@ SnowBars,
в каком году у вас куплена лицензия на Smart Security и сколько раз вы уже ее продлевали?

проверьте еще раз  сканером [B]только загрузочные сектора[/B], напишите результат..

@Марат Шайхутдинов,

заглядывайте почаще в help.oline

[QUOTE]Динамические группы

Динамические группы — это группы устройств (без каких-либо других объектов, например задач или политик), членство в которых определяется по специальным критериям. Если клиентское устройство не отвечает критериям, оно удаляется из группы. Компьютеры, отвечающие критериям, добавляются в группу автоматически, поэтому такие группы называются динамическими.[/QUOTE]

https://help.eset.com/era_admin/65/ru-RU/?admin_groups.html

[QUOTE]Динамические группы — это, по сути, настраиваемые фильтры в разделе Шаблоны. Компьютеры фильтруются на стороне агента, поэтому передавать на сервер дополнительную информацию не нужно. Агент сам определяет, к какой динамической группе принадлежит клиент, а на сервер приходит только уведомление об этом решении. Для этого вида групп существуют правила, заданные в шаблоне динамической группы.[/QUOTE]

https://help.eset.com/era_admin/65/ru-RU/?admin_dg.html

получается что вы создаете шаблоны, с помощью механизма критериев.
далее, создаете динамическую группу, и указываете необходимый шаблон (фильтр), согласно которому вы хотите фильтровать компьютеры, чтобы они попадали в данную группу.
далее, для созданной группы назначаете задачу, которая будет автоматически запускаться, как только компутер попадет в данную группу.

@Денис Смирнов,

напишите в [email protected], техподдержка предоставит вам точную информацию по вашему вопросу.

@Сергей Зубков,

1. предполагаю, чтоб была взломана учетная запись USERS\BOCHARNIKOVA
именно из ее профиля был запуск шифратора.

%SystemDrive%\USERS\BOCHARNIKOVA\MUSIC\1\1ST.EXE


[QUOTE]Полное имя C:\USERS\BOCHARNIKOVA\MUSIC\1\1ST.EXE
Имя файла                   1ST.EXE
Тек. статус                 ВИРУС [[B]Запускался неявно или вручную[/B]]
                           
Обнаруженные сигнатуры      
Сигнатура                   Win32/Filecoder.Crysis.L (delall) [глубина совпадения 64(64), необх. минимум 8, максимум 64] 2017-08-18
                           
Сохраненная информация      на момент создания образа
Статус                      [Запускался неявно или вручную]
File_Id                     58B8AF7219000
Linker                      10.0
Размер                      94720 байт
Создан                      27.11.2018 в 01:48:19
Изменен                     10.11.2018 в 06:01:28
[/QUOTE]

в настоящее время активности шифратора нет.                            

2. по очистке системы выполните:
выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
[code]

;uVS v4.1.1 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
OFFSGNSAVE
del %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\DESKTOP.INI.ID-306DABD1.[[email protected]].ADOBE
del %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\MICROSOFT\­WINDOWS\START MENU\PROGRAMS\STARTUP\DESKTOP.INI.ID-306DABD1.[[email protected]].ADOBE
del %SystemDrive%\USERS\BOCHARNIKOVA\APPDATA\ROAMING\MICROSOFT\W­INDOWS\START MENU\PROGRAMS\STARTUP\DESKTOP.INI.ID-306DABD1.[[email protected]].ADOBE
delref %SystemDrive%\USERS\BOCHARNIKOVA\APPDATA\ROAMING\INFO.HTA
delref %Sys32%\INFO.HTA
del %SystemDrive%\USERS\BOCHARNIKOVA\APPDATA\ROAMING\MICROSOFT\W­INDOWS\START MENU\PROGRAMS\STARTUP\INFO.HTA.TXT
delall %SystemDrive%\USERS\BOCHARNIKOVA\MUSIC\1\1ST.EXE
delref %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\1ST.EXE
apply

QUIT
[/code]
без перезагрузки, пишем о старых и новых проблемах.
------------

3. по расшифровке файлов при наличие лицензии на продукты ESET сделайте запрос в [email protected]
(хотя расшифровки по crysis.adobe на текущий момент нет)

4. важные зашифрованные документы, сохраните на отдельный носитель, возможно расшифровка станет доступной в будущем.

