Создайте образ автозапуска в uVS
http://forum.esetnod32.ru/forum9/topic2687/

Роман Ф

1) Вероятно повторное заражение идёт через общие ресурсы.
Соответственно их нужно блокировать.
2) Посмотрите в свойствах зашифрованных файлов - ( в общих ресурсах ), какой PC получал к ним доступ - является владельцем.

3) По лечению/удалению вируса.:
Создайте образ автозапуска в uVS
http://forum.esetnod32.ru/forum9/topic2687/

Желательно найти проблемную машину и на ней Создать образ автозапуска в uVS.
- Можно посмотреть на каких PC было шифрование, а на каких нет.
- Если PC не много, то Создать образ автозапуска в uVS на каждой машине.

Konstantin Vyazov

Для начала:
Создайте образ автозапуска в uVS
http://forum.esetnod32.ru/forum9/topic2687/

deltmp

Чистит всё. что находится в директории \Temp\  легальное оно, или нет.
-----
Про установку программ я в том плане говорю, что установщик/и распаковывают пакет установки в \Temp\
И идея _автоматически блокировать ( по bl ) объекты в \Temp\  не самая лучшая.
----
А del  для автоскрипта самое то.
И объект удалиться и запись из образа пропадёт и вреда нет.

santy

Файлы удаются командой del
без bl
и без удаления ссылок.
-------
Думал как автоматически чистить темр... ?
Ведь там бывают и легальные файлы/программы, чтобы не было проблем с их переустановкой и т.д.
Настроил автоскритп для содержит \Temp\
От del  вреда нет
и кроме того каждый скрипт чистит Temp
=
deltmp
так что раз автоскрипт пусть чистит.

Создайте образ автозапуска в uVS
http://forum.esetnod32.ru/forum9/topic2687/

Скопировать текст КОДА - в буфер обмена.
uVS: start.exe, текущий пользователь, меню, скрипты - выполнить скрипт из буфера обмена.
ПЕРЕД ВЫПОЛНЕНИЕМ СКРИПТА, ЗАКРЫТЬ БРАУЗЕРЫ!
ВНИМАНИЕ : По окончанию выполнения скрипта компьютер выполнит перезагрузку !
На вопросы программы отвечаем: Да !
[code]


;uVS v3.85.20 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
;------------------------autoscript---------------------------

chklst
delvir

del %SystemDrive%\USERS\АЛЕКСАНДР\APPDATA\LOCAL\TEMP\EE13828-F07E9F95-2DF37889-D84BA139\GAMJRP68.EXE

del %SystemDrive%\USERS\АЛЕКСАНДР\APPDATA\LOCAL\TEMP\EE13828-F07E9F95-2DF37889-D84BA139\ZVCRMK1HXOS.EXE

del %SystemDrive%\USERS\АЛЕКСАНДР\APPDATA\LOCAL\TEMP\EE13828-F07E9F95-2DF37889-D84BA139\8U0QAMNSRKAMZ.DLL

del %SystemDrive%\USERS\АЛЕКСАНДР\APPDATA\LOCAL\TEMP\EE13828-F07E9F95-2DF37889-D84BA139\KQE1FXJ63.EXE

delref \\?\C:\PROGRAMDATA\VKSAVER\VKSAVER.EXE
del \\?\C:\PROGRAMDATA\VKSAVER\VKSAVER.EXE

delref HTTP://YANDEX.RU/YANDSEARCH?WIN=83&CLID=1946583&TEXT=
delref HTTP://GOOGLE.COM
delref HTTP://WWW.YANDEX.RU/?CLID=140465
delref HTTP://RU.MSN.COM/?PC=UP97&OCID=UP97DHP
delref HTTP://WWW.MAIL.RU/MRA?LANG=RU
del %SystemDrive%\USERS\АЛЕКСАНДР\APPDATA\LOCAL\TEMP\1E9B8EC8A.SYS

del %SystemDrive%\USERS\8523~1\APPDATA\LOCAL\TEMP\1FA41FB30.SYS

deltmp
delnfr
czoo
;-------------------------------------------------------------

setdns Подключение по локальной сети 3\4\{35565C43-C4E3-4424-8967-50B1FE1ABA8F}\208.67.222.222,208.67.220.220
bl B0D4A9B3BD0D600A10C1AFF309DB4277 3862
delall %SystemDrive%\USERS\АЛЕКСАНДР\APPDATA\LOCAL\GOOGLE\CHROME\US­ER DATA\DEFAULT\LOCAL EXTENSION SETTINGS\PAFKBGGDMJLPGKDKCBJMHMFCDPNCADGH\MANIFEST-000334
restart


[/code]

-------------
Далее (даже если проблема решена) выполните лог программой Malwarebytes
http://forum.esetnod32.ru/forum9/topic10688/

Выберите вариант сканирования: Быстрое или Полное сканирование.
Отчет предоставить для анализа ( в своей теме на форуме ).
Отчёт нужно предоставить в .txt ( блокнот )

Запускаете uVS: ( start.exe ) https://www.wuala.com/al_1963/avirus/Universal%20Virus%20Sniffer/3.85/
Когда откроется основное рабочее окно...
Дополнительно > Сбросить атрибуты для всех файлов/каталогов в...
И выбираете свой диск.

Могу предложить следующее решение.

Ноутбуки.
Скрытый раздел
Восстановление системы.
- По разным фирмам:
http://www.remup.ru/help/79-recovering-from-a-hidden-partition-shortcuts.html

После обновления ( успешного ) также происходит сканирование.
и т.д.
Нужно смотреть все задачи в планировщике - какое там вторичное действие прописано.
------
Или все задачи удалить и настроить 1-2 на обновление.
Или выбрать объекты сканирования. ( можно по минимуму: оперативную память, загрузочные сектора )