Подхватил заразу(

[133_Mhz]

Доброго времени суток! ноутом пользовался брат некоторое время, сегодня ему вдруг захотелось поставить так называемый "вечный ключ" на касперского, скачал какой-то файл, поставил и беда....как результат куча каких то левых приложений.. программ, стерта история в браузере, всплывают рекламы, ярлык на игрушку (фифа15) изменен, посмотрел путь к запуску...даже страшно запускать, все виснет, звук режет уши. Прошу помощи! логи прилагаю

[Info_bot]

Уважаемый(ая) 133_Mhz, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила оформления запроса о помощи.

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
 QuarantineFile('C:\Users\1\AppData\Local\Host installer\2484666114_monster.exe','');
 DeleteFile('C:\Users\1\AppData\Local\Host installer\2484666114_monster.exe','32');
 DeleteFile('C:\WINDOWS\system32\Tasks\Soft installer','64');
ExecuteSysClean;
ExecuteRepair(2);
RebootWindows(true);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

1. Скачайте Check Browsers' LNK и сохраните архив с утилитой на Рабочем столе
2. Распакуйте архив с утилитой в отдельную папку
3. Запустите Check Browsers LNK.exe
   Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да
4. После окончания работы программы в папке Log будет сохранен отчет Check_Browsers_LNK.log
5. Прикрепите этот отчет в вашей теме.

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[133_Mhz]

Благодарю за уделенное время! все выполнил по порядку, файл карантина выслал, прикладываю свежие логи.

[mike 1]

# AdwCleaner v3.211 - Отчёт создан 04/06/2014 at 16:04:24

Лог старый.

• Скачайте ClearLNK и сохраните архив с утилитой на рабочем столе.
• Распакуйте архив с утилитой в отдельную папку.
• Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке
  
  
  
• Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
• Прикрепите этот отчет к своему следующему сообщению.

[133_Mhz]

да верно, почему то файл автоматически сохранился под именем AdwCleaner[R2], прикладываю свежий лог

[mike 1]

Уведомление

Очистку нужно делать в безопасном режиме

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

[133_Mhz]

Выполнил, после перезагрузки ноут не распознает мою сеть, как по wi-fi так и через кабель (т.е. видит её, подключается, но интернет не работает "неопознанная сеть без доступа к интернету") сижу с другого, лог прилагаю

[mike 1]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[133_Mhz]

все сделал! К сожалению файл first.txt получился громоздким и превышал максимально допустимый размер по данному типу файлов на форуме, поэтому я его заархивировал

[mike 1]

