Алексей,
добавьте образ автозапуска системы.

файл шифратора в архиве с паролем infected пришлите в почту safety@chklst.ru

так же проверьте, есть ли необходимость для всех пользователей давать в общий доступ с полными правами все профили.

[QUOTE]"Users" = "Users (C:\Users)" ; 0/inf ;
"BUILTIN\Администраторы" = "Полный доступ" Разрешить ;
"Все" = "Полный доступ" Разрешить ; [/QUOTE]

это еще выполните:

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
[code]

;uVS v3.87.9 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
OFFSGNSAVE
delall %SystemDrive%\PROGRAM FILES\UBAR\UBARSERVICE.EXE
deltmp
delnfr
restart
[/code]
перезагрузка, пишем о старых и новых проблемах.
------------

Hitman Pro у вас установлен с постоянной защитой, или работает как сканер?
аналогично по malwarebytes/
+
добавьте лог ESETsysinspector
http://forum.esetnod32.ru/forum9/topic10701/

что сейчас с проблемой?

добавьте новый образ автозапуска в uVS
+
вопрос: какая из проблем осталась: первая или вторая?

похоже, плагин от китайской тулзы еще в FF остался.

6. Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

[CODE]FF Plugin: @itools.hk/npiTools, version=1.0.0 -> C:\Program Files (x86)\ThinkSky\iTools 3\Extensions\npiTools.dll [2017-02-15] ()
EmptyTemp:
Reboot:
[/CODE]

Максим,
1. цитировать сообщения наши не надо. просто пишите свой ответ. короче будут простыни.
2. по Адвклинеру выполнили удаление найденного?
3. лог FRST перезалейте, он не читается из архива.

файлов шифратора уже нет в автозапуске.
по очистке системы выполните:

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
[code]

;uVS v3.87.9 [http://dsrt.dyndns.org]
;Target OS: NTv6.1

OFFSGNSAVE

addsgn 1A659B9A5583D98CF42B627DA843ED50AE667F1ABD5BA753D9C3F679D993­8D1FA84ACB0169AAE859A0FD88120BDAC20995A1048DAA5F4F582FFEBBAA­1C73019B 8 Adware.Bandoo.265 [DrWeb]

zoo %SystemDrive%\USERS\USER\APPDATA\LOCAL\TORCH\PLUGINS\TORRENT­\29.0.0.4888\TORCHTORRENT.EXE
zoo %SystemDrive%\USERS\USER\APPDATA\LOCAL\TORCH\PLUGINS\TORRENT­\TORCHTORRENT.EXE
;------------------------autoscript---------------------------

chklst
delvir

deldirex %SystemDrive%\PROGRAM FILES (X86)\MIUITAB

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DAMINLPMKFCDIBGPGFAJLGNAMICJCKKJF%26INSTALLSOURCE%3D­ONDEMAND%26UC

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DEFAIDNBMNNNIBPCAJPCGLCLEFINDMKAJ%26INSTALLSOURCE%3D­ONDEMAND%26UC

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DJDKIHDHLEGCDGGKNOKFEKOEMKJJNJHGI%26INSTALLSOURCE%3D­ONDEMAND%26UC

deldirex %SystemDrive%\USERS\USER\APPDATA\ROAMING\VOPACKAGE

delref %SystemDrive%\PROGRAM FILES (X86)\SFK\SSFK.EXE

delref %SystemDrive%\PROGRAMDATA\FWMINIPROF\WMINIPRO.EXE

delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\JDKIHDHLEGCDGGKNOKFEKOEMKJJNJHGI\1.0.3_0\СТАРТОВАЯ — ЯНДЕКС

delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\PROFILE 1\EXTENSIONS\JDKIHDHLEGCDGGKNOKFEKOEMKJJNJHGI\1.0.3_0\СТАРТОВАЯ — ЯНДЕКС

delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\PROFILE 3\EXTENSIONS\JDKIHDHLEGCDGGKNOKFEKOEMKJJNJHGI\1.0.3_0\СТАРТОВАЯ — ЯНДЕКС

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DMHHNOBJHIFPIFCHDCLBKKENHLHIAIOAE%26INSTALLSOURCE%3D­ONDEMAND%26UC

delref HTTP:\\WWW.DELTA-HOMES.COM\?TYPE=SC&TS=1432123020&Z=B20603BC5B06A0D90B52415G7Z8C5O7GCOFC­9E6O6O&FROM=WPM05203&UID=ST500LM012XHN-M500MBB_S2R7J9KD202052

delref HTTP://WWW.DELTA-HOMES.COM/?TYPE=SC&TS=1432123020&Z=B20603BC5B06A0D90B52415G7Z8C5O7GCOFC­9E6O6O&FROM=WPM05203&UID=ST500LM012XHN-M500MBB_S2R7J9KD202052

delref HTTP:\\WWW.OMNIBOXES.COM\?TYPE=SC&TS=1447143444&Z=2AFA32068F05955B9153B96GFZAZ0MDGFZ5C­8Z5Z8Z&FROM=WPM07163&UID=ST500LM012XHN-M500MBB_S2R7J9KD202052

deltmp
delnfr
;-------------------------------------------------------------

restart
[/code]
перезагрузка, пишем о старых и новых проблемах.
------------
по расшифровке документов напишите в support@esetnod32.ru при наличие лицензии на антивирус ESET

+
'этот файл проверьте на http://virustotal.com
C:\PROGRAM FILES (X86)\GYAZO\GYAZOUPDATE.EXE
и добавьте линк проверки в ваше сообщение.