шифрование когда произошло?
откатывать систему не надо. просто проверьте есть точки восстановления или нет.
с помощью ShadowExplorer
http://www.shadowexplorer.com/downloads.html

добавлю, практически все шифраторы пытаются удалить теневые копии с дисков, если они есть.

с расшифровкой файлов не поможем.
если есть лицензия на продукт ESET сделайте запрос в [email protected]

файлов шифратора уже нет в системе,
по очистке системы выполните скрипт в uVS:

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
[code]

;uVS v4.0.6 [http://dsrt.dyndns.org]
;Target OS: NTv10.0
v400c
OFFSGNSAVE
;------------------------autoscript---------------------------

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DEFAIDNBMNNNIBPCAJPCGLCLEFINDMKAJ%26INSTALLSOURCE%3D­ONDEMAND%26UC
apply

deltmp
delref %SystemRoot%\SYSWOW64\MAPSTOASTTASK.DLL
delref %SystemRoot%\SYSWOW64\MAPSUPDATETASK.DLL
delref %SystemRoot%\EHOME\EHPRIVJOB.EXE
delref %SystemRoot%\EHOME\MCUPDATE
delref {23E5D772-327A-42F5-BDEE-C65C6796BB2A}\[CLSID]
delref %SystemRoot%\EHOME\MCUPDATE.EXE
delref {177AFECE-9599-46CF-90D7-68EC9EEB27B4}\[CLSID]
delref {7FA3A1C3-3C87-40DE-AC16-B6E2815A4CC8}\[CLSID]
delref {CEF51277-5358-477B-858C-4E14F0C80BF7}\[CLSID]
delref %SystemRoot%\EHOME\EHREC
delref {59116E30-02BD-4B84-BA1E-5D77E809B1A2}\[CLSID]
delref {06DA0625-9701-43DA-BFD7-FBEEA2180A1E}\[CLSID]
delref {EA9155A3-8A39-40B4-8963-D3C761B18371}\[CLSID]
delref %SystemRoot%\SYSWOW64\WPCUMI.DLL
delref %SystemRoot%\SYSWOW64\WPCMIG.DLL
delref {E51DFD48-AA36-4B45-BB52-E831F02E8316}\[CLSID]
delref {FF87090D-4A9A-4F47-879B-29A80C355D61}\[CLSID]
delref {45F26E9E-6199-477F-85DA-AF1EDFE067B1}\[CLSID]
delref {7CCA6768-8373-4D28-8876-83E8B4E3A969}\[CLSID]
delref D:\UCS\SH4\IRKSETUP.EXE
delref D:\SHELTER\IBDATA\BACKUP.BAT
delref %SystemRoot%\SYSWOW64\COMPMGMTLAUNCHER.EXE
delref %SystemRoot%\SYSWOW64\PEERDISTSVC.DLL
delref %SystemRoot%\SYSWOW64\DRIVERS\MRXSMB.SYS
delref %SystemRoot%\SYSWOW64\DRIVERS\NDIS.SYS
delref %SystemRoot%\SYSWOW64\DRIVERS\USBXHCI.SYS
delref %SystemRoot%\SYSWOW64\DRIVERS\SRV2.SYS
delref %SystemRoot%\SYSWOW64\RDPCORETS.DLL
delref %SystemRoot%\SYSWOW64\DRIVERS\HTTP.SYS
delref %SystemRoot%\SYSWOW64\DRIVERS\TCPIP.SYS
delref %SystemRoot%\SYSWOW64\UMPOEXT.DLL
delref %SystemRoot%\SYSWOW64\DOSVC.DLL
delref %SystemRoot%\SYSWOW64\DRIVERS\VMBUSR.SYS
delref %SystemRoot%\SYSWOW64\DRIVERS\DMVSC.SYS
delref %SystemRoot%\SYSWOW64\IPHLPSVC.DLL
delref %SystemRoot%\SYSWOW64\CSCSVC.DLL
delref %SystemRoot%\SYSWOW64\DRIVERS\VMBKMCL.SYS
delref %SystemRoot%\SYSWOW64\DRIVERS\SPACEPORT.SYS
delref %SystemRoot%\SYSWOW64\DRIVERS\FVEVOL.SYS
delref %SystemRoot%\SYSWOW64\DRIVERS\AFD.SYS
delref %SystemRoot%\SYSWOW64\PNRPSVC.DLL
delref %SystemRoot%\SYSWOW64\DRIVERS\PACER.SYS
delref %SystemRoot%\SYSWOW64\LSM.DLL
delref %SystemRoot%\SYSWOW64\DRIVERS\SYNTH3DVSC.SYS
delref {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B}\[CLSID]
delref {166B1BCA-3F9C-11CF-8075-444553540000}\[CLSID]
delref {19916E01-B44E-4E31-94A4-4696DF46157B}\[CLSID]
delref {233C1507-6A77-46A4-9443-F871F945D258}\[CLSID]
delref {4063BE15-3B08-470D-A0D5-B37161CFFD69}\[CLSID]
delref {88D969C0-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C1-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C2-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C3-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C4-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C5-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {8AD9C840-044E-11D1-B3E9-00805F499D93}\[CLSID]
delref {CFCDAA03-8BE4-11CF-B84B-0020AFBBCCFA}\[CLSID]
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\57.0.2987.133\INSTALLER\CHRMSTP.EXE
delref %SystemRoot%\SYSWOW64\BLANK.HTM
delref {0F8604A5-4ECE-4DE1-BA7D-CF10F8AA4F48}\[CLSID]
