если сохранился текст письма, откуда был запущен шифратор, добавьте его, пожалуйста, в вашу тему.

обратитесь в вирлаб ДрВеб, скорее всего у них есть расшифровка по данному энкодеру, но соответственно нужна для этого лицензия ДрВеба.
по их классификации, это скорее всего [URL=http://vmartyanov.ru/category/trojan-encoder-398/]Trojan.Encoder.398[/URL]

secring.gpg к сожалению нулевого размера, поэтому бесполезен для расшифровки документов,
оригинал secring.gpg добавлен в VAULT.KEY но в зашифрованном виде.

[QUOTE]gpg: зашифровано 1024-битным ключом RSA с ID 996E88A8, созданным 25.01.2015
     "VaultCrypt (VaultCrypt) <BM-NBJaxrt4riuVrCq5NVcLrFC5CYCYkxpm@Bitmessage>"
gpg: сбой расшифровки: закрытый ключ не найден

File: Z:\virus!\shifratory\bat.encoder.vault\10\Осторожно ВИРУС\!!!!!!!!!!Осторожно ВИРУС\Temp\Temp\VAULT.KEY
Time: 16.03.2015 16:24:09 (16.03.2015 10:24:09 UTC)[/QUOTE]
ключ к расшифровке этого файла только у злоумышленников.
помочь с расшифровкой не сможем.
теневые копии судя по скрипту secured.bat по скрипту отключены.
поэтому восстановить документы из ТК не получится, только если есть архивная копия документов.

по очистке системы

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

[CODE];uVS v3.85.7 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v385c
OFFSGNSAVE

delall %SystemDrive%\PROGRAM FILES\QIPGUARD\QIPGUARD.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\УЧЕБНЫЙ ЦЕНТР\APPLICATION DATA\QIPGUARD\QIPGUARD.EXE
delall %SystemDrive%\DOCUMENTS AND SETTINGS\УЧЕБНЫЙ ЦЕНТР\APPLICATION DATA\MICROSOFT\INTERNET EXPLORER\QSTATSRV.DLL
deldirex %SystemDrive%\DOCUMENTS AND SETTINGS\УЧЕБНЫЙ ЦЕНТР\LOCAL SETTINGS\APPLICATION DATA\WEBALTA TOOLBAR
delall %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\VKSAVER\VKSAVER.EXE
;------------------------autoscript---------------------------

chklst
delvir

delref %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\VKSAVER\VKSAVER3.DLL

delref HTTP://SIMSIMOTKROYSIA.RU/

delref HTTP://QIP.RU

; etranslator
exec C:\Documents and Settings\Учебный центр\Application Data\eTranslator\eTranslator.exe" /uninstall
;deltmp
;delnfr
;-------------------------------------------------------------

restart
[/CODE]
перезагрузка, пишем о старых и новых проблемах.
------------
по расшифровке документов обращайтесь в техподдержку: [URL=mailto:[email protected]][email protected][/URL]

добавьте образ автозапуска для проверки системы.
[URL=http://forum.esetnod32.ru/forum9/topic2687/]http://forum.esetnod32.ru/forum9/topic2687/[/URL]

это дампы процессов, которые не имеют отношение к процессу шифрования.
тем более, что шифрование было публик ключом, а для расшифровки нужен secring.gpg
к тому же, судя по тексту энкодера, теперь они добавили в скрипт отключение теневых копий.

добавьте образ автозапуска системы, возможно там кроме шифратора еще и другие вредоносные программы побывали
[URL=http://forum.esetnod32.ru/forum9/topic2687/]http://forum.esetnod32.ru/forum9/topic2687/[/URL]

secring.gpg к сожалению по нулям. значит расшифровка документов не получится.
опубликуйте, пожалуйста, текст письма, которое получили.

приватный ключ злоумышленников не изменился.

[QUOTE]gpg: зашифровано 1024-битным ключом RSA с ID 996E88A8, созданным 25.01.2015
     "VaultCrypt (VaultCrypt) <BM-NBJaxrt4riuVrCq5NVcLrFC5CYCYkxpm@Bitmessage>"
gpg: сбой расшифровки: закрытый ключ не найден

File: Z:\virus!\shifratory\bat.encoder.vault\8\vir\5658BAK_VAULT.KEY
Time: 16.03.2015 13:55:00 (16.03.2015 7:55:00 UTC)[/QUOTE]

да, сохраняются,

смотреть здесь
[URL=http://www.bleepingcomputer.com/virus-removal/ctb-locker-ransomware-information#shadow]http://www.bleepingcomputer.com/virus-removal/ctb-locker-ransomware-information#shadow[/URL]
или здесь
[URL=http://www.oszone.net/9463]http://www.oszone.net/9463[/URL]
или здесь
[URL=http://www.outsidethebox.ms/9960/#versions]http://www.outsidethebox.ms/9960/#versions[/URL]

нет, это разные скрипты. 6 и 8.
первый исключал файлы из автозапуска, второй удаляет их из системы полностью.