1.

[SIZE="4"][COLOR="Red"]выполняем скрипт в uVS[/COLOR][/SIZE]
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
[code]

;uVS v3.82.8 [http://dsrt.dyndns.org]
;Target OS: NTv5.1

OFFSGNSAVE
zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ADMINISTRATOR\DESKTOP\ADOBEFLASHPLAYER.EXE
addsgn A7679B1991AE1F245CE76E3821389B40F9627A627605F7F5233C3A544C7F­8EB3CB440AA8C1BD0780D47F6C56B4E9B6124D2B178D661AE544D1D5E42F­A3F91217 19 Trojan.Packed.25266 [DrWeb]

zoo %SystemDrive%\DOCUMENTS AND SETTINGS\ADMINISTRATOR\LOCAL SETTINGS\TEMP\QUARANTINE.EXE
addsgn 925277EA126AC1CC0B74564E33231995AF8CBA7E8EBD1EA3F0C44EA2D338­8D5DF8652EEF3F559D492A5BF198CD08CA1481CE336395DB6B5F26028CA4­D985CC8F 8 Trojan.BtcMine.247 [DrWeb]

delall %SystemDrive%\PROGRAM FILES\AD-AWARE ANTIVIRUS\ADAWARELAUNCHER
delall %SystemDrive%\PROGRAM FILES\GET-STYLES 2.0\IE\JSLOADER.DLL
;------------------------autoscript---------------------------

chklst
delvir

delref HTTP://SINDEX.BIZ/?COMPANY=1

delhst 209.141.49.49 m.odnoklassniki.ru
delhst 209.141.49.49 ok.ru
delhst 209.141.49.49 m.ok.ru
delhst 209.141.49.49 www.odnoklassniki.ru

; Bonjour
exec MsiExec.exe /X{79155F2B-9895-49D7-8612-D92580E0DE5B} /quiet

deltmp
delnfr
;-------------------------------------------------------------

restart
[/code]
перезагрузка, пишем о старых и новых проблемах.
----------
далее,
[URL=http://pchelpforum.ru/showpost.php?p=206554&postcount=6]выполните [SIZE="4"][COLOR="Blue"] сканирование (угроз) в Malwarebytes[/COLOR][/SIZE][/URL]

+
добавьте логи расширений браузеров
http://forum.esetnod32.ru/forum9/topic10570/

хорошо, всегда рады помочь.

выполните в uVS (из под Winpe) скрипт из файла.

файл скрипта скачайте отсюда
http://rghost.ru/private/56463645/142457abca24ef641934b9e6fd6a2462

после выполнения скрипта перегрузите систему.

пишем результат

добавьте образ автозапуска с помощью загрузочного диска Winpe&uVS

http://forum.esetnod32.ru/forum27/topic2102/

да, малваребайт удаляет hidcon.

[SIZE="4"][COLOR="Red"]выполняем скрипт в uVS[/COLOR][/SIZE]
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
[code]

;uVS v3.82.8 [http://dsrt.dyndns.org]
;Target OS: NTv6.1

OFFSGNSAVE
;------------------------autoscript---------------------------

chklst
delvir

deltmp
delnfr
;-------------------------------------------------------------

restart
[/code]
перезагрузка, пишем о старых и новых проблемах.
----------

из безопасного режима системы добавьте образ автозапуска

по образу все ок. проверьте как система  будет грузиться без ESS. (можно временно деинсталлировать)

по образу новому все ок.
выполните проверку в адвклинере
http://forum.esetnod32.ru/forum9/topic7084/

[SIZE="4"][COLOR="Red"]выполняем скрипт в uVS[/COLOR][/SIZE]
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
[code]

;uVS v3.82.8 [http://dsrt.dyndns.org]
;Target OS: NTv6.2

OFFSGNSAVE
zoo %SystemDrive%\PROGRAM FILES (X86)\WEBGET\BIN\WEBGET.BROWSERADAPTER.EXE
addsgn 1A69579A5583C58CF42B95BC1488530550880F3560F63E7885483AE9DB3A­2CA52435C357B5AAC8C2C703688FAD1BB68F7537D65055DAE9A9ED03ABD0­B20ECAB6 8 Trojan.BPlug.48 [DrWeb]

