Появились постороние программы и вирусы в браузере. Как избавиться от GetSearch в Chrome. [not-a-virus:AdWare.Win32.ConvertAd.awz, not-a-virus:AdWare.Win32.Eorezo.wrq ]

[yourdoseddos]

Уважаемые Хелперы, поймал вирусов в стиле GetSearch, AnyProtect, Kometa и т.д
Браузер Chrome перестал работать.
Использовал антивирусные утилиты и прочие приложения.
Не помогает.

[Info_bot]

Уважаемый(ая) yourdoseddos, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Sandor]

Здравствуйте!

Временно отключите защитное ПО.
Выполните скрипт в AVZ:

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 TerminateProcessByName('d:\users\rainbowdash3000\appdata\roaming\00000000-1436101101-0000-0000-8c89a5555533\jnsz2224.tmp');
 TerminateProcessByName('d:\users\rainbowdash3000\appdata\roaming\00000000-1436101101-0000-0000-8c89a5555533\knsabfc1.tmp');
 StopService('fugomotu');
 StopService('zejytose');
 QuarantineFile('d:\users\rainbowdash3000\appdata\roaming\00000000-1436101101-0000-0000-8c89a5555533\jnsz2224.tmp', '');
 QuarantineFile('d:\users\rainbowdash3000\appdata\roaming\00000000-1436101101-0000-0000-8c89a5555533\knsabfc1.tmp', '');
 QuarantineFile('D:\Users\Rainbowdash3000\AppData\Local\00000000-1436115681-0000-0000-8C89A5555533\snsaB17A.tmp', '');
 QuarantineFile('D:\Users\Rainbowdash3000\AppData\Roaming\00000000-1436101101-0000-0000-8C89A5555533\hnse3B8F.tmp', '');
 QuarantineFile('C:\Program Files\Java\setup.vbs', '');
 QuarantineFile('D:\Program Files (x86)\gmsd_ru_005010023\gmsd_ru_005010023.exe', '');
 QuarantineFile('D:\Users\Rainbowdash3000\AppData\Local\gmsd_ru_005010023\upgmsd_ru_005010023.exe', '');
 QuarantineFile('D:\Users\Rainbowdash3000\AppData\Local\kometa.bat', '');
 QuarantineFile('D:\Users\Rainbowdash3000\AppData\Roaming\Browsers\exe.emorhc.bat', '');
 QuarantineFile('D:\Users\Rainbowdash3000\AppData\Roaming\Browsers\exe.erolpxei.bat', '');
 QuarantineFile('D:\iexplore.bat', '');
 DeleteFile('d:\users\rainbowdash3000\appdata\roaming\00000000-1436101101-0000-0000-8c89a5555533\jnsz2224.tmp', '32');
 DeleteFile('d:\users\rainbowdash3000\appdata\roaming\00000000-1436101101-0000-0000-8c89a5555533\knsabfc1.tmp', '32');
 DeleteFile('D:\Users\Rainbowdash3000\AppData\Local\00000000-1436115681-0000-0000-8C89A5555533\snsaB17A.tmp', '32');
 DeleteFile('D:\Users\Rainbowdash3000\AppData\Roaming\00000000-1436101101-0000-0000-8C89A5555533\hnse3B8F.tmp', '32');
 DeleteFile('D:\Program Files (x86)\gmsd_ru_005010023\gmsd_ru_005010023.exe', '32');
 DeleteFile('D:\Users\Rainbowdash3000\AppData\Local\gmsd_ru_005010023\upgmsd_ru_005010023.exe', '32');
 DeleteFile('D:\Users\Rainbowdash3000\AppData\Local\kometa.bat', '32');
 DeleteFile('D:\Users\Rainbowdash3000\AppData\Roaming\Browsers\exe.emorhc.bat', '32');
 DeleteFile('D:\Users\Rainbowdash3000\AppData\Roaming\Browsers\exe.erolpxei.bat', '32');
 DeleteFile('D:\iexplore.bat', '32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Java Update');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','gmsd_ru_005010023');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','upgmsd_ru_005010023.exe');
 DeleteService('fugomotu');
 DeleteService('zejytose');
 DeleteService('gopibeko');
 DeleteService('vicoqudu');
ExecuteSysClean;
 ExecuteRepair(2);
 ExecuteRepair(3);
 ExecuteRepair(4);
 ExecuteWizard('SCU', 2, 3, true);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.