delref {E6FB5E20-DE35-11CF-9C87-00AA005127ED}\[CLSID]
delref %Sys32%\DRIVERS\VMBUSR.SYS
delref {503739D0-4C5E-4CFD-B3BA-D881334F0DF2}\[CLSID]
delref %Sys32%\DRIVERS\IUSB3XHC.SYS
delref %Sys32%\ALTTAB.DLL
delref %Sys32%\DRIVERS\IUSB3HUB.SYS
delref %Sys32%\QAGENTRT.DLL
delref %Sys32%\TBSSVC.DLL
delref %Sys32%\LOCATIONNOTIFICATIONS.EXE
delref %SystemDrive%\PROGRAM FILES\WINDOWS MEDIA PLAYER\WMPDMCCORE.DLL
delref %Sys32%\HOTSTARTUSERAGENT.DLL
delref %Sys32%\DRIVERS\RDPWD.SYS
delref %Sys32%\P2PHOST.EXE
delref %Sys32%\NAPIPSEC.DLL
delref %Sys32%\OCSETUP.EXE
delref %Sys32%\MSSHA.DLL
delref %Sys32%\APILOGEN.DLL
delref %Sys32%\IPBUSENUM.DLL
delref %Sys32%\OOBE\MSOOBEUI.DLL
delref %Sys32%\MCTADMIN.EXE
delref %SystemDrive%\PROGRAM FILES\WINDOWS SIDEBAR\SIDEBAR.EXE
delref %Sys32%\DHCPQEC.DLL
delref %Sys32%\WWANADVUI.DLL
delref %Sys32%\DSHOWRDPFILTER.DLL
delref %SystemRoot%\INF\UNREGMP2.EXE
delref %Sys32%\BLANK.HTM
delref HELPSVC\[SERVICE]
delref SACSVR\[SERVICE]
delref TBS\[SERVICE]
delref VMMS\[SERVICE]
delref MESSENGER\[SERVICE]
delref %Sys32%\DRIVERS\RDPENCDD.SYS
delref RDSESSMGR\[SERVICE]
delref %Sys32%\DRIVERS\SMARTCARDSIMULATOR.SYS
delref %Sys32%\DRIVERS\VIRTUALSMARTCARDREADER.SYS
delref %Sys32%\DRIVERS\WUDFUSBCCIDDRIVER.SYS
delref D:\RK7\DEFAULT\COMMONSERVER\CS_SERVICE.EXE
delref D:\SHELTER\FIREBIRD\BIN\FB_INET_SERVER.EXE
delref D:\RK7\DEFAULT\FEATURESERVER\IRREPORTSFSPRJ.EXE
delref D:\RK7\DEFAULT\RK7MIDSERVER\MIDSERV.EXE
delref D:\RK7\DEFAULT\RK7WINPRINT\WINPRINT.EXE
delref D:\RK7\DEFAULT\RK7REFERENCE\REFSRV.EXE
delref D:\UCS\SDBSRV\SDBSERV.EXE
delref D:\SHELTER\LOCKSERVER\SHELTER.EXE
delref D:\SHELTER\EXECTRL\EXECTRL.EXE
delref %Sys32%\DRIVERS\VBOXNETFLT.SYS
delref %Sys32%\PSXSS.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.3\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.15\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.32.7\PSMACHINE_64.DLL
delref %Sys32%\MSMIRADISP.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.1\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.30.3\PSMACHINE_64.DLL
delref %Sys32%\TETHERINGSETTINGHANDLER.DLL
delref %Sys32%\CONNECTEDSTORAGESERVICE.PROXYSTUB.DLL
delref %Sys32%\QUICKACTIONSPS.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES\COMMON FILES\MICROSOFT SHARED\DAO\DAO360.DLL
delref %SystemRoot%\SYSWOW64\TAPILUA.DLL
delref %SystemRoot%\SYSWOW64\MAPSBTSVCPROXY.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.15\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.32.7\PSMACHINE.DLL
delref %SystemRoot%\SYSWOW64\AUTHHOST.EXE
delref %SystemRoot%\SYSWOW64\MAPSCSP.DLL
delref %SystemRoot%\SYSWOW64\RSTRUI.EXE
delref %SystemRoot%\SYSWOW64\LISTSVC.DLL
delref %SystemRoot%\SYSWOW64\AUTHHOSTPROXY.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.1\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.30.3\PSMACHINE.DLL
delref %SystemRoot%\SYSWOW64\WBEM\NLMCIM.DLL
delref D:\SHELTER\REPORT\FREPORT.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\ADOBE\ACROBAT READER DC\ACRORD32INFO.EXE
delref D:\SHELTER\LIB\MIDAS.DLL
delref %SystemRoot%\SYSWOW64\GPSVC.DLL
delref %SystemRoot%\SYSWOW64\CONNECTEDSTORAGESERVICE.PROXYSTUB.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE.DLL
delref D:\SHELTER\REPORT\DLL\FRDLGDEF.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE.DLL
delref %SystemRoot%\SYSWOW64\IDLISTEN.DLL
delref %SystemRoot%\SYSWOW64\WIFICONFIGSP.DLL
delref %SystemDrive%\PROGRAM FILES\COMMON FILES\SYSTEM\OLE DB\MSDAORA.DLL
delref D:\SHELTER\INTERFACE\PHONE\SCPSERV\RS232READER.EXE
delref D:\SHELTER\INTERFACE\PHONE\SCPSERV\SCPSERV.EXE
delref D:\SHELTER\INTERFACE\PHONE\OLD_FOR_PHONE\OLD\SERVERT1.EXE
delref D:\SHELTER\SHELTER.EXE
;-------------------------------------------------------------

