Спасибо Огромное за помощь и подсказки, вы и так очень помогли. ОС пойдёт под снос, очень много повреждённых файлов, а это уже нестабильность в работе. Советы Ваши приму к сведению. Очень приятно, когда на форуме такие отзывчивые и компетентные администраторы.

Права всем позакрывал, пароли поменял, остались только у админа права. У остальных пользователей были лёгкие пароли, отсюда и взлом. Сегодня написал злоумышленникам, посмотрим сколько денег запросят. У нас фирма не большая, денег особо нет, чтобы им платить. Плюс отправили файлы в контору, которая занимается расшифровкой, но что-то мне подсказывает, что и они не разберутся. :(

Это в ручную удалять всё?? Да после первого звоночка всё проверял антивирусами, вчера гонял. А тут только вот сегодня вычитал, что они через RDP проникают. И вот тут я всё понял. (:

Антивирусы были, но от них ничего не осталось.
Вот ссылка на архив, там результаты сканирования и 2 файла, зашифрованные вирусом.
[URL=https://www.sendspace.com/file/1v2ndn]https://www.sendspace.com/file/1v2ndn[/URL]
TNOD остался со старых времён, давно им не пользуемся.

[QUOTE]santy написал:
[QUOTE] Роман Литвинюк написал:
Зашифровали файлы. Нужна помощь. Образ автозапуска прилагаю. Заранее Спасибо.   [URL=https://www.sendspace.com/file/eo6da7]https://www.sendspace.com/file/eo6da7[/URL] [/QUOTE]
@Роман Литвинюк,
судя по образу автозапуска у вас произошло шифрование Crysis (вариант с расширением .bot)
C:\USERS\BOSS\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\DESKTOP.INI.ID-84280463.[[URL=mailto:[email protected]][email protected][/URL]].BOT
характерная для него записка о выкупе:
C:\USERS\BOSS\APPDATA\ROAMING\INFO.HTA
с расшифровкой файлов не поможем, нет расшифровки по текущим версиям Crysis,
восстановление документов возможно только из архивных копий.
-------------
+
обратите внимание на рекомендации по защите ваших серверов,
и примите меры защиты,
иначе,
шифрование может повториться в скором времени.[/QUOTE]
Да, а после этого Cryakl наведался, и зашифровал БД 1С. Там новая версия 1.8 его как я почитал, расшифровки нет. Но вы посмотрите пожалуйста, есть ли его следы ещё.

Зашифровали файлы. Нужна помощь. Образ автозапуска прилагаю. Заранее Спасибо. [URL=https://www.sendspace.com/file/eo6da7]https://www.sendspace.com/file/eo6da7[/URL]