ТыжСисАдмин

Всё очень просто - вас поломали.

1. Вычищаем сайт от бэкдоров
2. Ищем как поломали
3. Меняем пароли, в том числе и на почту к которой привязан хостинг.

Странный файл я тоже скачала, успела, открыла в редакторе - там абркакадабра какая-то. Нет, понятно, что это код на PHP

Всё без проблем особых можно распаковать, но там будет какой либо webshell (скорее всего wsshell), для вас это никакого значения не имеет, вам нужно латать дыры.

1. Админов расстрелять, по теме

после модернизации количество работ было таким большим, что одноранговую сеть так и оставили.

Какой то мудак (его уже выгнали) поднял игровой сервер в сети, расшарил инет через мобильный LTE интернет и запустил вирус криптолокер в сеть.

2.

Операционную систему менять нельзя ни в коем случае, так как большинство лабораторных/диагностических программ очень старые, драйвера старые, под новыми системами не хотят дружить.

Если простоя стоит миллионы долларов, то что мешает заплатить пару миллионов на решение это проблемы?
Тут расстреливаем менеджеров, ну тех которых не расстреляли в п.1.

3.

На большинстве компьютеров антивирусная защита отсутствует как таковая, так как на большинстве рабочих станций стоит Windows 98 & XP

Древняя ось, без обновлений (на большинстве уверен вообще обновы не ставились со времени установки), без банального антивируса.
Чего вы ещё хотели то?

Вирусные эпидемии как в вашей ситуации не лечатся путём "а прогоним отот комп антивирусом", их лечат путём "отрубить нахрень всё и переустанавливаем системы ибо хрен пойми какая сигнатура у этой дряни".

Вы влетели по полной программе и решение тут только одно - модернизация железа/ПО, грамотный подход к сети.

Как? Вадим Гальцев там ответил.

откуда хакер взял исходники сайта и как он смог привязать чужой домен?

Ниоткуда, свой сервер использовал

Как такая схема вообще называется?

"Нефиг оставлять IP сервера в "А" запсях на заброшенном домене"

Если не ошибаюсь то под виндой Docker завязан на virtualbox со всеми вытекающими.
А вообще для того что вы описали как нельзя лучше подходит VirtualBox и т.п. - поставили систему в виртуалку, поигрались, наигрались, откатились и опять свеженькая.

- Троян видишь?
- Нет.
- А он есть!

Так вы-же не указали изначально что VDS ;)

Всё-же поищите шелы в php (или на чём у вас там) скриптах, что-то типо
<?php system($_GET["cmd"]); ?>
но скорее всего всё будет завёрнуто в base64, как правило сразу обосновываются. Проверить можно просто сравнением всех файлов с эталоном, у меня на нескольких серверах ежедневно прогоняется сравнение MD5 сумм.

Не обязательно взломали ваш аккаунт, взломан мог был и весь сервер — получили административный аккаунт.
В идеале смотреть логи сервера и искать каким образом был изменён файл.

Заодно по всем файлам поискать внедренный shell.