Помогите расшифровать файты "Encrypted by Blackbit"

Здравствуйте.
Зашифровались файлы, не запускаются программы, при попытке входа под всеми пользователями, кроме дефолтного "Администратор", появляется сообщение о том, что все файлы защифрованы(скриншот прикрепляю).
Операционная система Windows Server 2008 R2 с ролями "Контроллер домена и сервер терминалов"(знаю, что так делать нельзя, но нстраивал не я, мне такое досталось). Заражение началось ориентировочо 24.09.2022 около 00:10:01.
Выполнялись резервные копии программой Acronis Backup 11.7 - резервные копии тоже зашифрованы. Так же делались копии в зону безопасности Acronis, но их сохранность проверить не могу, так как сам Acronis тоже зашифрован. Можно ли по новой установить его на сервере, чтобы проверить?
Логи, согласно инструкции прикрепляю.
[ATTACH=CONFIG]687499[/ATTACH]

Уважаемый(ая) [B]C-S[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[QUOTE=Info_bot;1525677]Уважаемый(ая) [B]C-S[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].[/QUOTE]

Спасибо, жду.
Логи предоставил, готов оформить платную подписку.

Здравствуйте!

2-3 зашифрованных документа вместе с запиской Restore-My-Files.txt упакуйте в архив и прикрепите к следующему сообщению.

Цитировать полностью предыдущее сообщение не нужно, пишите в поле быстрого ответа внизу.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[quote="C-S;1525676"]сам Acronis тоже зашифрован[/quote]
Его можно запустить с какого-нибудь LiveCD.

Архив прикрепляю.

P.S.: Хочу оформить платную подписку для создания темы в разделе "Помогите +", но не понимаю, как оплатить сервис картой. Попадаю на страницу оплаты через PayPal, а что делать дальше - непонятно.
Как это правильно делается?
И имеет и смысл оформлять ее в моем случае?

[QUOTE=C-S;1525682]Как это правильно делается?
И имеет и смысл оформлять ее в моем случае?[/QUOTE]

Технически для граждан РФ это сейчас невозможно.
И в Вашем случае расшифровки, скорее всего нет.

Подтверждаю, вымогатель - вариант Loki Locker, расшифровки нет.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Если планируете чистить систему с нашей помощью, дополнительно:
Скачайте [URL="https://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] (или с [url=https://www.geekstogo.com/forum/files/file/435-frst-farbar-recovery-scan-tool/]зеркала[/url]) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите [B]Да[/B] для соглашения с предупреждением.

Нажмите кнопку [B]Сканировать[/B] ([B]Scan[/B]).
После окончания сканирования будут созданы отчеты [B]FRST.txt[/B] и [B]Addition.txt[/B] в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Здравствуйте.
Понял, спасибо.
В итоге я восстановил самые важные данные и системный раздел из зоны безопасности Acronis, загрузившись из образа восстановления Acronis. Восстановление системного раздела прервалось с ошибкой на 95 процентах, но система загружается и работает.
На текущий момент основной функционал восстановлен.
Установил на сервер Kespersky Endpoint Security 11.10, проверка выявила несколько подозрительных файлов:
[B]C:\Users\post\AppData\Roaming\pr_c.exe
C:\Windows\System32\xmrig\gup.exe
C:\Windows\System32\xmrig\daystart.cmd
C:\Windows\System32\xmrig\nightstart.cmd[/B]

Но все они существуют достаточно давно, с 20.03.2022 и вряд ли связаны с произошедшим.
Скрипты [B]daystart.cmd[/B] и [B]nightstart.cmd[/B] выглядят так:
[I]taskkill /F /IM gup.exe[/I]
[B]nightstart.cmd[/B] по расписанию должен запускаться каждый день в 23 часа, [B]daystart.cmd[/B] - в 7 утра и при каждом запуске системы.
Что это за [B]gup.exe[/B] - непонятно, но по факту скрипты последние два месяца не выполнялись, потому что они запускаются от имени администратора, а у него я сменил пароль и в задания его не вводил, потому что не знал об их существовании.

Система Windows Server 2008 R2, наружу открыт нестандартный порт, запросы на который роутер перенаправляет на RDP сервера. Для ввода логина и пароля используется проверка на уровне сети(не появляется приветственное окно, в котором можно увидеть версию сервера).
Я подозреваю, что было использовано что-то из этого - RDP наружу + старая версия Windows без актуальных обновлений + отсутствие антивируса.
Можно ли по логам сканирования AVZ как-то понять, что явилось причиной шифрования и какую уязвимость использовали?
[ATTACH=CONFIG]687502[/ATTACH]

[url="https://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ из папки Autologger\AV\av_z.exe[/url]:[code]begin
ExecuteFile('wevtutil.exe', 'epl System system.evtx', 0, 200000, false);
ExecuteFile('wevtutil.exe', 'epl Application Application.evtx', 0, 200000, false);
ExecuteFile('wevtutil.exe', 'epl Security Security.evtx', 0, 200000, false);
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -t7z -sdel -mx9 -m0=lzma:lp=1:lc=0:d=64m Events.7z *.evtx', 1, 300000, false);
ExitAVZ;
end.[/code]
В папке с AVZ появится архив [B]Events.7z[/B], загрузите его в доступное облачное хранилище или на файлообменник без капчи и дайте ссылку в теме.

Уточните пожалуйста, для чего нужно выполнить этот скрипт?
Имеет ли смысл его делать при условии, что раздела с зараженной системой больше нет? Я восстановил системный раздел из резервной копии от 21 числа, а заражение произошло в ночь с 23 на 24 число, когда ситсема вероятно еще не была заражена.
На время выполнения скрипта отключать антивирус? Система будет перезагружена после его выполнения?

Если так, то смысла нет. Это просто сбор системных журналов.
Отключайте доступ по RDP, меняйте пароли. Причину не узнаем, но 99% - взлом RDP.

Понял.
Вообще там на сервере стоит RDP Guard, который блокирует после 5 неудачных попыток подключения, но все равно это не панацея, я понимаю.
Необходимость VPN сам понимаю.
Что примечательно - за этим роутером стоит еще один сервер, на который так же проброшен RDP(подробностей какая там ОС и защита - не знаю, это соседи) - на нем все в порядке.