отлично.
Александр, напишите в этой теме как вы восстановили теневые копии.
http://forum.esetnod32.ru/forum35/topic11853/

ВАУЛТ тоже самое делает.
шифрует файлы,
затем зашифрованные *.doc.gpg перемещает на место оригинала *.doc с тем же именем *.doc, затем уже переименовывает зашифрованный файл в *.doc.vault
-------------
сейчас без локальных политик ограничения запуска нежелательных программ крайне сложно сдержать натиск шифраторов.
поскольку сигнатуры всегда будут на день-два запаздывать.

Александр,
а что с теневыми копиями? не была включена защита диска, или все таки шифратор отключает?

6. Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

[CODE]AlternateDataStreams: C:\ProgramData\Temp:10D14739
AlternateDataStreams: C:\ProgramData\Temp:2CFBE2D1
AlternateDataStreams: C:\ProgramData\Temp:373C6DC2
AlternateDataStreams: C:\ProgramData\Temp:4D066AD2
AlternateDataStreams: C:\ProgramData\Temp:5216CD26
AlternateDataStreams: C:\ProgramData\Temp:57D3519B
AlternateDataStreams: C:\ProgramData\Temp:5D458568
AlternateDataStreams: C:\ProgramData\Temp:77846FFE
AlternateDataStreams: C:\ProgramData\Temp:798A3728
AlternateDataStreams: C:\ProgramData\Temp:8AD1F2E0
AlternateDataStreams: C:\ProgramData\Temp:AC57032B
AlternateDataStreams: C:\ProgramData\Temp:D20FFA63
AlternateDataStreams: C:\ProgramData\Temp:FEF919E6
AlternateDataStreams: C:\Users\Все пользователи\Temp:10D14739
AlternateDataStreams: C:\Users\Все пользователи\Temp:2CFBE2D1
AlternateDataStreams: C:\Users\Все пользователи\Temp:373C6DC2
AlternateDataStreams: C:\Users\Все пользователи\Temp:4D066AD2
AlternateDataStreams: C:\Users\Все пользователи\Temp:5216CD26
AlternateDataStreams: C:\Users\Все пользователи\Temp:57D3519B
AlternateDataStreams: C:\Users\Все пользователи\Temp:5D458568
AlternateDataStreams: C:\Users\Все пользователи\Temp:77846FFE
AlternateDataStreams: C:\Users\Все пользователи\Temp:798A3728
AlternateDataStreams: C:\Users\Все пользователи\Temp:8AD1F2E0
AlternateDataStreams: C:\Users\Все пользователи\Temp:AC57032B
AlternateDataStreams: C:\Users\Все пользователи\Temp:D20FFA63
AlternateDataStreams: C:\Users\Все пользователи\Temp:FEF919E6
Toolbar: HKU\.DEFAULT -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
Toolbar: HKU\S-1-5-21-1542329964-2207585421-3763524029-1001 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
FF Extension: No Name -  C:\Users\Admin\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6h­a2.default\extensions\[email protected] [not found]
FF Extension: No Name -  C:\Users\Admin\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6h­a2.default\extensions\[email protected] [not found]
FF Extension: No Name -  C:\Users\Admin\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6h­a2.default\extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [not found]
FF Extension: No Name -  C:\Program Files (x86)\Mozilla Firefox\browser\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd} [not found]
CHR HKLM-x32\...\Chrome\Extension: [bgomnbpelpcdicbnicimghcecemjpbef] - https://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [cegdomhocaeoedbdpfolmgjkjaijfomo] - https://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [kppacdmmddediahklmcgkgdhhoojemmd] - https://clients2.google.com/service/update2/crx
EmptyTemp:
Reboot:
[/CODE]

если это не поможет, деинсталлируйте антивирус, и заново установите актуальную версию.

Андрей Пичугин,
добавьте образ автозапуска
http://forum.esetnod32.ru/forum9/topic2687/

добавьте новый образ автозапуска

2.удалите все найденное в малваребайт
перегрузите систему
далее,
3.сделайте проверку в АдвКлинере
http://forum.esetnod32.ru/forum9/topic7084/

*****
4.в АдвКлинере, после завершения проверки,
в секции [b]Папки[/b] снимите галки с записей mail.ru, yandex (если есть такие)
остальное удалите по кнопке [b]Очистить[/b]
далее,

5.сделайте проверку в FRST
http://pchelpforum.ru/f26/t24207/2/#post1257991

если необходимо в безопасном режиме выполнить скрипт, то мы обычно приписываем это.
нет, можно в нормальном режиме.

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
[code]

;uVS v3.85.25 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
OFFSGNSAVE
zoo %SystemDrive%\USERS\ADMIN\APPDATA\LOCAL\YANDEX\UPDATER\PRAET­ORIAN.EXE
addsgn 1AA78B9A5583358CF42B254E3143FE547601B9FA0A3A13F1C03FA1374DD6­714C239CC0339D559D492B0BC197CD4B457110236311A9255077E4B5AC2F­9F5FA577 8 praetorian

zoo %SystemDrive%\USERS\ADMIN\APPDATA\ROAMING\VOPACKAGE\VOPACKAG­E.EXE
addsgn 7300F79B556A1F275DE775E6ED94361DE2CED8E6E96B5F78B63503F874C2­51B33627B3173E3D9CC92B807B8AF66609FA2E20FD0E279AB04625D4BCC3­8506CA82 59 Win32/Adware.ConvertAd.AQ [ESET-NOD32]

;------------------------autoscript---------------------------

chklst
delvir

; ConvertAd
exec  C:\Users\Admin\AppData\Local\4B435451-1425760439-304B-4632-3085A97E72D4\uninstall.exe
; Remote Desktop Access (VuuPC)
exec  C:\Users\Admin\AppData\Roaming\VOPackage\Uninstall.exe
deltmp
delnfr
;-------------------------------------------------------------

restart
[/code]
перезагрузка, пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic10688/

RP55,
у каждого свои ассоциации. по мне так светофоры :)