Прошу помощи в расшифровке файлов после .leChiffre

[pkapitanov]

Добрый день. На сервере 1с были зашифрованы файловые базы 1с и zip архивы.
файлы приобрели расширение .LeChiffre, появился текстовый документ про расшифровку.
В ходе поиска в интернете нашел информацию, что данный шифровальщик уже взломан и есть дешифровщик, который пробовал запустить на сервере на отдельных файлах но расшифровать этот дешифровщик их не смог.
дешифровщик с сайта: https://decrypter.emsisoft.com/lechiffre
в текстовом документе созданным шифровальщик есть строка похожая на закрытый ключ шифрования.

[Info_bot]

Уважаемый(ая) pkapitanov, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Образцы шифрованных файлов вместе с сообщением вымогателей заархивируйте, выложите на обменник без капчи и времени ожидания и пришлите ссылку

[pkapitanov]

архив с парой незначительных файлов( зашифрованы базы 1с, большие все, очень долго будет выкладываться в нет)

https://yadi.sk/d/dskDr_MP39d5gt

[thyrex]

Since the encryption is based on system parameters, you have to perform the decryption on the same system and the same user. You can't decrypt files encrypted on one system on a different system, unless you make sure both username and computer name of both systems are identical.

т.е. при шифровании ключ генерировался с использованием имени компьютера и имени пользователя. И расшифровку нужно запускать на компьютере с такими же параметрами. Делали именно так?

[pkapitanov]

запускал расшифровщик из ссылки под пользователем администратор, зашифровалось под пользователем оператор, когда вхожу в этого пользователя на мгновение открывается окно командной строки и происходит выход из системы.
нашел кто делал выход из системы, проверяю под пользователем оператор.


upd
пробовал под оператором - дешифратор по ссылке говорит что все расшифровано, но при этом при попытке войти в базу - файл не является файлом базы данных 1с.

[thyrex]

Значит или восстанавливать вход в поврежденную учетку, или разворачивать новую систему на другой машине с таким же именем компьютера и именем пользователя. Причем еще и выход в Интернет нужен будет

[pkapitanov]

пробовал под оператором - дешифратор по ссылке говорит что все расшифровано, но при этом при попытке войти в базу - файл не является файлом базы данных 1с.
могу выложить для примера чистю тестовую базу 1с, 240Мб.
тестовая база:
https://yadi.sk/d/NYFmn0fE39dtNs

[thyrex]

А не может быть такого, что шифрование шло именно с компьютера, подключенного к серверу?

[pkapitanov]

Сомневаюсь, утром, когда бухгалтер сообщила, что не может зайти в базу 1с на сервере висел процесс запущенный с tsclient.
на скрине выделен

[thyrex]

1yc47pti 12345 - это учетка и пароль?

[pkapitanov]

1yc47pti 12345 - это учетка и пароль?

не совсем.
пароль 12345 стоял у пользователя оператор(не захотел пользователь сложнее пароля).
а учетка operator.

[thyrex]

тогда что означает эта абракадабра между именем вирусного процесса и паролем? Или Вы тоже не в курсе, что это такое?

[pkapitanov]

Кто-то извне подобрад пароль с айпишника 185.38.14.215(по логам на сервере нашли), то, что между именем процесса и паролем - не знаем что это.

[SQ]

покажите результат команды в командной строке cmd.exe

net user

[pkapitanov]

Не совсем понимаю для чего нужен полный список пользователей сервера, но среди этих пользователей нет с именем 1yc47pti