выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"
[CODE]
;uVS v3.81.9 [http://dsrt.dyndns.org]
;Target OS: NTv6.1

OFFSGNSAVE
zoo %SystemDrive%\PROGRAM FILES\MPK\MPK.DLL
addsgn 71905392541F499A3DB0AEB19BBC3601AEC6D8E602AE3B746D2E3B43AF8F­B34023DB0F9BF2995185E74C48538A9D05DE7928297155DAB05809FDA5AC­0607A6B3 64 Monitor.MIPKOEmploye

zoo %SystemDrive%\PROGRAM FILES\MPK\MPK64.EXE
addsgn BA6F9BB2BD5D6E720B9C2D754C211CF8DA75303A4536D3B4490F09709C1A­BD806B9E8F73361D1CA5A380849F0E9B4417B8DFE88D402DCA2C2D3F2F2A­1FC02273 48 Win32/Monitor.MIPKOEmploye

delall %SystemDrive%\USERS\ИРИНА\APPDATA\ROAMING\MICROSOFT\FMAMAR.EXE
delall %SystemDrive%\USERS\ИРИНА\MQGKA.EXE
;------------------------autoscript---------------------------

chklst
delvir

regt 5

deltmp
delnfr
;-------------------------------------------------------------

restart
[/CODE]
перезагрузка, пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic682/

эта сигнатура?
[QUOTE]addsgn 925262DA196AC1CCE01B5D4EA34F9EC12B8A7411B29848FB483C2EB2C046E1DCA91185DF39129C925E870F81C5F8B5EBA6AD05CA54DAB02C2CACD1284C18A19D 8 Tool.BtcMine.188 [DrWeb]
[/QUOTE]

а зацепило в работе с реальной другой машиной, или с этой же, откуда был снят образ?

дак непонятно, с какого файла ты снимал сигнатуру.... если с этого [QUOTE]C:\USERS\ALEX\APPDATA\ROAMING\MALWAREBYTES\GOOGLEUPD.EXE[/QUOTE]
то, какой смысл с него снимать сигнатуру, скорее всего стандартный файлик, который запускает другое приложение... явных вредоносных действий здесь нет.

[QUOTE]g0dl1ke пишет:
всем привет, не знаю "боян" ли, но вот что я только что задетектил у юзера:
...
самое интересное, что когда добавил в базу по хешу и обновил - вылезло еще 100500 якобы таких же (совпадающих по хешу) файлов, но которые 100% не заражены/не вредоносные/не опасны

[/QUOTE]

о каком хэше и от какого файла идет речь? если речь о сигнатуре файла левого chrome.exe, то никаких ложняков нет.

проверьте эти файлы:
[QUOTE]D:\Autorun.inf
D:\autorun.exe[/QUOTE]

проверьте эти файлы на Virustotal.com, это файлы из корня диска с игрой, возможно, что и ложное срабатывание.
http://virustotal.com

[QUOTE]23.01.2014 18:10:10 Защита в режиме реального времени файл D:\Autorun.inf модифицированный Win32/StartPage.OKX троянская программа Ошибка при очистке NT AUTHORITY\СИСТЕМА Событие произошло при попытке доступа к файлу следующим приложением: C:\Windows\System32\svchost.exe.
23.01.2014 18:09:19 Защита в режиме реального времени файл D:\autorun.exe модифицированный Win32/StartPage.OKX троянская программа очищен удалением (после следующего перезапуска) - изолирован NT AUTHORITY\СИСТЕМА
[/QUOTE]

скорее всего проблема решена

[QUOTE]23.01.2014 20:09:50 Защита в режиме реального времени файл C:\System Volume Information\_restore{90DB92CB-FCEA-4636-9CFD-4D4D98F1030E}\RP760\A0174414.dll модифицированный Win32/Toolbar.Conduit.B потенциально нежелательная программа удален - изолирован NT AUTHORITY\SYSTEM Событие произошло в файле модифицированном приложением: C:\WINDOWS\system32\svchost.exe.
23.01.2014 20:00:38 Защита в режиме реального времени файл C:\System Volume Information\_restore{90DB92CB-FCEA-4636-9CFD-4D4D98F1030E}\RP760\A0174413.dll модифицированный Win32/Toolbar.Conduit.B потенциально нежелательная программа удален - изолирован NT AUTHORITY\SYSTEM Событие произошло в файле модифицированном приложением: C:\WINDOWS\system32\svchost.exe.
23.01.2014 18:29:57 Защита в режиме реального времени файл C:\System Volume Information\_restore{90DB92CB-FCEA-4636-9CFD-4D4D98F1030E}\RP760\A0174411.dll модифицированный Win32/Toolbar.Conduit.B потенциально нежелательная программа удален - изолирован NT AUTHORITY\SYSTEM Событие произошло в файле модифицированном приложением: C:\WINDOWS\system32\svchost.exe.
22.01.2014 21:20:16 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память = C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\AppLaunch.exe модифицированный Win32/Ainslot.AB червь очистка невозможна
22.01.2014 20:21:14 Модуль сканирования файлов, исполняемых при запуске системы файл Оперативная память = C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\AppLaunch.exe модифицированный Win32/Ainslot.AB червь очистка невозможна
[/QUOTE]

выполните наши рекомендации
http://forum.esetnod32.ru/forum9/topic3998/

добавьте лог журнала обнаружения угроз
http://forum.esetnod32.ru/forum9/topic1408/

должны работать. у меня 7 версия ESET Smart security и я использую настройки HIPS из этой темы. именно в таком режиме.

это не сложно проверить.
создать шифратор с известным (коротким) паролем. зашифровать несколько файлов doc,
и затем пробовать расшифровать в AOPR. подозреваю, что AOPR даже не сможет определить тип документа, даже если ему вернуть расширение doc