BlockAndSurf, Crossbrowse, Baidu [HEUR:Trojan.WinLNK.StartPage.genc ]

[Rondodo]

Доброго времени суток, помогите пож разобраться с этой гадостью. Ноутбук очень сильно тупит, загружается очень долго. Браузер все время предупреждает о сертификатах безопасности. Не могу удалить Crossbrowse из системы а так же китайские Baidu программы и прочее. Сканировал KVRT в безопасном режиме. Вот логи по правилам.

[Info_bot]

Уважаемый(ая) Rondodo, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[regist]

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.


Сделайте полный образ автозапуска uVS только программу скачайте отсюда

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
• Прикрепите отчет к своему следующему сообщению.

[Rondodo]

http://virusinfo.info/virusdetector/...78FCF122635B4C

[regist]

Выполните скрипт в uVS:На вопросы об удалении программ рекомендую соглашаться.

;uVS v3.85.21 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
BREG
exec32 "C:\Program Files (x86)\Crossbrowse\Crossbrowse\Application\39.4.2171.95\Installer\setup.exe" --uninstall --system-level
exec C:\Users\Айдар\AppData\Local\MediaGet2\mediaget-uninstaller.exe
exec32 C:\Users\Айдар\AppData\Roaming\mystartsearch\UninstallManager.exe  -ptid=cmi
exec32 MsiExec.exe /X{6D1221A9-17BF-4EC0-81F2-27D30EC30701}
exec32 C:\Users\Айдар\AppData\Roaming\sweet-page\UninstallManager.exe  -ptid=cor
exec "C:\Users\Айдар\AppData\Local\TimeTasks\uninstall.exe"
exec32 D:\IQIYI Video\Common\QyUninstaller.exe
exec32 "C:\Program Files (x86)\Tencent\QQPCMgr\10.7.16065.215\Uninst.exe"

sreg

delref %SystemDrive%\USERS\АЙДАР\APPDATA\LOCAL\AMIGO\APPLICATION\AMIGO.EXE
del %SystemDrive%\USERS\АЙДАР\APPDATA\LOCAL\MEDIAGET2\MEDIAGET-UNINSTALLER.EXE
delref %SystemDrive%\USERS\АЙДАР\APPDATA\LOCAL\MEDIAGET2\MEDIAGET.EXE
zoo %SystemDrive%\USERS\АЙДАР\APPDATA\ROAMING\MICROSOFT\INTERNET EXPLORER\QUICK LAUNCH\KINOROOM BROWSER.LNK
bl B05699D05920D23B5F7573933060E543 2041
delall %SystemDrive%\USERS\АЙДАР\APPDATA\ROAMING\MICROSOFT\INTERNET EXPLORER\QUICK LAUNCH\KINOROOM BROWSER.LNK
zoo %SystemDrive%\USERS\АЙДАР\APPDATA\ROAMING\MICROSOFT\INTERNET EXPLORER\QUICK LAUNCH\USER PINNED\TASKBAR\爱奇艺PPS影音.LNK
bl C07901CD8809CBE9BF669CA81BB8AACB 815
delall %SystemDrive%\USERS\АЙДАР\APPDATA\ROAMING\MICROSOFT\INTERNET EXPLORER\QUICK LAUNCH\USER PINNED\TASKBAR\爱奇艺PPS影音.LNK
delall %SystemDrive%\USERS\�����\APPDATA\ROAMING\YAUWKL.EXE

deldir %SystemDrive%\PROGRAM FILES (X86)\COMMON FILES\BAIDU\

zoo %Sys32%\DRIVERS\BD0001.SYS
bl F75F5F5703182987905AE13CC18E72EA 181072
delall \\?\C:\WINDOWS\SYSTEM32\DRIVERS\BD0001.SYS

zoo %Sys32%\DRIVERS\BD0002.SYS
bl 0BE83330EF96860DC3B1BAF8E2FFF100 196936
delall \\?\C:\WINDOWS\SYSTEM32\DRIVERS\BD0002.SYS

zoo %Sys32%\DRIVERS\BD0003.SYS
bl 125EF79054A8AB143C8664E80381FF01 65864
delall \\?\C:\WINDOWS\SYSTEM32\DRIVERS\BD0003.SYS

zoo %Sys32%\DRIVERS\BD0004.SYS
bl 79E4783AD21E4332FBBFCCD485A4CFEC 168776
delall \\?\C:\WINDOWS\SYSTEM32\DRIVERS\BD0004.SYS

zoo %Sys32%\DRIVERS\BDARKIT.SYS
bl AC5C57F6C95C5B2EE4FE78C7C93372A5 152392
delall \\?\C:\WINDOWS\SYSTEM32\DRIVERS\BDARKIT.SYS

zoo %Sys32%\DRIVERS\BDDEFENSE.SYS
bl 5CCBE87872A9071C0B72F16A41C22E60 103240
delall \\?\C:\WINDOWS\SYSTEM32\DRIVERS\BDDEFENSE.SYS

