1. добавьте образ автозапуска для проверки системы
http://forum.esetnod32.ru/forum9/topic2687/

2. если известен или сохранился источник заражения, вышлите в почту [email protected] в архиве с паролем infected

3. для восстановления документов проверьте наличие теневых копий на диске.

Alex,
надо смотреть что там внутри этого файла. там много файлов создается в папке temp
если есть такие строки в файле, тогда поможет.
[QUOTE]-----BEGIN PGP PRIVATE KEY BLOCK-----
Version: GnuPG v1
........................
-----END PGP PRIVATE KEY BLOCK-----[/QUOTE]

NickM,
этот ключ шифратор удаляет по завершении работы
[QUOTE]C:\Users\0D88~1\AppData\Local\Temp\06dca008.js
Скрипт: Kарантин, Удалить, Удалить через BC Активен Ключ реестра HKEY_USERS, S-1-5-21-3033825225-2200833762-766671363-1146\Software\Microsoft\Windows\CurrentVersion\Run, ffe7c7a0[/QUOTE]

вот завершающий блок команд
[QUOTE]reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "5e86e626" /t REG_SZ /f /d "mshta %appdata%\f82a30ba4602d9a8.hta"
reg delete "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "67d62b78" /f
del /f /q "%temp%\06dca008.js"
[B]reg delete "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "ffe7c7a0" /f
[/B]reg delete "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "1c0cf7ed" /f
start mshta "%temp%\f82a30ba4602d9a8.hta"[/QUOTE]

если остался в автозапуске, значит скорее всего процесс работы шифратора был прерван.
в этом случае, (если не было очистки темпа от запчастей шифратора), после загрузки системы шифрование будет продолжено.
но ключ уже не будет удален из автозапуска.

1. сделайте образ автозапуска системы
http://forum.esetnod32.ru/forum9/topic2687/

2. проверьте наличие чистых теневых копий

1. если письмо еще не удалено, вышлите в почту [email protected]
2. добавьте образ автозапуска системы
http://forum.esetnod32.ru/forum9/topic2687/

3. проверьте наличие теневых копий на дисках

Денис,

[QUOTE]без secring.gpg расшифровка документов на нашей стороне невозможна.
ВАУЛТ. что делать?
http://chklst.ru/forum/discussion/1481/vault-chto-delat
когда произошло шифрование?

так же
проверьте наличие теневых копий,
возможно шифратору не удалось отключить теневые копии[/QUOTE]

+
проверьте, чтобы в автозапуске системы не было запчастей от ВАУЛТ, в частности js
который может запустить повторное шифрование.

МАксим,
без secring.gpg расшифровка документов на нашей стороне невозможна.
ВАУЛТ. что делать?
http://chklst.ru/forum/discussion/1481/vault-chto-delat
когда произошло шифрование?

так же
проверьте наличие теневых копий,
возможно шифратору не удалось отключить теневые копии

(после сброса настроек роутера) возможно надо было очистить локальный кэш DNS
ipconfig /flushdns

если выход в сеть через роутер, пробуйте сбросить настройки роутера, и заново настроить его для выхода в сеть
+
установить надежный пароль на настройки.

и на третий раз первая часть кода совпадает, а на т.д. уже не проверял.