Исчезли файлы с рабочего стола (удалились) [not-a-virus:AdWare.Win32.BrainInst.t ]

[CRUGER]

Здравствуйте. У меня 2 проблемы:
1) Пропали все файлы с рабочего стола при включении компьютера сегодня утром (остались только основные ярлыки типа Хрома, Аваста итд). Делал восстановление системы за 5 и 6 ноября - не помогло.
2) Вирус, который постоянно заходит на zaycev.net
Запустил скан программой HiJackThis, но выдаёт ошибку (скрин в прикреплённых), то есть лог HJT не полный. HJT запускал не под правами администратора. Тупо не помню пароль - его как-то можно восстановить кстати?
Жду ответа. Спасибо.

[Info_bot]

Уважаемый(ая) CRUGER, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[CRUGER]

Кстати, при запуске Punto Switcher'a тоже запускается Гугл Хром с zaycev.net.

[CRUGER]

Кто-то может помочь с моим вопросом? Ответьте хотя бы что-то.

[Techno]

ibupdaterservice или IncrediBar устанавливали? Если нет, то удалите через установку/удаление программ.

c:\Documents and Settings\TEMP - есть такая папка?

- Пофиксите в HijackThis:

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://websearch.searchmainia.info/?unqvl=15

- Выполните в АВЗ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('NEWDRIVER');
 QuarantineFile('c:\documents and settings\all users\application data\ibupdaterservice\ibsvc.exe','');
 TerminateProcessByName('c:\documents and settings\all users\application data\ibupdaterservice\ibsvc.exe');
 DeleteFile('C:\WINDOWS\system32\WinVDEdrv6.sys','32');
 DeleteFile('C:\Documents and Settings\Admin\Local Settings\Application Data\Xpom\Application\chrome.url','32');
 DeleteFile('C:\Documents and Settings\Admin\Local Settings\Application Data\Xpom\Application\run_chrome.url','32');
 DeleteFile('C:\Program Files\Internet Explorer\IEXPLORE.url','32');
 DeleteFile('C:\Program Files\Mozilla Firefox\firefox.url','32');
 DeleteFile('C:\Program Files\Yandex\Punto Switcher\punto.url','32');
 DeleteFile('c:\windows\system32\rpwkvph.dll','32');
 DeleteFile('c:\progra~1\simple~1\sprote~1.dll','32');
DeleteFileMask('c:\progra~1\simple~1','*',true);
DeleteDirectory('c:\progra~1\simple~1');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится

После перезагрузки:
- Выполните в АВЗ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

Пересоздайте ярлыки браузеров.

- Повторите логи virusinfo_syscheck.zip и hijackthis.log.

- Сделайте лог полного сканирования MBAM.

[CRUGER]

ibupdaterservice и IncrediBar не устанавливал и в установке/удалении программ таких программ нет. Папки c:\Documents and Settings\TEMP тоже нету.

[Techno]

- Удалите в MBAM всё:

Программы какие знакомы?

C:\Program Files\BcoolApp
C:\Program Files\BrowseToSave
C:\Program Files\DefaultTab
C:\Program Files\Gophoto.it

Установите новый Internet Explorer, а также все доступные обновления для Windows

- Повторите лог virusinfo_syscheck.zip

- Сделайте лог RSIT

[CRUGER]

Все эти программы - разные плагины, которые мне не нужны. В MBAM удалять все подозрительные файлы, которые нашла прога (их 130, но на удаление выделяет только около 10)? И как это можно удалить, используя лог? Проверка идёт 2.5 часа просто.

- - - Добавлено - - -

И ещё в карантине MBAM 32 файла. Что с ними делать?

[Techno]

Все эти программы - разные плагины, которые мне не нужны.

Удалите их через установку/удаление программ.

И как это можно удалить, используя лог?

Никак. Делайте новое сканирование и удаляйте.

Потом

- Повторите лог virusinfo_syscheck.zip

- Сделайте лог RSIT

[CRUGER]

C:\Program Files\BcoolApp
C:\Program Files\BrowseToSave
C:\Program Files\DefaultTab
C:\Program Files\Gophoto.it
Все эти проги удалил. Поставил IE 8, но обновления с update.microsoft.com не ставятся (у меня не лицензия), хотя периодически автообновление делается. Но я так и не понял по MBAM - после сканирования удалять АБСОЛЮТНО ВСЕ подозрительные файлы или только рекомендуемые MBAM? Cпасибо.

