Скопировать текст КОДА - в буфер обмена.
uVS: start.exe, текущий пользователь, меню, скрипты - выполнить скрипт из буфера обмена.
ПЕРЕД ВЫПОЛНЕНИЕМ СКРИПТА, ЗАКРЫТЬ БРАУЗЕРЫ!
ВНИМАНИЕ : По окончанию выполнения скрипта компьютер выполнит перезагрузку !
На вопросы программы отвечаем: Да !
[code]


;uVS v3.85.21 [http://dsrt.dyndns.org]
;Target OS: NTv6.3
v385c
;------------------------autoscript---------------------------

chklst
delvir

deldirex %SystemDrive%\PROGRAM FILES (X86)\ANYPROTECTEX

deldirex %SystemDrive%\USERS\--\APPDATA\LOCAL\SMARTWEB

deldirex %SystemDrive%\PROGRAM FILES (X86)\TORRENT SEARCH

delref HTTP://WWW.YANDEX.RU/?WIN=163&CLID=2139453-017
bl 6B6915B4F96D4267A2572FDA75E6A10C 1336104
delref \\?\C:\USERS\--\APPDATA\LOCAL\YANDEX\BROWSERMANAGER\BROWSERMANAGERSHOW.EXE
del \\?\C:\USERS\--\APPDATA\LOCAL\YANDEX\BROWSERMANAGER\BROWSERMANAGERSHOW.EXE

delref HTTP://ACER13.MSN.COM/?PC=ACJB
delref HTTP://SEARCH-HOP.RU
delref HTTP://YANDEX.RU/?CLID=1920673
;-------------------------------------------------------------

delall %SystemDrive%\PROGRAM FILES (X86)\ANYPROTECTEX\ANYPROTECT.EXE
delall %SystemDrive%\PROGRAM FILES (X86)\TORRENT SEARCH\SV9L6UOPYR.EXE
delall %SystemDrive%\PROGRAMDATA\APPDATA\ROAMING\BROWSERS\EXE.EMORHC.BAT
delall %SystemDrive%\PROGRAMDATA\APPDATA\ROAMING\BROWSERS\EXE.REHCNUALFF.BAT
delall %SystemDrive%\PROGRAMDATA\APPDATA\ROAMING\BROWSERS\EXE.REHCNUALYFITOPS.BAT
delall %SystemDrive%\USERS\--\APPDATA\ROAMING\BROWSERS\EXE.EMORHC.BAT
delall %SystemDrive%\USERS\--\APPDATA\ROAMING\BROWSERS\EXE.EROLPXEI.BAT
delall %SystemDrive%\USERS\--\APPDATA\ROAMING\BROWSERS\EXE.RESWORB.BAT
bl 0411462CCD53639EA1DD083449EBD56E 114688
delall %SystemDrive%\PROGRAM FILES (X86)\OPERAHELPER\OPERA_HELPER.EXE
delall %Sys32%\DRIVERS\MFEFIRE.SYS
delall %Sys32%\DRIVERS\MFEVTP.SYS
delall %SystemDrive%\USERS\--\APPDATA\LOCAL\SMARTWEB\SMARTWEBHELPER.EXE
exec32 C:\Program Files (x86)\AVG\AVG PC TuneUp\TUInstallHelper.exe --Trigger-Uninstall
exec "C:\Users\--\AppData\Local\Package Cache\{12f34aee-538c-44d5-b33a-12213b7e0197}\BrowserManagerInstaller.exe"  /uninstall
deltmp
delnfr
restart

[/code]

-------------
Далее (даже если проблема решена) выполните лог программой Malwarebytes
http://forum.esetnod32.ru/forum9/topic10688/

Выберите вариант сканирования: Быстрое или Полное сканирование.
Отчет предоставить для анализа ( в своей теме на форуме ).
Отчёт нужно предоставить в .txt ( блокнот )
-------
+
В системе компоненты антивируса: McAfee
их нужно удалить по инструкции: http://pchelpforum.ru/f26/t71649/#post621939

[QUOTE]Валерий Грачёв написал:
Хм,а как ? Запускать start.exe?[/QUOTE]

Да.
В инструкции всё детально показано.

Создайте образ автозапуска в uVS
http://forum.esetnod32.ru/forum9/topic2687/

Роман Ф

1) Вероятно повторное заражение идёт через общие ресурсы.
Соответственно их нужно блокировать.
2) Посмотрите в свойствах зашифрованных файлов - ( в общих ресурсах ), какой PC получал к ним доступ - является владельцем.

3) По лечению/удалению вируса.:
Создайте образ автозапуска в uVS
http://forum.esetnod32.ru/forum9/topic2687/

Желательно найти проблемную машину и на ней Создать образ автозапуска в uVS.
- Можно посмотреть на каких PC было шифрование, а на каких нет.
- Если PC не много, то Создать образ автозапуска в uVS на каждой машине.