restart
[/code]
перезагрузка, пишем о старых и новых проблемах.
------------

пробуйте восстановить документы из архивных копий, или если повезет из точек восстановления.

так это Cryakl

[QUOTE] Identified by

   sample_extension: email-<email>.ver-CL <version>.id-<random>.randomname-<random>.<random>.<random>
   sample_bytes: [0x56EC4 - 0x56ED2] 0x7B454E4352595054454E4445447D
[/QUOTE]
в настоящее время расшифровки по нему нет.
образ автозапуска сейчас проверю.

Владлен Александров,

добавьте несколько зашифрованных файлов + записку о выкупе в архив и поместите в ваше сообщение
+
добавьте образ автозапуска системы, возможно необходима очистка системы от тел шифратора и вредоносных программ.

[QUOTE]Олександр армадеси написал:
Скажите пожалуйста когда приблизительно будет росшифровка по файлам ".blscrypt" ????[/QUOTE]
возможно, ее вообще не будет. Если только не будут найдены или получены мастер-ключи.

судя по логу событий возможно момент атаки был пропущен из за ошибок в обновлении баз

08.07.2017 6:41:19 Ядро ESET База данных сигнатур вирусов обновлена до версии 15711 (20170707).
и следующее обновление идет уже
12.07.2017 22:45:14 Ядро ESET База данных сигнатур вирусов обновлена до версии 15735 (20170712).
а между этими событиями много ошибок при обновлении:
12.07.2017 10:43:15 Модуль обновления Ошибка распаковки файла. NT AUTHORITY\система

+
попробуйте извлечь из карантина файл README.txt, можно переименовать его в readme.vtxt чтобы антивир по новой его не прибивал.
это записка о выкупе,
добавьте ее так же на форум. можно в архив запаковать.

