Произвольное открытие сайтов, сообщения из вк и уведомления об обновлении. [not-a-virus:HEUR:NetTool.Win32.NetFilter.gen, not-a-virus:WebToolbar.Win32.Neobar.p ]

**Антон Сивков** · 22.03.2016, 13:11

Добрый день.
В результате заражения компьютера не получается открыть любой документ в MS Office (после запуска приложения не получается переключиться на документ, закрыть приложение возможно только из диспетчера задач). Также произвольно открывается IE и переходит на сайт с казино, появляются сообщения из вк о быстрых способах заработка. И постоянно под видом безопасного режима появляется сообщение о необходимости обновления различных приложений, будь то Проводник или антивирус или любое другое.
В общем система живет своей красочной жизнью.
PS. Проверка KVRT и KRD выявила в сумме 5 троянов и около 20 рекламных файлов. Однако это не до конца помогло.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 22.03.2016, 13:12

Уважаемый(ая) Антон Сивков, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**Vvvyg** · 22.03.2016, 19:41

Выполните скрипт в AVZ:

Код:

begin
 TerminateProcessByName('c:\windows\temp\2339.tmp');
 TerminateProcessByName('C:\Program Files\ContentProtector\ContentProtector.exe');
 TerminateProcessByName('C:\Program Files\ContentProtector\ContentProtectorUpdate.exe');
 TerminateProcessByName('c:\users\user.idea-pc\appdata\roaming\imagecropresize\imageed\imageed.exe');
 TerminateProcessByName('c:\program files (x86)\4d501c63-1457941035-e311-8450-208984f5c5e6\knsl7a75.tmp');
 TerminateProcessByName('c:\users\user.idea-pc\appdata\local\mail.ru\mailruupdater.exe');
 TerminateProcessByName('c:\programdata\fwdmf\wdman.exe');
 StopService('ContentProtector');
 StopService('WdMan');
 StopService('xefyrycuzbt');
 StopService('ContentProtectorDrv');
 QuarantineFile('c:\windows\temp\2339.tmp', '');
 QuarantineFile('C:\Program Files\ContentProtector\ContentProtector.exe', '');
 QuarantineFile('C:\Program Files\ContentProtector\ContentProtectorUpdate.exe', '');
 QuarantineFile('c:\users\user.idea-pc\appdata\roaming\imagecropresize\imageed\imageed.exe', '');
 QuarantineFile('c:\program files (x86)\4d501c63-1457941035-e311-8450-208984f5c5e6\knsl7a75.tmp', '');
 QuarantineFile('c:\users\user.idea-pc\appdata\local\mail.ru\mailruupdater.exe', '');
 QuarantineFile('c:\programdata\fwdmf\wdman.exe', '');
 QuarantineFile('SSFK.sys', '');
 QuarantineFile('C:\WINDOWS\system32\drivers\ContentProtectorDrv.sys', '');
 QuarantineFile('C:\Program Files\SpaceSoundPro\SpaceSoundPro.exe', '');
 QuarantineFile('C:\Program Files\SpaceSoundPro\idscservice.exe', '');
 QuarantineFile('C:\Program Files (x86)\Max Driver Updater\maxdu.exe', '');
 QuarantineFile('C:\Users\user.idea-PC\AppData\Roaming\istartpageing\UninstallManager.exe', '');
 QuarantineFile('C:\Users\user.idea-PC\AppData\Roaming\yoursearching\UninstallManager.exe', '');
 QuarantineFile('C:\Users\user.idea-PC\appdata\roaming\aspackage\uninstall.exe', '');
 QuarantineFile('C:\Program Files\contentprotector\condefclean.exe', '');
 QuarantineFile('C:\Program Files\contentprotector\condefupdateps.dll', '');
 QuarantineFile('C:\Program Files\contentprotector\conprotsetup.exe', '');
 QuarantineFile('C:\Program Files\contentprotector\contentprotectorconrol.exe', '');
 QuarantineFile('C:\Program Files\contentprotector\import_root_cert.exe', '');
 QuarantineFile('C:\Program Files\contentprotector\libeay32.dll', '');
 QuarantineFile('C:\Program Files\contentprotector\nfregdrv.exe', '');
 QuarantineFile('C:\Program Files\contentprotector\nss\certutil.exe', '');
 QuarantineFile('C:\Program Files\contentprotector\nss\mozcrt19.dll', '');
 QuarantineFile('C:\Program Files\contentprotector\nss\nspr4.dll', '');
 QuarantineFile('C:\Program Files\contentprotector\nss\nss3.dll', '');
 QuarantineFile('C:\Program Files\contentprotector\nss\plc4.dll', '');
 QuarantineFile('C:\Program Files\contentprotector\nss\plds4.dll', '');
 QuarantineFile('C:\Program Files\contentprotector\nss\smime3.dll', '');
 QuarantineFile('C:\Program Files\contentprotector\nss\softokn3.dll', '');
 QuarantineFile('C:\Program Files\contentprotector\ssleay32.dll', '');
 DeleteFile('C:\WINDOWS\Tasks\MAXDriverUpdater_UPDATES.job', '64');
 DeleteFile('c:\windows\temp\2339.tmp', '32');
 DeleteFile('C:\Program Files\ContentProtector\ContentProtector.exe', '32');
