Непонятные файлы в процессах, закрывается редактор реестра [Trojan-Clicker.Win32.VB.ipy, Trojan.MSIL.Agent.foar ]

[Lexxander]

Прошу помощи разобраться с непонятными процессами, которые загружаются при каждом запуске компьютера. Также нет возможности открыть реестр, закрывается сразу после запуска.

[Info_bot]

Уважаемый(ая) Lexxander, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[regist]

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 TerminateProcessByName('c:\users\lexxan~1\appdata\local\temp\lhb48.exe');
 StopService('ginoquci');
 QuarantineFileF('c:\program files\gmsd_ru_005010181', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFileF('c:\program files\spacesoundpro', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFileF('c:\programdata\tmp0x0x', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFile('c:\users\lexxan~1\appdata\local\temp\lhb48.exe', '');
 QuarantineFile('C:\Program Files\ADA18298-1450562078-11D5-9C34-3B375B0DDF94\knsq81A.tmp', '');
 QuarantineFile('C:\Users\LEXXAN~1\AppData\Local\Temp\nsb72DD.tmp', '');
 QuarantineFile('C:\Program Files\gmsd_ru_005010181\gmsd_ru_005010181.exe', '');
 QuarantineFileF('C:\Users\Lexxander\appdata\local\coprofit\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFile('C:\Users\Lexxander\AppData\Roaming\netprotocol.exe', '');
 QuarantineFile('C:\Program Files\adobe update\keepup_svc.exe', '');
 QuarantineFile('C:\Users\Lexxander\AppData\Roaming\WindowsUpdate\Live.exe', '');
 QuarantineFile('C:\Users\Lexxander\AppData\Roaming\Windows Live\vdmvfyhdis.exe', '');
 QuarantineFile('C:\Users\Lexxander\AppData\Roaming\WindowsUpdate\Updater.exe', '');
 QuarantineFile('C:\Program Files\SpaceSoundPro\SpaceSoundPro.exe', '');
 QuarantineFile('C:\ProgramData\Tmp0x0x\P', '');
 QuarantineFileF('C:\Users\Lexxander\AppData\Roaming\WindowsUpdate\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('C:\Users\Lexxander\appdata\roaming\update\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('C:\Program Files\manager\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
 DeleteFile('C:\Users\Lexxander\AppData\Roaming\Windows Live\vdmvfyhdis.exe', '32');
 DeleteFile('c:\users\lexxan~1\appdata\local\temp\lhb48.exe', '32');
 DeleteFile('C:\Program Files\ADA18298-1450562078-11D5-9C34-3B375B0DDF94\knsq81A.tmp', '32');
 DeleteFile('C:\Users\LEXXAN~1\AppData\Local\Temp\nsb72DD.tmp', '32');
 DeleteFile('C:\Program Files\gmsd_ru_005010181\gmsd_ru_005010181.exe', '32');
 DeleteFile('C:\Users\Lexxander\AppData\Roaming\netprotocol.exe', '32');
 DeleteFile('C:\Program Files\SpaceSoundPro\SpaceSoundPro.exe', '32');
 DeleteFile('C:\ProgramData\Tmp0x0x\P', '32');
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 DeleteService('fizynume');
 DeleteService('ginoquci');
 DeleteFileMask('C:\Users\Lexxander\appdata\local\coprofit\', '*', true);
 DeleteFileMask('c:\program files\gmsd_ru_005010181', '*', true);
 DeleteFileMask('c:\program files\spacesoundpro', '*', true);
 DeleteFileMask('c:\programdata\tmp0x0x', '*', true);
 DeleteDirectory('C:\Users\Lexxander\appdata\local\coprofit\');
 DeleteDirectory('c:\program files\gmsd_ru_005010181');
 DeleteDirectory('c:\program files\spacesoundpro');
 DeleteDirectory('c:\programdata\tmp0x0x');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ZaxarLoader', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Windows Live', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\gmsd_ru_005010181', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Netprotocol', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SpaceSoundPro', 'command');
BC_ImportALL;
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

Manager - деинсталируйте.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

- сделайте лог Check Browsers' LNK by Dragokas & regist.

[Lexxander]

Результаты анализа - http://virusinfo.info/virusdetector/...6CCA5AB4CAED9D

- - - - -Добавлено - - - - -

Новые логи

- - - - -Добавлено - - - - -

еще

[regist]

Здравствуйте!

