Не могу удалить smartinf.ru

[vaz101]

Здравствуйте!
После загрузки как оказалось вредоносного По имею проблему.
При каждой новой загрузке Mozilla FierFox получаю всегда домашнюю страницу(в настройках) [удалено] ,которая перенаправляет на [удалено].
Лечащие утилиты Касперского и Кьюрит не помогли.Поиск в реестре и удаление всего что совпадает с - manlucky.ru,smartinf.ru не помогает.
HijackThis.exe - не помогает
Вероятно имеет место быть вирус,найти который не хватает знаний.
Надеюсь на помощь.
С уважением.Валера

[Info_bot]

Уважаемый(ая) vaz101, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Documents and Settings\All Users\Application Data\KRB Updater Utility\krbupdater-utility.exe','');
 QuarantineFile('C:\Program Files\Microsoft Data\InstallAddons.exe','');
 DeleteFile('C:\Program Files\Microsoft Data\InstallAddons.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','chrome5');
 DeleteFile('C:\Documents and Settings\All Users\Application Data\KRB Updater Utility\krbupdater-utility.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','KRB Updater Utility');
 DeleteFile('C:\WINDOWS\Tasks\7d30aeb8-34f8-4327-977b-be54b95c7660.job','32');
 DeleteFile('C:\WINDOWS\Tasks\d8ef1277-f32d-4041-9028-73bceaea7459-11.job','32');
 DeleteFile('C:\WINDOWS\Tasks\d8ef1277-f32d-4041-9028-73bceaea7459-3.job','32');
 DeleteFile('C:\WINDOWS\Tasks\d8ef1277-f32d-4041-9028-73bceaea7459-6.job','32');
 DeleteFile('C:\WINDOWS\Tasks\d8ef1277-f32d-4041-9028-73bceaea7459-7.job','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Обновите базы AVZ

Сделайте новые логи по правилам



Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
  
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[vaz101]

Все сделал.

[thyrex]

