Запустили шифратор. Теперь все документы с расширением . cbf

Доброго дня.

Вчера, мои горе бухгалтера получили письмо следующего содержания.
*********************
From: autoFNS [mailto:[email protected]]
Sent: Thursday, December 24, 2015 6:56 PM
Subject: письмо ФНС

Письмо из ФНС от 24.12.2015 России

Уведомляем Вас о плане выездных проверок на январь 2016 года, протокол проверки в прикреплении.


Это сообщение создано автоматической системой и не требует ответа.
С уважением к Вам, ФНС России
*********************

Во вложении был файл. [URL="удалено"]протокол проверки.rar[/URL]


Они его разархивировали, их не смутил EXE-шник, запустили. Ничего не изменилось. Скинули на другой комп, там запустили, вроде тоже не запускается. На третий.... Когда я дослушал этот спич, по телефону, думал прибью их.
Таким образом, у меня три компа разной степени зашифровки. Благо послушались и выдернули из розеток.

На C:\Program Files\1C\ создаются (скачиваются???) файлики [URL="http://файлообменник.рф/o4kwle1y75uz.html"]засунул их в архив [/URL]
В автозапуске появился запуск C:\Program Files\1C\проверка.ехе. Лицензионный касперский его успешно профукал.

Теперь результат, все doc, xls, jpg, mp3 имеют вид примерно такой [email][email protected][/email]-CL 1.2.0.0.id-BAFITQLBNIVQEKQWUHGEVUTZIHNMOULKTVUT-25.12.2015 [email]13@[email protected][/email]

Очень нужна ваша помощь. Так-как пострадавшие гл.бух, зам.гл.бух, секретарь.

[COLOR=#333333]логи прикладываю.

[/COLOR]

Уважаемый(ая) [B]SemT[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Ну что я могу сказать, Ваши горемыки лишили себя части зарплаты. Ибо обращаться придется к злодеям и платить за ключ для каждого отдельного компьютера.
С расшифровкой не можем помочь. Можем только дочистить следы


Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглаше-ния с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запуще-на программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, и его тоже прикрепите в следующем сообщении.

Вот логи FRST

Все, что появилось в папках C:\Program Files\1C на всех трех компьютерах, удалите вручную. Это все-равно ничем не поможет для расшифровки

По несколько зашифрованных файлов (желательно документов Word) с каждого компьютера пришлите в мою коллекцию

В первом топике, файл прикреплен, [URL="http://файлообменник.рф/pjx838z8d28q.html"]дублирую[/URL]. остальные позже

[QUOTE]Лицензионный касперский его успешно профукал.[/QUOTE]
Конечно профукал. Ведь у кого-то установлено старье, которое уже снято с поддержки.

Вывод: виноват админ и сотрудник, который запустил шифровальщик. Вычет денежных средств на покупку дешифратора нужно делать из зарплаты админа, т.к. он отвечает за безопасность локальной сети.