выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
[code]

;uVS v3.83.3 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v383c
OFFSGNSAVE
delall %Sys32%\FTGEKA.DLL
delall %SystemDrive%\DOCUME~1\346F~1\APPLIC~1\MSLDXLQ.EXE
;------------------------autoscript---------------------------

chklst
delvir

delref {8984B388-A5BB-4DF7-B274-77B879E179DB}\[CLSID]

deltmp
delnfr
;-------------------------------------------------------------

restart
[/code]
перезагрузка, пишем о старых и новых проблемах.
далее,
добавьте лог журнала обнаружения угроз
http://forum.esetnod32.ru/forum9/topic1408/
+
логи расширений браузеров
http://forum.esetnod32.ru/forum9/topic10570/

ссылку исправьте через хттп, логи сейчас посмотрю

если это были тексты, значит искать старые копии документов и вносить актуальные правки, если это фото - значит - отсканировать сохранившиеся бумажные копии, еще раз фотографировать и фотографироваться в памятных местах и с памятными людьми и хранить их копии с учетом изменившихся обстоятельств.
(что они могут быть неожиданно зашифрованы без возможности восстановления).

сносить систему не надо. начните восстанавливать зашифрованные документы, установите надежную антивирусную защиту, обратите внимание, что вложения в почте rar/zip размер которого 2-5 kb не может содержать того документа, о котором указано в письме.
тренируйте ваше чувство осторожности, чтобы оно превышало чувство беспечности и любопытства.

а для тех, у кого надежда умирает последней, можно сохранить зашифрованные документы на отдельный носитель, и ждать, когда появится новый Прометей, и принесет нам всем необходимые ключи для расшифровки.

да, расшифровки можно не ждать, но на будущее, можно использовать следующий метод защиты.
http://forum.esetnod32.ru/forum9/topic11264/

так же проверьте систему этой утилитой
http://media.kaspersky.com/utilities/VirusUtilities/RU/capperkiller.exe

отключите автоматическую настройку прокси в браузере.
как показано на рисунке
http://support.kaspersky.ru/viruses/disinfection/9208#block1

+
вопрос: это ваши настройки?

[QUOTE]Полное имя HTTP://ESERVICE-2.COM/TABLES/RANGES/ROPSETTINGS2.RUG
Имя файла                   HTTP://ESERVICE-2.COM/TABLES/RANGES/ROPSETTINGS2.RUG
Тек. статус                 ?ВИРУС? ПОДОЗРИТЕЛЬНЫЙ в автозапуске
                           
Удовлетворяет критериям    
AUTOCONFIGURL               (ССЫЛКА ~ AUTOCONFIGURL)(1)   AND   (AUTOCONFIGURL ~ HTTP)(1)
                           
Сохраненная информация      на момент создания образа
Статус                      ПОДОЗРИТЕЛЬНЫЙ в автозапуске
                           
Статус                      ПОДОЗРИТЕЛЬНЫЙ ОБЪЕКТ
                           
Ссылки на объект            
Ссылка                      HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\AutoConfigURL
AutoConfigURL               http://eservice-2.com/tables/ranges/ropsettings2.rug
                           
Ссылка                      HKEY_USERS\S-1-5-21-1409082233-1292428093-1801674531-500\Software\Microsoft\Windows\CurrentVersion\Internet Settings\AutoConfigURL
AutoConfigURL               http://eservice-2.com/tables/ranges/ropsettings2.rug
[/QUOTE]

добавьте так же логи журнала обнаружения угроз
http://forum.esetnod32.ru/forum9/topic1408/

+
вопрос:
это что у вас в автозапуске, поищите это файл в системе, есть он или нет
[QUOTE]Полное имя USRLOGON.CMD
Имя файла                   USRLOGON.CMD
Тек. статус                 ?ВИРУС? ПОДОЗРИТЕЛЬНЫЙ в автозапуске
                           
Удовлетворяет критериям    
CURRENTVERSION.WINLOGON     (ССЫЛКА ~ \CURRENTVERSION\WINLOGON\)(1)   AND   (ЦИФР. ПОДПИСЬ !~ ДЕЙСТВИТЕЛЬНА)(1)
                           
Сохраненная информация      на момент создания образа
Статус                      ПОДОЗРИТЕЛЬНЫЙ в автозапуске
                           
Статус                      ПОДОЗРИТЕЛЬНЫЙ ОБЪЕКТ
Автозапуск                  Неизвестный файл использует ключ реестра часто используемый вирусами
                           
Ссылки на объект            
Ссылка                      HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\AppSetup
AppSetup                    UsrLogon.Cmd
                           
[/QUOTE]