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  GroupPolicy: Group Policy on Chrome detected <======= ATTENTION
  CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
  CHR HKU\S-1-5-21-2303263743-4158633286-3886901350-3026\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
  HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION
  ProxyEnable: [.DEFAULT] => Internet Explorer proxy is enabled.
  ProxyServer: [.DEFAULT] => ftp=proxy.local:3129;gopher=proxy.local:36792;http=proxy.local:3128;https=proxy.local:3128;socks=proxy.local:3128
  ProxyEnable: [S-1-5-21-2303263743-4158633286-3886901350-3026] => Internet Explorer proxy is enabled.
  ProxyServer: [S-1-5-21-2303263743-4158633286-3886901350-3026] => ftp=proxy.local:3129;http=proxy.local:3128;https=proxy.local:3128;socks=proxy.local:3128
  HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.mystartsearch.com/web/?type=ds&ts=1414561604&from=smt&uid=ST380817AS_3MR03MGYXXXX3MR03MGY&q={searchTerms}
  HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.mystartsearch.com/web/?type=ds&ts=1414561604&from=smt&uid=ST380817AS_3MR03MGYXXXX3MR03MGY&q={searchTerms}
  HKU\S-1-5-21-2303263743-4158633286-3886901350-3026\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.mystartsearch.com/web/?type=ds&ts=1414561604&from=smt&uid=ST380817AS_3MR03MGYXXXX3MR03MGY&q={searchTerms}
  HKU\S-1-5-21-2303263743-4158633286-3886901350-3026\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
  HKU\S-1-5-21-2303263743-4158633286-3886901350-3026\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.mystartsearch.com/web/?type=ds&ts=1414561604&from=smt&uid=ST380817AS_3MR03MGYXXXX3MR03MGY&q={searchTerms}
  SearchScopes: HKU\S-1-5-21-2303263743-4158633286-3886901350-3026 -> {61EB20A4-D4D5-4276-A2C9-DCCE8CE9F633} URL = http://webalta.ru/search?q={searchTerms}&from=IE
  BHO: Conduit Engine  -> {30F9B915-B755-4826-820B-08FBA6BD249D} -> C:\Program Files\ConduitEngine\prxConduitEngine.dll [2011-01-17] (Conduit Ltd.)
  BHO: No Name -> {3593C8B9-8E18-4B4B-B7D3-CB8BEB1AA42C} ->  No File
  BHO: No Name -> {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} ->  No File
  BHO: No Name -> {DBC80044-A445-435b-BC74-9C25C1C588A9} ->  No File
  Toolbar: HKLM - No Name - {7bcc228a-c730-4004-93f9-72cbb7033a62} -  No File
  Toolbar: HKU\.DEFAULT -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
  Toolbar: HKU\.DEFAULT -> No Name - {51A86BB3-6602-4C85-92A5-130EE4864F13} -  No File
  Toolbar: HKU\.DEFAULT -> No Name - {FFA0793E-3980-4BE4-8234-048FA665F700} -  No File
  Toolbar: HKU\.DEFAULT -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
  Toolbar: HKU\S-1-5-21-2303263743-4158633286-3886901350-3026 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
  Toolbar: HKU\S-1-5-21-2303263743-4158633286-3886901350-3026 -> No Name - {468CD8A9-7C25-45FA-969E-3D925C689DC4} -  No File
  Toolbar: HKU\S-1-5-21-2303263743-4158633286-3886901350-3026 -> No Name - {00000000-0000-0000-0000-000000000000} -  No File
  ShellExecuteHooks:  - {16664848-0E00-11D2-8059-000000000000} -  No File [ ]
  StartMenuInternet: IEXPLORE.EXE - C:\Program Files\Internet Explorer\iexplore.exe http://www.mystartsearch.com/?type=sc&ts=1414561604&from=smt&uid=ST380817AS_3MR03MGYXXXX3MR03MGY
  FF Extension: NetFilterPRO - C:\Documents and Settings\vis\Application Data\Mozilla\Firefox\Profiles\yfiz4ofx.default\Extensions\[email protected] [2015-03-07]
  FF Extension: SmartSaver+ 15 - C:\Documents and Settings\vis\Application Data\Mozilla\Firefox\Profiles\yfiz4ofx.default\Extensions\[email protected] [2015-03-08]
  CHR Extension: (NetFilterPRO) - C:\Documents and Settings\vis\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\agfjdflmdlnffhlfmjdpbcoccaeamikk [2015-03-07]
  CHR Extension: (Save Sense (Edge)) - C:\Documents and Settings\vis\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\mlfekbihalclhgcbbdggcnjagkgflgkd [2014-12-26]
  CHR HKLM\...\Chrome\Extension: [gdknicmnhbaajdglbinpahhapghpakch] - https://clients2.google.com/service/update2/crx
  CHR HKLM\...\Chrome\Extension: [jedelkhanefmcnpappfhachbpnlhomai] - https://clients2.google.com/service/update2/crx
  CHR HKLM\...\Chrome\Extension: [mlfekbihalclhgcbbdggcnjagkgflgkd] - No Path Or update_url value
  CHR HKLM\...\Chrome\Extension: [pganlglbhgfjfgopijbhemcpbehjnpia] - https://clients2.google.com/service/update2/crx
  2015-03-07 16:04 - 2015-03-07 16:05 - 00000000 ____D () C:\Documents and Settings\vis\Local Settings\Application Data\Amigo
  2015-03-07 16:04 - 2015-03-07 16:04 - 00000000 ____D () C:\Documents and Settings\vis\Local Settings\Application Data\SystemDir
  2015-03-07 15:10 - 2014-12-26 09:58 - 01544680 _____ (smart-saverplus) C:\Documents and Settings\vis\Application Data\GSKYEX.exe
  2015-03-07 15:10 - 2014-12-26 09:54 - 01865192 _____ (smart-saverplus) C:\Documents and Settings\vis\Application Data\UVOMIRD.exe
  2015-03-07 15:10 - 2014-12-11 12:56 - 01879008 _____ (smart-saverplus) C:\Documents and Settings\vis\Application Data\IZDA.exe
  2015-03-07 15:10 - 2014-11-06 12:54 - 01535392 _____ (smart-saverplus) C:\Documents and Settings\vis\Application Data\MCTX.exe
  2015-03-07 15:10 - 2014-11-06 12:49 - 02021280 _____ (smart-saverplus) C:\Documents and Settings\vis\Application Data\JXEUCF.exe
  2015-03-07 15:10 - 2014-09-01 11:18 - 00002086 _____ () C:\Documents and Settings\vis\Application Data\MCTX
  2015-03-07 15:10 - 2014-09-01 11:18 - 00001248 _____ () C:\Documents and Settings\vis\Application Data\JXEUCF
  2015-03-07 09:01 - 2015-03-07 09:01 - 00000001 _____ () C:\Documents and Settings\vis\Application Data\smw_inst
  2015-03-07 09:00 - 2015-03-07 16:04 - 00000000 ____D () C:\Program Files\Microsoft Data
  2015-03-07 18:23 - 2007-05-21 14:16 - 00000008 __RSH () C:\Documents and Settings\vis\ntuser.pol
  2015-03-07 16:06 - 2014-01-20 10:07 - 00000000 ____D () C:\Documents and Settings\vis\Local Settings\Application Data\genienext
  2015-03-07 14:42 - 2014-01-20 10:06 - 00000000 ____D () C:\Documents and Settings\vis\Local Settings\Application Data\SaveSense
  2015-03-07 13:44 - 2014-10-29 08:47 - 00000000 ____D () C:\Documents and Settings\All Users\Application Data\WindowsMangerProtect
  2015-03-07 09:58 - 2007-05-21 14:16 - 00001164 __RSH () C:\Documents and Settings\All Users\ntuser.pol
  C:\Documents and Settings\vis\Local Settings\Temp\8jYZDUGUj7km.exe
  C:\Documents and Settings\vis\Local Settings\Temp\dlTtcRqPe9fo.exe
  C:\Documents and Settings\vis\Local Settings\Temp\dnqcE5yabaUU.exe
  C:\Documents and Settings\vis\Local Settings\Temp\ehiFGHDTBAzW.exe
  C:\Documents and Settings\vis\Local Settings\Temp\FQ1hams11Fzw.exe
  C:\Documents and Settings\vis\Local Settings\Temp\I3LOtTU8dlNZ.exe
  C:\Documents and Settings\vis\Local Settings\Temp\IlP2u7JhkNZD.exe
  C:\Documents and Settings\vis\Local Settings\Temp\L0h7MXkobb3N.exe
  C:\Documents and Settings\vis\Local Settings\Temp\LHb2jjiV4xZi.exe
  C:\Documents and Settings\vis\Local Settings\Temp\LWtAP4ylqoaO.exe
  C:\Documents and Settings\vis\Local Settings\Temp\Pvla5LbNIjt6.exe
  C:\Documents and Settings\vis\Local Settings\Temp\UPnWNMA8fAfo.exe
  C:\Documents and Settings\vis\Local Settings\Temp\VSdK2HPi8WZa.exe
  C:\Documents and Settings\vis\Local Settings\Temp\yxns6lstp9Sa.exe
  Task: C:\WINDOWS\Tasks\globalUpdateUpdateTaskMachineCore1cff9a8d17fa37e.job => C:\Program Files\globalUpdate\Update\GoogleUpdate.exe <==== ATTENTION
  Task: C:\WINDOWS\Tasks\globalUpdateUpdateTaskMachineCore1d01528c660abe6.job => C:\Program Files\globalUpdate\Update\GoogleUpdate.exe <==== ATTENTION
  Reboot:

• Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[vaz101]

Сделал все действия.Компьютер перезагрузился.После перезагрузки пропала сеть.В диспетчере устройств сетевые карты есть.Отключаются ,подключаются ,драйвер работает нормально и.т.д.А в папке "сетевые подключения" пусто!!.Попытка восстановится с последней точки восстановления(создана FRST) не помогла.Как быть?Естественно подключение к сети невозможно.
Загрузился со второго винта,где была установлена вторая ОС.И пишу соответственно оттуда.
Как восстановить сетевые подключения?

[thyrex]

Выполните скрипт в AVZ

begin
ExecuteRepair(15); 
RebootWindows(false);
end.

Компьютер перезагрузится.

А сейчас?

[vaz101]

Компьютер перезагрузится.
А сейчас?

Нет,и теперь не помогло.Папка "сетевые подключения" пустая..
Откатился до точки восстановления вчерашнего дня,перед началом всех манипуляций.Сетевые подключения восстановились.Снес полностью Mozilla (ну насколько знания позволяли) и Chrome.
Установил заново Mozilla .Стало лучше ,но не до конца.При загрузке личного профиля ,почти в конце всплывало типа окна скрипта в котором или "utm content" или "utm.exe" "не является внутренней или внешней командой".
Далее Mozilla сама автозапускалась на страницу http://smartinf.ru. Если Mozilla закрыть и открыть то все нормально работает. И Mozilla всегда ходит на ту страницу,что указана домашней.
Далее была пофиксена в HijackThis строка,по которой видимо FireFox автозапускался с manlucky.ru
Теперь все работает нормально.Mozilla сама не запускается.Скриптового окна не видно.
Chrome тоже работает вроде нормально.
Только Internet Explorer стартует с manlucky.ru переходя на http://smartinf.ru.
Им пользуюсь редко.Но сделать хотелось бы.
Понимаю,что действия безграмотны и корявы...но так хоть как то работает.