5. ограничьте доступ к серверу по RDP из внешней сети, сделайте настройки по ограничению попыток неправильного ввода паролей, чтобы блокировать потенциальных взломщиков учетных записей.
если сервер в вашей локальной сети, желательно настроить доступ из внешней сети к рабочим серверам через VPN подключение.
(вобщем здесь много работы для сист. админа, как защитить локальную сеть от внешних вторжений.)

6. версия антивирусной защиты 4.2.40.10  крайне устарела, скорее всего уже и нет поддержки по данной версии.

[QUOTE]ESET NOD32 Antivirus Business Edition
Version Release Date Latest build Updated Status Next Status Expected EOL
4 2-Mar-09 4.2.76.0 12-Jan-12 Basic Support                End of Life Dec 2018*

ESET Smart Security Business Edition
Version Release Date Latest build Updated Status Next Status Expected EOL
4 2-Mar-09 4.2.76.0 12-Jan-12 Basic Support                 End of Life Dec 2018*[/QUOTE]

Есть специализированные продукты ESET для серверов: ESET File Security v6 и v7
переустановите антивирусный клиент на актуальную и специализированную версию.

[B]7. поправил скрипт.[/B]

@Vadim Vadim,
добавьте образ автозапуска системы

[QUOTE]Сергей Зубков написал:
такая же проблема весь комп зашифровался adobe  [/QUOTE]

добавьте образ автозапуска с компутера, где произошло шифрование.
+
несколько зашифрованных файлов, а так же файл info.hta в архиве

[QUOTE]Татьяна Колдышева написал:
3 раза пытались запустить  скрипт в uVS из буфера обмена - все 3 раза неудачно - фото прилагается[/QUOTE]
три раза не надо выполнять скрипт, если возникает ошибка, надо писать об ошибке,
если будет такая необходимость, будет предложен другой вариант решения.

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
[code]

;uVS v4.1.1 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
OFFSGNSAVE
;------------------------autoscript---------------------------

zoo %SystemDrive%\PROGRAM FILES (X86)\7-ZIP\GUI_7ZS.EXE
addsgn 92047E9A556AB0AB1CD447B766C81236ECD47BF86A0E34890E1D6897887B­728F73806EC6CDF0C3E47D118581EBF4B257F0B1F87308DA3D5131C2B8DC­6C588F20 8 infostealer 7

chklst
delvir

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DFDJDJKKJOIOMAFNIHNOBKINNFJNNLHDG%26INSTALLSOURCE%3D­ONDEMAND%26UC
apply