Компьютер перезагрузится.


Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.


Cделайте лог Check Browsers' LNK by Dragokas & regist. Заархивируйте его и прикрепите к сообщению.


Подготовьте лог сканирования AdwCleaner.

[yourdoseddos]

Вот файлы

[Sandor]

Перетащите лог Check_Browsers_LNK.log на утилиту ClearLNK. Отчёт о работе прикрепите.


Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочками также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

[yourdoseddos]

Вот файлы.

[Sandor]

Создайте текстовый файл fixlist.txt в папке с Farbar Recovery Scan Tool, скопируйте в него текст из окна "код" ниже и сохраните.

start
CreateRestorePoint:
HKLM-x32\...\Run: [gmsd_ru_005010021] => [X]
GroupPolicy: Group Policy on Chrome detected <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
BHO: No Name -> {AE805869-2E5C-4ED4-8F7B-F1F7851A4497} ->  No File
BHO: No Name -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} ->  No File
BHO-x32: No Name -> {AE805869-2E5C-4ED4-8F7B-F1F7851A4497} ->  No File
BHO-x32: No Name -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} ->  No File
Toolbar: HKU\S-1-5-21-3728206028-1674880557-545425281-1000 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
2015-07-06 13:45 - 2015-06-01 23:16 - 00814288 ____H (Microsoft Corporation) D:\iехplоrе.bаt.exe
2015-07-06 13:44 - 2015-07-06 13:44 - 00000096 ____H D:\Launcher.bat
2015-07-06 13:44 - 2014-09-10 11:58 - 00514560 ____H D:\Lаunсhеr.bаt.exe
2015-07-05 18:11 - 2015-07-05 18:10 - 00628688 _____ (CMI Limited) D:\Users\Rainbowdash3000\AppData\Local\nsl362A.tmp
2015-07-06 13:44 - 2015-06-02 14:17 - 1076832 ____H (Kometa Authors) D:\Users\Rainbowdash3000\AppData\Local\kоmеtа.bаt.exe
2015-07-05 18:11 - 2015-07-05 18:10 - 0628688 _____ (CMI Limited) D:\Users\Rainbowdash3000\AppData\Local\nsl362A.tmp
2015-07-07 11:57 - 2015-07-07 11:57 - 0613255 _____ (CMI Limited) D:\Users\Rainbowdash3000\AppData\Local\nsmB700.tmp
2015-07-05 17:47 - 2015-07-05 17:47 - 0613255 _____ (CMI Limited) D:\Users\Rainbowdash3000\AppData\Local\nsnCC2C.tmp
AlternateDataStreams: D:\Users\Rainbowdash3000\Local Settings:wa
AlternateDataStreams: D:\Users\Rainbowdash3000\AppData\Local:wa
AlternateDataStreams: D:\Users\Rainbowdash3000\AppData\Local\Application Data:wa
FirewallRules: [{CA0D8AF0-7F56-4B97-B322-D2C404ABDFF5}] => (Allow) D:\Program Files (x86)\360\Total Security\safemon\QHSafeTray.exe
FirewallRules: [{44DEC07E-1924-421C-9DCD-FC9556EB3E38}] => (Allow) D:\Program Files (x86)\360\Total Security\safemon\QHSafeTray.exe
FirewallRules: [{839C29A1-3053-4F72-9595-531D8C470BE1}] => (Allow) D:\Program Files (x86)\360\Total Security\LiveUpdate360.exe