[Techno]

Но я так и не понял по MBAM - после сканирования удалять АБСОЛЮТНО ВСЕ подозрительные файлы или только рекомендуемые MBAM?

.
Удаляйте все, что в логе из сообщения№6

[CRUGER]

Done.

[Techno]

А это Ваше?

c:\program files\qualitink
C:\Program Files\MyPC Backup

[CRUGER]

На 90 % уверен, что Qualitink (плагин) - это вирус. Я его пробовал удалить через установку/удаление - не получается. Пробовал убить процессы - убивает, но они опять появляются. А MyPC Backup тоже ерунда какая-то ненужная.

[Techno]

Если не нужно, тогда тоже удалим.

- Выполните в АВЗ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 ClearQuarantine;
 TerminateProcessByName('c:\program files\qualitink\bin\utilqualitink.exe');
 TerminateProcessByName('c:\program files\qualitink\updatequalitink.exe');
 SetServiceStart('Util qualitink', 4);
 SetServiceStart('Update qualitink', 4);
 StopService('Util qualitink');
 StopService('Update qualitink');
 QuarantineFile('c:\program files\qualitink\updatequalitink.exe','');
 QuarantineFile('c:\program files\qualitink\bin\utilqualitink.exe','');
 DeleteFile('C:\Program Files\qualitink\updatequalitink.exe','32');
 DeleteFile('C:\Program Files\qualitink\bin\utilqualitink.exe','32');
 DeleteService('Util qualitink');
 DeleteService('Update qualitink');
 DeleteFileMask('C:\Program Files\qualitink','*',true);
 DeleteFileMask('C:\Program Files\MyPC Backup','*',true);
 DeleteDirectory('C:\Program Files\qualitink');
 DeleteDirectory('C:\Program Files\MyPC Backup');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится

После перезагрузки:
- Выполните в АВЗ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Повторите логи virusinfo_syscheck.zip и hijackthis.log.

Что с проблемами?

[CRUGER]

Во время создания лога АВЗ Аваст находил вирусы. Почему-то стартовая страница всегда Dosearches.com, хотя стоит vk.com. И HJT всегда выдаёт ошибку при создании лога. То есть, получается, Вы недополучаете инфу от HJT? Это можно как-то исправить?
По поводу изначальных проблем:
Punto Switcher уже работает без проблем. Но 30 гигов файлов (которые пропали), я до сих пор не вижу. Может не знаю где искать?

[Techno]

Почему-то стартовая страница всегда Dosearches.com

- Пофиксите в HijackThis:

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://search.dosearches.com/web/?utm_source=b&utm_medium=ild&utm_campaign=rg&utm_content=ds&from=ild&uid=HDT722525DLA380_VDS41DT4EXXTPJEXXTPJX&ts=1383993898&type=default&q={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://search.dosearches.com/web/?utm_source=b&utm_medium=ild&utm_campaign=rg&utm_content=ds&from=ild&uid=HDT722525DLA380_VDS41DT4EXXTPJEXXTPJX&ts=1383993898&type=default&q={searchTerms}
R

Антивирус надо выключать на время выполнения скрипта.

ПО поводу пропавших файлов ничего сказать не могу, попробуйте воспользоваться поиском, включив в дополнительных параметрах поиск скрытых файлов и папок.

[CRUGER]

Поиск находит ярлыки файлов в папке C:\Documents and Settings\Admin\Recent . Но предлагает вручную указать где они находятся. Что можно сделать?

[Techno]

Поиск находит ярлыки файлов в папке C:\Documents and Settings\Admin\Recent .

Это ярлыки на последние открытые документы, если не находит значит их нет.

Попробуйте восстановить этим http://www.piriform.com/recuva

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 9
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\all users\\application data\\ibupdaterservice\\ibsvc.exe - not-a-virus:AdWare.Win32.BrainInst.t ( DrWEB: Adware.Downware.1295 )