delref %SystemRoot%\TEMP\C4B98924-F08E-47F1-BE70-48B20519BA79
delref %SystemRoot%\TEMP\17559C02-E61E-4C7E-9984-2FED890DCA18
delref %SystemRoot%\TEMP\4983953D-F1A5-4D8A-8DED-8B78BD7141C5
delref %SystemRoot%\TEMP\52AAC2AA-3080-4FE7-8958-5F8353173227
delref %SystemDrive%\PROGRAM FILES\AVAST SOFTWARE\AVAST\AVEMUPDATE.EXE
delref %SystemDrive%\PROGRAM FILES\COMMON FILES\AVAST SOFTWARE\OVERSEER\OVERSEER.EXE
delref {23E5D772-327A-42F5-BDEE-C65C6796BB2A}\[CLSID]
delref {177AFECE-9599-46CF-90D7-68EC9EEB27B4}\[CLSID]
delref {CEF51277-5358-477B-858C-4E14F0C80BF7}\[CLSID]
delref {59116E30-02BD-4B84-BA1E-5D77E809B1A2}\[CLSID]
delref %SystemRoot%\SYSWOW64\TBSSVC.DLL
delref %SystemRoot%\SYSWOW64\PEERDISTSVC.DLL
delref %SystemRoot%\SYSWOW64\DRIVERS\NDIS.SYS
delref %SystemRoot%\SYSWOW64\UMPO.DLL
delref %SystemRoot%\SYSWOW64\IPHLPSVC.DLL
delref %SystemRoot%\SYSWOW64\CSCSVC.DLL
delref %SystemRoot%\SYSWOW64\DRIVERS\RDVGKMD.SYS
delref %SystemRoot%\SYSWOW64\PNRPSVC.DLL
delref %SystemRoot%\SYSWOW64\DRIVERS\PACER.SYS
delref %SystemRoot%\SYSWOW64\LSM.EXE
delref {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B}\[CLSID]
delref {166B1BCA-3F9C-11CF-8075-444553540000}\[CLSID]
delref {233C1507-6A77-46A4-9443-F871F945D258}\[CLSID]
delref {4063BE15-3B08-470D-A0D5-B37161CFFD69}\[CLSID]
delref {88D969C0-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C1-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C2-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C3-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C4-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {88D969C5-F192-11D4-A65F-0040963251E5}\[CLSID]
delref {8AD9C840-044E-11D1-B3E9-00805F499D93}\[CLSID]
delref {CFCDAA03-8BE4-11CF-B84B-0020AFBBCCFA}\[CLSID]
delref %SystemRoot%\SYSWOW64\WIN32K.SYS
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\CHROME.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\63.0.3239.132\INSTALLER\CHRMSTP.EXE
delref %SystemRoot%\SYSWOW64\BLANK.HTM
delref {E6FB5E20-DE35-11CF-9C87-00AA005127ED}\[CLSID]
delref %Sys32%\BLANK.HTM
delref %Sys32%\DRIVERS\RDVGKMD.SYS
delref {B1883831-F0D8-4453-8245-EEAAD866DD6E}\[CLSID]
delref {472083B0-C522-11CF-8763-00608CC02F24}\[CLSID]
delref HELPSVC\[SERVICE]
delref SACSVR\[SERVICE]
delref VMMS\[SERVICE]
delref MESSENGER\[SERVICE]
delref RDSESSMGR\[SERVICE]
delref %SystemDrive%\USERS\АЛЕКСЕЙ\APPDATA\LOCAL\TEMP\1AA38963.SYS
delref %Sys32%\PSXSS.EXE
delref %Sys32%\SHAREMEDIACPL.CPL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.21.123\PSMACHINE.DLL
delref H:\SETUP.EXE
delref H:\INSTALLER.EXE
delref {8E5E2654-AD2D-48BF-AC2D-D17F00898D06}\[CLSID]
delref D:\PROGRAM FILES (X86)\INTERNET EXPLORER\IEXPLORE.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\SNOWBALL.RU\MASSEFFECTGOLD\MASSEFFECTLAUNCHER.EXE
;-------------------------------------------------------------

restart
[/code]
перезагрузка, пишем о старых и новых проблемах.
------------
если обнаружение троянов в загрузочных сигнатурах повторяется, сделайте образ автозапуска из под загрузочного winpe&uVS
посмотрите здесь инструкция по созданию загрузочного usb live disk
https://forum.esetnod32.ru/forum27/topic2102/

@Валентин Терехов,

1. C Antivirus 4.2.76.1  надо давно уже уходить, в особенности, если это корпоративный пользователь.

[QUOTE]ESET NOD32 Antivirus Business Edition
Version Release Date Latest build Updated Status Next Status Expected EOL
4 2-Mar-09 4.2.76.0 12-Jan-12 Basic Support End of Life Dec 2018*

ESET Smart Security Business Edition
Version Release Date Latest build Updated Status Next Status Expected EOL
4 2-Mar-09 4.2.76.0 12-Jan-12 Basic Support End of Life Dec 2018*[/QUOTE]

есть 5, 6 и 7 линейка корпоративных продуктов в которых защита значительно улучшена по сравнению с 4 линейкой.