Уведомление

Скрипт нужно выполнять в безопасном режиме

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  CloseProcesses:
  HKLM-x32\...\Run: [baidusdTray] => C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdTray.exe [3257240 2015-05-04] (百度在线网络技术（北京）有限公司)
  HKU\S-1-5-21-2134408433-2875175195-2714286718-1002\...\Run: [eTranslator Automatic Update] => "C:\Users\1\AppData\Roaming\eTranslator\eTranslator.exe" -checkforupdates
  GroupPolicy: Group Policy on Chrome detected <======= ATTENTION
  GroupPolicy-x32: Group Policy on Chrome detected <======= ATTENTION
  CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
  URLSearchHook: HKU\S-1-5-21-2134408433-2875175195-2714286718-1002 - (No Name) - {0633EE93-D776-472f-A0FF-E1416B8B2E3D} - No File
  FF Plugin-x32: @baidu.com/BaidusdDetectNPPlugin -> C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\explugin\npBaiduSDDetectPlug.dll [2014-11-06] (百度在线网络技术（北京）有限公司)
  FF Extension: Универсальный перевод для FireFox - C:\Users\1\AppData\Roaming\Mozilla\Firefox\Profiles\f6a9rdjz.default\Extensions\[email protected] [2015-05-04]
  CHR Extension: (Универсальный перевод для Chrome) - C:\Users\1\AppData\Local\Google\Chrome\User Data\Default\Extensions\ciagpekplgpbepdgggflgmahnjgiaced [2015-05-04]
  R2 BaiduHips; C:\Program Files (x86)\Common Files\Baidu\BaiduHips\1.2.0.751\BaiduHips.exe [64008 2014-09-18] (百度在线网络技术（北京）有限公司)
  R2 BDKVRTP; C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdSvc.exe [793096 2014-11-06] (百度在线网络技术（北京）有限公司)
  R1 bd0001; C:\Windows\System32\DRIVERS\bd0001.sys [202704 2015-05-04] (Baidu)
  R1 bd0002; C:\Windows\System32\DRIVERS\bd0002.sys [198600 2015-05-04] (Baidu)
  R1 bd0003; C:\Windows\System32\DRIVERS\bd0003.sys [67400 2014-11-06] (Baidu)
  R2 BDArKit; C:\Windows\System32\DRIVERS\BDArKit.sys [152392 2014-12-25] (Baidu Technology)
  S2 BDDefense; C:\WINDOWS\system32\drivers\BDDefense.sys [103752 2015-05-04] (Baidu)
  S1 BDMWrench_x64; C:\Windows\System32\DRIVERS\BDMWrench_x64.sys [56136 2014-11-06] (Baidu)
  S1 BdSandBox; system32\DRIVERS\BdSandBox.sys [X]
  2015-05-05 14:31 - 2015-05-05 14:31 - 00000000 ____D () C:\Users\1\AppData\Roaming\Baidu
  2015-05-04 20:44 - 2015-05-05 14:33 - 00000000 ____D () C:\Users\Все пользователи\Baidu
  2015-05-04 20:44 - 2015-05-05 14:33 - 00000000 ____D () C:\ProgramData\Baidu
  2015-05-04 20:44 - 2015-05-05 13:48 - 00000000 ____D () C:\Program Files (x86)\Baidu
  2015-05-04 20:44 - 2015-05-04 21:09 - 00103752 _____ (Baidu) C:\WINDOWS\system32\Drivers\BDDefense.sys
  2015-05-04 20:44 - 2015-05-04 21:03 - 00202704 _____ (Baidu) C:\WINDOWS\system32\Drivers\bd0001.sys
  2015-05-04 20:44 - 2015-05-04 21:03 - 00198600 _____ (Baidu) C:\WINDOWS\system32\Drivers\bd0002.sys
  2015-05-04 20:44 - 2015-05-04 20:44 - 00000000 ____D () C:\Program Files (x86)\Application Assistance
  2015-05-04 20:44 - 2014-12-25 05:35 - 00152392 _____ (Baidu Technology) C:\WINDOWS\system32\Drivers\BDArKit.sys
  2015-05-04 20:44 - 2014-11-06 10:38 - 00067400 _____ (Baidu) C:\WINDOWS\system32\Drivers\bd0003.sys
  2015-05-04 20:44 - 2014-11-06 10:38 - 00056136 _____ (Baidu) C:\WINDOWS\system32\Drivers\BDMWrench_x64.sys
  2015-05-04 20:43 - 2015-05-05 11:01 - 00002259 _____ () C:\Users\1\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Одноклассники.lnk
  2015-05-04 20:43 - 2015-05-05 11:01 - 00002251 _____ () C:\Users\1\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Вконтакте.lnk
  2015-05-04 20:42 - 2015-05-04 20:48 - 00000258 __RSH () C:\Users\Все пользователи\ntuser.pol
  2015-05-04 20:42 - 2015-05-04 20:48 - 00000258 __RSH () C:\ProgramData\ntuser.pol
  2015-05-04 20:42 - 2015-05-04 20:42 - 00000109 ____H () C:\Program Files (x86)\LauncherLoader.bat
  2015-05-04 20:42 - 2015-05-04 20:42 - 00000101 ____H () C:\iexplore.bat
  2015-05-04 20:42 - 2015-05-04 20:42 - 00000008 __RSH () C:\Users\1\ntuser.pol
  2015-05-04 20:42 - 2014-10-31 13:32 - 00815248 ____H (Microsoft Corporation) C:\iехplоrе.bаt.exe
  2015-05-04 20:42 - 2010-06-01 13:29 - 00367872 ____H (NTI Corporation.) C:\Program Files (x86)\LаunсhеrLоаdеr.bаt.exe
  2015-05-04 20:41 - 2015-05-04 20:42 - 00000100 ____H () C:\firefox.bat
  2015-05-04 20:41 - 2015-05-04 20:41 - 00000101 ____H () C:\Launcher.bat
  2015-05-04 20:41 - 2015-04-23 16:01 - 00376944 ____H (Mozilla Corporation) C:\firеfох.bаt.exe
  2015-05-04 20:41 - 2014-09-10 10:58 - 00514560 ____H () C:\Lаunсhеr.bаt.exe
  2015-05-04 20:42 - 2015-05-04 20:42 - 0000109 ____H () C:\Program Files (x86)\LauncherLoader.bat
  2015-05-04 20:42 - 2010-06-01 13:29 - 0367872 ____H (NTI Corporation.) C:\Program Files (x86)\LаunсhеrLоаdеr.bаt.exe
  AV: 百度杀毒 (Enabled - Up to date) {FDA918B3-27C7-3B2B-33D0-343EAE5EB318}
  AS: 百度杀毒 (Enabled - Up to date) {46C8F957-01FD-34A5-0960-0F4CD5D9F9A5}
  Task: {4585EAB1-8089-4827-A01D-89ACFC5A6208} - \Soft installer No Task File <==== ATTENTION
  FirewallRules: [{E174A91F-C8DE-43F2-8554-942584A4D053}] => (Allow) C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdSvc.exe
  FirewallRules: [{093296B4-9F17-47DF-9673-438ED5E2693E}] => (Allow) C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdSvc.exe
  FirewallRules: [{BAE80B2F-3075-40E5-89B0-3508DE8B6213}] => (Allow) C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdSvc.exe
  FirewallRules: [{7FEE423D-9BB7-4FFC-B62C-34646B4F0CCC}] => (Allow) C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdSvc.exe
  FirewallRules: [{33497F0E-032D-488C-A73D-4C7EE23E23DD}] => (Allow) C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdSvc.exe
  FirewallRules: [{BBBCE3F0-DF96-4667-8892-9AFA3321B949}] => (Allow) C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdSvc.exe
  FirewallRules: [{D73A0308-1BBC-4631-9BCF-EC123F98D00C}] => (Allow) C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSd.exe
  FirewallRules: [{A15B7355-65F4-4E73-8964-FC2F58A2D653}] => (Allow) C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSd.exe
  FirewallRules: [{907ACEA2-4805-490C-A852-62EFE4D9C2DB}] => (Allow) C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSd.exe
  FirewallRules: [{21BEE075-AC3C-4894-942B-5C29F9EE5726}] => (Allow) C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSd.exe
  FirewallRules: [{2C3F2CED-ED52-463C-90EB-86139CAE7EB3}] => (Allow) C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSd.exe
  FirewallRules: [{A1B10F90-21CE-4148-AF41-9C7C1147CA82}] => (Allow) C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSd.exe
  FirewallRules: [{6CC913F8-5DF9-42AD-892D-0F2EC3ED498A}] => (Allow) C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdTray.exe
  FirewallRules: [{7D94408C-5325-4EFF-98B2-B71C16948B6D}] => (Allow) C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdTray.exe
  FirewallRules: [{96A2973F-03BB-423B-9E36-FFD689CB1AF7}] => (Allow) C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdTray.exe
  FirewallRules: [{A0F6ADBF-7B60-4DA1-A0F1-BFEC7618425B}] => (Allow) C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdTray.exe
  FirewallRules: [{E5F32216-C122-45E1-9577-6F0DCE2DA333}] => (Allow) C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdTray.exe
  FirewallRules: [{2A28B4AD-1F38-416C-AF71-7998135F9EB7}] => (Allow) C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdTray.exe
  FirewallRules: [{4692A0A9-DECF-4561-8056-3B39918C5A52}] => (Allow) C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdUpdate.exe
  FirewallRules: [{F0930A23-55BB-40F5-8AD3-1EEB55BD20A1}] => (Allow) C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdUpdate.exe
  FirewallRules: [{33F147AA-C9C0-4CA1-814A-4A01FE36B57E}] => (Allow) C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdUpdate.exe
  FirewallRules: [{92B73BA0-1380-4522-8FE7-08834A5F3BCF}] => (Allow) C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdUpdate.exe
  FirewallRules: [{E867075C-BF06-44E6-80AA-CC732A6094CA}] => (Allow) C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdUpdate.exe
  FirewallRules: [{C68A7342-B8E9-4DFB-BEBA-D51948B8F686}] => (Allow) C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdUpdate.exe
  FirewallRules: [{94A04507-15A6-4C7E-9178-8FA116791184}] => (Allow) C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdBugRpt.exe
  FirewallRules: [{14226A8A-5D82-471B-9D1D-857475BC918F}] => (Allow) C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdBugRpt.exe
  FirewallRules: [{31537F0C-BB25-4B33-8221-8D2BC49FBB5D}] => (Allow) C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdBugRpt.exe
  FirewallRules: [{95D0E957-B764-485C-82D7-DCD00F3B9392}] => (Allow) C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdBugRpt.exe
  FirewallRules: [{D94E3D7D-997C-4323-B838-31E8CDA30319}] => (Allow) C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdBugRpt.exe
  FirewallRules: [{EB4D7591-9AA9-4349-9DCA-25FED3643037}] => (Allow) C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdBugRpt.exe
  FirewallRules: [{05FD9618-3015-4878-8281-96709F0B4EE2}] => (Allow) C:\program files (x86)\common files\baidu\bddownload\108\bddownloader.exe
  C:\program files (x86)\common files\baidu
  EmptyTemp:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[133_Mhz]

