В браузере сами открываются сайты и появилась реклама, помогите пожалуйста [Trojan.MSIL.Agent.aaice ]

[ruskos]

1. В браузере появилась реклама на сайтах, на которых её не было. 2. Самое главное и невыносимое - при кликах на сайтах по ссылкам открываются сами разные сайты в новых вкладках, особенно открываются левые сайты клоны сервиса “vk.com”, в которых написано, что мой аккаунт в контакте заблокирован и из которых не можешь выйти, потому что крестик не нажимается, и покинуть страницу не помогает. А если на каком-нибудь сайте (на вашем в том числе) правой кнопкой мыши нажмешь по ссылке, то всегда открываются такие сайты в новой вкладке сами. 3.Также в гугл хром теперь не открывается полная версия почты, только легкая. Иногда бывает что сайты вообще не грузятся, раньше такого естественно не было. Пользуюсь гугл хромом, проверил сейчас мозилу там тоже самое, проверил IE там такого нет, все нормально вроде, там еще вот такое сообщение появляется: «Браузером internet explorer эта страница изменена для предотвращения запуска скриптов между сайтами.» 4.Также во всех бразуерах стала стартовая страница 2inf.net и в IE тоже. При включении компьютера гугл хром сам открывается с этим сайтом 2inf. Помогите пожалуйста, очень прошу вас. Если где-то забыл сделать какую-то проверку запуском от администратора извините.

[Info_bot]

Уважаемый(ая) ruskos, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[ruskos]

Так как мое сообщение ушло очень на далекую страницу, обновляю его на всякий случай еще раз, очень жду вашу помощь, спасибо.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 QuarantineFile('C:\Users\User\appdata\local\microsoft\internet explorer\extensions\apihelper.dll','');
 QuarantineFile('C:\Windows\system32\wlanmgr.dll','');
 QuarantineFile('C:\Windows\system32\server.dll','');
 QuarantineFile('C:\Windows\system32\ir16_32.dll','');
 QuarantineFile('C:\Windows\system32\d3dadapter.dll','');
 QuarantineFile('C:\Users\User\AppData\Local\SystemDir\nethost.exe','');
 QuarantineFile('C:\ProgramData\Microsoft\Network\Downloader\downloader.exe','');
 QuarantineFile('C:\ProgramData\Kbupdater Utility\kbupdater-utility.exe','');
 DelBHO('{0CB66BA8-5E1F-4963-93D1-E1D6B78FE9A2}');
 QuarantineFile('C:\Users\User\AppData\Local\Microsoft\Internet Explorer\Extensions\APIHelper.dll','');
 QuarantineFile('C:\Users\User\AppData\Local\Kometa\Application\kometa.exe','');
 QuarantineFile('C:\Users\User\AppData\Local\Amigo\Application\amigo.exe','');
 TerminateProcessByName('c:\users\user\appdata\local\microsoft\windows\toolbar.exe');
 QuarantineFile('c:\users\user\appdata\local\microsoft\windows\toolbar.exe','');
 DeleteFile('c:\users\user\appdata\local\microsoft\windows\toolbar.exe','32');
 DeleteFile('C:\Program Files (x86)\Mobogenie\DaemonProcess.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\mobilegeni daemon','command');
 DeleteFile('C:\Users\User\AppData\Local\Amigo\Application\amigo.exe','32');
 DeleteFile('C:\Users\User\AppData\Local\Kometa\Application\kometa.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','SystemScript');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\KometaAutoLaunch_6632489EDE512831E64C7AB45B89EBC1','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\amigo','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\AceStream','command');
 DeleteFile('C:\Users\User\AppData\Local\Microsoft\Internet Explorer\Extensions\APIHelper.dll','32');
 DeleteFile('C:\ProgramData\Kbupdater Utility\kbupdater-utility.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\Kbupdater Utility','64');
 DeleteFile('C:\Windows\system32\Tasks\nethost task','64');
 DeleteFile('C:\Windows\system32\Tasks\SystemScript','64');
 DeleteFile('C:\Users\User\AppData\Local\SystemDir\nethost.exe','32');
 DeleteFile('C:\Windows\system32\d3dadapter.dll','32');
 DeleteFile('C:\Windows\system32\ir16_32.dll','32');
 DeleteFile('C:\Windows\system32\wlanmgr.dll','32');
 DeleteFile('C:\Users\User\appdata\local\microsoft\internet explorer\extensions\apihelper.dll','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;	
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте лог полного сканирования МВАМ
Сделайте логи RSIT
Сделайте лог CheckBrowserLnk

[ruskos]

карантин отправил, новые логи сделал, сейчас остальное буду делать, большое спасибо.