zoo %Sys32%\DRIVERS\BDENHANCEBOOST.SYS
delall \\?\C:\WINDOWS\SYSTEM32\DRIVERS\BDENHANCEBOOST.SYS

zoo %Sys32%\DRIVERS\BDMWRENCH.SYS
bl 6AD852CA0AFF62BB16C26DFDBDF4FDA4 130888
delall \\?\C:\WINDOWS\SYSTEM32\DRIVERS\BDMWRENCH.SYS

zoo %Sys32%\DRIVERS\BDMWRENCH_X64.SYS
delall \\?\C:\WINDOWS\SYSTEM32\DRIVERS\BDMWRENCH_X64.SYS

zoo %Sys32%\BD64_X64.DLL
bl E8384859BDD6AF71F5F3C60AB5BF3F98 41800
delall \\?\C:\WINDOWS\SYSTEM32\BD64_X64.DLL

zoo %Sys32%\BD64_X86.DLL
bl 2EF0728AC5460C5EB0D11204A7DE940B 39056
delall \\?\C:\WINDOWS\SYSTEM32\BD64_X86.DLL

deldir %SystemDrive%\PROGRAM FILES (X86)\BAIDU

deldir %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\BAIDU

deldir %SystemDrive%\PROGRAM FILES (X86)\VERSION92BLOCKANDSURF
deldir %SystemDrive%\PROGRAM FILES (X86)\GE-FORCE
delref HTTP://WWW.MYSTARTSEARCH.COM/?TYPE=HP&TS=1428060367&FROM=CMI&UID=SAMSUNGXHM321HI_S26VJ9HBB01577
delref HTTP://WWW.MYSTARTSEARCH.COM/WEB/?TYPE=DS&TS=1428060367&FROM=CMI&UID=SAMSUNGXHM321HI_S26VJ9HBB01577&Q={SEARCHTERMS}
delref %SystemDrive%\PROGRAM FILES (X86)\KINOROOM BROWSER\KINOROOM-BROWSER.EXE

regt 27
czoo
areg

- Удалите в AdwCleaner всё кроме папок от mail.ru - если программами от mail.ru не пользуетесь, то их тоже удалите. Отчет после удаления прикрепите.

- сделайте лог Check Browsers' LNK

[Rondodo]

Все сделал.

[regist]

- выполните такой скрипт в AVZ

begin
 ClearQuarantine;
 QuarantineFile('C:\Users\Айдар\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Интернет браузер Phoenix.lnk','');
 QuarantineFile('C:\Users\Айдар\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Интернет браузер Phoenix.lnk','');
 QuarantineFile('C:\Users\Айдар\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Интернет браузер Phoenix.lnk','');
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Ореrа.lnk','');
 QuarantineFile('C:\Users\Айдар\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Gооgle Chrоme.lnk','');
 QuarantineFile('C:\Users\Айдар\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Lаunсh Intеrnеt Ехplоrer Brоwsеr.lnk','');
 QuarantineFile('C:\Users\Айдар\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\ImplicitAppShortcuts\ff44b7a034c2d936\Yаndех.lnk','');
 QuarantineFile('C:\Users\Айдар\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Интернет браузер Рhоеnix.lnk','');
 QuarantineFile('C:\Users\Айдар\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Интернет браузер Рhоеniх.lnk','');
 QuarantineFile('C:\Users\Айдар\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Gооglе Сhrоmе.lnk','');
 QuarantineFile('C:\Users\Айдар\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Intеrnеt Ехрlоrеr.lnk','');
 QuarantineFile('C:\Users\Айдар\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Yаndeх (2).lnk','');
 QuarantineFile('C:\Users\Айдар\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Yаndeх.lnk','');
 QuarantineFile('C:\Users\Айдар\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Yаndеx.lnk','');
 QuarantineFile('C:\Users\Айдар\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Интернет браузер Рhoeniх.lnk','');
 QuarantineFile('C:\Users\Айдар\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Интернет браузер Рhoеniх.lnk','');
 QuarantineFile('C:\Users\Айдар\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Интернет браузер Рhоenix (2).lnk','');
 QuarantineFile('C:\Users\Айдар\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Интернет браузер Рhоeniх (2).lnk','');
 QuarantineFile('C:\Users\Айдар\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Мail.Ru.lnk','');
 QuarantineFile('C:\Users\Айдар\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Ореrа.lnk','');
 QuarantineFile('C:\Users\Айдар\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Yаndeх.lnk','');
 QuarantineFile('C:\Users\Айдар\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Интернет браузер Рhoеnix.lnk','');
 QuarantineFile('C:\Users\Айдар\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Интернет браузер Рhоeniх.lnk','');
 QuarantineFile('C:\Users\Айдар\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Intеrnеt Ехрlоrеr (Nо Аdd-оns).lnk','');
 QuarantineFile('C:\Users\Айдар\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnеt Ехрlоrеr (64-bit).lnk','');
 QuarantineFile('C:\Users\Айдар\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnеt Ехрlоrеr.lnk','');
 QuarantineFile('C:\Users\Айдар\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Вконтакте.lnk','');
 QuarantineFile('C:\Users\Айдар\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Одноклассники.lnk','');
 QuarantineFile('C:\Users\Айдар\AppData\Roaming\Browsers\exe.rehcnual.bat','');
 QuarantineFile('C:\Users\Айдар\AppData\Roaming\Browsers\exe.emorhc.bat','');
 QuarantineFile('C:\Users\Айдар\AppData\Roaming\Browsers\exe.erolpxei.bat','');
 QuarantineFile('C:\Users\Айдар\AppData\Roaming\Browsers\exe.resworb.bat','');
 QuarantineFile('C:\Windows\system32\cmd.exe"  => /C "c:\program files (x86)\google\chrome\chrome.bat','');
 QuarantineFile('C:\Windows\system32\cmd.exe"  => /C "c:\program files (x86)\internet explorer\iexplore.bat','');
 QuarantineFile('C:\Windows\system32\cmd.exe"  => /C "c:\program files (x86)\opera\launcher.bat','');
 DeleteFile('C:\Users\Айдар\AppData\Roaming\Browsers\exe.rehcnual.bat','');
 DeleteFile('C:\Users\Айдар\AppData\Roaming\Browsers\exe.emorhc.bat','');
 DeleteFile('C:\Users\Айдар\AppData\Roaming\Browsers\exe.erolpxei.bat','');
 DeleteFile('C:\Users\Айдар\AppData\Roaming\Browsers\exe.resworb.bat','');
 DeleteFile('C:\Windows\system32\cmd.exe"  => /C "c:\program files (x86)\google\chrome\chrome.bat','');
 DeleteFile('C:\Windows\system32\cmd.exe"  => /C "c:\program files (x86)\internet explorer\iexplore.bat','');
 DeleteFile('C:\Windows\system32\cmd.exe"  => /C "c:\program files (x86)\opera\launcher.bat','');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы.

