Поймал шифровальщик WannaCash, прошу о помощи.

Сегодня искал ключи на Nod32, скачал с Яндекс.Диска архив 1.zip. Открыл текстовый документ, изменился фон рабочего стола на белый с текстом:
! ВНИМАНИЕ !
Файлов зашифровано 25734
Время : 19.07.2020 13:52:36
ID : 97947425 | 17
Почта 1 : [email][email protected][/email]
Почта 2 : [email][email protected][/email]

Файлы зашифрованные имеют на иконке просто белый лист и подобные названия:
Файл [IMG_5853.jpg] зашифрован. Пиши. [ Почта [email][email protected][/email] ] .WANNACASH NCOV v170720

Прикрепил по инструкции

Уважаемый(ая) [B]NamVig[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Скачайте [url=https://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]https://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i] и [i]90 Days Files[/i].
[img]https://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Файлы [b]FRST.txt[/b] и [b]Addition.txt[/b] заархивируйте (в [b]один общий архив[/b]) и прикрепите к сообщению.

Всё сделал, прикрепил

Шифровали под пользователем Алексей, а логи сделаны в учетке Илья. Тут только мусор.

1. Выделите следующий код:
[code]
Start::
CreateRestorePoint:
HKU\S-1-5-21-37632821-4186348916-232857434-1000\...\Run: [Илья] => explorer.exe hxxp://dipladoks.org <==== ATTENTION
GroupPolicy: Restriction ? <==== ATTENTION
GroupPolicy\User: Restriction ? <==== ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
Task: {047252FC-B967-486B-908F-11C2D1BA59AC} - \OfficeSoftwareProtectionPlatform\SvcRestartTask -> No File <==== ATTENTION
Task: {139D7FF1-B779-437A-B2F3-CA5CE8D40B6E} - System32\Tasks\{494EF4CE-925D-404D-B3E0-315502E002D0} => C:\Windows\system32\pcalua.exe -a C:\Users\75BD~1\AppData\Local\Temp\jre-8u71-windows-au.exe -d C:\Windows\SysWOW64 -c /installmethod=jau FAMILYUPGRADE=1 <==== ATTENTION
Task: {153F18AA-9A7F-4CDF-8ADE-2F1156E73F70} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeReminderTime -> No File <==== ATTENTION
Task: {27B127F1-33DA-41C7-8F5D-42C2070D9298} - \Microsoft\Windows\UNP\RunCampaignManager -> No File <==== ATTENTION
Task: {2832823E-82E3-4337-B409-ED6006F363AE} - System32\Tasks\ByteFence => C:\Program Files\ByteFence\ByteFence.exe <==== ATTENTION
Task: {2FC8D47F-71BC-4387-825E-743DE852ADE9} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> No File <==== ATTENTION
Task: {3B4E4996-641C-49B9-AC00-EF99A131AD7E} - System32\Tasks\Илья => cmd.exe /c REG ADD HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /f /v Илья /t REG_SZ /d "explorer.exe hxxp://dipladoks.org" <==== ATTENTION
Task: {4164452E-3C62-471B-BFD2-0223A8866CAC} - \Microsoft\Windows\Setup\GWXTriggers\OnIdle-5d -> No File <==== ATTENTION
Task: {43C9AD29-9428-41B1-9159-E016CA5FB5AF} - System32\Tasks\Price Fountain => C:\Users\75BD~1\AppData\Roaming\PRICEF~1\UPDATE~1\UPDATE~1.EXE <==== ATTENTION
Task: {4C58010D-C317-4BDA-BE30-BC4E5ABF850D} - \CCleanerSkipUAC -> No File <==== ATTENTION
Task: {55D5CA82-788E-4C92-962C-42907DAB49E7} - System32\Tasks\RestoreSearch => Command(1): cmd.exe -> /c @echo Set objShell = WScript.CreateObject("WScript.Shell") &gt; %TEMP%\R.vbs
Task: {55D5CA82-788E-4C92-962C-42907DAB49E7} - System32\Tasks\RestoreSearch => Command(2): cmd.exe -> /c @echo objShell.Run "cmd.exe /c (attrib -H -R -S %WinDir%\system32\GroupPolicy\Machine\Registry.pol)&amp;(copy/b/y %WinDir%\system32\GroupPolicy\Machine\R %WinDir%\system32\GroupPolicy\Machine\Registry.pol &gt; nul)&amp;(gpupdate/force)&amp;(attrib +R %WinDir%\system32\GroupPolicy\Machine\Registry.pol)", 0, True &gt;&gt; %TEMP%\R.vbs