- - - - -Добавлено - - - - -

очень долго сканирует MBAM, уже 2 часа, думаю скоро закончит, надеюсь сегодня получится устранить мою проблему.

- - - - -Добавлено - - - - -

пока mbam до сих пор идет сканирование я могу сделать логи RSIT или CheckBrowserLnk?

[thyrex]

пока mbam до сих пор идет сканирование я могу сделать логи RSIT или CheckBrowserLnk?

Можете

[ruskos]

mbam наконец закончил, 800 тысяч файлов было по-моему просканировано, поэтому может так долго( 23 красных было найдено вируса и 1 желтый по-моему, и остальные логи все тоже сделал, жду, очень надеюсь на вашу помощь.

- - - - -Добавлено - - - - -

я уже дождался и потом остальное все сделал

- - - - -Добавлено - - - - -

никакие вирусы и ничего вообще сам не удалял после того как к вам обратился, как и написано у вас: Уведомление
Самостоятельно без рекомендации Консультанта ничего не удаляйте!

[thyrex]

C:\Users\User\AppData\Local\Microsoft\Internet Explorer\Extensions\APIHelper_64.dll
C:\Users\User\AppData\Roaming\Installer\toolbar1_2 .exe
C:\Windows\SysWOW64\java.dll
C:\Windows\SysWOW64\hook.dll

заархивируйте с паролем virus и пришлите по красной ссылке Прислать запрошенный карантин вверху темы

Пофиксите в HiJack

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://2inf.net/?utm_source=startpage12
O2 - BHO: ie2.BHO - {40aef60b-a6f8-4389-9003-a683dd75b850} - mscoree.dll (file missing)
O2 - BHO: (no name) - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - (no file)
O4 - HKCU\..\Run: [yrbtrsnxny] cmd /c start http://simsimotkroysia.ru/

Поисковый плагин GoSearch удалите в Firefox

Поместите в карантин МВАМ всё, кроме

Malware.Packer.T, C:\Users\Default\AppData\Roaming\RegFix.exe, , [df7248af0782ce6862d03ef6fb0a8d73],

Удалите вручную

C:\ProgramData\Kbupdater Utility
C:\Program Files (x86)\Kinoroom Browser
C:\Windows\{AACE8122-B27D-421C-A5BB-95060941AFD7}.sys
C:\Program Files\{AACE8122-B27D-421C-A5BB-95060941AFD7}.sys
C:\Users\User\AppData\Roaming\.ACEStream
C:\Users\User\AppData\Roaming\ACEStream
C:\found.000

[ruskos]

нужно все делать по тому порядку по которому вы написали? и вот еще какой вопрос, простите что немного чайник: заархивировать надо в программе авз, там где раздел: "просмотр карантина" или самому через мой компьютер зайти по этим путям и в винрар заархивировать или как надо?

[thyrex]

самому через мой компьютер зайти по этим путям и в винрар заархивировать

Именно так

Выполнять написанное выше можно в произвольном порядке, за исключением самого первого

[ruskos]

не могу найти C:\ProgramData\Kbupdater Utility
C:\Users\User\AppData\Roaming\.ACEStream
C:\Users\User\AppData\Roaming\ACEStream
C:\found.000

вот мой весь диск C и там такого нет
movavi files
program files
program files x86
rsit
windows
пользователи
bootsqm.dat
и все. последний не вирус случайно?

также поисковый плагин gosearch почему-то в плагинах его тоже нету

- - - - -Добавлено - - - - -

все остальное оказывается было скрыто, открыл только что

- - - - -Добавлено - - - - -

архивы скинул, посмотрите пожалуйста правильно все?

- - - - -Добавлено - - - - -

вот этого нету у меня все равно:
C:\found.000

и плагин gosearch нету в разделе плагины в мозиле, хотя он есть да

[thyrex]

вот этого нету у меня все равно:
C:\found.000

Она тоже скрытая системная

Что с проблемой?