2. активных шифраторов в системе уже нет
по очистке системы выполните

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
[code]

;uVS v4.1.1 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
OFFSGNSAVE
;------------------------autoscript---------------------------

deldirex %SystemDrive%\PROGRAM FILES (X86)\ASKPARTNERNETWORK\TOOLBAR

deldirex %SystemDrive%\PROGRAMDATA\ASKPARTNERNETWORK\TOOLBAR\BTR-V7\CRX

deldirex %SystemDrive%\USERS\TEMA\APPDATA\LOCALLOW\UNITY\WEBPLAYER\LO­ADER

deldirex %SystemDrive%\USERS\BOSS\APPDATA\LOCALLOW\UNITY\WEBPLAYER\LO­ADER

deldirex %SystemDrive%\USERS\SERG\APPDATA\LOCALLOW\UNITY\WEBPLAYER\LO­ADER

delall %SystemDrive%\USERS\BOSS\APPDATA\ROAMING\MICROSOFT\WINDOWS\S­TART MENU\PROGRAMS\STARTUP\PUNTO SWITCHER.LNK.ID-A8762622.[[email protected]].ADOBE
delref HTTP://WWW.SEARCH.ASK.COM/?TPID=ORJ-SPE&O=APN11406&PF=V7&TRGB=IE&P2=%5EBBE%5EOSJ000%5EBZ%5ERU&GC­T=HP&APN_PTNRS=BBE&APN_DTID=%5EOSJ000%5EBZ%5ERU&APN_DBR=IE&A­PN_UID=793CAB57-BBF9-40BB-9883-F7AC5D535D6F&ITBV=12.21.0.114&DOI=2014-12-04&PSV=&PT=TB
delref HTTP://WWW.SEARCH.ASK.COM/WEB?TPID=ORJ-SPE&O=APN11406&PF=V7&P2=^BBE^OSJ000^YY^RU&GCT=SB&ITBV=12.21.0.114&APN_UID=793CAB57-BBF9-40BB-9883-F7AC5D535D6F&APN_PTNRS=BBE&APN_DTID=^OSJ000^YY^RU&APN_DBR=IE­&DOI=2014-12-04&TRGB=IE&Q={SEARCHTERMS}&PSV=&PT=TB
delref %SystemDrive%\USERS\BOSS\APPDATA\ROAMING\MICROSOFT\WINDOWS\S­TART MENU\PROGRAMS\STARTUP\DESKTOP.INI.ID-A8762622.[[email protected]].ADOBE
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DAMINLPMKFCDIBGPGFAJLGNAMICJCKKJF%26INSTALLSOURCE%3D­ONDEMAND%26UC
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DCNCGOHEPIHCEKKLOKHBHIBLHFCMIPBDH%26INSTALLSOURCE%3D­ONDEMAND%26UC
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DDKEKDLKMDPIPIHONAPOLEOPFEKMAPADH%26INSTALLSOURCE%3D­ONDEMAND%26UC
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DFDJDJKKJOIOMAFNIHNOBKINNFJNNLHDG%26INSTALLSOURCE%3D­ONDEMAND%26UC
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DJDFONANKHFNHIHDCPAAGPABBAOCLNJFP%26INSTALLSOURCE%3D­ONDEMAND%26UC
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DJDKIHDHLEGCDGGKNOKFEKOEMKJJNJHGI%26INSTALLSOURCE%3D­ONDEMAND%26UC
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DLIFBCIBLLHKDHOAFPJFNLHFPFGNPLDFL%26INSTALLSOURCE%3D­ONDEMAND%26UC
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPFIGAOAMNNCIJBGOMIFAMKMKIDNNLIKL%26INSTALLSOURCE%3D­ONDEMAND%26UC
delref %Sys32%\1PAYLOAD.EXE
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DDHDGFFKKEBHMKFJOJEJMPBLDMPOBFKFO%26INSTALLSOURCE%3D­ONDEMAND%26UC
delref %SystemDrive%\USERS\BOSS\APPDATA\ROAMING\INFO.HTA
apply

