Вирус не дает войти в интернет [not-a-virus:RiskTool.Win32.BackupMyPC.a, Trojan-Ransom.NSIS.Onion.gh ]

[Кашкарова]

Вирус блокирует работу браузера, при любой попытке войти в интернет, на экране появляется сообщение "Доступ к системе интернет заблокирован" и предлагается ввести номер телефона.
Буду благодарна за помощь.

[Info_bot]

Уважаемый(ая) Кашкарова, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Кашкарова]

При обновлении баз в AVZ выдает ошибку и сообщение о невозможности обновить.
Третий лог (архив virusinfo_syscure.zip) в папке с созданными логами нет...

[thyrex]

Пофиксите в HiJack

O17 - HKLM\System\CCS\Services\Tcpip\..\{B3E03318-217F-4635-88AA-458E9B947F1E}: NameServer = 107.161.146.116,8.8.4.4

Сделайте новый лог

[Кашкарова]

Спасибо.
Новый файл прикрепила.

[Vvvyg]

Ещё раз пофиксите в HijackThis эту строку (в Windows Vista/7/8 необходимо запускать через правую кнопку мыши Запуск от имени администратора))!

Если перестанет работать интернет, настройте DNS, как рекомендует провайдер.

Сделайте новый лог HijackThis.

[Кашкарова]

Ребята, Спасибо Вам всем огромное!!!!
Вы просто спасли меня)))))))

[Vvvyg]

Вы просто спасли меня)))))))

Ещё не до конца.

Выполните скрипт в AVZ:

begin
 TerminateProcessByName('C:\Program Files (x86)\MyPC Backup\MyPC Backup.exe');
 TerminateProcessByName('c:\program files (x86)\napnut\nezavisimo\krip.exe');
 StopService('BackupStack');
 QuarantineFile('C:\Program Files (x86)\MyPC Backup\BackupStack.exe', '');
 QuarantineFile('C:\Program Files (x86)\MyPC Backup\MyPC Backup.exe', '');
 QuarantineFile('c:\program files (x86)\napnut\nezavisimo\krip.exe', '');
 DeleteFile('c:\program files (x86)\napnut\nezavisimo\krip.exe', '32');
 DeleteFile('C:\Program Files (x86)\MyPC Backup\MyPC Backup.exe', '32');
 DeleteFile('C:\Program Files (x86)\MyPC Backup\BackupStack.exe', '32');
 DeleteService('BackupStack');
 DeleteFileMask('C:\Program Files (x86)\MyPC Backup', '*', true);
 DeleteFileMask('c:\program files (x86)\napnut', '*', true);
 DeleteDirectory('C:\Program Files (x86)\MyPC Backup');
 DeleteDirectory('c:\program files (x86)\napnut');
 ExecuteFile('ipconfig.exe', '/flushdns', 0, 15000, true);
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.

Компьютер перезагрузится.
Выполните в AVZ скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Обновите базы AVZ ("Файл" -> "Обновление баз"), выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.

Сделайте лог AdwCleaner (by Xplode).

[Кашкарова]

ничего себе еще у меня работы)))
Я-то уже думала, что спасла человечество)))))))

- - - - -Добавлено - - - - -

Надеюсь теперь я таки спасла человечество и могу праздновать победу?

[Vvvyg]

Для завершения спасения человечества сделайте следующее.

Удалите всё найденное в AdwCleaner, дождитесь окончания удаления и перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[S0].txt, прикрепите к своему следующему сообщению.

[Кашкарова]

Я воль майн Фюррер!!!
Все сделано

- - - - -Добавлено - - - - -

Теперь я могу работать, как и раньше?

[Vvvyg]

Можете, но лучше осторожнее, всякую фигню непонятно откуда не запускайте.

Запустите AdwCleaner и нажмите Удалить.

Выполните рекомендации после лечения.

[Кашкарова]

Спасибо Вам огромное!!!
Вы меня очень-очень выручили!!!!!
У меня еще на ноуте есть проблемка, попробую сейчас новую тему создать или в этой можно?

[Vvvyg]

С вирусами связана? Озвучьте проблему.

[Кашкарова]

У меня очень тормозит ноут.
Антивируса никакого не стоит, я думаю, тут уже полным полна коробочка...

- - - - -Добавлено - - - - -

Но и диски забиты под завязку, так что я не очень понимаю, что именно в первую очередь делать - почистить все ненужное или лечить моего малыша)))
Но он может открывать приложение минут 10((((

[Vvvyg]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочками также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа.
Прикрепите эти три файла к своему следующему сообщению (можно все в одном архиве).

[Кашкарова]

Как-то так вроде...

[Vvvyg]

Деинсталлируйте через панель управления программы:

Html5 geolocation provider
Update for Html5 geolocation provider
Mail.Ru Агент - если нет почты на Mail.Ru и/или не используете эту программу.
Зоркий глаз - я бы тоже рекомендовал удалить.

