Зашифровало все файлы на расширение [email protected] [Trojan-Ransom.Win32.Agent.ioh ]

Доброго дня!
На сервере зашифровало все файлы (включая бекап архивы акрониса .tib) на расширение [email protected].
Некоторые на расширение [email protected].
Сообщение в текстовом файле:
DECRYPT FILES EMAIL [email][email protected][/email] or [email][email protected][/email]


Пример зашифрованного файла:
[url]https://yadi.sk/d/POziSuI0rMN5q[/url]
[url]https://yadi.sk/d/jLeM74CSrMNGG[/url]
[url]https://yadi.sk/d/L-5ThIvvrMPLh[/url]

Прикрепляю изображение и текстовый файл с сообщением.
Есть вероятный виновник торжества (payload.exe). Могу выслать в архиве.

Уважаемый(ая) [B]abc.exe[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[quote="abc.exe;1378585"]Есть вероятный виновник торжества (payload.exe).[/quote]Заархивируйте с паролем virus (в имени архива не должно быть символов кириллицы) и пришлите по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] [B]над первым сообщением[/B] в данной теме.

[QUOTE=thyrex;1378649]Заархивируйте с паролем virus (в имени архива не должно быть символов кириллицы) и пришлите по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] [B]над первым сообщением[/B] в данной теме.[/QUOTE]

Сделано.

Однако умудрились два вируса сразу отхватить. Запустили их прямо на сервере или кто-то из локальных пользователей постарался?

[QUOTE=thyrex;1378659]Однако умудрились два вируса сразу отхватить. Запустили их прямо на сервере или кто-то из локальных пользователей постарался?[/QUOTE]
Зашифровало ещё несколько ПК в локальной сети. У кого-то весь диск, кого-то только раздел, у кого-то только папку на шаре. Подозреваю, что хватанули прямо на сервере. Хотя не исключено что и на локальном пк и на сервере это было запущено.

Скорее всего кто-то из локальных запустил.

Нужно найти среди всех шифрованных файлов с десяток первых по времени шифрования. Скорее всего это и будет компьютер-первоисточник. Найденные файлы одним архивом выложите на Яндекс диск и пришлите ссылку

[QUOTE=thyrex;1378665]Скорее всего кто-то из локальных запустил.

Нужно найти среди всех шифрованных файлов с десяток первых по времени шифрования. Скорее всего это и будет компьютер-первоисточник. Найденные файлы одним архивом выложите на Яндекс диск и пришлите ссылку[/QUOTE]
Закрывайте тему. Переустановили всё с нуля и усилили меры безопасности. Благо, эта зараза не умеет шифровать sql файлы. А это было самое важное в принципе. Восстановили и всё ок. Интересует вот что: как или во что бекапить файлы, чтобы они не могли поддаться шифровке?А то я смотрю .tib архивы акрониса шифровать они уже умеют.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \payload.exe - [B]Trojan-Ransom.Win32.Agent.ioh[/B] ( BitDefender: Gen:Variant.Razy.37560, AVAST4: Win32:Malware-gen )[/LIST][/LIST]