regt 28
regt 29
deltmp
delref %SystemRoot%\SYSWOW64\HASPLMS.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\TEAMVIEWER\TEAMVIEWER.EXE
delref %SystemDrive%\USERS\BOSS\APPDATA\LOCAL\TEMP\YUPDATE-PING-YADISK.TEMP
delref %SystemDrive%\USERS\BOSS\APPDATA\LOCAL\YANDEX\YANDEXBROWSER\­APPLICATION\BROWSER.EXE
delref {23E5D772-327A-42F5-BDEE-C65C6796BB2A}\[CLSID]
delref {177AFECE-9599-46CF-90D7-68EC9EEB27B4}\[CLSID]
delref {CEF51277-5358-477B-858C-4E14F0C80BF7}\[CLSID]
delref {59116E30-02BD-4B84-BA1E-5D77E809B1A2}\[CLSID]
delref %SystemDrive%\USERS\BOSS\APPDATA\LOCAL\TEMP\JRE-8U144-WINDOWS-AU.EXE
delref G:\SETUP.EXE
delref %SystemRoot%\UNVISE32QT.EXE
delref %SystemRoot%\SYSWOW64\TBSSVC.DLL
delref %SystemRoot%\SYSWOW64\PEERDISTSVC.DLL
delref %SystemRoot%\SYSWOW64\DRIVERS\NDIS.SYS
delref %SystemRoot%\SYSWOW64\UMPO.DLL
delref %SystemRoot%\SYSWOW64\IPHLPSVC.DLL
delref %SystemRoot%\SYSWOW64\CSCSVC.DLL
delref %SystemRoot%\SYSWOW64\PNRPSVC.DLL
delref %SystemRoot%\SYSWOW64\DRIVERS\PACER.SYS
delref %SystemRoot%\SYSWOW64\LSM.EXE
delref {166B1BCA-3F9C-11CF-8075-444553540000}\[CLSID]
delref {233C1507-6A77-46A4-9443-F871F945D258}\[CLSID]
delref {CFCDAA03-8BE4-11CF-B84B-0020AFBBCCFA}\[CLSID]
delref %SystemRoot%\SYSWOW64\WIN32K.SYS
delref %SystemDrive%\USERS\BOSS\APPDATA\LOCAL\YANDEX\YANDEXBROWSER\­USER DATA\DEFAULT\EXTENSIONS\[email protected]
delref {1FBA04EE-3024-11D2-8F1F-0000F87ABD16}\[CLSID]
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\58.0.3029.81\INSTALLER\CHRMSTP.EXE
delref %SystemRoot%\SYSWOW64\BLANK.HTM
delref SLDWORKS SHELL EXTENSION\[CLSID]
delref {E6FB5E20-DE35-11CF-9C87-00AA005127ED}\[CLSID]
delref %Sys32%\MSSPELLCHECKINGFACILITY.DLL
delref %Sys32%\BLANK.HTM
delref {240629A2-EDE1-4FE8-B8BB-D4974A9B9600}\[CLSID]
delref {C5F6CDD1-FB7B-4971-A53F-4B00757F756B}\[CLSID]
delref {75EF3512-D401-4172-BA0F-00E000DCBCE4}\[CLSID]
delref {8EEE3CD5-1F70-4B63-B19D-A5F1457761DB}\[CLSID]
delref {9CE04609-A360-4266-9937-9D799E8D2D5A}\[CLSID]
delref {63ADB0D1-6DA0-46A2-89D0-E0CE44536E32}\[CLSID]
delref {81539FE6-33C7-4CE7-90C7-1C7B8F2F2D43}\[CLSID]
delref HELPSVC\[SERVICE]
delref SACSVR\[SERVICE]
delref VMMS\[SERVICE]
delref MESSENGER\[SERVICE]
delref RDSESSMGR\[SERVICE]
delref %SystemDrive%\PROGRAM FILES (X86)\BLUESTACKS\HD-SERVICE.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\BLUESTACKS\HD-HYPERVISOR-AMD64.SYS
delref %SystemDrive%\PROGRAM FILES (X86)\BLUESTACKS\HD-PLUS-SERVICE.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\BLUESTACKS\BSTKDRV.SYS
delref %SystemRoot%\GDRV.SYS
delref %Sys32%\PSXSS.EXE
delref %SystemDrive%\USERS\TEMA\APPDATA\ROAMING\YANDEX\YANDEXDISK\W­OW64\YANDEXDISKSHELLEXT-3998.DLL
delref %SystemDrive%\USERS\BOSS\APPDATA\LOCAL\YANDEX\UPDATER2\U2-CTRL.EXE
delref %SystemDrive%\USERS\TEMA\APPDATA\LOCALLOW\UNITY\WEBPLAYER\LO­ADER\UNITYWEBPLUGINAX.OCX
delref %SystemDrive%\USERS\BOSS\APPDATA\LOCAL\YANDEX\UPDATER\YUPDAT­E-CTRL.EXE
