"Виснет" компьютер сразу после загрузки Рабочего стола.

[rumpa]

После лечения зараженного файла hosts компьютер начал зависать а затем вовсе не запускаться. Хайджэк пишет о перенаправлении места файла.

Скрытый текст

Logfile of Trend Micro HijackThis v2.0.5
Scan saved at 11:22:06, on 24.06.2014
Platform: Windows 7 (WinNT 6.00.3504)
MSIE: Internet Explorer v8.00 (8.00.7600.16385)


Boot mode: Normal

Running processes:
C:\Windows\system32\taskhost.exe
C:\Windows\Explorer.EXE
C:\Windows\system32\Dwm.exe
C:\Program Files\VIA\VIAudioi\VDeck\VDeck.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CCC.exe
C:\Windows\system32\svchost.exe
C:\Program Files\Opera\opera.exe
C:\Users\Рома\Desktop\джэк\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/search
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://mail.ru/cnt/10445?gp=openpart4
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
R3 - Default URLSearchHook is missing
O1 - Hosts: ::1 localhost
O2 - BHO: URLRedirectionBHO - {B4F3A835-0E21-4959-BA22-42B3008E02FF} - C:\PROGRA~1\MICROS~2\Office14\URLREDIR.DLL
O3 - Toolbar: Поиск WebAlta - {fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} - mscoree.dll (file missing)
O4 - HKLM\..\Run: [StartCCC] "C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
O4 - HKLM\..\Run: [AMD AVT] Cmd.exe /c start "AMD Accelerated Video Transcoding device initialization" /min "C:\Program Files\AMD AVT\bin\kdbsync.exe" aml
O4 - HKLM\..\Run: [HDAudDeck] C:\Program Files\VIA\VIAudioi\VDeck\VDeck.exe -r
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [MSConfig] "C:\Users\Рома\tcjqvgkl.exe"
O4 - HKUS\S-1-5-18\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun (User 'система')
O4 - HKUS\.DEFAULT\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun (User 'Default user')
O8 - Extra context menu item: &Отправить в OneNote - res://C:\PROGRA~1\MICROS~2\Office14\ONBttnIE.dll/105
O8 - Extra context menu item: &Экспорт в Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office14\EXCEL.EXE/3000
O9 - Extra button: Отправить в OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\Program Files\Microsoft Office\Office14\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: &Отправить в OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\Program Files\Microsoft Office\Office14\ONBttnIE.dll
O9 - Extra button: &Связанные заметки OneNote - {789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - C:\Program Files\Microsoft Office\Office14\ONBttnIELinkedNotes.dll
O9 - Extra 'Tools' menuitem: &Связанные заметки OneNote - {789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - C:\Program Files\Microsoft Office\Office14\ONBttnIELinkedNotes.dll
O18 - Filter hijack: text/xml - {807573E5-5146-11D5-A672-00B0D022E945} - C:\Program Files\Common Files\Microsoft Shared\OFFICE14\MSOXMLMF.DLL
O23 - Service: AMD External Events Utility - AMD - C:\Windows\system32\atiesrxx.exe
O23 - Service: AMD FUEL Service - Advanced Micro Devices, Inc. - C:\Program Files\ATI Technologies\ATI.ACE\Fuel\Fuel.Service.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: KMService - Unknown owner - C:\Windows\system32\srvany.exe
O23 - Service: MSCSPTISRV - Sony Corporation - C:\Program Files\Common Files\Sony Shared\AVLib\MSCSPTISRV.exe
O23 - Service: PACSPTISVR - Unknown owner - C:\Program Files\Common Files\Sony Shared\AVLib\PACSPTISVR.exe
O23 - Service: Internet Pass-Through Service (PassThru Service) - Unknown owner - C:\Program Files\HTC\Internet Pass-Through\PassThruSvr.exe
O23 - Service: Skype Updater (SkypeUpdate) - Skype Technologies - C:\Program Files\Skype\Updater\Updater.exe
O23 - Service: SonicStage Back-End Service - Sony Corporation - C:\Program Files\Common Files\Sony Shared\AVLib\SsBeSvc.exe
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Program Files\Common Files\Sony Shared\AVLib\SPTISRV.exe
O23 - Service: SonicStage SCSI Service (SSScsiSV) - Sony Corporation - C:\Program Files\Common Files\Sony Shared\AVLib\SSScsiSV.exe
O23 - Service: StarWind AE Service (StarWindServiceAE) - StarWind Software - C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe

--
End of file - 5247 bytes

Скрыть

[Info_bot]

Уважаемый(ая) rumpa, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[rumpa]

как прикрепить лог?