немного вроде почистилось, но по прежнему не распознаёт ни одну сеть, и остались всякие сомнительные программки типа "амиго" и что то вроде антивируса "adwanced SystemCare"

[mike 1]

Скрипт нужно выполнять в безопасном режиме

Для кого это писалось?

[133_Mhz]

моя вина, этот момент я упустил( как поступить дальше?

[mike 1]

Выполните заново скрипт, но в безопасном режиме.

[133_Mhz]

повторно выполнил скрипт в безопасном режиме, изменений не произошло, после чего решил произвести чистку реестра через adwcleaner в безопасном режиме, т.к. прошлый раз чистил так же в обычном, после чего интернет наконец вернулся, китайская гадость тоже исчезла несколько этапов назад, но всякие амиго и тд, остались

[mike 1]

Еще раз логи Farbar сделайте.

[133_Mhz]

выполнил

[mike 1]

Логи в порядке.

1. Скачайте DelFix и сохраните утилиту на Рабочем столе
2. Запустите DelFix
   Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да
3. В открывшемся окне программы поставьте галочки напротив пунктов Remove desinfection tools и Create registry backup
4. Нажмите на кнопку Run
5. После окончания работы программы автоматически откроется блокнот с отчетом delfix.txt
6. Прикрепите этот отчет в вашей теме.

• Загрузите SecurityCheck by glax24 отсюда и сохраните утилиту на Рабочем столе
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7)
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt

[133_Mhz]

есть