письмо, если содержит вложение, желательно в архиве,
или только вложение в архиве с паролем infected,
иначе антивирусы могут прибить по дороге.

доки зашифрованы этим ключом

[QUOTE]gpg: ключ EFE2B3A5: импортирован открытый ключ "Cellar"
gpg: Всего обработано: 1
gpg:                 импортировано: 1

- Public keyring updated. -

File: X:\active\shifr\bat.encoder.vault\47\Temp\pubring.gpg
Time: 27.04.2015 13:55:41 (27.04.2015 7:55:41 UTC)
[/QUOTE]
такой еще файл поищите, возможно среди удаленных

%temp%\a5180538.fccb9d8d

VAULT.KEY зашифрован этим ключом
[QUOTE]gpg: зашифровано ключом RSA с ID D6B5E4AA
gpg: сбой расшифровки: закрытый ключ не найден

File: X:\active\shifr\bat.encoder.vault\47\Temp\VAULT.KEY
Time: 27.04.2015 14:05:52 (27.04.2015 8:05:52 UTC)
[/QUOTE]
---------
+
вышлите письмо, которое было открыто, и с которого началось заражение.

здесь посмотрите
http://chklst.ru/forum/discussion/38/kak-nachat-prakticheski-ispolzovat-universal-virus-sniffer#Item_2

читаем с текста
Восстанавливаем файлы на съемном диске, скрытые после вирусной атаки.

не просто изменил название файлов, но и зашифровал их содержимое, при этом затерев оригиналы файлов.

по VAULT
1. вышлите в почту [email protected] письмо с вредоносным вложением, лучше в архиве с паролем infected
2. читаем VAULT. что делать
http://chklst.ru/forum/discussion/1481/vault-chto-delat#Item_2
3. из папки %TEMP% юзера откопируйте в архив temp с паролем infected все файлы размером от 500б до 3-4кб, которые были созданы на дату и время запуска шифратора.
архив temp так же вышлите в почту [email protected]

текущие варианты защиты от шифратора VAULT (помимо резервного копирования):
1. локальные политики.
запрет на запуск исполняемых файлов
*.doc.js
*.doc*.js
*.xls.js
*.xls*.js
2. запретить перезапись, удаление файлов pubring.gpg  в %TEMP% юзера

первый ключ VaultCrypt злоумышленников
gpg: зашифровано 1024-битным ключом RSA с ID 996E88A8, созданным 25.01.2015
     "VaultCrypt (VaultCrypt) <BM-NBJaxrt4riuVrCq5NVcLrFC5CYCYkxpm@Bitmessage>"
gpg: сбой расшифровки: закрытый ключ не найден

File: X:\active\shifr\bat.encoder.vault\38\abraun\VAULT (c рабочего стола).KEY
Time: 27.04.2015 10:13:51 (27.04.2015 4:13:51 UTC)

----------
второй ключ злоумышленников появился

VaultCrypt
956D C11A 4A5D 3AA5 2E8D  0483 1DAE 0B11 81A3 F5F1
0x1DAE0B1181A3F5F1
ID ключа: 0x81A3F5F1
дата создания: 21.04.2015

[QUOTE]-----BEGIN PGP PUBLIC KEY BLOCK-----
Version: GnuPG v1 - GPGshell v3.78

mI0EVTXwewEEALwrwle1wOckuOpuI2gWVONqBV1v4b3N0yvjSfkvGwdOKaU7­w7hF
K3H+2k2NbbucryAxkBYl6At921lyPg//gCXNpTC3iv4KvrFFtElDLpACrXj1­O2oC
ECS0an9H3D2TSPEZ0VyvTUHj6AlYD83yibdCaPfL0L+emsK3C21sANOTABEB­AAG0
ClZhdWx0Q3J5cHSIuAQTAQIAIgUCVTXwewIbLwYLCQgHAwIGFQgCCQoLBBYC­AwEC
HgECF4AACgkQHa4LEYGj9fEZ1wP/d4B4Q3MOEkZxUyPkLhgG42uNKLYzUTPb­kh0m
/U9OEDsp0yKWQqQtC3K7sf2xduzgx6ysOfT6eXhPo7HdBCYi1R1eBgzcWgQw­E5MM
L4X40OMcPjvAWQFzX+qgiu1yulRSAepiKW6jSe8GRzdIj63SCmz7OipKSkW7­Kk1j
NrwjZJg=
=gKhC
-----END PGP PUBLIC KEY BLOCK-----[/QUOTE]

gpg: зашифровано 1024-битным ключом RSA с ID 81A3F5F1, созданным 21.04.2015
     "VaultCrypt"
gpg: сбой расшифровки: закрытый ключ не найден

File: X:\active\shifr\bat.encoder.vault\46\doc_vault_2015_04_22\doc\DATA\5\VAULT.KEY
Time: 27.04.2015 10:06:05 (27.04.2015 4:06:05 UTC)

RP55, как у тебя проверенные, с цифровой от DrWeb попали в автоскрипт?

[CODE]del %SystemDrive%\USERS\АЛЕКСАНДР\APPDATA\LOCAL\TEMP\EE13828-F07E9F95-2DF37889-D84BA139\GAMJRP68.EXE

del %SystemDrive%\USERS\АЛЕКСАНДР\APPDATA\LOCAL\TEMP\EE13828-F07E9F95-2DF37889-D84BA139\ZVCRMK1HXOS.EXE

del %SystemDrive%\USERS\АЛЕКСАНДР\APPDATA\LOCAL\TEMP\EE13828-F07E9F95-2DF37889-D84BA139\8U0QAMNSRKAMZ.DLL

del %SystemDrive%\USERS\АЛЕКСАНДР\APPDATA\LOCAL\TEMP\EE13828-F07E9F95-2DF37889-D84BA139\KQE1FXJ63.EXE
[/CODE]

если есть возможность, поищите файлы с таким содержимым среди удаленных файлов. или вообще с помощью прямого доступа к диску.
(не знаю сколько это может занять времени)

Денис Стрельников,
без secring.gpg расшифровка невозможна,
помочь не сможем.
в архиве secring.gpg нулевого размера. если есть возможность, поищите на диске такое содержимое в области данных.
Cellar (Cellar) <[email protected]>
или хотя бы просто Cellar

Денис Стрельников,
когда было шифрование? сохранилось ли письмо с вредносным архивом или ссылкой?
если да, вышлите в почту [email protected] в архиве, с паролем Infected