- - - Добавлено - - -

вот ещеvirusinfo_syscheck.zipvirusinfo_syscure.zip

- - - Добавлено - - -

что дальше?

[thyrex]

greener web удалите через Установку программ

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\Рома\tcjqvgkl.exe','');
 DeleteFile('C:\Users\Рома\tcjqvgkl.exe','32');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Поофиксиите в HIJack

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search

Сделайте новые логи

Сделайте лог полного сканирования МВАМ

[mike 1]

+ Откройте AVZ - сервис - поиск данных в реестре. В поле "образец" впишите webalta, нажмите "пуск" после окончания сохраните протокол и выложите сюда.

[rumpa]

hijackthis.log

- - - Добавлено - - -

virusinfo_syscheck.zipvirusinfo_syscure.zip

- - - Добавлено - - -

так?

- - - Добавлено - - -

mbam LOG.txt

- - - Добавлено - - -

По моему все сделал

[mike 1]

В MBAM удалите (поместите в карантин):

Registry Keys: 9
PUP.Optional.ToolBar.WA, HKLM\SOFTWARE\CLASSES\CLSID\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A}, , [88628bf0f98285b1403d502a887a1ae6], 
PUP.Optional.ToolBar.WA, HKLM\SOFTWARE\CLASSES\nsWebAlta.WebAltaSearchBar, , [88628bf0f98285b1403d502a887a1ae6], 
PUP.Optional.ToolBar.WA, HKU\S-1-5-21-3225908316-2178432412-1473378573-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXT\SETTINGS\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A}, , [88628bf0f98285b1403d502a887a1ae6], 
PUP.Optional.ToolBar.WA, HKU\S-1-5-21-3225908316-2178432412-1473378573-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXT\STATS\{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A}, , [88628bf0f98285b1403d502a887a1ae6], 
PUP.Optional.ToolBar.WA, HKU\S-1-5-21-3225908316-2178432412-1473378573-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\MICROSOFT\INTERNET EXPLORER\SEARCHSCOPES\{61EB20A4-D4D5-4276-A2C9-DCCE8CE9F633}, , [aa401d5e6912d2642557f48611f1da26], 
PUP.Optional.GreenerWeb.A, HKU\S-1-5-21-3225908316-2178432412-1473378573-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXT\SETTINGS\{1973D53B-7311-45D7-8270-F44571C041A0}, , [9f4b36459be08caa00d32b19659d5ea2], 
PUP.Optional.GreenerWeb.A, HKU\S-1-5-21-3225908316-2178432412-1473378573-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXT\STATS\{1973D53B-7311-45D7-8270-F44571C041A0}, , [9f4b36459be08caa00d32b19659d5ea2], 
PUP.Optional.InstallCore.A, HKU\S-1-5-21-3225908316-2178432412-1473378573-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\INSTALLCORE\1I1T1Q1S, , [f7f3ea911c5ff04639a44a8244bea55b], 
PUP.Optional.InstallCore.A, HKU\S-1-5-21-3225908316-2178432412-1473378573-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\INSTALLCORE, , [18d2e09baad18fa71cdb59897f842bd5], 

Registry Values: 3
PUP.Optional.ToolBar.WA, HKLM\SOFTWARE\MICROSOFT\INTERNET EXPLORER\TOOLBAR|{FE704BF8-384B-44E1-8CF2-8DBEB3637A8A}, ??????N??? WebAlta, , [88628bf0f98285b1403d502a887a1ae6]
PUP.Optional.ToolBar.WA, HKLM\SOFTWARE\MICROSOFT\INTERNET EXPLORER\TOOLBAR\{fe704bf8-384b-44e1-8cf2-8dbeb3637a8a}, , [15d50477d8a3a78f1568e892bc46e11f], 
PUP.Optional.InstallCore.A, HKU\S-1-5-21-3225908316-2178432412-1473378573-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\INSTALLCORE|tb, 0E2Z1U1R1I1R2W0Q, , [18d2e09baad18fa71cdb59897f842bd5]

