Luckysearches.com Захватил браузеры. [not-a-virus:RiskTool.Win32.BitCoinMiner.xwp, not-a-virus:RiskTool.Win32.BitCoinMiner.uvp ]

[Эдик Рикошет]

Случайно запустил программу с вирусом. В итоге все настройки браузеров поменялись.. В плоть до оформления.
В "программах и компонентах" появилась программа которая не удаляется.
Прошу вас помочь мне с удалением этого вируса.
Заранее спасибо!

Безымянный.jpg

[Info_bot]

Уважаемый(ая) Эдик Рикошет, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mrak74]

Здравствуйте !!!

Пофиксите в HijackThis:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.luckysearches.com/?type=hp&ts=1427667287&from=adc&uid=WDCXWD10EZEX-00BN5A0_WD-WCC3FL3LH8T5LH8T5
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.luckysearches.com/?type=hp&ts=1427667287&from=adc&uid=WDCXWD10EZEX-00BN5A0_WD-WCC3FL3LH8T5LH8T5
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.luckysearches.com/?type=hp&ts=1427667287&from=adc&uid=WDCXWD10EZEX-00BN5A0_WD-WCC3FL3LH8T5LH8T5
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.luckysearches.com/web/?type=ds&ts=1427667287&from=adc&uid=WDCXWD10EZEX-00BN5A0_WD-WCC3FL3LH8T5LH8T5&q={searchTerms}
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.luckysearches.com/web/?type=ds&ts=1427667287&from=adc&uid=WDCXWD10EZEX-00BN5A0_WD-WCC3FL3LH8T5LH8T5&q={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.luckysearches.com/?type=hp&ts=1427667287&from=adc&uid=WDCXWD10EZEX-00BN5A0_WD-WCC3FL3LH8T5LH8T5
O2 - BHO: IETabPage Class - {3593C8B9-8E18-4B4B-B7D3-CB8BEB1AA42C} - C:\Program Files (x86)\XTab\SupTab.dll
O2 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)

Выполните скрипт в AVZ:

begin
 ExecuteAVUpdate;
SearchRootkit(true, true);
SetAVZGuardStatus(True);
  TerminateProcessByName('c:\users\hameron\appdata\roaming\ssleas.exe');
  TerminateProcessByName('c:\program files (x86)\xtab\protectservice.exe');
  TerminateProcessByName('c:\users\hameron\appdata\roaming\amd cdo driver center\atidimsvc.exe');
  QuarantineFile('C:\Users\HaMeRoN\AppData\Local\Mail.Ru\GameCenter\Chrome\3.2272.2050\libEGL.dll','');
  QuarantineFile('C:\Users\HaMeRoN\appdata\roaming\microsoft\network\nf3box.in.exe','');
  QuarantineFile('C:\Users\HaMeRoN\AppData\Roaming\luckysearches\UninstallManager.exe','');
  QuarantineFile('C:\Users\HaMeRoN\AppData\Roaming\Samsung\googleupd.exe','');
  QuarantineFile('C:\Program Files (x86)\XTab\SupTab.dll','');
  QuarantineFile('C:\Program Files (x86)\Aeria Games\Ignite\aeriaignite.exe','');
  QuarantineFile('c:\users\hameron\appdata\roaming\ssleas.exe','');
  QuarantineFile('c:\program files (x86)\xtab\protectservice.exe','');
  QuarantineFile('c:\users\hameron\appdata\roaming\amd cdo driver center\atidimsvc.exe','');
  DeleteFile('c:\users\hameron\appdata\roaming\amd cdo driver center\atidimsvc.exe','32');
  DeleteFile('c:\program files (x86)\xtab\protectservice.exe','32');
  DeleteFile('c:\users\hameron\appdata\roaming\ssleas.exe','32');
  DeleteFile('C:\Program Files (x86)\XTab\SupTab.dll','32');
  DeleteFile('C:\Users\HaMeRoN\AppData\Roaming\luckysearches\UninstallManager.exe','32');
  DeleteFile('C:\Windows\system32\Tasks\{F782E489-21E3-4E3B-8899-29763B660290}','64');
  DelBHO('{3593C8B9-8E18-4B4B-B7D3-CB8BEB1AA42C}');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteWizard('SCU',2,2,true);
RebootWindows(true);
end.

После перезагрузки выполните скрипт:

begin 
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы Прислать запрошенный карантин
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )

[Эдик Рикошет]

Логи и карантин прикрепил.

