Чистка компьютера от вирусов

Добрый день.
Злоумышленник взломал компьютер (скорее всего путем подбора пароля), удалил антивирус, установил свои программы (DiskCryptor + для удаленного доступа "mesh", который я уже удалил). На некоторых компьютерах в сети был найден mimikatz.
Зловред запускался периодически через планировщик задач (пока не смог найти какую именно задачу) и политику active directory (пока так же не смог найти). В результате чего компьютер в сети после включения через некоторое время подвергались шифрованию.
Прошу помочь очистить компьютер от вируса и/или его остатков.

Уважаемый(ая) [B]gygabyte[/B], спасибо за обращение на наш форум!

Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Запустите HijackThis, расположенный в папке Autologger и [url="http://virusinfo.info/showthread.php?t=4491"]пофиксите только эти строки[/url]:[code]O23 - Driver R: (no name) - C:\Windows\system32\drivers\dcrypt.sys (file missing)
O23 - Driver R: (no name) - C:\Windows\System32\Drivers\dump_dcrypt.sys (file missing)
O23 - Driver R: (no name) - C:\Windows\System32\Drivers\dump_FLTMGR.SYS (file missing)[/code]
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] или с [URL="https://www.geekstogo.com/forum/files/file/435-frst-farbar-recovery-scan-tool/"]зеркала[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите [B]Да[/B] для соглашения с предупреждением.

Нажмите кнопку [B]Сканировать[/B].

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

[url="https://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ из папки Autologger\AV\av_z.exe[/url]:[code]begin
ExecuteFile('wevtutil.exe', 'epl System system.evtx', 0, 200000, false);
ExecuteFile('wevtutil.exe', 'epl Application Application.evtx', 0, 200000, false);
ExecuteFile('wevtutil.exe', 'epl Security Security.evtx', 0, 200000, false);
ExecuteFile('wevtutil.exe', 'epl "Microsoft-Windows-Windows Defender/Operational" wd.evtx "/q:*[System [(EventID=1116)]]"', 0, 200000, false);
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -t7z -sdel -mx9 -m0=lzma:lp=1:lc=0:d=64m Events.7z *.evtx', 1, 300000, false);
ExitAVZ;
end.[/code]
В папке с AVZ появится архив [B]Events.7z[/B], загрузите его в доступное облачное хранилище или на файлообменник без капчи и дайте ссылку в теме.

Все сделал согласно инструкции
[B]Events.7z[/B] тут:
[url]https://disk.yandex.ru/d/8UhyxdiS6HzK2w[/url]

В планировщике чисто, следов зловредов не видно. В журнале безопасности ничего интересного, начинается он с 12.12.2023 - взлом, видимо, раньше был?
На контроллере домена выполните экспорт политик командой:
gpresult /v >%USERPROFILE%\desktop\policy.txt

Файл policy.txt с рабочего стола упакуйте в архив и прикрепите к сообщению.

Взлом был в ночь с 30.11 на 01.12

В политиках пусто, журнала безопасности за это время нет, так что только общие рекомендации.

Сменить всем пользователям пароли, установите сложные.
Убрать права администратора у всех пользователей, кому они действительно не необходимы, при грамотной настройке прав всем они не нужны.
Использовать нетипичные не словарные имена пользователей для доступа по RDP: Buhgalter, backup, dispetcher - это всё тривиальные варианты.
Задуматься о внедрении VPN для доступа в локальную сеть. Без этого крайне желательно ограничить доступ по RDP на маршрутизаторе по белому списку сетей, из которых соединяются удалённо.
Обновить систему на серверах и клиентских ПК.
Агент администрирования Kaspersky Security Center установлен ещё в июле, это именно средство администрирования, а собственноантивирус есть? Он как-то реагировал при взломе?

Рекомендации выполняем.
VPN сделали, ОСь уже почти везде обновили (в первую очередь на серверах), ставим защиту от подбора паролей.
У нас была программа архивации effector saver. Говорят, что из нее пароль вытащить достаточно просто (я не знаю как, может через разработчиков как-то). Так вот у этой учетки для бэкапов были доменные админ права, ну а дальше "делай что хочешь".
Сам антивирус конечно был, но, имея админ права, его похоже просто удалили.
Как я могу отблагодарить вас за помощь?
И есть ли у вас услуга что-то типа "диагностика системы защиты информации", чтобы понять где и какие у нас еще "дыры" в безопасности?

[QUOTE=gygabyte;1529553]И есть ли у вас услуга что-то типа "диагностика системы защиты информации", чтобы понять где и какие у нас еще "дыры" в безопасности?[/QUOTE]

Это уже сервис несколько другого уровня, есть конторы, которые занимаются этим профессионально, Positive Technologies и более мелкие.
Для несерверных систем можно провериться программоё [URL="https://yadi.sk/d/xIUtpEqJq4wru"]SecurityCheck by glax24 & Severnyj[/URL] - в логе будет информация. что нужно обновить и поправить.