[thyrex]

Сделайте логи RSIT
Сделайте лог Check Browsers' LNK

[vaz101]

Логи сделал
На данный момент все работает нормально,кроме FireFox.С каждой загрузкой компьютера в дополнениях Mozilla FireFox постоянно прописываются дополнения
Gismeteo 5.0.0.6
InFormEnter 0.76
SmarSaver+ 15 0.95.78
Удаление естественно не помогает

[thyrex]

• Скачайте ClearLNK и сохраните архив с утилитой на рабочем столе.
• Распакуйте архив с утилитой в отдельную папку.
• Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке
  
  
  
• Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
• Прикрепите этот отчет к своему следующему сообщению.

Пофиксите в HiJack

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.mystartsearch.com/web/?type=ds&ts=1414561604&from=smt&uid=ST380817AS_3MR03MGYXXXX3MR03MGY&q={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.mystartsearch.com/web/?type=ds&ts=1414561604&from=smt&uid=ST380817AS_3MR03MGYXXXX3MR03MGY&q={searchTerms}
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.mystartsearch.com/web/?type=ds&ts=1414561604&from=smt&uid=ST380817AS_3MR03MGYXXXX3MR03MGY&q={searchTerms}
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.mystartsearch.com/web/?type=ds&ts=1414561604&from=smt&uid=ST380817AS_3MR03MGYXXXX3MR03MGY&q={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search
O1 - Hosts: autohuita
O1 - Hosts: autohuita
O1 - Hosts: autohuita
O1 - Hosts: autohuita
O1 - Hosts: autohuita
O2 - BHO: (no name) - AutorunsDisabled - (no file)
O2 - BHO: Conduit Engine  - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Program Files\ConduitEngine\prxConduitEngine.dll
O2 - BHO: (no name) - {3593C8B9-8E18-4B4B-B7D3-CB8BEB1AA42C} - (no file)
O2 - BHO: (no name) - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - (no file)
O2 - BHO: (no name) - {DBC80044-A445-435b-BC74-9C25C1C588A9} - (no file)
O3 - Toolbar: Conduit Engine  - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Program Files\ConduitEngine\prxConduitEngine.dll
O3 - Toolbar: Поиск WebAlta - {fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} - mscoree.dll (file missing)
O3 - Toolbar: (no name) - {7bcc228a-c730-4004-93f9-72cbb7033a62} - (no file)

Удалите вручную

C:\Documents and Settings\vis\Application Data\JXEUCF.exe
C:\Documents and Settings\vis\Application Data\UVOMIRD.exe
C:\Documents and Settings\vis\Application Data\MCTX.exe
C:\Documents and Settings\vis\Application Data\IZDA.exe
C:\Documents and Settings\vis\Application Data\GSKYEX.exe
C:\Program Files\Kinoroom Browser
C:\Program Files\Microsoft Data

Внимание! Официальная поддержка (и выпуск обновлений) для Windows XP SP2 прекращена. А с 8 апреля 2014 года прекращена и поддержка Windows XP SP3

Установите хотя бы SP3 (может потребоваться активация) + все доступные обновления для Windows

Сделайте лог ComboFix

[vaz101]

Установите хотя бы SP3+ все доступные обновления для Windows

Машинка рабочая,много технологического софта,достаточно старого.Любое обновление не лицензионного ХР может затронуть или поломать чего нибудь.Что крайне не желательно.SP3 установил.
Сейчас все работает,жаловаться не на что!

[thyrex]

Скопируйте текст ниже в Блокнот и сохраните как файл с названием CFScript.txt в корень диска С

KillAll::

File::

Driver::

Folder::
C:\Documents and Settings\vis\Local Settings\Application Data\Amigo
C:\Documents and Settings\vis\Local Settings\Application Data\SystemDir

Registry::

FileLook::

DirLook::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

[vaz101]

Готово

[thyrex]

Проблема решена?

[vaz101]

Проблема решена?

Проблема решена.Спасибо!

[thyrex]

Удалите ComboFix

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 6
• В ходе лечения вредоносные программы в карантинах не обнаружены