 DeleteFile('C:\Program Files\ContentProtector\ContentProtectorUpdate.exe', '32');
 DeleteFile('c:\users\user.idea-pc\appdata\roaming\imagecropresize\imageed\imageed.exe', '32');
 DeleteFile('c:\program files (x86)\4d501c63-1457941035-e311-8450-208984f5c5e6\knsl7a75.tmp', '32');
 DeleteFile('c:\users\user.idea-pc\appdata\local\mail.ru\mailruupdater.exe', '32');
 DeleteFile('c:\programdata\fwdmf\wdman.exe', '32');
 DeleteFile('SSFK.sys', '32');
 DeleteFile('C:\WINDOWS\system32\drivers\ContentProtectorDrv.sys', '32');
 DeleteFile('C:\Program Files\SpaceSoundPro\SpaceSoundPro.exe', '32');
 DeleteFile('C:\Program Files\SpaceSoundPro\idscservice.exe', '32');
 DeleteFile('C:\Program Files (x86)\Max Driver Updater\maxdu.exe', '32');
 DeleteFile('C:\Users\user.idea-PC\AppData\Roaming\istartpageing\UninstallManager.exe', '32');
 DeleteFile('C:\Users\user.idea-PC\AppData\Roaming\yoursearching\UninstallManager.exe', '32');
 DeleteFile('C:\Users\user.idea-PC\appdata\roaming\aspackage\uninstall.exe', '32');
 DeleteFile('C:\Program Files\contentprotector\condefclean.exe', '32');
 DeleteFile('C:\Program Files\contentprotector\condefupdateps.dll', '32');
 DeleteFile('C:\Program Files\contentprotector\conprotsetup.exe', '32');
 DeleteFile('C:\Program Files\contentprotector\contentprotectorconrol.exe', '32');
 DeleteFile('C:\Program Files\contentprotector\import_root_cert.exe', '32');
 DeleteFile('C:\Program Files\contentprotector\libeay32.dll', '32');
 DeleteFile('C:\Program Files\contentprotector\nfregdrv.exe', '32');
 DeleteFile('C:\Program Files\contentprotector\nss\certutil.exe', '32');
 DeleteFile('C:\Program Files\contentprotector\nss\mozcrt19.dll', '32');
 DeleteFile('C:\Program Files\contentprotector\nss\nspr4.dll', '32');
 DeleteFile('C:\Program Files\contentprotector\nss\nss3.dll', '32');
 DeleteFile('C:\Program Files\contentprotector\nss\plc4.dll', '32');
 DeleteFile('C:\Program Files\contentprotector\nss\plds4.dll', '32');
 DeleteFile('C:\Program Files\contentprotector\nss\smime3.dll', '32');
 DeleteFile('C:\Program Files\contentprotector\nss\softokn3.dll', '32');
 DeleteFile('C:\Program Files\contentprotector\ssleay32.dll', '32');
 DeleteService('ContentProtector');
 DeleteService('WdMan');
 DeleteService('xefyrycuzbt');
 DeleteService('SSFK');
 DeleteService('ContentProtectorDrv');
 DeleteFileMask('c:\program files\contentprotector', '*', true);
 DeleteFileMask('c:\users\user.idea-pc\appdata\roaming\imagecropresize', '*', true);
 DeleteFileMask('c:\users\user.idea-pc\appdata\local\mail.ru', '*', true);
 DeleteFileMask('c:\programdata\fwdmf', '*', true);
 DeleteFileMask('c:\program files\spacesoundpro', '*', true);
 DeleteFileMask('c:\program files (x86)\max driver updater', '*', true);
 DeleteFileMask('c:\users\user.idea-pc\appdata\roaming\istartpageing', '*', true);
 DeleteFileMask('c:\users\user.idea-pc\appdata\roaming\yoursearching', '*', true);
 DeleteFileMask('c:\users\user.idea-pc\appdata\roaming\aspackage', '*', true);
 DeleteDirectory('c:\program files\contentprotector');
 DeleteDirectory('c:\users\user.idea-pc\appdata\roaming\imagecropresize');
 DeleteDirectory('c:\users\user.idea-pc\appdata\local\mail.ru');
 DeleteDirectory('c:\programdata\fwdmf');
 DeleteDirectory('c:\program files\spacesoundpro');
 DeleteDirectory('c:\program files (x86)\max driver updater');
 DeleteDirectory('c:\users\user.idea-pc\appdata\roaming\istartpageing');
 DeleteDirectory('c:\users\user.idea-pc\appdata\roaming\yoursearching');
 DeleteDirectory('c:\users\user.idea-pc\appdata\roaming\aspackage');
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "MailRuUpdater" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "MAXDriverUpdaterRunAtStartup" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "MAXDriverUpdater_UPDATES" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "{1A86EFCA-A172-49F7-B39F-7BEA921CB32E}" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "{CEA4447E-C2ED-4F4F-9722-B795B35B4CC5}" /F', 0, 15000, true);
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'MailRuUpdater');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'ImageEd');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'SpaceSoundPro');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'IDSCPRODUCT');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
ExecuteSysClean;
RebootWindows(true);
end.