[mrak74]

отключите антивирусную программу

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
  TerminateProcessByName('c:\users\hameron\appdata\roaming\ssleas.exe');
  TerminateProcessByName('c:\users\hameron\appdata\roaming\cppredistx86.exe');
  QuarantineFile('C:\XSplit\3GB-aware\XSplit.Core.bak','');
  QuarantineFile('C:\Users\HaMeRoN\appdata\roaming\microsoft\network\nf3box.in.exe','');
  QuarantineFile('C:\Users\HaMeRoN\appdata\roaming\x11\a\engine.exe','');
  QuarantineFile('C:\Users\HaMeRoN\AppData\Roaming\Samsung\googleupd.exe','');
  QuarantineFile('C:\Users\HaMeRoN\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk','');
  QuarantineFile('C:\Users\HaMeRoN\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk','');
  QuarantineFile('c:\users\hameron\appdata\roaming\ssleas.exe','');
  QuarantineFile('c:\users\hameron\appdata\roaming\cppredistx86.exe','');
  DeleteFile('C:\Users\HaMeRoN\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk');
  DeleteFile('C:\Users\HaMeRoN\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk');
  DeleteFile('C:\Users\HaMeRoN\AppData\Roaming\Samsung\googleupd.exe','32');
  DeleteFile('C:\Windows\system32\Tasks\GoogleUpdateTaskUserS-1-5-21-1970835742GUI','64');
  DeleteFile('C:\Users\HaMeRoN\appdata\roaming\x11\a\engine.exe','32');
  DeleteFile('C:\Users\HaMeRoN\appdata\roaming\ssleas.exe','32');
  DeleteFile('C:\Users\HaMeRoN\appdata\roaming\microsoft\network\nf3box.in.exe','32');
  DeleteFile('C:\Users\HaMeRoN\appdata\roaming\cppredistx86.exe','32');
  RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Visual C++ 2010');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteWizard('SCU',2,2,true);
RebootWindows(true);
end.

После перезагрузки выполните скрипт:

begin 
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы Прислать запрошенный карантин
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )

+

1. Скачайте CheckBrowserLnk и сохраните архив с утилитой на Рабочем столе
2. Распакуйте архив с утилитой в отдельную папку
3. Запустите checkbrowserslnk.exe
   Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да
4. После окончания работы программы в папке Log будет сохранен отчет CheckBrowserLnk.log
5. Прикрепите этот отчет в вашей теме.

[Эдик Рикошет]

Сделал как сказано. Прикрепил файлы и добавил карантин.

[mrak74]

• Скачайте ClearLNK и сохраните архив с утилитой на рабочем столе.
• Распакуйте архив с утилитой в отдельную папку.
• Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке
  
  
  
• Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
• Прикрепите этот отчет к своему следующему сообщению.

[Эдик Рикошет]

Готово

[mrak74]

- Откройте файл ScanVuln.txt. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

Что с проблемой ?

[Эдик Рикошет]

Программа удалилась. Настройки браузера не меняются больше. Спасибо вам большое! А можно узнать что этот вирус сделал на моем компьютере?
Украл ли он мои куки или же данные?
И Большое спасибо за то что помогли мне разобраться с проблемой.

[mrak74]

У Вас было несколько различных вирусов. Bitcoin-miner - Троян, использующий вычислительные мощности ПК для генерации Bitcoin. Trojan-Clicker - Троянская программа, открывающая в браузере различные веб-страницы без ведома пользователя. Может использоваться для раскрутки сайтов, DOS-атак на какой нибудь сервер и т.п.

Сменить пароли на административные учетные записи на компьютере, электронной почте, на различных форумах лишним не будет.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 16
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\users\hameron\appdata\roaming\cppredistx86.exe - not-a-virus:RiskTool.Win32.BitCoinMiner.xwp ( AVAST4: Win32:Agent-ATWQ [Trj] )
  2. c:\users\hameron\appdata\roaming\microsoft\interne t explorer\quick launch\google chrome.lnk - HEUR:Trojan.WinLNK.StartPage.gena
  3. c:\users\hameron\appdata\roaming\microsoft\interne t explorer\quick launch\launch internet explorer browser.lnk - HEUR:Trojan.WinLNK.StartPage.gena
  4. c:\users\hameron\appdata\roaming\microsoft\network \nf3box.in.exe - Trojan-Clicker.MSIL.Agent.hh ( BitDefender: Gen:Variant.Kazy.260518 )
  5. c:\users\hameron\appdata\roaming\ssleas.exe - Trojan.Win32.Kesels.a
  6. c:\users\hameron\appdata\roaming\x11\a\engine.exe - not-a-virus:RiskTool.Win32.BitCoinMiner.uvp ( DrWEB: Tool.BtcMine.461 )