новый образ не нужен.
поищите и посмотрите файл vault.hta, там все адреса и явки записаны, только нет паролей :)

Евгений,
по очистке системы выполните скрипт

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
[code]

;uVS v3.86.7 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
OFFSGNSAVE
zoo %SystemDrive%\USERS\BUH1\APPDATA\LOCAL\PRICEFOUNTAIN\PRICEFO­UNTAINIE.DLL
addsgn A7679B1928664D070E3C518364C8ED70357589FA768F179082C3C5BCD312­7D11E11BC33D323D955F2A906CCD7E1649C9BD9F6307595F4659214E916F­F807327C 64 DealPly

zoo %SystemDrive%\444\ESETFILECODERFHCLEANER.EXE
addsgn 9252772A116AC1CC0BB4554E3341F788B9AE7C3776052EB8D5FA19C9AB90­371F4BA6C0503E021E8A2FD3ECE6391449ACFE1CEC21051DB32F2D75A4BF­9251B225 13 tr.Carberp

zoo %SystemDrive%\USERS\BUH1\APPDATA\LOCAL\YANDEX\UPDATER\PRAETO­RIAN.EXE
addsgn 1A4B469B5583358CF42B254E3143FE547601B9FA0A3A13F1C03FA1374DD6­714C239CC0339D559D492B0BC197CD4B457110236311A9255077E4B5AC2F­9F5FA577 8 praetotian

hide %SystemDrive%\444\ESETFILECODERFHCLEANER.EXE
;------------------------autoscript---------------------------

chklst
delvir

delref %SystemDrive%\USERS\BUH1\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\GEHNGEIFMELPHPLLNCOBKMIMPHFKCKNE\1.0.7_0\СТАРТОВАЯ — ЯНДЕКС
deldirex %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BDDOWNLOAD\108

delref %Sys32%\DRIVERS\BD0001.SYS
del %Sys32%\DRIVERS\BD0001.SYS

delref %Sys32%\DRIVERS\BD0004.SYS
del %Sys32%\DRIVERS\BD0004.SYS

delref %Sys32%\DRIVERS\BDENHANCEBOOST.SYS
del %Sys32%\DRIVERS\BDENHANCEBOOST.SYS

deldirex %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BAIDUPROTECT1.3\1.3.0.619

delref %Sys32%\DRIVERS\BDARKIT.SYS
del %Sys32%\DRIVERS\BDARKIT.SYS

delref %Sys32%\DRIVERS\BDMWRENCH.SYS
del %Sys32%\DRIVERS\BDMWRENCH.SYS

deldirex %SystemDrive%\USERS\BUH1\APPDATA\LOCAL\PRICEFOUNTAIN

deldirex %SystemDrive%\USERS\BUH1\APPDATA\ROAMING\MICROSOFT\WINDOWS\S­TART MENU\PROGRAMS\PRICEFOUNTAIN

deltmp
delnfr

restart

;-------------------------------------------------------------

[/code]
перезагрузка, пишем о старых и новых проблемах.
------------
по расшифровке:
если шифрование было после 10ноября, то расшифровки нет в вирлабах по этому варианту ВАУЛТа.
расшифровка есть только для шифраторов, выпущенных со 2 по 10 ноября.

[B]копии, копии, и еще раз копии баз делать... напишите на рабочем столе вашего админа.[/B]

по очистке системы выполните

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
[code]

;uVS v3.86.7 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
OFFSGNSAVE

sreg

delref %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BAIDUPROTECT1.3\1.3.0.619\BAIDUPROTECT.EXE
delref %Sys32%\DRIVERS\BDMWRENCH.SYS
delref %Sys32%\DRIVERS\BD0001.SYS
delref %Sys32%\DRIVERS\BD0004.SYS
delref %Sys32%\DRIVERS\BDARKIT.SYS
delref %Sys32%\DRIVERS\BDENHANCEBOOST.SYS
delref %Sys32%\DRIVERS\BD0002.SYS
delref %Sys32%\WIC\WIC.LNK
delref %SystemDrive%\USERS\BUH1\APPDATA\ROAMING\MICROSOFT\WINDOWS\T­EMPLATES\GOOGLE CHROME\GOOGLE CHROME.LNK
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DCNCGOHEPIHCEKKLOKHBHIBLHFCMIPBDH%26INSTALLSOURCE%3D­ONDEMAND%26UC
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DGEHNGEIFMELPHPLLNCOBKMIMPHFKCKNE%26INSTALLSOURCE%3D­ONDEMAND%26UC
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPCHFCKKCCLDKBCLGDEPKAONAMKIGNANH%26INSTALLSOURCE%3D­ONDEMAND%26UC
delref %SystemDrive%\USERS\BUH1\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\CNCGOHEPIHCEKKLOKHBHIBLHFCMIPBDH\1.2.0_0\ПОИСК  ЯНДЕКСA
delref %SystemDrive%\USERS\BUH1\APPDATA\ROAMING\PRICEF~1\UPDATE~1\U­PDATE~1.EXE
delref %SystemDrive%\USERS\BUH1\APPDATA\ROAMING\DIGITA~1\UPDATE~1\U­PDATE~1.EXE
hide %SystemDrive%\444\ESETFILECODERFHCLEANER.EXE
areg

