+
выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"


перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS (по формату: ZOO_2012-12-31_23-59-59.rar/7z)  отправить в почту [email protected], [email protected]  
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic10688/

эта программа вам известна?

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"


перезагрузка, пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic10688/

дешифратор, если есть (или будет) на то добрая воля человека, заплатившего 3 бтк (целое состояние!) можно выложить на обменник, например http://rghost.ru и дать ссылку на него для всех желающих погрызть гранит криптологии.
можно так же добавить пару файлов, из тех что были зашифрованы, чтобы проверить работу данного дешифратора.

Encoder.102 /DrWeb/Filecoder.NAM
зашифрованный файл имеет расширение *[email protected]_116
пример зашифрованного файла:
[email protected]_116

исполняемый файл, скорее всего доставляется в почту во вложении по всем правилам соц_инженерии:
ПОСТАНОВЛЕНИЕ СУДА.EXE.
процесс шифрование завершается заставкой:

пробуйте из безопасного режима создать образ автозапуска.
(без проверки цифровых подписей)

если так же будет вылетать с ошибкой,
выполните проверку в малваребайт
http://forum.esetnod32.ru/forum9/topic10688/

1. на вашем компе шифратор прекратил свою работу, поэтому риска нового шифрования нет.
2. если есть общие папки, которые доступны для записи другим пользователям в вашей сети, тогда возможно шифрование повторится, в случае если другой комп будет заражен подобным шифровальщиком.
рекомендации будут такие:
(можете переслать этот текст вашим коллегам)

Уважаемые руководители и сотрудники!

По прежнему (и далее, скорее всего будет еще более) актуальна проблема заражения локальных и сетевых ресурсов шифраторами.

принцип работы шифраторов:
приходит письмо(составленное по всем правилам соц_инженерии), на первый взгляд будто действительно адресовано Вам и от доверенного (или известного) адресата.
например с таким содержанием:
ознакомьтесь с архивом документации по судебному иску в качестве свидетеля по делу.... и т.п.


сообщение содержит архивное вложение, как правило(rar или zip)
например: Архивная документация  о привлечении  в качестве свидетеля по гражданскому делу №233669.zip

в архиве может быть документ с длинным наименованием и видимой иконкой (соответственно doc, pdf, xls и др),

на самом деле, в архиве может быть вложен исполняемый файл с расширением: .bat, .cmd,.exe, .com, .js, .hta, .pif, .scr

иногда в письме может быть добавлена ссылка на файл, который необходимо выкачать из сети.
---------------
если уж вы решили все таки запустить (неизвестный вам) исполняемый файл из архива, прежде всего
проверьте его антивирусом, но лучше всего выполнить комплексную проверку на http://virustotal.com
---------------

при открытии этого документа из вложенного архива, (или из архива, скаченного по ссылке из сети)
на самом деле запускается исполняемая программа (с указанным расширением), которая выкачивает из сети необходимые файлы
и запускает процесс шифрования ваших документов.
при этом шифруются документы (doc, docx, xls, xlsx, pdf, jpg, и др.) на вашем персональном компьютере, а так же на всех сетевых и съемных дисках,
которые будут подключены в данный момент.
------------

чтобы этот процесс не случился на вашем компьютере, обратите внимание на следующие моменты:

1. на вашем компьютере обязательно должен быть установлен антивирус.
(если не установлен антивирус - сообщите в вашу техническую поддержку или администратору.)

2. антивирус должен быть в актуальном состоянии, с регулярным обновлением антивирусных баз;

3. вложенные документы, которые приходят в почту (pdf, doc, xls, jpg) не могут быть малого размера, даже в архиве.
4. документы не могут иметь расширение .bat, .cmd,.exe, .com, .js, .hta, .pif, .scr
5. не пересылайте это сообщение вашим коллегам с просьбой посмотреть что там за вложение, которое не открывается на вашем компьютере.
перешлите данное сообщение для проверки в администратору

6. не забываем классику. (песенку персонажей Алисы и Базилио из "Приключения Буратино"



7. документы зашифрованные (подобными методами) скорее всего не получится расшифровать. (или придется ждать недели и месяцы, пока будет найдено решение по расшифровке).
Если не будет копий ваших документов, вы можете потерять результаты вашей работы в течение нескольких лет.
А значит регулярно выполняйте создание копий ваших документов и храните их во возможности отдельно от вашего компьютера.

8. если вы обнаружили, что ваши файлы не открываются и имеют странное и длинное расширение, то самое опасное уже произошло, и процесс шифрования запущен.
  в этом случае, необходимо сразу выключить компьютер, сообщить об этом (инциденте) администраторам. и ждать проверки вашей системы.

добавьте образ автозапуска
http://forum.esetnod32.ru/forum9/topic2687/

в АдвКлинере, после завершения сканирования, в секции [b]Папки[/b] снимите галки с записей mail.ru, yandex

остальное удалите по кнопке [b]Очистить[/b]

далее,

если проблема не решится, добавьте логи расширений браузеров
http://forum.esetnod32.ru/forum9/topic10570/

да, заставку надо еще удалить, чтобы не пугала, и не садилась на рабочий стол.

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"


перезагрузка, пишем о старых и новых проблемах.
архив из каталога uVS (по формату: ZOO_2012-12-31_23-59-59.rar/7z)  отправить в почту [email protected], [email protected]  
------------
все архивы ZOO которые созданы в программе uVS отправьте в почту, сюда
[email protected]