Прошу помощи с расшифровкой файлов. Подозрение на Trojan-Ransom.Win32.Xorist.ln

Здравствуйте!
Прошу помощи с расшифровкой файлов. По папкам текстовый файл следующего содержания:

Внимание!
Все Ваши файлы зашифрованы!
Для расшифровки файлов необходимо написать на email: [EMAIL="[email protected]"][email protected][/EMAIL]
В письме вам необходимо написать ваш id (ID 72918)
Стоимость расшифровки 12500 руб., спешите! Скоро цена будет больше!

Где был/что открывал пользователь не признаются. Присутствуют файлы как с оригинальными именами, так и они же с добавленным расширением вида .id72918, содержимое с виду одинаковое. По крайней мере не открываются ни первые, ни вторые. Насколько аккуратные/адекватные руки побывали до меня - не знаю. По крайней мере заметны следы декрипторов Касперского (и XoristDecryptor, и RectorDecryptor).
Автологгер запускался с физически отключенной сетью.

Уважаемый(ая) [B]MAPTOKOT[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Образцы зашифрованных файлов с [U]измененным[/U] расширением выложите на обменник без капчи и времени ожидания и пришлите ссылку

[url]https://drive.google.com/open?id=0B9yKjKwwOPkbZndzbHVQRDRaajQ[/url]

Кстати, файлы с оригинальным и измененным расширением все-таки одинаковы. Подозреваю, что результат работы RectorDecryptor...

[quote="MAPTOKOT;1441667"]Кстати, файлы с оригинальным и измененным расширением все-таки одинаковы[/quote]Скорее результат очумелых ручек того, кто пытался открыть файл, просто убрав расширение. Чтобы убедить меня в неправоте, найдите на системном диске логи работы RectorDecryptor? заархивируйте и прикрепите к сообщению.

Возможно очумелые ручки пользовали и что-то еще. Но, что интересно, дубликаты присутствуют только для "офисных" форматов (*.pdf, *.doc?, *.xls?), а, к примеру, для *.dbf или *.lnk - отсутствуют. А вот выдержки из лога:
[QUOTE]23:00:19.0792 0x0b5c Found suspicious file: \\?\C:\Users\user10\AppData\Local\VirtualStore\Program Files (x86)\Java\jre1.8.0_121\lib\deploy\ffjcext.zip.id72918
23:00:19.0792 0x0b5c Not crypted
23:00:19.0792 0x0b5c Found suspicious file: \\?\C:\Users\user10\AppData\Local\VirtualStore\Program Files (x86)\Java\jre1.8.0_121\lib\deploy\splash.gif.id72918
23:00:19.0808 0x0b5c Warning! File \\?\C:\Users\user10\AppData\Local\VirtualStore\Program Files (x86)\Java\jre1.8.0_121\lib\deploy\splash.gif.id72918 has unsupported format for key check.
23:00:19.0808 0x0b5c This file is not recognized as Trojan-Ransom.Win32.Rector, file path: \\?\C:\Users\user10\AppData\Local\VirtualStore\Program Files (x86)\Java\jre1.8.0_121\lib\deploy\splash.gif.id72918
[/QUOTE]
Соответственно для ffjcext.zip.id72918 есть дубликат в виде ffjcext.zip, а вот для гифки дубликата нет :)

Я просил прикрепить отчеты в архиве, а не выдержки из них

Простите, Вам охота тратить время на ковыряние в логе на 20+ Мб? В любом случае не считаю (не уполномочен) это общедоступной информацией :( Так что, если желаете, только в ЛС...

З.Ы. Предлагаю закрыть тему дубликатов, приняв во внимание возможное влияние "очумелых ручек", и потереть последние четыре сообщения в теме...

Можете в ЛС присылать

Проверьте ЛС

Огромное человеческое спасибо! Расшифровано!