Компьютер перезагрузится.
Выполните в AVZ скрипт:

Код:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.

Сделайте лог AdwCleaner (by Xplode).

**Антон Сивков** · 23.03.2016, 07:45

Пока что ничего не изменилось((.

**Vvvyg** · 23.03.2016, 07:59

А мы только начали.

Запустите повторно AdwCleaner (by Xplode) (в Windows Vista/7/8 необходимо запускать через правую кнопку мыши от имени администратора)), нажмите кнопку Сканировать (Scan), по окончании сканирования, только если используете программы от этого портала, уберите галочки на вкладках Папки (Folders) и Реестр (Registry) со всех пунктов, где упоминается Mail.Ru.

Установите в пункте меню "Настройки" (Settings) дополнительно к установленным по умолчанию галочку "Сброс политик Chrome".
Затем нажмите Очистка (Cleaning) и по окончании удаления перезагрузите систему по требованию программы.

После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C1].txt, прикрепите к своему следующему сообщению.

Очистите кэш и cookies-файлы браузеров и сообщите, что с проблемами.

**Антон Сивков** · 23.03.2016, 08:32

После снятия галочек в AdwCleaner (Также снял галочки где упоминалось про MailruUpdater) и перезагрузки, в операционной системе не появляется интерфейс. Просто темный экран, курсор мыши и сообщение "Не удается найти файл сценария C:\Windows\run.vbs в заголовке которого Windows Script Host. Меню вызываемое по Ctrl+Ald+Del работает. Перезагрузка не помогла.

**Vvvyg** · 23.03.2016, 08:41

Сейчас починим.
Через диспетчер задач Файл -> Запустить новую задачу введите explorer.exe и Ok - рабочий стол появится.

Пофиксите в HijackThis (в Windows Vista/7/8 необходимо запускать через правую кнопку мыши Запуск от имени администратора)):

Код:

F2 - REG:system.ini: UserInit=wscript C:\WINDOWS\run.vbs,

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).

**Антон Сивков** · 23.03.2016, 09:28

После выполнения скрипта в HiJack интерфейс в ОС по прежнему не появляется. Сообщение то же появляется.
Также больше не появляются различные баннеры и браузеры работают как и должны.
Однако MS Word работает как и в начале проблемы.

**Vvvyg** · 23.03.2016, 13:01

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

Код:

CreateRestorePoint:
HKLM\...\Winlogon: [Userinit] wscript C:\WINDOWS\run.vbs,
CHR HKLM-x32\...\Chrome\Extension: [lbjjfiihgfegniolckphpnfaokdkbmdm] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [mdeldjolamfbcgnndjmjjiinnhbnbnla] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [oelpkepjlgmehajehfeicfbjdiobdkfj] - hxxps://clients2.google.com/service/update2/crx
2016-03-18 09:54 - 2016-03-18 09:55 - 00000000 ____D C:\ProgramData\iLPQuon
2016-03-18 08:02 - 2016-03-18 16:41 - 00000000 ____D C:\ProgramData\TbseMHvRUK
2016-03-18 08:00 - 2016-03-18 08:01 - 00000000 ____D C:\ProgramData\WALOqYT
2016-03-17 10:26 - 2016-03-18 05:28 - 00000000 __SHD C:\ProgramData\360Quarant
2016-03-17 10:26 - 2016-03-18 05:28 - 00000000 __SHD C:\$360Section
2016-03-17 10:10 - 2016-03-18 16:16 - 00000000 ____D C:\Users\user.idea-PC\AppData\Local\BGYwxlhE
2016-03-17 10:10 - 2016-03-17 10:10 - 00000000 ____D C:\Users\Все пользователи\hkOezsGHIK
2016-03-17 10:12 - 2016-03-18 14:15 - 00000000 ____D C:\Program Files (x86)\360
2016-03-17 10:12 - 2016-03-17 10:12 - 00000000 _____ C:\WINDOWS\SysWOW64\Number of results
2016-03-17 10:11 - 2016-03-17 10:11 - 00000000 ____D C:\Users\Все пользователи\qGQeJYayjT
2016-03-14 11:36 - 2016-03-14 11:36 - 00000000 ____D C:\ProgramData\{BE2ACE5C-32B7-4777-9BDF-ECF87CDAB705}
Hosts:
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\ContentProtector" /f
Reg: reg delete "HKU\S-1-5-21-2993095797-322622531-1346806083-1001\Software\Microsoft\Windows\CurrentVersion\Uninstall\ImageCropResize" /f
EmptyTemp:
Reboot:

