сформулируйте пояснее проблему:
1. что вы ходите сделать
2. как вы это делаете
3. что у вас при этом не получается.

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
[code]

;uVS v3.83.3 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v383c
OFFSGNSAVE

deldirex %SystemDrive%\DOCUMENTS AND SETTINGS\ADMINISTRATOR\LOCAL SETTINGS\APPLICATION DATA\MEDIAGET2
hide %SystemDrive%\PROGRAM FILES\ULEAD SYSTEMS\ULEAD VIDEOSTUDIO 9.0\BURNIXA.EXE
hide %SystemDrive%\PROGRAM FILES\THE KMPLAYER\KMPLAYER.EXE
hide %SystemDrive%\PROGRAM FILES\ANVSOFT\ANY VIDEO CONVERTER\VIDEOCONVERTER.EXE
hide %SystemDrive%\PROGRAM FILES\GIMP-2.0\BIN\GIMP-2.6.EXE
;------------------------autoscript---------------------------

chklst
delvir

delref HTTP://ESERVICE-2.COM/TABLES/RANGES/ROPSETTINGS2.RUG

delref %Sys32%\TRKWKS.DLL

; OpenAL
exec C:\Program Files\OpenAL\OpenALwEAX.exe" /U
deltmp
delnfr
;-------------------------------------------------------------

restart
[/code]
перезагрузка, пишем о старых и новых проблемах.
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic10688/

документы зашифрованы этим ключом

gpg: зашифровано 1024-битным ключом RSA, с ID [B]FF0418A0[/B], созданным 13.10.2014
"cryptpay (cryptpay) <[email protected]>"
gpg: сбой расшифрования: секретный ключ не найден

File: E:\distr_temp\viruses!\bat_encoder\20141013\UNIQUE.PRIVATE
Time: 13.10.2014 15:53:51 (13.10.2014 8:53:51 UTC)
---------------
секретный ключ зашифрован этим ключом

gpg: зашифровано 1024-битным ключом RSA, с ID [B]F05CF9EE[/B], созданным 28.06.2014
"HckTeam (HckTeam) <[email protected]>"
gpg: сбой расшифрования: секретный ключ не найден

File: E:\distr_temp\viruses!\bat_encoder\20141013\KEY.PRIVATE
Time: 13.10.2014 15:55:11 (13.10.2014 8:55:11 UTC)
----------
расшифровка документов без этого ключа невозможна.
(любопытно, что вернулись к раннему ключу шифрования)
совсем недавно использовался этот ключ
gpg: зашифровано 2048-битным ключом RSA, с ID [B]A3CE7DBE, созданным 05.08.2014[/B]
     "keybtc (keybtc) <[email protected]>"

по компьютеру RIMMA:

[SIZE="4"][COLOR="Red"]выполняем скрипт в uVS[/COLOR][/SIZE]
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
[code]

;uVS v3.83.3 [http://dsrt.dyndns.org]
;Target OS: NTv6.3
v383c
OFFSGNSAVE
delall %SystemDrive%\PROGRAMDATA\IEPLUGINSERVICES\PLUGINSERVICE.EXE
delall %SystemDrive%\PROGRAMDATA\WINDOWSMANGERPROTECT\PROTECTWINDOW­SMANAGER.EXE
;------------------------autoscript---------------------------

chklst
delvir

delref HTTP://WWW.SWEET-PAGE.COM/WEB/?TYPE=DS&TS=1411841079&FROM=COR&UID=WDCXWD5000AAKX-00KJ3A0_WD-WCC2ER77004370043&Q={SEARCHTERMS}

deltmp
delnfr
;-------------------------------------------------------------

restart
[/code]
перезагрузка, пишем о старых и новых проблемах.
далее,
[URL=http://pchelpforum.ru/showpost.php?p=206554&postcount=6]выполните [SIZE="4"][COLOR="Blue"]быстрое сканирование (угроз) в Malwarebytes[/COLOR][/SIZE][/URL]

+
добавьте логи расширений браузеров
http://forum.esetnod32.ru/forum9/topic7084/

1. добавьте лог журнала обнаружения угроз
http://forum.esetnod32.ru/forum9/topic1408/

2. добавьте образ автозапуска из безопасного режима системы.
(судя по логу, ESET дотянулся до файликов при создании образа автозапуска)

удалите все найденное во втором мбам

далее,

сделайте проверку в АдвКлинере
http://forum.esetnod32.ru/forum9/topic7084/
----

в АдвКлинере, после завершения сканирования, в секции [b]Папки[/b] снимите галки с записей mail.ru, yandex

остальное удалите по кнопке [b]Очистить[/b]

далее,

выполните рекомендации:
http://forum.esetnod32.ru/forum9/topic3998/

да, в новом образе все в порядке.

видимо мбам его зацепил, поскольку в предыдущем образе он был активен.
[QUOTE]C:\USERS\ДЕНИСОВАИА\APPDATA\ROAMING\DAODL\FDRFD.PHT
?ВИРУС? ВИРУС ПОДОЗРИТЕЛЬНЫЙ в автозапуске
ACA54060E90F1CB6354CB04C6C4B9DC69815DE56
[/QUOTE]
выполняем скрипт в uVS (с правами администратора):
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
[CODE]
;uVS v3.83.3 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v383c
OFFSGNSAVE
delall %SystemDrive%\USERS\DURANIN_AV\APPDATA\ROAMING\DAODL\FDRFD.PHT
delall %SystemDrive%\USERS\ДЕНИСОВАИА\APPDATA\LOCAL\TEMP\OMUW\UVIP.EXE
deltmp
delnfr
restart
[/CODE]
перезагрузка, пишем о старых и новых проблемах.
------------

сделайте образ автозапуска с правами администратора