задач и браузер если в обычном режиме загрузки пытаюсь найти его. 

причем  заходили с токента,,без запроса на вход

Примеры:

Принтер.docx.elpy-wVOhPhtsgHasQjUuxK2CZylS3H2vq3g8j11gqTs-IC8

3V Sigma_ADD_2022 New.pdf.elpy-wVOhPhtsgHasQjUuxK2CZylS3H2vq3g8j11gqTs-IC8

В файле DECRYPT_FILES.txt содержится информация:

Hello my dear friend (Do not scan the files with antivirus in any case. In case of data loss, the consequences are yours)
Your data is encrypted
Your decryption ID is wVOhPhtsgHasQjUuxK2CZylS3H2vq3g8j11gqTs-IC8*elpy-wVOhPhtsgHasQjUuxK2CZylS3H2vq3g8j11gqTs-IC8
Unfortunately for you, a major IT security weakness left you open to attack, your files have been encrypted
The only method of recovering files is to purchase decrypt tool and unique key for you.
If you want to recover your files, write us
1) eMail - *****@*****.tld
2) Telegram - @DataSupport911 or https: //t.me/DataSupport911

Attention!

Do not rename encrypted files. 
Do not try to decrypt your data using third party software - it may cause permanent data loss. 
We are always ready to cooperate and find the best way to solve your problem. 
The faster you write - the more favorable conditions will be for you. 
Our company values its reputation. We give all guarantees of your files decryption.

Подскажите как бороться с этим шифровальщиком?

Сегодня ночью подверглись атаке шифровальщика. Разрушил всё! Начиная с файлов (частично) заканчивая бекапами и базами данных, а так же виртуальные машины. Просьба написать, какие данные скинуть для анализа, возможно уже был похожий кейс. А, и ещё, в организации нашей установлен корпоративный Касперский.