Task: {55D5CA82-788E-4C92-962C-42907DAB49E7} - System32\Tasks\RestoreSearch => Command(3): wscript.exe -> %TEMP%\R.vbs
Task: {55D5CA82-788E-4C92-962C-42907DAB49E7} - System32\Tasks\RestoreSearch => Command(4): cmd.exe -> /c del/Q %TEMP%\R.vbs
Task: {66AD5FB9-E68D-4757-858D-CA37CA58B304} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> No File <==== ATTENTION
Task: {6BAAD68C-7682-4ECD-9C81-99A29F563553} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeTime -> No File <==== ATTENTION
Task: {6D98E9F7-7B6B-4672-B2C1-4E54CAAF4097} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> No File <==== ATTENTION
Task: {AC6113AA-1952-40B1-8DA9-FE2381B39641} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> No File <==== ATTENTION
Task: {B9757A0B-A4BB-41A1-8677-9C743875146D} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> No File <==== ATTENTION
Task: {C4CBE4AA-8F92-4132-B13C-541A77540D3B} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> No File <==== ATTENTION
Task: {D19F0C60-D84E-4EFE-896E-38E35F9D461F} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> No File <==== ATTENTION
Task: {E0C99EAA-8693-4D5A-9355-CD64D485DE6C} - System32\Tasks\ByteFence Scan => C:\Program Files\ByteFence\ByteFence.exe <==== ATTENTION
Task: {E14F41F7-5763-42D7-BC32-65B2F7C56905} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> No File <==== ATTENTION
Task: {FDD19935-8DFF-4511-AA80-45BBD44124FE} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> No File <==== ATTENTION
Task: {FF59F405-C4DF-4B9F-8131-F46D6E53B7F6} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> No File <==== ATTENTION
> Chrome Search (HKLM-x32\...\{2AEF02C351594C81A6888D954F0DEE56}_NewSearch) (Version: - ) <==== ATTENTION
AlternateDataStreams: C:\ProgramData\TEMP:58A5270D [147]
AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [484]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:58A5270D [147]
MSCONFIG\startupreg: ZetaGamesNews => C:\Users\Илья\AppData\Local\ZetaGamesNews\zeta.exe
MSCONFIG\startupreg: ZetaGamesViewer => C:\Users\Илья\AppData\Local\ZetaGamesViewer\zetaviewer.exe --show-hidden
HKU\S-1-5-21-37632821-4186348916-232857434-1000\...\StartupApproved\Run: => "Илья"
Reboot:
End::
[/code]
2. Скопируйте выделенный текст ([b]правая кнопка мыши[/b] – [b]Копировать[/b]).
3. Запустите [b]Farbar Recovery Scan Tool[/b].
4. Нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.
[list][*]Обратите внимание: будет выполнена [b]перезагрузка компьютера[/b].[/list]

Думаю играет роль на каком пользователе был запущен вирус, все процедуры проделывал на другом пользователе, сейчас прикрепляю Fixlog с аккаунта с которого всё прикреплял изначально. Сейчас следующим сообщением прикреплю всё с пользователя, на котором был запущен вирус, совершив те же процедуры.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Так как последний fixscript идёт для определённого пользователя, я сделал всё, кроме последнего скрипта.
Вот архивы с другого пользователя

Fixlog для скрипта, второй раз не выполнял

Примеры зашифрованных файлов прикрепите в архиве к сообщению.

В каждом архиве по одному файлу, прикрепил картинки

Ваши файлы [url]https://dropmefiles.com/Bz2Gr[/url]