судя по журналу угроз было несколько атак через троян, добавленный в Medoc:

[QUOTE]13.07.2017 3:28:49 Real-time file system protection file C:\ProgramData\Medoc\Medoc_2SRV\ZvitPublishedObjects.dll a variant of MSIL/TeleDoor.A trojan cleaned by deleting NT AUTHORITY\система Event occurred during an attempt to access the file by the application: C:\ProgramData\Medoc\Medoc_2SRV\DMF.AppServer.exe (948F336186FD2BC040D821F1A75340711B002F11). 3567434E2E49358E8210674641A20B147E0BD23C
13.07.2017 3:28:35 Real-time file system protection file C:\ProgramData\Medoc\Medoc_2SRV\ZvitPublishedObjects.dll a variant of MSIL/TeleDoor.A trojan cleaned by deleting (after the next restart) Server1C\printadm Event occurred during an attempt to access the file by the application: C:\Windows\explorer.exe (390C124FFD140AA80033FA535E5EFA58E5580E25). 3567434E2E49358E8210674641A20B147E0BD23C
13.07.2017 3:28:04 Real-time file system protection file C:\ProgramData\Medoc\Medoc_2SRV\ZvitPublishedObjects.dll a variant of MSIL/TeleDoor.A trojan cleaned by deleting (after the next restart) Server1C\printadm Event occurred during an attempt to access the file by the application: C:\Windows\explorer.exe (390C124FFD140AA80033FA535E5EFA58E5580E25). 3567434E2E49358E8210674641A20B147E0BD23C
13.07.2017 3:27:53 Real-time file system protection file C:\ProgramData\Medoc\Medoc_2SRV\ZvitPublishedObjects.dll a variant of MSIL/TeleDoor.A trojan cleaned by deleting (after the next restart) NT AUTHORITY\система Event occurred during an attempt to access the file by the application: C:\ProgramData\Medoc\Medoc_2SRV\DMF.AppServer.exe (948F336186FD2BC040D821F1A75340711B002F11). 3567434E2E49358E8210674641A20B147E0BD23C
13.07.2017 3:27:01 Real-time file system protection file C:\ProgramData\Medoc\Medoc_2SRV\ZvitPublishedObjects.dll a variant of MSIL/TeleDoor.A trojan cleaned by deleting (after the next restart) NT AUTHORITY\система Event occurred during an attempt to run the file by the application: C:\ProgramData\Medoc\Medoc_2SRV\DMF.AppServer.exe (948F336186FD2BC040D821F1A75340711B002F11). 3567434E2E49358E8210674641A20B147E0BD23C
13.07.2017 3:09:35 Real-time file system protection file C:\Users\printadm\Desktop\README.TXT Win32/Diskcoder.C trojan deleted Server1C\printadm Event occurred during an attempt to access the file by the application: C:\Windows\System32\notepad.exe (A7BBC4B4F781E04214ECEBE69A766C76681AA7EB). 9944DC91F408CDD90441D68B46E926F65DC6147C
13.07.2017 3:03:16 Real-time file system protection file C:\ProgramData\Medoc\Medoc_2SRV\ZvitPublishedObjects.dll a variant of MSIL/TeleDoor.A trojan cleaned by deleting NT AUTHORITY\система Event occurred during an attempt to access the file by the application: C:\ProgramData\Medoc\Medoc_2SRV\DMF.AppServer.exe (948F336186FD2BC040D821F1A75340711B002F11). 3567434E2E49358E8210674641A20B147E0BD23C
13.07.2017 3:02:15 Real-time file system protection file C:\ProgramData\Medoc\Medoc_2SRV\ZvitPublishedObjects.dll a variant of MSIL/TeleDoor.A trojan cleaned by deleting (after the next restart) NT AUTHORITY\система Event occurred during an attempt to run the file by the application: C:\ProgramData\Medoc\Medoc_2SRV\DMF.AppServer.exe (948F336186FD2BC040D821F1A75340711B002F11). 3567434E2E49358E8210674641A20B147E0BD23C
13.07.2017 3:01:16 Real-time file system protection file C:\ProgramData\Medoc\Medoc_2SRV\ZvitPublishedObjects.dll a variant of MSIL/TeleDoor.A trojan cleaned by deleting NT AUTHORITY\система Event occurred during an attempt to access the file by the application: C:\ProgramData\Medoc\Medoc_2SRV\DMF.AppServer.exe (948F336186FD2BC040D821F1A75340711B002F11). 3567434E2E49358E8210674641A20B147E0BD23C