delref %SystemDrive%\USERS\BOSS\APPDATA\LOCAL\YANDEX\BROWSERMANAGER­\BROWSERMANAGERSHOW.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\JAVA\JRE1.8.0_73\BIN\JP2IEXP.DLL
delref %SystemDrive%\USERS\BOSS\APPDATA\LOCALLOW\UNITY\WEBPLAYER\LO­ADER\UNITYWEBPLUGINAX.OCX
delref %SystemDrive%\USERS\SERG\APPDATA\ROAMING\YANDEX\YANDEXDISK\W­OW64\YANDEXDISKSHELLEXT-4724.DLL
delref %SystemDrive%\USERS\SERG\APPDATA\LOCALLOW\UNITY\WEBPLAYER\LO­ADER\UNITYWEBPLUGINAX.OCX
delref %SystemDrive%\USERS\SERG\APPDATA\ROAMING\YANDEX\YANDEXDISK\W­OW64\YANDEXDISKSHELLEXT-4602.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.26.9\PSMACHINE_64.DLL
delref F:\PROGRAM FILES\COREL\CORELDRAW GRAPHICS SUITE 2017\PROGRAMS64\CRLFX3D.DLL
delref F:\PROGRAM FILES\COREL\CORELDRAW GRAPHICS SUITE 2017\PROGRAMS64\CRLFXADJUSTTRANS.DLL
delref F:\PROGRAM FILES\COREL\CORELDRAW GRAPHICS SUITE 2017\PROGRAMS64\CRLFXCREATIVE.DLL
delref F:\PROGRAM FILES\COREL\CORELDRAW GRAPHICS SUITE 2017\PROGRAMS64\CRLFXTEXTURE.DLL
delref F:\PROGRAM FILES\COREL\CORELDRAW GRAPHICS SUITE 2017\PROGRAMS64\CRLFXBLUR.DLL
delref F:\PROGRAM FILES\COREL\CORELDRAW GRAPHICS SUITE 2017\PROGRAMS64\CRLFXNOISE.DLL
delref %SystemDrive%\PROGRAM FILES\SOLIDWORKS CORP\SOLIDWORKS\MOTION\CMOTIONSWAPI.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\BLUESTACKS\BSTKSVC.EXE
delref F:\PROGRAM FILES\COREL\CORELDRAW GRAPHICS SUITE 2017\PROGRAMS64\CRLFXCONTROLS.DLL
delref F:\PROGRAM FILES\COREL\CORELDRAW GRAPHICS SUITE 2017\PROGRAMS64\CRLFXARTSTROKES.DLL
delref F:\PROGRAM FILES\COREL\CORELDRAW GRAPHICS SUITE 2017\PROGRAMS64\CRLFX.DLL
delref F:\PROGRAM FILES\COREL\CORELDRAW GRAPHICS SUITE 2017\PROGRAMS64\CORELDRW.EXE
delref F:\PROGRAM FILES\COREL\CORELDRAW GRAPHICS SUITE 2017\PROGRAMS64\CRLFXRENDER.DLL
delref F:\PROGRAM FILES\COREL\CORELDRAW GRAPHICS SUITE 2017\PROGRAMS64\CRLFXPHOTO.DLL
delref F:\PROGRAM FILES\COREL\CORELDRAW GRAPHICS SUITE 2017\PROGRAMS64\CRLFXDISTORT.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.1\PSMACHINE_64.DLL
delref F:\PROGRAM FILES\COREL\CORELDRAW GRAPHICS SUITE 2017\PROGRAMS64\CRLFXSHARPEN.DLL
delref F:\PROGRAM FILES\COREL\CORELDRAW GRAPHICS SUITE 2017\PROGRAMS64\CRLFXCUSTOM.DLL
delref F:\PROGRAM FILES\COREL\CORELDRAW GRAPHICS SUITE 2017\PROGRAMS64\CRLFXCLRTRANS.DLL
delref F:\PROGRAM FILES\COREL\CORELDRAW GRAPHICS SUITE 2017\PROGRAMS64\CRLUISVR.EXE
delref %SystemDrive%\PROGRAM FILES\SOLIDWORKS CORP\EDRAWINGS X64 EDITION\EMODELVIEW.DLL
delref F:\PROGRAM FILES\COREL\CORELDRAW GRAPHICS SUITE 2017\PROGRAMS64\CORELPP.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\BLUESTACKS\BSTKC.DLL
delref %SystemDrive%\PROGRAM FILES\SOLIDWORKS CORP\EDRAWINGS X64 EDITION\EMODELVIEWER.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.32.7\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES\SOLIDWORKS CORP\SOLIDWORKS\SCANTO3D\ADDIN\NEMODEL.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.27.5\PSMACHINE_64.DLL
