Файлы запаролены wunrar-ом

Добрый день!

Хочу попросить о помощи.
Я читал правила оформления запроса, но не уверен что мой случай требует предоставления всех отчётов тестирующих программ.

Суть проблемы.

На сервер был вход по RDP через подбор паролей и были выборочно запоролены winrar-ом архив баз данных 1С, бэкапы 1С и некоторые конфигурационные файлы.
Рядом с одним из запороленных архивов лежит файл "ВАЖНО!!!!!!!!!!!!!.txt" с требованием оплатить некую сумму через биткоин.

Судя по тому что что файлы были заархивированы выборочно, на вирус или троян это не похоже.

Прошу проконсультировать по решению проблемы.

Спасибо!

Уважаемый(ая) [B]Egenius[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[QUOTE]Судя по тому что что файлы были заархивированы выборочно, на вирус или троян это не похоже.
[/QUOTE]
Если пароль более 8 знаков, то без помощи злодеев не вернете свои файлы обратно.

[QUOTE]Я читал правила оформления запроса, но не уверен что мой случай требует предоставления всех отчётов тестирующих программ.[/QUOTE]
А где гарантия того, что не оставили заглушку?

[QUOTE=mike 1;1394942]Если пароль более 8 знаков, то без помощи злодеев не вернете свои файлы обратно.


А где гарантия того, что не оставили заглушку?[/QUOTE]


Т.е. Вы советуете провести проверку на вирусы и предоставить отчёты AVZ и [B][URL="http://sourceforge.net/projects/hjt/"]HiJackThis[/URL] ?[/B]

Ну наверное. На сервере могли например Backdoor оставить. Знаете как работает Backdoor?

Да.
Соберу логи и выложу в ближайшее время.

Ждем.

Касперский ничего не обнаружил.

Логи AVZ и HiJackThis во вложении.

[LIST=1][*]Скачайте [B][URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL][/B] (uVS)[*]Извлеките uVS из [I]архива[/I] или из [I]zip-папки[/I]. Откройте папку с UVS и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт [B]"Запустить под текущим пользователем"[/B].[*]Выберите меню [B]"Файл"[/B] => [B]"Сохранить полный образ автозапуска"[/B]. Программа предложит вам указать место сохранения лога в формате [B]"имя_компьютера_дата_сканирования"[/B]. Лог необходимо сохранить на рабочем столе.
[INDENT][SIZE="1"][B]!!!Внимание.[/B] Если у вас установлены архиваторы [B]WinRAR[/B] или [B]7-Zip[/B], то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.[/SIZE][/INDENT][*]Дождитесь окончания работы программы и прикрепите лог к посту в теме.
[INDENT][SIZE="1"][B]!!! Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [B]Windows XP[/B] так и есть. В [B]Windows Vista[/B] и [B]Windows 7[/B] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [B]Запуск от имени Администратора[/B], при необходимости укажите пароль администратора и нажмите [B]"Да"[/B].[/SIZE][/INDENT][*][/LIST]

Файл лога во вложении.

[QUOTE]Полное имя C:\USERS\IUSR_TEMPLATE\DESKTOP\IPTS_82839\IPTS.EXE
Имя файла IPTS.EXE
Тек. статус ?ВИРУС? ПОДОЗРИТЕЛЬНЫЙ в автозапуске [Запускался неявно или вручную]

[url]www.virustotal.com[/url] 2016-07-31 [2016-07-14 12:12:25 UTC (2 недель, 3 дней назад)]
- Файл был чист на момент проверки.

Удовлетворяет критериям
CURRENTVERSION.RUN (ССЫЛКА ~ \CURRENTVERSION\RUN\)(1) AND (ЦИФР. ПОДПИСЬ !~ ДЕЙСТВИТЕЛЬНА)(1) [auto (0)]

Сохраненная информация на момент создания образа
Статус в автозапуске [Запускался неявно или вручную]
File_Id 5785D4E610E000
Linker 14.0
Размер 1072640 байт
Создан 13.07.2016 в 07:43:02
Изменен 26.07.2016 в 12:37:31

TimeStamp 13.07.2016 в 05:43:02
EntryPoint +
OS Version 5.0
Subsystem Windows graphical user interface (GUI) subsystem
IMAGE_FILE_DLL -
IMAGE_FILE_EXECUTABLE_IMAGE +
Оригинальное имя IPTS.EXE
Тип файла 32-х битный ИСПОЛНЯЕМЫЙ
Цифр. подпись Отсутствует либо ее не удалось проверить

Оригинальное имя ipts.exe
Версия файла 2016.7.13.23
Версия продукта 6.0.1.23
Описание Traffic Spirit
Продукт Traffic Spirit
Copyright Copyright 2016 Spiritsoft All Rights Reserved.
Производитель Spiritsoft
Комментарий Traffic Spirit(23)

Доп. информация на момент обновления списка
SHA1 B5583932FFD14AD70D2D3B57C18C16BCAB59FFAD
MD5 D99FB4AB26322C8DD433CE3C85B5075A

Ссылки на объект
Ссылка HKLM\udhsypyib\Software\Microsoft\Windows\CurrentVersion\Run\ipts
ipts C:\Users\IUSR_TEMPLATE\Desktop\ipts_82839\ipts.exe -h
SHORTCUT C:\USERS\IUSR_TEMPLATE\DESKTOP\IPTS - ЯРЛЫК.LNK

[/QUOTE]

Это ваше?

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url]

[code]
;uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
breg

zoo %SystemDrive%\INSTALL\DESKTOP\DESKTOP LOCKER\DESKTOP LOCKER.EXE
delall %SystemDrive%\INSTALL\DESKTOP\DESKTOP LOCKER\DESKTOP LOCKER.EXE
dirzooex %SystemDrive%\USERS\IUSR_TEMPLATE\DESKTOP\DESKTOP LOCKER
deldir %SystemDrive%\USERS\IUSR_TEMPLATE\DESKTOP\DESKTOP LOCKER
czoo
[/code]

После выполнения скрипта в папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "[b]Прислать запрошенный карантин[/b]" над над первым сообщением в теме.

Сделайте новый лог uVS.

Файл не наш, находится в папке пользователя, под которым предположительно был выполнен взлом сервера.
Карантин выслал.
Лог добавить не могу, т.к. исчерпан лимит вложений.
Как можно удалить ненужные файлы в "Управление вложениями" ?

[QUOTE]Как можно удалить ненужные файлы в "Управление вложениями" ?[/QUOTE]
Мой кабинет => Вложения

Спасибо !
Лог во вложении.

Папку C:\USERS\IUSR_TEMPLATE\DESKTOP\IPTS_82839 удалите. В остальном порядок. Незнакомые учетные записи на сервере удаляйте или отключайте. Стандартный порт RDP меняйте на другой. Ставьте обновления на сервер. Настройте ограничения по подключению по RDP в пределах локальной сети. Используйте более стойкие пароли на учетных записях.

Спасибо!

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]