Baidu сами ставили?

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 SetServiceStart('KeepUpSvc', 4);
 StopService('KeepUpSvc');
 QuarantineFile('C:\Users\Lexxander\appdata\roaming\update\explorer.exe', '');
 QuarantineFile('C:\Users\Lexxander\appdata\roaming\c731200', '');
 QuarantineFile('C:\Users\Lexxander\AppData\Roaming\Adobe Flash Player\Adobe.exe', '');
 QuarantineFile('C:\Users\Lexxander\AppData\Roaming\Windows Live\vdmvfyhdis.exe', '');
 QuarantineFile('C:\Users\Lexxander\AppData\Roaming\WindowsUpdate\Live.exe', '');
 QuarantineFile('C:\Users\Lexxander\AppData\Roaming\WindowsUpdate\Updater.exe', '');
 QuarantineFile('C:\Program Files\Adobe Update\keepup_svc.exe', '');
 QuarantineFileF('C:\Program Files\adobe update\k', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('C:\Users\Lexxander\appdata\roaming\update\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('C:\Users\Lexxander\appdata\roaming\windowsupdate\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('C:\Users\Lexxander\appdata\roaming\adobe flash player\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
 DeleteFile('C:\Users\Lexxander\AppData\Roaming\Windows Live\vdmvfyhdis.exe', '32');
 DeleteFile('C:\Users\Lexxander\appdata\roaming\adobe flash player\adobe.exe', '32');
 DeleteFile('C:\Users\Lexxander\appdata\roaming\c731200', '32');
 DeleteFile('C:\Users\Lexxander\appdata\roaming\update\explorer.exe', '32');
 DeleteFile('C:\Users\Lexxander\appdata\roaming\windowsupdate\live.exe', '32');
 DeleteFile('C:\Users\Lexxander\appdata\roaming\windowsupdate\updater.exe', '32');
 DeleteFile('C:\Program Files\adobe update\keepup_svc.exe', '32');
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Hewlett-Packard\hp deskjet 940c series v4.3\Интерактивная справка.lnk', '');
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Hewlett-Packard\hp deskjet 940c series v4.3\Помощник печати.lnk', '');
 QuarantineFile('C:\ProgramData\ntei\HrtLZsorIds1.bat', '');
 QuarantineFileF('C:\ProgramData\ntei', '*', true, '', 0, 0);
 DeleteFile('C:\ProgramData\ntei\HrtLZsorIds1.bat', '');
 DeleteFileMask('C:\ProgramData\ntei', '*', true);
 DeleteDirectory('C:\ProgramData\ntei');
 DeleteService('KeepUpSvc');
 DelBHO('{10921475-03CE-4E04-90CE-E2E7EF20C814}');
 DelCLSID('{B19ED566-D419-470b-B111-3C89040BC027}');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Windows Update Installer');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Windows Live Installer');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Windows Live');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Adobe Flash Player SU', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\sCloudStatusCheck', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Schedule', 'command');
BC_ImportAll;
ExecuteSysClean;
 ExecuteRepair(3);
 ExecuteRepair(4);
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Исправьте с помощью утилиты ClearLNK следующие ярлыки, отчёт о работе прикрепите:

C:\Users\Lexxander\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Mail.Ru.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mail.Ru\Портал Mail.Ru.lnk
C:\Users\Lexxander\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Вконтакте.lnk
C:\Users\Lexxander\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Одноклассники.lnk
C:\Users\Lexxander\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Вконтакте.lnk
C:\Users\Lexxander\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Одноклассники.lnk
C:\Users\Lexxander\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Амиго.lnk
C:\Users\Lexxander\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Амиго.lnk
C:\Users\Lexxander\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Zaxar Games Browser\Zaxar Games Browser.lnk
C:\Users\Lexxander\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Zaxar Games Browser\Zaxar Update.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Hewlett-Packard\hp deskjet 940c series v4.3\Интерактивная справка.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Hewlett-Packard\hp deskjet 940c series v4.3\Помощник печати.lnk
C:\Users\Lexxander\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\coprofit\coprofit.lnk
C:\Users\Lexxander\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\coprofit\Uninstall.lnk
C:\Users\Lexxander\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\NCsoft\Aion.lnk
C:\Users\Lexxander\Desktop\Домашняя\ЖУРНАЛИСТ\Плюсы уходящего года....lnk
C:\Users\Lexxander\Desktop\Домашняя\ЖУРНАЛИСТ\таблетки.lnk
C:\Users\Lexxander\Desktop\ЦМК\УМКД\Новые РПУДЫ\НОВЫе РПДЫ Пушной2\БЖ Газонефть.lnk
C:\Users\Lexxander\Desktop\ЦМК\УМКД\РАБОТА2\БЖД Зочка.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\GAMESDESKTOP\GamesDesktop.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Hamachi\Uninstall.lnk

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S1].txt.
• Прикрепите отчет к своему следующему сообщению.