Folders: 6
PUP.Optional.CinemaLoad.A, C:\Users\?*?????°\AppData\Roaming\cload, , [a2480378d9a2fd395623357ea95911ef], 
Trojan.StartPage.ooo, C:\Program Files\hude\ne, , [43a79be094e745f128950cb7659e8b75], 
PUP.Optional.CinemaLoad.A, C:\Users\?*?????°\AppData\Local\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb, , [12d81a616e0d290d8b87514f17eb9e62], 
PUP.Optional.CinemaLoad.A, C:\Users\?*?????°\AppData\Local\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0, , [12d81a616e0d290d8b87514f17eb9e62], 
PUP.Optional.CinemaLoad.A, C:\Users\?*?????°\AppData\Local\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0\images, , [12d81a616e0d290d8b87514f17eb9e62], 
PUP.Optional.CinemaLoad.A, C:\Users\?*?????°\AppData\Local\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0\js, , [12d81a616e0d290d8b87514f17eb9e62], 

Files:
Trojan.FakeAlert, C:\Users\?*?????°\Desktop\avz4\Quarantine\2014-06-24\avz00001.dta, , [5c8e0873087396a0805293c343bd3cc4], 
PUP.Optional.OpenCandy, D:\???*?????˜\winamp563_full_emusic-7plus_all.exe, , [be2c6c0f35462115556ad3d6fd07e818], 
PUP.Optional.CinemaLoad.A, C:\Users\?*?????°\AppData\Roaming\cload\chrome.dat, , [a2480378d9a2fd395623357ea95911ef], 
PUP.Optional.CinemaLoad.A, C:\Users\?*?????°\AppData\Roaming\cload\opera.dat, , [a2480378d9a2fd395623357ea95911ef], 
Hijack.Trace, C:\Windows\System32\drivers\etc\h??sts, , [37b3b6c59cdf191d27285f5c877c16ea], 
Trojan.StartPage.ooo, C:\Program Files\hude\ne\si.bat, , [43a79be094e745f128950cb7659e8b75], 
Trojan.StartPage.ooo, C:\Program Files\hude\ne\omg.txt, , [43a79be094e745f128950cb7659e8b75], 
PUP.Optional.PCPerformer.A, C:\Windows\System32\roboot.exe, , [e00af784d6a55dd944ac63807e85d12f], 
PUP.Optional.CinemaLoad.A, C:\Users\?*?????°\AppData\Local\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0\manifest.json, , [12d81a616e0d290d8b87514f17eb9e62], 
PUP.Optional.CinemaLoad.A, C:\Users\?*?????°\AppData\Local\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0\images\icon-128.png, , [12d81a616e0d290d8b87514f17eb9e62], 
PUP.Optional.CinemaLoad.A, C:\Users\?*?????°\AppData\Local\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0\images\icon-16.png, , [12d81a616e0d290d8b87514f17eb9e62], 
PUP.Optional.CinemaLoad.A, C:\Users\?*?????°\AppData\Local\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0\images\icon-48.png, , [12d81a616e0d290d8b87514f17eb9e62], 
PUP.Optional.CinemaLoad.A, C:\Users\?*?????°\AppData\Local\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0\js\background.js, , [12d81a616e0d290d8b87514f17eb9e62], 
PUP.Optional.CinemaLoad.A, C:\Users\?*?????°\AppData\Local\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0\js\config.js, , [12d81a616e0d290d8b87514f17eb9e62], 
PUP.Optional.CinemaLoad.A, C:\Users\?*?????°\AppData\Local\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0\js\content.js, , [12d81a616e0d290d8b87514f17eb9e62], 
PUP.Optional.CinemaLoad.A, C:\Users\?*?????°\AppData\Local\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0\js\library.js, , [12d81a616e0d290d8b87514f17eb9e62], 
PUP.Optional.CinemaLoad.A, C:\Users\?*?????°\AppData\Local\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb\3.3.0.0_0\js\utils.js, , [12d81a616e0d290d8b87514f17eb9e62],

+

Откройте AVZ - сервис - поиск данных в реестре. В поле "образец" впишите webalta, нажмите "пуск" после окончания сохраните протокол и выложите сюда.

[rumpa]

Не могу найти в программе MBAM куда поместить донный код для карантина.

[mike 1]

Не могу найти в программе MBAM куда поместить донный код для карантина.

Его помещать ни куда не надо. Повторите сканирование в MBAM и выберите по окончанию проверки для вышеперечисленных объектов действие "Карантин/Quarantine". Для оставшиеся объектов выберите действие "Ignore/Игнорировать".

[rumpa]

Понятно. Выполняю. Спасибо.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 5
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\windows\system32\drivers\{a3f28269-ad17-41a8-b032-3e0313ef8979}gw.sys - not-a-virus:AdWare.Win64.Yotoon.a
  2. c:\windows\system32\drivers\{a3f28269-ad17-41a8-b032-3e0313ef8979}w.sys - not-a-virus:AdWare.Win64.Yotoon.a