Помогите с расшифровкой файлоов получивших расширение .ctbl [Trojan.Win32.VB.cogo ]

Здравствуйте.
Я Вас хочу попросить о помощи расшифровать файлы, зашифрованные вирусом, который добавляет к наименованию файла .ctbl
К сожалению пользователь имел права администратора без пароля
Первоначальное проявление до шифрования файлов - долгое открытие редактором документов .doc
одновременно с запуском установщика MS Office.
В настоящий момент на рабочем столе файл - AllFilesAreLocked 81760.bmp
текстовое содержание дублируется в файле DecryptAllFiles 81744.txt :
" Ваши документы, фотографии, базы данных и другие важные файлы были зашифрованы
сильнейшим шифрованием с уникальным ключом, сгенерированным для данного компьютера.

Приватный ключ хранится на секретном сервере в интернет и никто не сможет
расшифровать ваши файлы пока вы не оплатитие и не получите приватный ключ.

Если вы видите основное окно шифровщика, то следуйте его инструкциям.
Если нет - значит вы или ваш антивирус удалили программу-шифровщик.
Теперь у вас есть последний шанс на восстановление ваших файлов.

1. Введите адрес [url]http://torproject.org[/url] в вашем браузере.
Он откроет сайт браузера Tor.

2. Нажмите 'Download Tor', затем 'DOWNLOAD Tor Browser Bundle',
установите и запустите его.

3. Теперь у вас есть Tor Browser. В нем откройте адрес the [url]http://zaxseiufetlkwpeu.onion/[/url]
Обратите внимание, что этот сервер доступен только через Tor Browser.
Если сайт недоступен, повторите попытку через час.

4. Скопируйте следующий ключ и вставьте его в форму ввода на сервере.
2L63BM-IMBPGE-AGWW2G-ERG5ZU-36IEIM-AVVDTP-3B6YM3-OLPLMK
SXBUPR-GE7YN6-L62K4N-DF5OYI-2UCAMH-LVLDML-L27DFD-L636DG
PIYQM4-SZGHOT-3CDTQ6-ND3B3A-NEYBOT-4CFDJU-IWRN52-MQXM3J

5. Следуйте инструкциям на сервере. "

При каждом новом старте системы эти файлы дублируются с отличием
в имени набора чисел[ATTACH]485455[/ATTACH][ATTACH]485454[/ATTACH][ATTACH]485456[/ATTACH][ATTACH]485455[/ATTACH][ATTACH]485454[/ATTACH][ATTACH]485456[/ATTACH]



Логи, которые требуется, я прикрепил.
Буду признателен за оказанную помощь

Уважаемый(ая) [B]FM2013[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
TerminateProcessByName('c:\users\user\appdata\local\temp\kb110309586.exe');
TerminateProcessByName('c:\users\user\appdata\local\temp\yltqevm.exe');
QuarantineFile('C:\Users\user\AppData\Roaming\WinRAR\syshcjgyfd.exe','');
QuarantineFile('C:\Users\user\Documents\CommonData\Winhlp31.exe','');
QuarantineFile('C:\Users\user\nrimovzj.exe','');
QuarantineFile('c:\users\user\appdata\local\temp\yltqevm.exe','');
QuarantineFile('C:\Users\user\AppData\Local\Temp\KB110309586.exe','');
DeleteFile('C:\Users\user\AppData\Local\Temp\yltqevm.exe','32');
DeleteFile('C:\Windows\system32\Tasks\tffdkqc','32');
DeleteFile('C:\Windows\system32\Tasks\System Security','32');
DeleteFile('C:\Windows\system32\Tasks\System Components Update','32');
DeleteFile('C:\Users\user\nrimovzj.exe','32');
DeleteFile('C:\Users\user\AppData\Roaming\WinRAR\syshcjgyfd.exe','32');
DeleteFile('c:\users\user\appdata\local\temp\kb110309586.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\MSConfig','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SYS_UPDATE_12072014','command');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','System Security');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','System Security');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','System Security');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','System Security');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','System Security');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\System Security','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','System Security');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','System Security');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','System Security');
BC_ImportALL;
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

+ Сделайте лог полного сканирования [url=http://virusinfo.info/showthread.php?t=53070]MBAM[/url]

Сделал скрипты
логи
virusinfo_syscheck.zip
hijackthis.log

[COLOR="silver"]- - - Добавлено - - -[/COLOR]

Выполнил сканирование MBAM

лог MBAM нужен в текстовом формате.

Повторно сделал лог MBAM в текстовом формате

Удалите в MBAM всё найденное.

Удалено 3 определения

Больше пока помочь особо нечем.

Спасибо
Какие перспективы на появление дешифратора

Очень туманны.

Спасибо за внимание и проделанную работу

Ключ шифрования уникален, поэтому перспектив никаких

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]12[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\user\appdata\local\temp\kb110309586.exe - [B]Trojan.Win32.VB.cogo[/B] ( AVAST4: Win32:Dropper-gen [Drp] )[*] c:\users\user\appdata\local\temp\yltqevm.exe - [B]Trojan.Win32.VB.cogo[/B] ( BitDefender: Trojan.Generic.11530226, AVAST4: Win32:Dropper-gen [Drp] )[/LIST][/LIST]