Konstantin Vyazov

Для начала:
Создайте образ автозапуска в uVS
http://forum.esetnod32.ru/forum9/topic2687/

deltmp

Чистит всё. что находится в директории \Temp\  легальное оно, или нет.
-----
Про установку программ я в том плане говорю, что установщик/и распаковывают пакет установки в \Temp\
И идея _автоматически блокировать ( по bl ) объекты в \Temp\  не самая лучшая.
----
А del  для автоскрипта самое то.
И объект удалиться и запись из образа пропадёт и вреда нет.

santy

Файлы удаются командой del
без bl
и без удаления ссылок.
-------
Думал как автоматически чистить темр... ?
Ведь там бывают и легальные файлы/программы, чтобы не было проблем с их переустановкой и т.д.
Настроил автоскритп для содержит \Temp\
От del  вреда нет
и кроме того каждый скрипт чистит Temp
=
deltmp
так что раз автоскрипт пусть чистит.

Создайте образ автозапуска в uVS
http://forum.esetnod32.ru/forum9/topic2687/

Скопировать текст КОДА - в буфер обмена.
uVS: start.exe, текущий пользователь, меню, скрипты - выполнить скрипт из буфера обмена.
ПЕРЕД ВЫПОЛНЕНИЕМ СКРИПТА, ЗАКРЫТЬ БРАУЗЕРЫ!
ВНИМАНИЕ : По окончанию выполнения скрипта компьютер выполнит перезагрузку !
На вопросы программы отвечаем: Да !
[code]


;uVS v3.85.20 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
;------------------------autoscript---------------------------

chklst
delvir

del %SystemDrive%\USERS\АЛЕКСАНДР\APPDATA\LOCAL\TEMP\EE13828-F07E9F95-2DF37889-D84BA139\GAMJRP68.EXE

del %SystemDrive%\USERS\АЛЕКСАНДР\APPDATA\LOCAL\TEMP\EE13828-F07E9F95-2DF37889-D84BA139\ZVCRMK1HXOS.EXE

del %SystemDrive%\USERS\АЛЕКСАНДР\APPDATA\LOCAL\TEMP\EE13828-F07E9F95-2DF37889-D84BA139\8U0QAMNSRKAMZ.DLL

del %SystemDrive%\USERS\АЛЕКСАНДР\APPDATA\LOCAL\TEMP\EE13828-F07E9F95-2DF37889-D84BA139\KQE1FXJ63.EXE

delref \\?\C:\PROGRAMDATA\VKSAVER\VKSAVER.EXE
del \\?\C:\PROGRAMDATA\VKSAVER\VKSAVER.EXE

delref HTTP://YANDEX.RU/YANDSEARCH?WIN=83&CLID=1946583&TEXT=
delref HTTP://GOOGLE.COM
delref HTTP://WWW.YANDEX.RU/?CLID=140465
delref HTTP://RU.MSN.COM/?PC=UP97&OCID=UP97DHP
delref HTTP://WWW.MAIL.RU/MRA?LANG=RU
del %SystemDrive%\USERS\АЛЕКСАНДР\APPDATA\LOCAL\TEMP\1E9B8EC8A.SYS

del %SystemDrive%\USERS\8523~1\APPDATA\LOCAL\TEMP\1FA41FB30.SYS

deltmp
delnfr
czoo
;-------------------------------------------------------------

setdns Подключение по локальной сети 3\4\{35565C43-C4E3-4424-8967-50B1FE1ABA8F}\208.67.222.222,208.67.220.220
bl B0D4A9B3BD0D600A10C1AFF309DB4277 3862
delall %SystemDrive%\USERS\АЛЕКСАНДР\APPDATA\LOCAL\GOOGLE\CHROME\US­ER DATA\DEFAULT\LOCAL EXTENSION SETTINGS\PAFKBGGDMJLPGKDKCBJMHMFCDPNCADGH\MANIFEST-000334
restart


[/code]

-------------
Далее (даже если проблема решена) выполните лог программой Malwarebytes
http://forum.esetnod32.ru/forum9/topic10688/

Выберите вариант сканирования: Быстрое или Полное сканирование.
Отчет предоставить для анализа ( в своей теме на форуме ).
Отчёт нужно предоставить в .txt ( блокнот )

Запускаете uVS: ( start.exe ) https://www.wuala.com/al_1963/avirus/Universal%20Virus%20Sniffer/3.85/
Когда откроется основное рабочее окно...
Дополнительно > Сбросить атрибуты для всех файлов/каталогов в...
И выбираете свой диск.