delref F:\PROGRAM FILES\COREL\CORELDRAW GRAPHICS SUITE 2017\PROGRAMS64\CRLFXCONTOUR.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.15\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.1\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES\SOLIDWORKS CORP\SOLIDWORKS\MOTION\CMOTIONSW.DLL
delref F:\PROGRAM FILES\COREL\CORELDRAW GRAPHICS SUITE 2017\PROGRAMS64\BARCODE.EXE
delref %SystemDrive%\PROGRAM FILES\SOLIDWORKS CORP\EDRAWINGS X64 EDITION\EMODELXLATOR.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.7\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES\SOLIDWORKS CORP\EDRAWINGS X64 EDITION\EMODELXLATORPROE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.11\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.3\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES\SOLIDWORKS CORP\EDRAWINGS X64 EDITION\EMODELEXPORT.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.24.7\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES\SOLIDWORKS CORP\EDRAWINGS X64 EDITION\EMODELREVIEWER.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.13\PSMACHINE_64.DLL
delref %Sys32%\SHAREMEDIACPL.CPL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.30.3\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.24.15\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.26.9\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.1\PSMACHINE.DLL
delref %SystemDrive%\TOUCHINFORM\TSRUNTIME\LACCCTRL.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.21.115\PSMACHINE.DLL
delref D:\CHECKVER.OCX
delref %SystemDrive%\PROGRAM FILES (X86)\SOLIDWORKS CORP\EDRAWINGS\EMODELVIEWER.EXE
delref %SystemDrive%\USERS\BOSS\DESKTOP\CMS\WNDMAN~1.OCX
delref D:\DRIVE~1D.OCX
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.32.7\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.27.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\SOLIDWORKS CORP\EDRAWINGS\EMODELXLATOR.DLL
delref %SystemDrive%\PROGRAM FILES\SOLIDWORKS CORP\SOLIDWORKS\SWVBASERVER\SWVBASERVER.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\SOLIDWORKS CORP\EDRAWINGS\EMODELREVIEWER.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.15\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.1\PSMACHINE.DLL
delref %SystemDrive%\PROGRA~2\COMMON~1\ISKYSOFT\ISKYSO~1\ISHELPER.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\SOLIDWORKS CORP\SOLIDWORKS EXPLORER\PDMWORKS CLIENT 2014\PDMWADDIN.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.7\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.11\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\ADOBE\ACROBAT READER DC\ACRORD32INFO.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.24.7\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.13\PSMACHINE.DLL
delref %SystemDrive%\USERS\BOSS\DESKTOP\CMS\MAPCTRL.OCX
