хорошо а что именно мне искать?  

ищите исполняемые файлы на момент (в интервале) шифрования, которые были удалены.
exe, com, cmd, js, vbs, bat

я так понимаю скорее всего это этот файл может быть тем файлом который нужен QQ123.EXE ?

Цитата
POUL UILIAMSON написал: я так понимаю скорее всего это этот файл может быть тем файлом который нужен QQ123.EXE ?

не факт, что именно этот файл,
но вышлите в почту safety@chklst.ru с паролем infected - проверю на виртуалке

по факту проверки троян,
https://www.virustotal.com/ru/file/3ff1f63dcc7e87a837304e1e5d75fb84717b2adefa45c89b­130dbc705f0492b4/analysis/
т.е его в любом случае надо было удалить.

По AiraCropEncrypted! есть решение от компании Emsisoft
Emsisoft Decrypter for NMoreira
https://decrypter.emsisoft.com/nmoreira

дополнение от F.Wosar:
Just to add a couple of information:

There are three variants out there of the AiraCrop crap. The very first variant is supported by the decrypter currently. The author updated the ransomware shortly after, but his update was insufficient. I haven't updated the decrypter yet, but I will before Christmas. However, the third update fixes the problem of the second variant entirely by moving to a proper and secure mechanism to generate the encryption keys. This secure variant popped up for the first time around December the 8th. So if you were hit before that date, chances are I will be able to help you. In all other cases, without the private keys associated with the campaign, I, unfortunately, won't be able to help you.
-----------
https://www.bleepingcomputer.com/forums/t/629457/airacrop-nmoreira-ransomware-support-topic-airacropencrypted-maktub/page-6#entry4143253