- Перетащите лог Check_Browsers_LNK.log на утилиту ClearLNK. Отчёт о работе прикрепите.

сделайте свежий лог AdwCleaner-а и uVS.

[Rondodo]

ГОТОВО

[regist]

电脑管家10.7 - деинсталируйте.

Выполните скрипт в uVS загрузив виндоус в безопасном режиме

;uVS v3.85.21 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
BREG
delall %SystemDrive%\USERS\�����\APPDATA\ROAMING\GHMSX.EXE

sreg

chklst
delvir

deldir %SystemDrive%\PROGRAM FILES (X86)\COMMON FILES\BAIDU\BAIDUPROTECT1.3\1.3.0.521

zoo %Sys32%\DRIVERS\BD0001.SYS
bl F75F5F5703182987905AE13CC18E72EA 181072
delall \\?\C:\WINDOWS\SYSTEM32\DRIVERS\BD0001.SYS

zoo %Sys32%\DRIVERS\BD0002.SYS
delall \\?\C:\WINDOWS\SYSTEM32\DRIVERS\BD0002.SYS

zoo %Sys32%\DRIVERS\BD0004.SYS
bl 79E4783AD21E4332FBBFCCD485A4CFEC 168776
delall \\?\C:\WINDOWS\SYSTEM32\DRIVERS\BD0004.SYS

zoo %Sys32%\DRIVERS\BDARKIT.SYS
bl AC5C57F6C95C5B2EE4FE78C7C93372A5 152392
delall \\?\C:\WINDOWS\SYSTEM32\DRIVERS\BDARKIT.SYS

zoo %Sys32%\DRIVERS\BDMWRENCH.SYS
bl 6AD852CA0AFF62BB16C26DFDBDF4FDA4 130888
delall \\?\C:\WINDOWS\SYSTEM32\DRIVERS\BDMWRENCH.SYS

zoo %Sys32%\DRIVERS\BDMWRENCH_X64.SYS
delall \\?\C:\WINDOWS\SYSTEM32\DRIVERS\BDMWRENCH_X64.SYS

zoo %Sys32%\BD64_X64.DLL
bl E8384859BDD6AF71F5F3C60AB5BF3F98 41800
delall \\?\C:\WINDOWS\SYSTEM32\BD64_X64.DLL

zoo %Sys32%\BD64_X86.DLL
bl 2EF0728AC5460C5EB0D11204A7DE940B 39056
delall \\?\C:\WINDOWS\SYSTEM32\BD64_X86.DLL

deldir %SystemDrive%\PROGRAM FILES (X86)\TENCENT\

regt 27
areg

- Удалите в AdwCleaner всё кроме папок от mail.ru - если программами от mail.ru не пользуетесь, то их тоже удалите. Отчет после удаления прикрепите.


затем свежий лог uVS и AdwCleaner

[Rondodo]

Готово

[regist]

• Пожалуйста, запустите adwcleaner.exe
• Нажмите Uninstall (Удалить).
• Подтвердите удаление нажав кнопку: Да.

что с проблемой?

[Rondodo]

Проблема решилась. Снова, большое спасибо.

[regist]

Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Советы и рекомендации после лечения компьютера

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 32
• В ходе лечения вредоносные программы в карантинах не обнаружены