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, закройте все браузеры, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Сообщите, что с проблемой.

Кстати, MailRuUpdater, он же "Служба автоматического обновления программ" совершенно не нужен, ни одной программы от Mail.Ru нет и обновлять нечего.

**Антон Сивков** · 24.03.2016, 07:24

интерфейс стал загружаться самостоятельно, спасибо.
проблема с MS Office, возможно решится если я его переустановлю.

**Vvvyg** · 24.03.2016, 09:04

Запустите AdwCleaner и нажмите Деинсталлировать (Uninstall).

Удалите папку C:\FRST со всем содержимым.

Выполните рекомендации после лечения.

**CyberHelper** · 24.03.2016, 09:14

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 29
В ходе лечения обнаружены вредоносные программы:
1. c:\program files\contentprotector\condefclean.exe - not-a-virus:HEUR:NetTool.Win32.NetFilter.gen
2. c:\program files\contentprotector\condefupdateps.dll - not-a-virus:HEUR:NetTool.Win32.NetFilter.gen
3. c:\program files\contentprotector\conprotsetup.exe - not-a-virus:HEUR:NetTool.Win32.NetFilter.gen
4. c:\program files\contentprotector\contentprotectorconrol.exe - not-a-virus:HEUR:NetTool.Win32.NetFilter.gen
5. c:\program files\contentprotector\contentprotector.exe - not-a-virus:HEUR:NetTool.Win32.NetFilter.gen
6. c:\program files\contentprotector\contentprotectorupdate.exe - not-a-virus:HEUR:NetTool.Win32.NetFilter.gen
7. c:\program files\contentprotector\import_root_cert.exe - not-a-virus:HEUR:NetTool.Win32.NetFilter.gen
8. c:\program files\contentprotector\libeay32.dll - not-a-virus:HEUR:NetTool.Win32.NetFilter.gen
9. c:\program files\contentprotector\nfregdrv.exe - not-a-virus:AdWare.Win64.Agent.iqi
10. c:\program files\contentprotector\nss\certutil.exe - not-a-virus:HEUR:NetTool.Win32.NetFilter.gen
11. c:\program files\contentprotector\nss\mozcrt19.dll - not-a-virus:HEUR:NetTool.Win32.NetFilter.gen
12. c:\program files\contentprotector\nss\nspr4.dll - not-a-virus:HEUR:NetTool.Win32.NetFilter.gen
13. c:\program files\contentprotector\nss\nss3.dll - not-a-virus:HEUR:NetTool.Win32.NetFilter.gen
14. c:\program files\contentprotector\nss\plc4.dll - not-a-virus:HEUR:NetTool.Win32.NetFilter.gen
15. c:\program files\contentprotector\nss\plds4.dll - not-a-virus:HEUR:NetTool.Win32.NetFilter.gen
16. c:\program files\contentprotector\nss\smime3.dll - not-a-virus:HEUR:NetTool.Win32.NetFilter.gen
17. c:\program files\contentprotector\nss\softokn3.dll - not-a-virus:HEUR:NetTool.Win32.NetFilter.gen
18. c:\program files\contentprotector\ssleay32.dll - not-a-virus:HEUR:NetTool.Win32.NetFilter.gen
19. c:\programdata\fwdmf\wdman.exe - not-a-virus:AdWare.Win32.ELEX.me
20. c:\users\user.idea-pc\appdata\roaming\istartpageing\uninstallmanager. exe - not-a-virus:HEUR:AdWare.Win32.ELEX.gen
21. c:\windows\system32\drivers\contentprotectordrv.sy s - not-a-virus:NetTool.Win32.NetFilter.v
22. c:\windows\temp\2339.tmp - not-a-virus:AdWare.Win32.ConvertAd.avgr

Произвольное открытие сайтов, сообщения из вк и уведомления об обновлении. [not-a-virus:HEUR:NetTool.Win32.NetFilter.gen, not-a-virus:WebToolbar.Win32.Neobar.p ] (заявка № 198585)

Опции темы