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

CreateRestorePoint:
HKU\S-1-5-21-1732072418-4137065266-1471883963-1000\...\Run: [] => [X]
GroupPolicy: Group Policy on Chrome detected <======= ATTENTION
GroupPolicy-x32: Group Policy on Chrome detected <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
HKU\S-1-5-21-1732072418-4137065266-1471883963-1000\Software\Microsoft\Internet Explorer\Main,Search Page = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=57aa0b10d6e28ba0cc8c7c278543cbb0&text={searchTerms}
HKU\S-1-5-21-1732072418-4137065266-1471883963-1000\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=57aa0b10d6e28ba0cc8c7c278543cbb0&text={searchTerms}
SearchScopes: HKLM -> {9BB47C17-9C68-4BB3-B188-DD9AF0FD2488} URL = http://dts.search.ask.com/sr?src=ieb&gct=ds&appid=209&systemid=488&v=a15007-344&apn_uid=7351561859784471&apn_dtid=TCH001&o=APN11459&apn_ptnrs=AG1&q={searchTerms}
SearchScopes: HKLM-x32 -> {9BB47C17-9C68-4BB3-B188-DD9AF0FD2488} URL = http://dts.search.ask.com/sr?src=ieb&gct=ds&appid=209&systemid=488&v=a15007-344&apn_uid=7351561859784471&apn_dtid=TCH001&o=APN11459&apn_ptnrs=AG1&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1732072418-4137065266-1471883963-1000 -> DefaultScope {9BB47C17-9C68-4BB3-B188-DD9AF0FD2488} URL = http://dts.search.ask.com/sr?src=ieb&gct=ds&appid=209&systemid=488&v=a13277-344&apn_uid=7351561859784471&apn_dtid=TCH001&o=APN11459&apn_ptnrs=AG1&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1732072418-4137065266-1471883963-1000 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3D} URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=57aa0b10d6e28ba0cc8c7c278543cbb0&text=
SearchScopes: HKU\S-1-5-21-1732072418-4137065266-1471883963-1000 -> {11C0B9F9-773F-4C17-83BB-423846039FE3} URL = http://rts.dsrlte.com/?affID=na&q={searchTerms}&r=674
SearchScopes: HKU\S-1-5-21-1732072418-4137065266-1471883963-1000 -> {6A1806CD-94D4-4689-BA73-E35EA1EA9990} URL = 
SearchScopes: HKU\S-1-5-21-1732072418-4137065266-1471883963-1000 -> {9BB47C17-9C68-4BB3-B188-DD9AF0FD2488} URL = http://dts.search.ask.com/sr?src=ieb&gct=ds&appid=209&systemid=488&v=a13277-344&apn_uid=7351561859784471&apn_dtid=TCH001&o=APN11459&apn_ptnrs=AG1&q={searchTerms}
DefaultPrefix-x32: => http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=57aa0b10d6e28ba0cc8c7c278543cbb0&text= <==== ATTENTION
FF Extension: AlterGeo Addons - C:\Users\Кристина\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{B100D0FF-0001-8CE4-2790-AACE49B8AE35} [2012-04-15]
CHR StartupUrls: Default -> "hxxp://rts.dsrlte.com?affID=na"
CHR HKLM-x32\...\Chrome\Extension: [cncgohepihcekklokhbhiblhfcmipbdh] - http://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [jggbjbmnfmipgcanidamjfpechdeekoi] - https://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [nhgcieglcpdegkhamigiokdphfhhnlhh] - C:\Program Files (x86)\AlterGeo\Html5 geolocation provider\altergeo.crx [2012-06-06]
OPR StartupUrls: "hxxp://mail.ru/cnt/10445"
OPR Extension: (superpromokody) - C:\Users\Кристина\AppData\Roaming\Opera Software\Opera Stable\Extensions\jgnblgknonceobjdkepgodbolcpkgipk [2014-05-04]
S1 F06DEFF2-5B9C-490D-910F-35D3A91196222; \??\C:\Program Files (x86)\Browser Tab Search by Ask\SafetyNut\x64\configmgrc3.cfg [X]
S1 {04149c3d-8572-400f-84ef-5aa7e85721a9}w64; system32\drivers\{04149c3d-8572-400f-84ef-5aa7e85721a9}w64.sys [X]
S1 {2c976a7f-dbdc-4756-870f-f6d183fe7a7e}w64; system32\drivers\{2c976a7f-dbdc-4756-870f-f6d183fe7a7e}w64.sys [X]
S1 {79927c88-3ad2-4cc2-b84e-7c2db334abab}w64; system32\drivers\{79927c88-3ad2-4cc2-b84e-7c2db334abab}w64.sys [X]
Task: {1C8C7F92-0D62-40D7-A3BA-BA1BE29B4FD5} - System32\Tasks\Digital Sites => C:\Users\331A~1\AppData\Roaming\DIGITA~1\UPDATE~1\UPDATE~1.EXE <==== ATTENTION
Task: {8EDD73D2-509F-4CA1-BBBA-D7D1FB7F7324} - System32\Tasks\AlterGeoUpdaterS-1-5-18 => C:\Program Files (x86)\AlterGeo\Html5 geolocation provider\html5locsvc.exe [2012-06-06] (AlterGeo)
Task: {F3DCFAF7-304D-42E9-96FA-C1110E8C6CD5} - System32\Tasks\DSite => C:\Users\331A~1\AppData\Roaming\DSite\UPDATE~1\UPDATE~1.EXE <==== ATTENTION
Task: C:\Windows\Tasks\AlterGeoUpdaterS-1-5-18.job => C:\Program Files (x86)\AlterGeo\Html5 geolocation provider\html5locsvc.exe
Task: C:\Windows\Tasks\Digital Sites.job => C:\Users\331A~1\AppData\Roaming\DIGITA~1\UPDATE~1\UPDATE~1.EXE <==== ATTENTION
Task: C:\Windows\Tasks\DSite.job => C:\Users\331A~1\AppData\Roaming\DSite\UPDATE~1\UPDATE~1.EXE <==== ATTENTION
EmptyTemp:
Reboot:

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, закройте все браузеры, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

К сожалению, один из логов FRST неполный, но, предполагаю, мало свободной памяти, современные браузеры жрут много, а ещё и MatLab запущен.

[Кашкарова]

Ну, похоже я справилась))))

- - - - -Добавлено - - - - -

хм, странно...
Матлаб у меня в то время не был запущен(((

[Vvvyg]

Удалите папку C:\FRST со всем содержимым.

Чем могли - помогли. Сколько памяти в системе установлено?