[QUOTE]Эдуард Александров написал:
Добрый день! У меня из письма исходник с файлом *.txt.js от 3 ноября остался. Если интересует - могу выслать![/QUOTE]
Эдуард, документы расшифровали?

[QUOTE]Женя Хан написал:
есть ли шанс восстановить хотя бы часть документов ?[/QUOTE]
да, шансы есть.
уже есть дешифраторы от двух компаний, в ближайшее время должен быть дешифратор от ESET

все чисто

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
[code]

;uVS v3.86.7 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v385c
OFFSGNSAVE
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ДОЛЖЕНКОВА СН\APPLICATION DATA\UPDATE\EXPLORER.EXE
addsgn 1A6F3D9A5583348CF42B254E3143FE56730189FE027CA37885C3F66707ED­B2384C2A3F427E55E921A006349F461672390981D16A20803BAA9577A42F­FCC55664 8 Worm:Win32/Dorkbot.I [Microsoft]

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ДОЛЖЕНКОВА СН\APPLICATION DATA\MICROSOFT\WINDOWS\QHISII.EXE
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ДОЛЖЕНКОВА СН\APPLICATION DATA\C731200
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ДОЛЖЕНКОВА СН\LOCAL SETTINGS\TEMP\JCPVY\QNEEAWP.EXE
bl 735B6602B4BD1D71246F43642D6873AA 331776
adddir %SystemDrive%\DOCUMENTS AND SETTINGS\ДОЛЖЕНКОВА СН\APPLICATION DATA
adddir %SystemDrive%\DOCUMENTS AND SETTINGS\ДОЛЖЕНКОВА СН\APPLICATION DATA\MICROSOFT\WINDOWS
;------------------------autoscript---------------------------

chklst
delvir

deltmp
delnfr
;-------------------------------------------------------------

restart
[/code]
перезагрузка, пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic10688/

ну так запуск идет из архива, потому и очистка невозможна.
[QUOTE]17.11.2015 10:31:59 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память = C:\Users\Tanya\AppData\Local\Temp\Rar$DI06.944\Выписка 16.11.15 понедельник.scr модифицированный Win32/Spy.Ranbyus.L троянская программа очистка невозможна[/QUOTE]

исправил ссылку, проверьте еще раз

добавьте лог журнала обнаружения угроз
http://forum.esetnod32.ru/forum9/topic1408/

это ваши файлы?
CRYPTOEXPRESS2_SETUP.EXE и т.п.

[QUOTE]Журнал проверки
Версия базы данных сигнатур вирусов: 8211 (20130409)
Дaтa: 17.11.2015  Время: 8:22:10
Просканированные диски, папки и файлы: Оперативная память
Оперативная память = winlogon.exe(764) - модифицированный Win32/Dorkbot.B червь - очистка невозможна
Количество просканированных объектов: 321
Количество обнаруженных угроз: 1
Количество очищенных объектов: 0
Время выполнения: 8:22:14  Общее время проверки: 4 сек. (00:00:04)
[/QUOTE]добавьте лог выполнения скрипта
это файл дата_времяlog.txt из папки uVS
+
добавьте новый образ автозапуска.

ну, тогда шансов на расшифровку меньше