Зашифровались файлы в *.just

Добрый день.
На сервере (и только на нем) в одной из папок зашифровались все файлы в расширение *.just.
Появился файл "MESSAGE.txt" с сообщением:

"Унать стоимость декриптора можно, написав письмо на адрес:[email protected]
В теме письма укажите ваш ID:2265841110
Обращения принимаются до 18.10.2014
После 18.10.2014 любые обращения будут игнорироваться.

Письма обрабатываются автоматической системой.
Возможны задержки ответов."

Отключили физически сетевой провод, проверили все компы с помощью Веба и АВЗ, найденные несколько троянов вылечили. Логи не сохраняли. Все компы отключили.

Сегодня после включения еще на одном из компов все файлы на рабочем столе оказались зашифрованными. Касперский сразу нашел вирусы, отчет такой:

Вылечено: троянская программа Trojan-Dropper.Win32.Dorifel.ammb [From:[email protected]][Subject:Вакансия администратора][Time:2014/09/18 04:55:16]/Резюме.docx/word/embeddings/oleObject1.bin 26.09.2014 12:11:27Удалено: программа-реклама not-a-virus:HEUR:AdWare.NSIS.Zaitu.heur C:\Users\Eperevozchikova\AppData\Local\Temp\is40051056\13176642_stp\RightSurfSetup.exe 15.10.2014 18:28:05


ПОМОГИТЕ, ПОЖАЛУЙСТА!!! Каким образом можно расшифровать файлы? И каким образом найти, где он спрятался? Или это новое заражение?

P.S. После всего этого установили Malwarebytes, нашел еще вирусы, логи сканирования прикрепляю.

Уважаемый(ая) [B]Jenny-chka[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Подскажите, корректно ли отправились логи?

[url]http://virusinfo.info/pravila.html[/url]

Я вчера отправляла логи из AVZ и HiJackThis через ссылку "Прислать запрошенный карантин". Про них и спрашивала, прикрепились ли. Вкладываю их в сообщение.

Уточнение по прошлому сообщению: файл MESSAGE.TXT (с контактами для покупки дешефратора) размещен во всех папках, дата создания 15.10.14, т. е. ДО проверки, а не после, как я думала.

И еще: через поиск нахожу ВСЕ эти файлы MESSAGE.TXT, удаляю, но они тут же появляются вновь. В папке Temp постоянно появляются одни и те же папки с названиями в виде набора букв и цифр. Подскажите, как это всё почистить?

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Windows\system32\drivers\wStLibG.sys','');
QuarantineFile('C:\Windows\system32\drivers\wStLib.sys','');
DeleteService('wStLibG');
DeleteService('wStLib');
QuarantineFile('C:\Program Files\RightSurf\updateRightSurf.exe','');
DeleteService('Update RightSurf');
DeleteFile('C:\Program Files\RightSurf\updateRightSurf.exe','32');
DeleteFile('C:\Windows\system32\drivers\wStLib.sys','32');
DeleteFile('C:\Windows\system32\drivers\wStLibG.sys','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]

Прикрепляю лог

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Не указала при сканировании поиск руткитов.
Прикрепляю еще один файл.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

от Касперского пришел ответ:

"wssfcmai.exe - not-a-virus:Monitor.Win32.LA.a
Этот файл уже детектируется нашими расширенными базами как потенциально опасное программное обеспечение.
С уважением, Лаборатория Касперского"

Но Каспер был включен, когда появился вирус!

Сегодня Касперский ругается на исполняемый файл Outlook.exe, пишет, что он был изменен с момента последней проверки.
Можно ли разрешать ему сетевую активность?
Имя процесса: Outlook.exe
ID процесса: 1584
Производитель: Microsoft Corporation
Версия: 14.0.4760.1000

Разрешайте

С расшифровкой не поможем

Расшифровка не нужна - восстановили их бэкапа. Важно, чтобы эта гадость нигде не спряталась и не проявилась потом вновь.

На будущее: плодить темы на разных форумах не стоит

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]