выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"


[CODE];uVS v3.85.20 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v385c
OFFSGNSAVE

delall %SystemDrive%\DOCUMENTS AND SETTINGS\USERRR\CSRSS.EXE
delall %Sys32%\MJKXRWAMJRIHKK.EXE
delall %SystemDrive%\DOCUME~1\ALLUSE~1\APPLIC~1\QOH
delall %SystemDrive%\PROGRAM FILES\ASK.COM\UPDATETASK.EXE
deldir %SystemDrive%\DOCUMENTS AND SETTINGS\USERRR\APPLICATION DATA\VOPACKAGE
hide %SystemDrive%\PROGRAM FILES\AMICON\CLIENT FPSU-IP\FILEHASH\WINFPSUHASH.EXE
;------------------------autoscript---------------------------

chklst
delvir

delref HTTP://ELTRASTA.COM/SIUPD/COMPLETED2.RHT
REGT 27
REGT 28
REGT 29
; Ask Toolbar
exec MsiExec.exe /X{86D4B82A-ABED-442A-BE86-96357B70F4FE} /quiet
; Ask Toolbar Updater
exec Updater\Updater.exe -uninstall
deltmp
delnfr
;-------------------------------------------------------------

restart
[/CODE]
перезагрузка, пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic10688/

Виктор Леушин, файл удалите с форума.
отправьте в архиве с паролем infected в почту [email protected]

VAULT. что делать.
http://chklst.ru/forum/discussion/1481/vault-chto-delat
без ненулевого secring.gpg расшифровка на нашей стороне невозможна.

вот еще один приемчик используют распространители шифраторов

[QUOTE]Тема: ПРОЦЕСС No 268
Дата: Tue, 21 Apr 2015 01:50:04 +0200
От: Судебные приставы <[email protected]>
Отвечать: Судебные приставы <[email protected]>
Кому: <[email protected]>




Уведомление о начале судебного разбирательства
Здравствуйте, [email protected]

Поскольку Ваша финансовая задолженность не была урегулирована в добровольном порядке, новый кредитор вынужден прибегнуть к принудительным мерам взыскания, предусмотренным законодательством Российской Федерации: направлению выездных групп по адресу регистрации, судебному разбирательству, инициированию исполнительного производства до полного погашения задолженности. Напоминаем Вам, что в случае Вашего неучастия в процессе, решение суда может быть вынесено заочно, что может повлечь за собой принудительное исполнение решения суда. Всю информацию о ходе предварительного судебного производства и сроках рассмотрения, включая копию искового заявления, Вы можете получить перейдя по ссылке находящейся в конце этого письма.


[U]ЗАГРУЗИТЬ ИНФОРМАЦИЮ[/U]



Это сообщение создано автоматической системой и не требует ответа.[/QUOTE]

здесь используется реальный домен службы судебных приставов (fssprus.ru), но адреса mail, inform - несуществующие.

по ссылке "загрузить информацию" как правило скачивается архив с вредоносной программой, сейчас таким образом распространяется шифратор Cryakl.

помогут только архивные копии, и точки восстановления, если они живые.
расшифровки по VAULT нет в вирлабах, и скорее всего не будет в ближайшем, и отдаленном (через год-два) будущем
разве только если математический гений Григорий Перельман не подключится к решению этой проблемы :)

пробуйте удалить (деинсталлировать) FF вместе с профилем. если есть закладки, предварительно экспортируйте их в файл.
и заново установите актуальную версию ФФ

в каком браузере сейчас всплывает сообщение антивируса? в FF?
проверьте настройки прокси в FF, если есть ссылка на этот прокси, то отключите его
+ пробуйте очистить локальный кэш браузера.

угу, есть теперь детект на 11509

[QUOTE]Время;Модуль сканирования;Тип объекта;Oбъeкт;Bиpуc;Дeйcтвиe;Пoльзoвaтeль;Информация
21.04.2015 19:39:23;Защита в режиме реального времени;файл;D:\Soft\for_ERD_commander_disk\test\Акт сверки апрель 2015 года составлено зам главного бухгалтера подписано директором для отправки контрагенту AVAST checked OK doc.js;BAT/Filecoder.AM троянская программа;очищен удалением - изолирован;***;Событие произошло при попытке доступа к файлу следующим приложением: C:\Program Files\Total Commander\Totalcmd.exe.
[/QUOTE]

добавьте новый образ автозапуска

ВАУЛТ. что делать?
http://forum.esetnod32.ru/forum35/topic11845/

файл архива вышлите в техподдержку [email protected]
с форума удалите.

на данный момент файл js не детектируется ESET NOD32
https://www.virustotal.com/ru/file/50623cd7136d05eaf1893cb2805e12f131995649ade88fc7­208d69e3a4c9716d/analysis/1429622078/