Зашифрованы файлы 1С (не троянцем, а архиватором 7z с шифрованием)

[Kolich.d 0]

Здравствуйте.

Ситуация следующая: сейчас работал по RDP с 1С, случайно увидел, что недавно созданные мной папки исчезли. Потом, запустив диспетчер задач, увидел что подключен еще один пользователь по RDP (заведомо зная, что никто в это время не может подключиться, т.к. у нас ночь), зайдя в папку с базами 1С увидел созданный архив 7z с названием папки где лежат базы 1С, также в запущенных процессах увидел 7-ZIP GUI  у пользователя-злоумышленника, тут-же его завершил и завершил сеанс злоумышленника. В результате его  действий имеем огромный запароленый архив с базами 1С. В настройках сжатия видимо злоумышленник поставил настройку удалять файлы после сжатия. Выдернуть из этого архива файлы можно, но естественно зашифрованые методом Copy7z AES:19. Думаю процесс шифрования до конца не дошел. Может быть есть какаой-либо способ расшифровать файлы? 

Прошу помощи. Буду очень признателен.

Прилагаю маленькие зашифрованные файлы.

Даже не знаю к какой ветке эту тему отнести.

 

Спасибо.

[andrew75 1 417]

Бэкапы и теневые копии, если что-то из этого есть.

Возможно восстановление удаленных файлов.

Подобрать пароль на архив думаю безнадежно.

[Kolich.d 0]

Бэкапы и теневые копии, если что-то из этого есть.

Возможно восстановление удаленных файлов.

Подобрать пароль на архив думаю безнадежно.

Бэкапы трехмесячной давности, данных много. Теневых копий нет.

Восстановление ничего не находит. 

Изменено 24 июня, 2017 пользователем Kolich.d

[Soft 1 505]

@Kolich.d, для начало если вы ещё этого не сделали, то поменяйте пароли на учетных записях и я бы попробовал восстановить удалённые данные с помощью утилит восстановления.

[Kolich.d 0]

@Kolich.d, для начало если вы ещё этого не сделали, то поменяйте пароли на учетных записях и я бы попробовал восстановить удалённые данные с помощью утилит восстановления.

Спасибо за совет, пароли конечно сменили. Гонял R-Studio и GetDataBack, не находят в удаленных. А перемещенный в архив файл считается удаленным, т.е. утилита восстановления считает его удаленным? Может посоветуете еще какую-нибудь толковую утилиту восстановления.

Изменено 24 июня, 2017 пользователем Kolich.d