[/code]
перезагрузка, пишем о старых и новых проблемах.
------------
+
добавьте новый образ автозапуска.
(надо избавиться от китайской байды)

по расшифровке документов напишите в [email protected] при наличие лицензии на антивирус ESET

этот файлик "Копия_договора_выдачи_кредита.docx.rar" (только на архив установите пароль infected)
вышлите в почту [email protected]

Максим,
по очистке системы выполните

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
[code]

;uVS v3.86.7 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
OFFSGNSAVE
addsgn A7679B72CD97B38DB2C9AEB164200CF9DA75144F7605E090916FC5BCE96E­7A4C23FF39F03E55758CD67F7B7786EBB605C4F4E872553246D7D2881D04­C706229B 8 [email protected]

zoo %SystemDrive%\PROGRAM FILES (X86)\КОПИЯ_ДОГОВОРА_ВЫДАЧИ_КРЕДИТА.DOCX.EXE
zoo %SystemDrive%\USERS\SUBARUPC2\DESKTOP\КОПИЯ_ДОГОВОРА_ВЫДАЧИ_­КРЕДИТА.DOCX.EXE
;------------------------autoscript---------------------------

chklst
delvir

delref 0HTTP://ERTACO.COM/COLS/ACCEPTED2.RUO

delref HTTP://ERTACO.COM/COLS/ACCEPTED2.RUO

; Bonjour
exec MsiExec.exe /X{56DDDFB8-7F79-4480-89D5-25E1F52AB28F} /quiet
deltmp
delnfr
;-------------------------------------------------------------

czoo
restart
[/code]
перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS (по формату: ZOO_гггг-мм-дд_чч-мм-сс.rar/7z)  отправить в почту [email protected]
------------

Андрей Буров,
уточните когда по дате было шифрование: до 2 ноября (2015), со второго по 10 ноября (2015), после 10 ноября (2015)?

>по расшифровке документов напишите в [email protected] при наличие лицензии на антивирус ESET

Андрей,
выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
[code]

;uVS v3.86.7 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v385c
OFFSGNSAVE

;------------------------autoscript---------------------------

hide %SystemDrive%\PROGRAM FILES\K-LITE CODEC PACK\TOOLS\MEDIAINFO.EXE
chklst
delvir

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DGDKNICMNHBAAJDGLBINPAHHAPGHPAKCH%26INSTALLSOURCE%3D­ONDEMAND%26UC

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DILAMGBDAEBKBPKKMFMMFBNAAMKHIJDEK%26INSTALLSOURCE%3D­ONDEMAND%26UC

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DJEDELKHANEFMCNPAPPFHACHBPNLHOMAI%26INSTALLSOURCE%3D­ONDEMAND%26UC

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DOFDGAFMDEGFKHFDFKMLLFEFMCMCJLLEC%26INSTALLSOURCE%3D­ONDEMAND%26UC

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPGANLGLBHGFJFGOPIJBHEMCPBEHJNPIA%26INSTALLSOURCE%3D­ONDEMAND%26UC

delref %SystemDrive%\DOCUMENTS AND SETTINGS\OEM\LOCAL SETTINGS\APPLICATION DATA\GOOGLE\CHROME\USER DATA\PROFILE 1\EXTENSIONS\ILAMGBDAEBKBPKKMFMMFBNAAMKHIJDEK\3.0.3_0\ПОИСК MAIL.RU

deldirex %SystemDrive%\DOCUMENTS AND SETTINGS\OEM\APPLICATION DATA\REDSURF-CLIENT

deltmp
delnfr
;-------------------------------------------------------------

restart
[/code]
перезагрузка, пишем о старых и новых проблемах.
------------

по расшифровке документов напишите в [email protected] при наличие лицензии на антивирус ESET

SERGEY,

[SIZE="4"][COLOR="Red"]выполняем скрипт в uVS[/COLOR][/SIZE]
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
[code]

;uVS v3.86.7 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
OFFSGNSAVE
zoo %SystemDrive%\PROGRAMDATA\DRIVERS\CSRSS.EXE
addsgn 9252774A066AC1CC0B94424EA34F9A99058A49D31E8248F1604E5998D027­8DB312D7936EE220660F6DD3ECBA5B3749ADFE1CEC213DCBDC212D2127EC­C35572B4 13 Win32/Filecoder.ED [ESET-NOD32]

addsgn A7679B19919AF44A1E92AE59809FE8FA848ED3B089711F9065653B43E9AA­200A23B6C77878551649A095A8820216A11BDB2117D3298BF62CC5B059D0­38A7265C 8 Win32/DealPly

zoo %SystemDrive%\USERS\SPARTANETS\APPDATA\ROAMING\PRICEFOUNTAIN­\UPDATEPROC\UPDATETASK.EXE
;------------------------autoscript---------------------------

chklst
delvir

; Ask Toolbar
exec  MsiExec.exe /X{86D4B82A-ABED-442A-BE86-96357B70F4FE} /quiet
deltmp
delnfr
;-------------------------------------------------------------

czoo
restart
[/code]
перезагрузка, пишем о старых и новых проблемах.
------------

по расшифровке документов напишите в [email protected] при наличие лицензии на антивирус ESET