Google Chrome запускает exe.emorhc.bat, неизвестные стартовые страницы [Trojan-Clicker.BAT.Agent.az ]

[Jack123]

Здравствуйте.
На одном сайте скачал обновление для гаджета note, не проверил его и попался на вирус.
Теперь Chrome и еще пару ярлыков на рабочем столе в поле объект имеют следующие адреса: C:\Users\westky\AppData\Roaming\Browsers\exe.emorh c.bat "http://2knl.org/?src=hp4&subid1=feb"
"C:\Users\westky\AppData\Roaming\Browsers\exe.rehc nual ateb enotshtraeh.bat" "http://2knl.org/?src=hp4&subid1=feb"
C:\Users\westky\AppData\Roaming\Browsers\exe.rehcn ualls.bat "http://2knl.org/?src=hp4&subid1=feb"
При запуске Chrome вместо старых закладок загружаются новые страницы рекламного содержания.
Буду признателен за помощь. Спасибо

[Info_bot]

Уважаемый(ая) Jack123, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Jack123]

Вчера не обратил внимания, а сейчас заметил, что теперь не работает PostgresSQL. Не запускается вручную и его теперь нет даже в списке служб. Нашел как минимум один новый процесс node-webkit.exe. Судя по всему он появился вместе с запуском вирусного приложения. Возможно есть еще.
Кстати вот ссылка откуда и скачал вирусный гаджет
[удалено]

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Program Files (x86)\Samsung Magician\FreeDos\command.com','');
 QuarantineFile('c:\users\westky\appdata\roaming\k7uninstall\k7inetchk.dll','');
 QuarantineFile('C:\Users\westky\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\SystemAutorun.exe','');
 QuarantineFile('C:\Users\westky\AppData\Roaming\GemWare\DeleteWebkitCookie.exe','');
 QuarantineFile('C:\Users\westky\AppData\Roaming\Browsers\exe.erolpxei.bat','');
 QuarantineFile('C:\Users\westky\AppData\Roaming\Browsers\exe.emorhc.bat','');
 QuarantineFile('c:\program files (x86)\k7 computing\k7tsecurity\k7tsmngr.exe','');
 TerminateProcessByName('c:\users\westky\appdata\roaming\gemware\node-webkit.exe');
 QuarantineFile('c:\users\westky\appdata\roaming\gemware\node-webkit.exe','');
 DeleteFile('c:\users\westky\appdata\roaming\gemware\node-webkit.exe','32');
 DeleteFile('C:\Users\westky\AppData\Roaming\Browsers\exe.emorhc.bat','32');
 DeleteFile('C:\Users\westky\AppData\Roaming\Browsers\exe.erolpxei.bat','32');
 DeleteFile('C:\Users\westky\AppData\Roaming\GemWare\DeleteWebkitCookie.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','node-webkit');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','DeleteWebkitCookie');
 DeleteFile('C:\Users\westky\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\SystemAutorun.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Сделайте новые логи по правилам



Сделайте лог Check Browsers' LNK

[Jack123]

Карантин отправил. Высылаю необходимые логи.
postgreSQL пока что так и не заработал.
По поводу файлов в карантине: K7uninstal - это не вирус. После того как я подхватил вирус я установил антивирусник К7 чтобы просканировать систему. А затем хотел его удалить, но так и не нашел uninstall в папке с программой. В итоге удалил его через панель управления.

[thyrex]

Скачайте ClearLNK и сохраните архив с утилитой на Рабочем столе.

• Распакуйте архив с утилитой в отдельную папку.
• Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке
  
  
  
• Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
• Прикрепите этот отчет к своему следующему сообщению.

[Jack123]

Отчет сделал, но он пустой. После первого вашего скрипта я удалил зараженный ярлык хрома и создал новый.

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
  
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Jack123]

Высылаю необходимые отчеты. С браузером все в порядке. Но postgreSQL не работает. В службах windows его нет. Пробовал запустить через pgAdmin, выдает следующую ошибку:
Server doesn't listen
The server doesn't accept connections: the connection library reports
could not connect to server: Connection refused (0x0000274D/10061) Is the server running on host "127.0.0.1" and accepting TCP/IP connections on port 5432?
Для меня очень критично отсутствие сервера, т.к. я уже 2ой день не могу работать без него. Есть ли мне смысл сейчас самому пробовать его переустановить ? Ведь причину проблемы так и не удалось устранить, и после переустановки возможно будет то же самое. Одно я знаю точно, что сервер отказал в момент, когда я запустил вирусный файл.

[thyrex]

С postgreSQL точно не к нам

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:

CreateRestorePoint:
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Logitech SetPoint.lnk
ShortcutTarget: Logitech SetPoint.lnk -> C:\Program Files\Logitech\SetPoint\SetPoint.exe (No File)
2015-04-09 22:31 - 2015-04-09 22:31 - 00000000 ____D () C:\Users\westky\AppData\Roaming\Tor Project
2015-04-09 22:09 - 2015-04-10 22:22 - 00000000 ____D () C:\Users\westky\AppData\Roaming\Browsers
2015-04-09 22:09 - 2015-04-10 22:08 - 00000000 ____D () C:\Users\westky\AppData\Roaming\GemWare
2015-04-09 22:09 - 2015-04-10 00:10 - 00000000 ____D () C:\Users\westky\AppData\Roaming\Microsoft Update
2015-04-09 22:09 - 2015-04-09 22:31 - 00000000 ____D () C:\Users\westky\AppData\Roaming\LiteDB
2015-04-09 22:09 - 2015-04-09 22:09 - 00001462 ___RS () C:\Users\westky\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnet Ехрlorer.lnk
2015-04-09 22:09 - 2015-04-09 22:09 - 00001458 ___RS () C:\Users\westky\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnеt Ехplоrеr (64-bit).lnk
2015-04-09 22:09 - 2015-04-09 22:09 - 00000000 ____D () C:\Users\westky\AppData\Roaming\CryptoDB
2015-04-06 22:03 - 2015-04-06 22:03 - 00000000 ____H () C:\Windows\system32\Drivers\Msft_Kernel_LUsbFilt_01005.Wdf
2015-04-06 22:03 - 2015-04-06 22:03 - 00000000 ____H () C:\Windows\system32\Drivers\Msft_Kernel_LMouFilt_01005.Wdf
2015-03-29 01:54 - 2015-03-29 01:54 - 0004968 _____ () C:\ProgramData\lrbivjdu.eai
Reboot:

• Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[Jack123]

С базой данных пришлось повозиться, но удалось переустановить. Теперь все работает исправно. Так же вирус повредил Windows Installer. Вроде починил с помощью гугла. По ходу завершил некоторые процессы и удалил их, т.к. время их создания примерно совпадало в временем попадания вируса в систему :

C:\Users\westky\AppData\Roaming\Tor Project (Security Task Manager определил его как потенциально опасный процесс)
C:\Users\westky\AppData\Roaming\LiteDB
C:\Users\westky\AppData\Roaming\CryptoDB

[thyrex]

Что с проблемой?

[Jack123]

Все работает. Большое спасибо

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 7
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\users\westky\appdata\roaming\browsers\exe.emorh c.bat - Trojan-Clicker.BAT.Agent.az
  2. c:\users\westky\appdata\roaming\browsers\exe.erolp xei.bat - Trojan-Clicker.BAT.Agent.az