13.07.2017 3:00:38 Real-time file system protection file C:\Users\printadm\Desktop\README.TXT Win32/Diskcoder.C trojan unable to clean NT AUTHORITY\система Event occurred during an attempt to access the file by the application: C:\Windows\System32\SearchProtocolHost.exe (FD8F3226267F506E3CF0341044275AA5419E537D). 9944DC91F408CDD90441D68B46E926F65DC6147C
13.07.2017 3:00:38 Real-time file system protection file C:\Users\printadm\Desktop\README.TXT Win32/Diskcoder.C trojan unable to clean NT AUTHORITY\система Event occurred during an attempt to access the file by the application: C:\Windows\System32\SearchProtocolHost.exe (FD8F3226267F506E3CF0341044275AA5419E537D). 9944DC91F408CDD90441D68B46E926F65DC6147C
13.07.2017 3:00:15 Real-time file system protection file C:\ProgramData\Medoc\Medoc_2SRV\ZvitPublishedObjects.dll a variant of MSIL/TeleDoor.A trojan cleaned by deleting (after the next restart) NT AUTHORITY\система Event occurred during an attempt to run the file by the application: C:\ProgramData\Medoc\Medoc_2SRV\DMF.AppServer.exe (948F336186FD2BC040D821F1A75340711B002F11). 3567434E2E49358E8210674641A20B147E0BD23C
05.07.2017 13:18:32 Real-time file system protection file Q:\MedocIS\MedocIS\ZvitPublishedObjects.dll a variant of MSIL/TeleDoor.A trojan cleaned by deleting Server1C\Klient1 Event occurred during an attempt to access the file by the application: Q:\MedocIS\MedocIS\ezvit.exe (CD65D605A97F94A76CC18B08F19D83CE722A1CDD). 3567434E2E49358E8210674641A20B147E0BD23C
05.07.2017 13:17:50 Real-time file system protection file Q:\MedocIS\MedocIS\ZvitPublishedObjects.dll a variant of MSIL/TeleDoor.A trojan cleaned by deleting (after the next restart) Server1C\Klient1 Event occurred during an attempt to run the file by the application: Q:\MedocIS\MedocIS\ezvit.exe (CD65D605A97F94A76CC18B08F19D83CE722A1CDD). 3567434E2E49358E8210674641A20B147E0BD23C
30.06.2017 13:52:20 Real-time file system protection file Q:\README.TXT Win32/Diskcoder.C trojan deleted Server1C\Klient1 Event occurred during an attempt to access the file by the application: C:\Windows\explorer.exe (390C124FFD140AA80033FA535E5EFA58E5580E25). 9944DC91F408CDD90441D68B46E926F65DC6147C
30.06.2017 13:52:19 Real-time file system protection file Z:\README.TXT Win32/Diskcoder.C trojan deleted Server1C\Klient1 Event occurred during an attempt to access the file by the application: C:\Windows\explorer.exe (390C124FFD140AA80033FA535E5EFA58E5580E25). EAB267C3CB6D2349C576E9E8FA85A3533B600490


[/QUOTE]
но если была создана записка о выкупе C:\Users\printadm\Desktop\README.TXT Win32/Diskcoder.C trojan
можно предположить, что шифрование состоялось.

+
вопрос: когда был установлен антивирус ESET: до момента атаки, или уже позже, после того как пошла массовая эпидемия?
+
попробуйте извлечь из карантина файл README.txt, можно переименовать его в readme.vtxt чтобы антивир по новой его не прибивал.
это записка о выкупе,
добавьте ее так же на форум. можно в архив запаковать.

это скорее всего интерфейсная ошибка. не показывает записи из журнала угроз, хотя в файле угроз они есть.
сделайте тогда лог ESET log collector, в него будет добавлен файл лога журнала угроз.
https://download.eset.com/com/eset/tools/diagnosis/log_collector/latest/esetlogcol­lector_rus.exe

Евгений,
а можно экспортировать список угроз (из журнала угроз) в текстовый файл и добавить этот файл на форум?
судя по содержимому карантина (readme.txt - diskcoder.C) шифрануло скорее всего NotPetya-ей