Вирус удалил папки и создал запароленные rar архивы, с названием папок

[Chipset]

Всем доброго времени суток. 05.01.2016 наш бухгалтер не смог зайти базу 1С, когда я зашел на сервер, то обнаружил вместо папок, запароленные, rar архивы и кучу txt файлов с названиями ПАРОЛЬ!!!, Копия ПАРОЛЬ!!! Копия (2) ПАРОЛЬ!!! и тд...

Содержание текста в блокнотах:

Ваши базы и файлы были заархивированы с паролем...
Нужен пароль? Пишите на адрес:

[email protected]

с указанием IP адреса и названиями архивов.

Ссылка на запароленный архив.

[Info_bot]

Уважаемый(ая) Виталий Дементеюк, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Полученные в пп. 4 и 5 логи заархивируйте (в один архив) и прикрепите к сообщению.

[Chipset]

thyrex, добрый день, очень приятно, когда земляки помогают . Все сделал как Вы написали, логи в прикрепленном архиве.

[thyrex]

Что в папке C:\pumpyt ?

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
CHR HomePage: Default -> hxxp://www.mysites123.com/?type=hp&ts=1451996225&z=13d40d96677c71ba3c69b5fg6z7wag5t6t2q9o0o7w&from=amt&uid=wdcxwd1003fbyx-01y7b1_wd-wcaw3526362663626
CHR StartupUrls: Default -> "hxxp://www.mysites123.com/?type=hp&ts=1451996225&z=13d40d96677c71ba3c69b5fg6z7wag5t6t2q9o0o7w&from=amt&uid=wdcxwd1003fbyx-01y7b1_wd-wcaw3526362663626"
2016-01-05 14:17 - 2016-01-05 14:17 - 00000000 ____D C:\Program Files\TDataDld
2015-12-14 10:59 - 2015-12-14 10:59 - 00000000 ____D C:\Device
2016-01-07 00:39 - 2016-01-07 00:44 - 00000000 _____ C:\END
2013-02-07 14:22 - 2013-02-07 14:22 - 0050330 _____ () C:\Program Files\AntiDust.exe
2015-12-14 10:32 - 2015-12-14 10:32 - 00000000 ____D C:\Documents and Settings\Администратор\Application Data\Babylon
2015-12-14 10:32 - 2015-12-14 10:32 - 00000000 ____D C:\Documents and Settings\All Users\Application Data\Babylon

2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

• Компьютер перезагрузите вручную.

[Chipset]

Что в папке C:\pumpyt ?

pumpyt.png

ПК перезагрузил.

[Chipset]

Добрый день. Про меня не забыли?

[thyrex]

Пришлите содержимое этой папки

[Chipset]

Пришлите содержимое этой папки

Ссылка на архив (pumpyt.zip).

Подскажите, какие шансы расшифровать архив с 1С?

[thyrex]

Думаю, что шансов нашими силами подобрать пароль к архиву никаких нет

[Chipset]

Думаю, что шансов нашими силами подобрать пароль к архиву никаких нет

А какими силами можно подобрать? И как мне все вычистить, что б снова такая беда не повторилась?
Может можно по логам (по дате и времени) подобать пароль?

[Chipset]

Срочно!!! Нужна помощь!!! У меня после атаки было 2 архива с паролями, злоумышленники дали пароль от одно архива (не от того, что мне нужен): 999999999999999

Каким может быть пароль от второго архива? Каким способом они задали пароль? За второй пароль просят денег!

[Chipset]

Этот форум живой? По три дня ни одного ответа!

[thyrex]

Ничего плохого в логах

Про остальное написано выше

[Chipset]

Спасибо. Тему можно закрывать.