Хром как понимаю у вас штатно установлен?

+ скачайте отсюда Check Browsers' LNK by Dragokas & regist. Заархивируйте его и прикрепите к сообщению.

[Lexxander]

Baidu не сам ставил.
Хром устанавливал сам.

Насчет заархивировать Check Browsers LNK. Я так понял, требуется вытащить его из архива по ссылке, самому сделать архив и направить сюда? Если так, то прикладываю.

[regist]

Насчет заархивировать Check Browsers LNK. Я так понял, требуется вытащить его из архива по ссылке, самому сделать архив и направить сюда?

Нет. Надо скачать его, разархивировать и запустить. Дождаться сохранения лога. Полученный лог заархивировать (иначе он скорее всего не поместится во вложения) и прикрепить.

- - - - -Добавлено - - - - -
+

- Удалите в AdwCleaner всё кроме папок от mail.ru - если программами от mail.ru не пользуетесь, то их тоже удалите. Отчет после удаления прикрепите.


Сделайте полный образ автозапуска uVS, только программу скачайте отсюда.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 75
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\program files\adobe update\keepup_svc.exe - Trojan.MSIL.Agent.foar
  2. c:\program files\manager\manager.exe - not-a-virus:AdWare.Win32.Amonetize.bzmk ( DrWEB: Trojan.Amonetize.10301, AVAST4: Other:Malware-gen [Trj] )
  3. c:\programdata\ntei\hrtlzsorids1.bat - Trojan.BAT.StartPage.os
  4. c:\users\lexxander\appdata\local\coprofit\chromium \fkbmjpofpcpmmokgmkehcpbofjombfoe\content.js - not-a-virus:AdWare.JS.Agent.el ( DrWEB: Adware.Shopper.1216 )
  5. c:\users\lexxander\appdata\local\coprofit\chromium \fkbmjpofpcpmmokgmkehcpbofjombfoe\start_content.js - not-a-virus:AdWare.JS.Agent.em ( DrWEB: Adware.Shopper.1216 )
  6. c:\users\lexxander\appdata\local\coprofit\coprofit _stb.exe - not-a-virus:RiskTool.NSIS.Agent.kc ( DrWEB: Adware.Shopper.1216 )
  7. c:\users\lexxander\appdata\local\coprofit\launcher .js - Trojan.JS.Starter.d ( DrWEB: Adware.Shopper.1270 )
  8. c:\users\lexxander\appdata\roaming\adobe flash player\adobe.exe - Trojan-Clicker.Win32.VB.ipy ( BitDefender: Trojan.Generic.9325529 )
  9. c:\users\lexxander\appdata\roaming\c731200 - Worm.Win32.Ngrbot.azal
  10. c:\users\lexxander\appdata\roaming\update\explorer .exe - Worm.Win32.Ngrbot.azal
  11. c:\users\lexxander\appdata\roaming\update\explorer .exe - Worm.Win32.Ngrbot.azam
  12. c:\users\lexxander\appdata\roaming\update\update.e xe - Worm.Win32.Ngrbot.azal
  13. c:\users\lexxander\appdata\roaming\update\update.e xe - Worm.Win32.Ngrbot.azam
  14. c:\users\lexxander\appdata\roaming\windows live\vdmvfyhdis.exe - Trojan.Win32.Bublik.efhi
  15. c:\users\lexxander\appdata\roaming\windows live\vdmvfyhdis.exe - Trojan.Win32.Bublik.efht
  16. c:\users\lexxander\appdata\roaming\windowsupdate\l ive.exe - Trojan.Win32.Bublik.efht
  17. c:\users\lexxander\appdata\roaming\windowsupdate\u pdater.exe - Worm.Win32.Ngrbot.azal