zoo %SystemDrive%\PROGRAM FILES (X86)\WEBGET\BIN\{55685567-4840-4A91-962B-49A412E9485A}.DLL
addsgn 79132211B9E9317E0AA1AB59AF4C1205DAFFF47DC4EA942D892B2942AF29­2811E11BC3EF69F99F598808A79B56D14C765EDBF83FF6D8A0EB28E7872B­D7078171 64 Win32/BrowseFox.K [ESET-NOD32]

zoo %SystemDrive%\PROGRAM FILES (X86)\WEBGET\BIN\WEBGET.PURBROWSE64.EXE
addsgn BA6F9BB2BD393B720B9C2D754C2164FBDA75303AC173435C958B4CC074CE­2404A8FB8BD4D235D5C2D1C80F460E9B043A3552FD3B50DBB06D9537A42F­C7EEAC97 8 BrowseFox.A [ESET-NOD32]

zoo %SystemDrive%\USERS\USER\APPDATA\LOCAL\YANDEX\UPDATER\PRAETO­RIAN.EXE
addsgn 1A4B469B5583358CF42B254E3143FE547601B9FA0A3A13F1C03FA1374DD6­714C239CC0339D559D492B0BC197CD4B457110236311A9255077E4B5AC2F­9F5FA577 8 praetorian

zoo %SystemDrive%\PROGRAM FILES (X86)\WEBGET\BIN\WEBGETBAAPP.DLL
addsgn 79132211B9E9317E0AA1AB592CBD1205DAFFF47DC4EA942D892B2942AF29­2811E11BC3DCC10016A5A86CA414031E1FAD17D7B1CCF5FFB23CA00A44DC­628F678B 64 Win32/BrowseFox.I [ESET-NOD32]

zoo %SystemDrive%\USERS\USER\APPDATA\LOCALLOW\YANDEX\TOOLBAR\PAC­KAGES\{B79038AF-919E-4D7F-8958-A3F58CE633F5}\STARDUST.DLL
addsgn A7679B1928664D070E3CF75E64C8ED70357589FA768F179082C3C5BCD312­7D11E11BC33D323DE59733906C841D1649C9BD9F6307595F4659214E913B­AB1A327C 11 a variant of Win32/SProtector.E

zoo %SystemDrive%\USERS\USER\APPDATA\ROAMING\1H1Q\DOWNLOAD MANAGER PACKAGES\UNINSTALLER.EXE
addsgn A7679B1991AE1F245CE76E3821389B40F9627A627605F7F5233C3A544C7F­8EB3CB440AA8C1BD0780D47F6C56B4E9B6124D2B178D661AE544D1D5E42F­A3F91217 19 Trojan.Packed.25266 [DrWeb]

hide %SystemDrive%\USERS\USER\APPDATA\LOCALLOW\YANDEX\TOOLBAR\PAC­KAGES\{B79038AF-919E-4D7F-8958-A3F58CE633F5}\STARDUST.DLL
hide %SystemDrive%\USERS\USER\APPDATA\ROAMING\1H1Q\DOWNLOAD MANAGER PACKAGES\UNINSTALLER.EXE

;------------------------autoscript---------------------------

sreg

chklst
delvir

delref %Sys32%\DRIVERS\{55685567-4840-4A91-962B-49A412E9485A}GW64.SYS
del %Sys32%\DRIVERS\{55685567-4840-4A91-962B-49A412E9485A}GW64.SYS

delref %Sys32%\DRIVERS\{55685567-4840-4A91-962B-49A412E9485A}W64.SYS
del %Sys32%\DRIVERS\{55685567-4840-4A91-962B-49A412E9485A}W64.SYS

delref %Sys32%\DRIVERS\{9EDD0EA8-2819-47C2-8320-B007D5996F8A}GW64.SYS
del %Sys32%\DRIVERS\{9EDD0EA8-2819-47C2-8320-B007D5996F8A}GW64.SYS

; webget
exec C:\Program Files (x86)\webget\webgetuninstall.exe

deldirex %SystemDrive%\PROGRAM FILES (X86)\WEBGET

deltmp
delnfr
areg

;-------------------------------------------------------------

[/code]
перезагрузка, пишем о старых и новых проблемах.
----------
далее,
[URL=http://pchelpforum.ru/showpost.php?p=206554&postcount=6]выполните [SIZE="4"][COLOR="Blue"] сканирование (угроз) в Malwarebytes[/COLOR][/SIZE][/URL]

добавьте образ автозапуска
http://forum.esetnod32.ru/forum9/topic2687/