FirewallRules: [{DB898037-EB8B-4B39-9738-E55EFAA686E9}] => (Allow) D:\Program Files (x86)\360\Total Security\LiveUpdate360.exe
FirewallRules: [TCP Query User{DAF68AB8-EE41-42F2-BA46-EF2CA96BDC2B}D:\program files (x86)\ppцъкц2.0\ihelper.exe] => (Allow) D:\program files (x86)\ppцъкц2.0\ihelper.exe
FirewallRules: [UDP Query User{6157445D-A995-4805-9B9D-9FB1C8D8E9AE}D:\program files (x86)\ppцъкц2.0\ihelper.exe] => (Allow) D:\program files (x86)\ppцъкц2.0\ihelper.exe
FirewallRules: [{3795C330-DA61-4F39-AA68-074A63D77E75}] => (Block) D:\program files (x86)\ppцъкц2.0\ihelper.exe
FirewallRules: [{5123CAC9-D353-4A0E-8BC7-915014B0D368}] => (Block) D:\program files (x86)\ppцъкц2.0\ihelper.exe
FirewallRules: [TCP Query User{13BD64DA-D2BF-44B2-B889-01F70E4D9C6C}D:\program files (x86)\pp助手2.0\adevicehelpermon.exe] => (Allow) D:\program files (x86)\pp助手2.0\adevicehelpermon.exe
FirewallRules: [UDP Query User{AFEF5FC3-60AF-494A-85B5-37C389029810}D:\program files (x86)\pp助手2.0\adevicehelpermon.exe] => (Allow) D:\program files (x86)\pp助手2.0\adevicehelpermon.exe
FirewallRules: [TCP Query User{B8585442-6607-4B5C-A276-1236137A83A3}D:\program files (x86)\pp助手2.0\ihelper.exe] => (Allow) D:\program files (x86)\pp助手2.0\ihelper.exe
FirewallRules: [UDP Query User{BFD0D126-5BAA-41D6-8427-D1152597A844}D:\program files (x86)\pp助手2.0\ihelper.exe] => (Allow) D:\program files (x86)\pp助手2.0\ihelper.exe
FirewallRules: [{5EC2409E-CBBA-4EC9-BAB9-A177A2467DB6}] => (Block) D:\program files (x86)\pp助手2.0\ihelper.exe
FirewallRules: [{730EE474-F4F2-4E6E-9DEF-876366EC8222}] => (Block) D:\program files (x86)\pp助手2.0\ihelper.exe
FirewallRules: [{17036D68-01DF-470E-AFCE-904300A8D29A}] => (Block) D:\program files (x86)\pp助手2.0\adevicehelpermon.exe
FirewallRules: [{1DA85DF3-74F8-468E-AF3B-C805F2F6B7CF}] => (Block) D:\program files (x86)\pp助手2.0\adevicehelpermon.exe
FirewallRules: [{8BE5D25F-2107-436F-83BF-1A5E94F1E9FA}] => (Allow) D:\program files (x86)\common files\tencent\qqdownload\130\tencentdl.exe
FirewallRules: [{43BEF0F0-5CFB-4327-81CF-07833CF7D16E}] => (Allow) D:\program files (x86)\common files\tencent\qqdownload\130\bugreport_xf.exe
EmptyTemp:
Reboot:
end

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

[yourdoseddos]

fixlog.txt

[Sandor]

Повторите, пожалуйста, логи FRST.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 9
• В ходе лечения обнаружены вредоносные программы:
  
  1. d:\program files (x86)\gmsd_ru_005010023\gmsd_ru_005010023.exe - not-a-virus:AdWare.Win32.Eorezo.wrq ( BitDefender: Adware.Eorezo.BZ )
  2. d:\users\rainbowdash3000\appdata\roaming\00000000-1436101101-0000-0000-8c89a5555533\jnsz2224.tmp - not-a-virus:AdWare.Win32.ConvertAd.awz ( AVAST4: Win32:Rootkit-gen [Rtk] )