{ Универсальный скрипт лечения от семейства зловредов, перенаправляющих на internet.com, версия 0.3. Другие симптомы:
 - вместо страниц в броузерах показывается исходный код;
 - в Opera - "соединение закрыто удаленным сервером";
 - в x64 системах не запускаются многие программы (в т. ч. AVZ, поэтому применять скрипт в безопасном режиме).

Опознаётся антивирусами как:

DrWeb:      Trojan.Mayachok.*
Kaspersky:  Trojan-Ransom.Win32.Cidox.*
NOD32:      a variant of Win32/Kryptik.*

Автор: Vvvyg vvvyg@ya.ru}

Function FirstAppInit_DLLs() : string;
var 
  AppInit_DLLs: string;
  FirstDLL: string;
  CommaPos: integer;
  VirPath: string;
  Sys32: string;

begin
 AppInit_DLLs := Trim(RegKeyStrParamRead('HKLM', 'Software\Microsoft\Windows NT\CurrentVersion\Windows', 'AppInit_DLLs'));
  if AppInit_DLLs = '' then 
   begin
   Result := '';
   exit;
  end;

  CommaPos := Pos(',', AppInit_DLLs);
   if CommaPos = 0 then VirPath := AppInit_DLLs
   else VirPath := Copy(AppInit_DLLs, 1, CommaPos-1);
   VirPath := LowerCase(VirPath);
   Sys32 := LowerCase(GetEnvironmentVariable('SystemRoot') + '\System32\');
 if Pos(Sys32, VirPath) = 0 then
  begin
   Result := '';
   exit;
  end;
 Result := VirPath;
 end;

Function IsMayachok(DLL : string) : boolean;  // Проверка по разнице времени создания файлов

var
 CheckDll : TFileSearch;
 CheckTMP : TFileSearch;
 DllPath : string;
 DllDir : string;

begin

if IsWOW64 then DllPath := StringReplace(DLL, 'system32', 'syswow64') else DllPath := DLL;
DllDir := ExtractFilePath(DllPath);

 case CheckFile(DllPath) of
 -1 : begin Result := False; exit; end;
  3 : begin Result := False; exit; end;
  2 : begin Result := True; exit; end;
 end;

CheckDll := TFileSearch.Create(nil);
CheckDll.FindFirst(DllPath);

CheckTMP := TFileSearch.Create(nil);
if CheckTMP.FindFirst(DllDir + '*.tmp') then begin

 repeat
  if CheckTMP.FileName <> '' then begin

   if Abs(StrToInt(Copy(DateTimeToStr(CheckTMP.FileTime), 7, 11)) - StrToInt(Copy(DateTimeToStr(CheckTMP.FileTime), 7, 11))) < 10 then begin
        Result := True; CheckTMP.Free; CheckDll.Free; exit; end;
  end;

 until not(CheckTMP.FindNext);
end;

 CheckTMP.Free;
 CheckDll.Free;
 Result := False;
end;

var
 Kill : string;

begin
ExecuteAVUpdate;
if not IsWOW64 then SearchRootkit(true, true);
 Kill := FirstAppInit_DLLs();
if IsMayachok(Kill) then begin
 ShowMessage('После нажатия Ok вирус в файле ' + Kill + ' будет удалён и компьютер перезагружен!' +#13#10+'Когда компьютер перезагрузится, выполните в AVZ 2-й стандартный скрипт и выложите для проверки файлы virusinfo_syscheck.zip из папки LOG и quarantine.zip из папки с AVZ');
 DeleteFileMask(GetAVZDirectory+'Quarantine', '*.*', true);
 QuarantineFile(Kill, 'Будет удалён, определён как зловред из семейства Trojan.Mayachok/Trojan-Ransom.Win32.Cidox');
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
 DeleteFile(Kill);
 if not IsWOW64 then BC_ImportDeletedList;
 ExecuteSysClean;
 ExecuteWizard('TSW',3,3,true);
 if not IsWOW64 then BC_Activate;
 RebootWindows(true);
ExitAVZ;
end;
ShowMessage('Не вижу Mayachok/Cidox!');
end.

begin
 DeleteFile('C:\Users\sony nr11sr\appdata\local\temp\flash_player_update.exe');
 DeleteFile('C:\Users\sony nr11sr\appdata\roaming\netprotocol.exe');
end.