[ruskos]

1. вот скрин, открыл скрытые файлы и папки, этого found.000 нету, что делать?.
2. еще все не доделал, так как сканирование mbam очень долгое же и не удалил я еще те вирусы которые вы сказали. скажите пожалуйста, сейчас в mbam я выбрал только disc С, правильно? или диск D тоже надо было?
3. полазил по хрому, вроде все нормально пока, плюс яндекс открылась полная версия почты, за это вообще браво (аплодисменты)
4. то что я вам заархивировал 4 файла и отправил с паролем вирус, мне те файлы удалять ничего не надо? я сделал архивы только, те файлы остались, я их не трогал.

[thyrex]

то что я вам заархивировал 4 файла и отправил с паролем вирус, мне те файлы удалять ничего не надо?

С ними разберетесь, когда выполните карантин в МВАМ (можно сканировать только диск С)

[ruskos]

и вот плагина gosearсh в плагинах тоже нету. но gosearch уже в поиске нету, я его нигде не вижу больше.

[thyrex]

вот скрин, открыл скрытые файлы и папки, этого found.000 нету

Включите показ защищенных системных файлов

[ruskos]

Включил показ защищенных системных файлов и всего что только можно, посмотрите пожалуйста скрин

- - - - -Добавлено - - - - -

Извините, если задаю лишние вопросы. Вот этот амиго на скрине удалять или че-нибудь с ним делать не надо случайно? Помню просто, что он тоже сам появился в свое время, я его не скачивал.

- - - - -Добавлено - - - - -

C:\found.000 нашел, это оказывается была папка, а я даже и не думал, что папка это может будет, и искал внизу среди файлов, извините) MBAM выполнил, закончил, кинул все в карантин, кроме той одной которую вы указали: Malware.Packer.T, C:\Users\Default\AppData\Roaming\RegFix.exe, ее я выбрал "add exclusion" переводится как добавить исключение как я понял, правильно же выбрал? спасибо большое, жду.

- - - - -Добавлено - - - - -

Я смотрю всем еще утром ответили, может меня не увидели наши админы добрые) пишу, чтобы обновить тему)

- - - - -Добавлено - - - - -

Если я что-то непонятно написал, пишу еще раз, я все выполнил вчера, теперь жду ответа)

- - - - -Добавлено - - - - -

Меня почему-то забыли сегодня весь день с утра пишу, смотрю thyrex также с утра весь день всем отвечает, а мои сообщения наверное не видит

[thyrex]

Папку Amigo можно удалить

[ruskos]

сделано, удалил. а что насчет остального? я вчера еще это все сделал:
C:\Users\User\AppData\Local\Microsoft\Internet Explorer\Extensions\APIHelper_64.dll
C:\Users\User\AppData\Roaming\Installer\toolbar1_2 .exe
C:\Windows\SysWOW64\java.dll
C:\Windows\SysWOW64\hook.dll
заархивируйте с паролем virus и пришлите по красной ссылке Прислать запрошенный карантин вверху темы

Пофиксите в HiJack
Код:
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://2inf.net/?utm_source=startpage12
O2 - BHO: ie2.BHO - {40aef60b-a6f8-4389-9003-a683dd75b850} - mscoree.dll (file missing)
O2 - BHO: (no name) - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - (no file)
O4 - HKCU\..\Run: [yrbtrsnxny] cmd /c start http://simsimotkroysia.ru/
Поисковый плагин GoSearch удалите в Firefox

Поместите в карантин МВАМ всё, кроме
Код:
Malware.Packer.T, C:\Users\Default\AppData\Roaming\RegFix.exe, , [df7248af0782ce6862d03ef6fb0a8d73],
Удалите вручную
C:\ProgramData\Kbupdater Utility
C:\Program Files (x86)\Kinoroom Browser
C:\Windows\{AACE8122-B27D-421C-A5BB-95060941AFD7}.sys
C:\Program Files\{AACE8122-B27D-421C-A5BB-95060941AFD7}.sys
C:\Users\User\AppData\Roaming\.ACEStream
C:\Users\User\AppData\Roaming\ACEStream
C:\found.000

[thyrex]

Что с проблемой?