Вирус зашифровал все документы на компьютере. К документам добавилось расширение .rAr

Доброго времени суток.
Прошу помощи. Зам директора открыла сомнительное письмо с архивом и запустила из него файл. Результат - зашифрованы все документы. Всех пользовательских типов. Стоит NOD, но он ничего не уловил.
Самое плохое, что он зашифровал файлы Outlook весом в 4,5 гига. Это почта за несколько лет.
По вашей инструкции проделал пункты. Результаты проделанного, а также зашифрованый файл прилогаю.
Спасибо. Жду.

В везде в папках создался файл со следующей инфой:
[B][I]-----BEGIN PGP MESSAGE-----[/I][/B]
[B][I]Version: 2.6.3i[/I][/B]

[B][I]hIwDNcvOFhLsxH0BBACBD4rJleoWVmWsrqD06gZZkvDVsg6cj45jmToPywuYoFmA[/I][/B]
[B][I]oCtn71j82MgH+JnLjeg1w3qpALp6nfb3uk43ASmIgeyBy8hAnyJT8QLdAauQRjsG[/I][/B]
[B][I]gSfoWHokS7wWCnuPDHKN5bd9dbx76JNt5OO8RRM67M/rP2+zQTZKcw+pdjZNbqYA[/I][/B]
[B][I]AAApxvX5GbUUYFqY9rfMIiVBVOmwPSRAbKdtvuxFpYhlSDcgoFbc8nQ6jsE=[/I][/B]
[B][I]=naYs[/I][/B]
[B][I]-----END PGP MESSAGE-----[/I][/B]

[B][I]Информация заблокирована[/I][/B]
[B][I]Разблокировка данных - 10 тысяч руб[/I][/B]
[B][I]Отправьте данный файл (который читаете в данный момент) и 1 блокированый файл[/I][/B]
[B][I]В ответ придет разблокированый файл и информация для оплаты[/I][/B]
[B][I]После оплаты - пароль и программа, которая все разблокирует автоматически[/I][/B]
[B][I][email protected][/I][/B]
[B][I]![/I][/B]

Уважаемый(ая) [B]viking83[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Вот что удалось вычислить.
NOD сказал, что это вирус filecoder.NDQ
Была создана папка на диске с: xtmp в ней собственно файл svision.exe завирусован
Прилагаю архив всей папки. АККУРАТНЕЕ!!!
Хотя стоп! Добавить не получается! =(

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что под окном [b]Optional Scan[/b] отмечены [i]"List BCD"[/i], [i]"Driver MD5"[/i] и [i]"90 Days Files"[/i].[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]http://i.imgur.com/3munStB.png[/img]

Добрый день.
Сделал.

[QUOTE]==================== Accounts: =============================

Администратор (S-1-5-21-3861390407-3168482975-2898460043-500 - Administrator - Enabled) => C:\Users\Администратор
Гость (S-1-5-21-3861390407-3168482975-2898460043-501 - Limited - Disabled)
[/QUOTE]
Работать под администратором обычному пользователю крайне небезопасно. Все программы выполняются с правами Администратора, а следовательно и вредоносные программы будут выполнятся с правами администратора. ;)

[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
CloseProcesses:
HKLM\...\Run: [] => [X]
HKU\S-1-5-21-1005731394-963003607-729503850-1128\...\Winlogon: [Userinit] C:\Users\KHVORO~1.N\AppData\Local\Temp\restor.exe
Folder: C:\xtmp
C:\Users\KHVORO~1.N\AppData\Local\Temp\restor.exe
[/code][*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]

Сделал

Логи в порядке. С разархивацией не поможем.