delref %SystemDrive%\PROGRAM FILES (X86)\SOLIDWORKS CORP\EDRAWINGS\EMODELXLATORPROE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\SOLIDWORKS CORP\EDRAWINGS\EDRAWINGOFFICEAUTOMATOR.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.30.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\SOLIDWORKS CORP\SOLIDWORKS\SIMULATION\PARAMETRICOBJECT.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.24.15\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\SOLIDWORKS CORP\EDRAWINGS\EMODELEXPORT.DLL
delref %SystemRoot%\TEMP\E_S4BAA.TMP
delref %SystemRoot%\TEMP\E_SEC84.TMP
delref %SystemRoot%\TEMP\E_SD41D.TMP
delref %SystemRoot%\TEMP\E_SE655.TMP
delref %SystemRoot%\TEMP\E_SF488.TMP
delref %SystemRoot%\TEMP\E_S747A.TMP
delref %SystemRoot%\TEMP\E_S1F42.TMP
delref {18DF081C-E8AD-4283-A596-FA578C2EBDC3}\[CLSID]
delref J:\SETUP.EXE
delref F:\HTC_SYNC_MANAGER_PC.EXE
delref K:\HTC_SYNC_MANAGER_PC.EXE
delref I:\STARTME.EXE
delref I:\HTC_SYNC_MANAGER_PC.EXE
delref %SystemDrive%\USERS\BOSS\APPDATA\LOCALLOW\UNITY\WEBPLAYER\LO­ADER\NPUNITY3D32.DLL
delref %SystemDrive%\USERS\BOSS\DOCUMENTS\1C-CONNECT\1C-CONNECT.EXE
delref %SystemDrive%\USERS\BOSS\APPDATA\ROAMING\YANDEX\YANDEXDISK2\­YANDEXDISK2.EXE
delref %SystemDrive%\USERS\BOSS\APPDATA\LOCAL\YANDEX\BROWSERMANAGER­\MBLAUNCHER.EXE
delref %SystemRoot%\INSTALLER\{27AE72A4-B217-4CDC-B82B-3311E9D7460E}\NEWSHORTCUT1_41AAC0AC880545E6A1C81230F4159C30.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\LANAGENT\LANAGENT.EXE
delref %SystemDrive%\LEDCTRL\LEDVIDEO.EXE
delref %SystemDrive%\TOTALCMD\TOTALCMD.EXE
delref %SystemDrive%\TOTALCMD\TCUNINST.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\BLUESTACKS\BLUESTACKS.EXE
delref %SystemDrive%\BOARDMASTER PRO_CAPTCHA\BM5PROP.EXE
delref F:\PROGRAM FILES\COREL\CORELDRAW GRAPHICS SUITE 2017\PROGRAMS64\FONTMANAGER.EXE
delref %SystemDrive%\HD2014\HD2014.EXE
delref %SystemDrive%\BOARDMASTER PRO_CAPTCHA\UNINS000.EXE
delref F:\PROGRAM FILES\COREL\CORELDRAW GRAPHICS SUITE 2017\VIDEOBROWSER64\VIDEOBROWSER.EXE
delref %SystemDrive%\ECUT\UNINS000.EXE
delref %SystemDrive%\HD2014\UNINS000.EXE
delref %SystemDrive%\PICASO-3D\POLYGON 2.0\POLYGON.EXE
delref %SystemDrive%\PYTHON26\LIB\IDLELIB\IDLE.PYW
delref %SystemDrive%\PYTHON26\TOOLS\SCRIPTS\PYDOCGUI.PYW
delref %SystemDrive%\TOUCHINFORM\TSRUNTIME\TSKEYASST.EXE
delref %SystemDrive%\TOUCHINFORM\TSRUNTIME\TSRUNTIME.EXE
;-------------------------------------------------------------

restart
[/code]
перезагрузка, пишем о старых и новых проблемах.
------------
3. по расшифровке файлов при наличие лицензии на продукты ESET сделайте запрос в [email protected]
(хотя расшифровки по crysis.adobe на текущий момент нет)

4. важные зашифрованные документы, сохраните на отдельный носитель, возможно расшифровка станет доступной в будущем.

[QUOTE]Валентин Терехов написал:
Все зашифрованные файлы получили имена вида: %file_name%.id-A8762622.[ [email protected] ].adobeПомогите пожалуйста с расшифровкой, все необходимые логи и данные предоставим.[/QUOTE]
@Валентин Терехов,
добавьте образ автозапуска с компутера, где произошло шифрование.
+
несколько зашифрованных файлов, а так же файл info.hta в архиве