cpuminer-gw64, sgminer как избавиться? [not-a-virus:WebToolbar.Win32.CroRi.fte ]

[Иван Папусь]

В авторане висит cpuminer-gw64 и sgminer и грузят систему.
То, что это вирус уже понял, вирусов было очень много, большинство удалил антивирус, но с этими не справился ни один.
Сделал полный образ автозапуска, как описано здесь http://virusinfo.info/showthread.php?t=121767 . Увидел рекомендацию отсюда http://virusinfo.info/showthread.php?t=185699 . Пути решения в той теме нет, поэтому прошу помощи.

[Info_bot]

Уважаемый(ая) Иван Папусь, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

Выполните скрипт в uVS:

;uVS v3.85.25 [http://dsrt.dyndns.org]
;Target OS: NTv6.3
v385c
;------------------------autoscript---------------------------
delref %SystemDrive%\USERS\�������\APPDATA\ROAMING\DUWUTBSJWJWCIR8C.EXE
zoo %SystemDrive%\USERS\МАРИНКА\APPDATA\ROAMING\DUWUTBSJWJWCIR8C.EXE
del %SystemDrive%\USERS\МАРИНКА\APPDATA\ROAMING\DUWUTBSJWJWCIR8C.EXE
del %SystemDrive%\USERS\МАРИНКА\APPDATA\ROAMING\DUWUTBSJWJWCIR8C
delref %SystemDrive%\USERS\�������\APPDATA\ROAMING\MCPNA1RNY2R.EXE
zoo %SystemDrive%\USERS\МАРИНКА\APPDATA\ROAMING\MCPNA1RNY2R.EXE
del %SystemDrive%\USERS\МАРИНКА\APPDATA\ROAMING\MCPNA1RNY2R.EXE
del %SystemDrive%\USERS\МАРИНКА\APPDATA\ROAMING\MCPNA1RNY2R
delall %SystemDrive%\PROGRAM FILES (X86)\GLOBALUPDATE\UPDATE\1.3.25.0\NPGLOBALUPDATEUPDATE4.DLL
delall %SystemDrive%\PROGRAM FILES (X86)\COMMON FILES\TENCENT\QQDOWNLOAD\130\TENCENTDL.EXE
delall %SystemDrive%\PROGRAMDATA\TENCENT\TSVULFW\TSVULFW.DAT
deldir %SystemDrive%\PROGRAM FILES (X86)\TENCENT
delall %SystemDrive%\PROGRAM FILES (X86)\GLOBALUPDATE\UPDATE\1.3.25.0\GLOBALUPDATEBROKER.EXE
delall %SystemDrive%\PROGRAM FILES (X86)\GLOBALUPDATE\UPDATE\1.3.25.0\GLOBALUPDATEONDEMAND.EXE
delall %SystemDrive%\PROGRAM FILES (X86)\GLOBALUPDATE\UPDATE\1.3.25.0\PSMACHINE.DLL
delall %SystemDrive%\PROGRAM FILES (X86)\CROSSBROWSE\CROSSBROWSE\APPLICATION\CROSSBROWSE.EXE
delall %SystemDrive%\PROGRAM FILES (X86)\CROSSBROWSE\CROSSBROWSE\APPLICATION\UTILITY.EXE
delall %SystemDrive%\PROGRAM FILES (X86)\CROSSBROWSE\CROSSBROWSE\APPLICATION\39.6.2171.95\LIBEGL.DLL
deldir %SystemDrive%\PROGRAM FILES (X86)\CROSSBROWSE
regt 27
regt 28
regt 29
delref %SystemDrive%\PROGRAM FILES (X86)\TENCENT\QQPCMGR\10.10.16434.218\QQPCRTP.EXE
delref %SystemDrive%\USERS\МАРИНКА\APPDATA\LOCAL\22130\UPDATER.EXE
deldir %SystemDrive%\USERS\МАРИНКА\APPDATA\LOCAL\22130
delref %SystemDrive%\PROGRAM FILES (X86)\TENCENT\QQPCMGR\10.10.16434.218\TSDEFENSEBT64.SYS
delref %SystemDrive%\PROGRAM FILES (X86)\TENCENT\QQPCMGR\10.10.16434.218\TAOFRAME.EXE
deldir %SystemDrive%\PROGRAM FILES (X86)\TENCENT\QQPCMGR\10.10.16434.218
zoo %Sys32%\CPUMINER-GW64.EXE
delall %Sys32%\CPUMINER-GW64.EXE
delref HTTP://KIRYANDR.MEGATRACK.ORG/
dirzooex %SystemDrive%\USERS\МАРИНКА\APPDATA\ROAMING\CPUMINER\SGMINER
delall %SystemDrive%\USERS\МАРИНКА\APPDATA\ROAMING\CPUMINER\SGMINER\SGMINER.CMD
deldir %SystemDrive%\USERS\МАРИНКА\APPDATA\ROAMING\CPUMINER
zoo %SystemDrive%\USERS\МАРИНКА\APPDATA\LOCAL\MICROSOFT\WINDOWS\INETCACHE\IE\8CME2GN6\VALIDATE[1].EXE
del %SystemDrive%\USERS\МАРИНКА\APPDATA\LOCAL\MICROSOFT\WINDOWS\INETCACHE\IE\8CME2GN6\VALIDATE[1].EXE
del %SystemDrive%\LAUNCHER.BAT
delref %SystemDrive%\PROGRAM FILES (X86)\IOBIT\IOBIT UNINSTALLER\IOBITUNINSTALER.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\IOBIT\DRIVER BOOSTER\DRIVERBOOSTER.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\IOBIT\ADVANCED SYSTEMCARE 8\ASCEXTMENU_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\IOBIT\IOBIT UNINSTALLER\UNINSTALLMENURIGHT64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\IOBIT\IOBIT UNINSTALLER\UNINSTALLEXPLORER64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\OBNOVI SOFT\UNINSTALL.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\OBNOVI SOFT\OBNOVISOFT.EXE
deldir %SystemDrive%\PROGRAM FILES (X86)\OBNOVI SOFT
deltmp
czoo
restart
;-------------------------------------------------------------

Компьютер перезагрузится.

В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

На будущее - по правилам этого форума начинать нужно с логов AVZ и HijackThis по правилам, с их помощью тоже бы полечили. Сделайте их для контроля после выполнения скрипта.

[Иван Папусь]

"В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме." - сделал это.

По вторым двум программам занимаюсь.

Я правильно понимаю, что я уже пролечил ПК и вам отправил результаты лечения?

- - - - -Добавлено - - - - -

Сделал и прикладываю логи AVZ - virusinfo_syscure.zip, AVZ - virusinfo_syscheck.zip, HJT - hijackthis.log для контроля, как вы и сказали.

[Vvvyg]

Я правильно понимаю, что я уже пролечил ПК и вам отправил результаты лечения?

Да, практически так.

Пофиксите в HijackThis (в Windows Vista/7/8 необходимо запускать через правую кнопку мыши Запуск от имени администратора)):

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=c8a7b1c0410e4e7ed48b16f114acdcea&text=
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=c8a7b1c0410e4e7ed48b16f114acdcea&text=
R3 - URLSearchHook: (no name) - {0633EE93-D776-472f-A0FF-E1416B8B2E3D} - (no file)
O13 - DefaultPrefix: http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=c8a7b1c0410e4e7ed48b16f114acdcea&text=

Сделайте лог AdwCleaner (by Xplode).

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 6
• В ходе лечения обнаружены вредоносные программы:
  
  1. \duwutbsjwjwcir8c.exe._c2cdf8f5cf8f8e7082898326b19 37499defa5c63 - not-a-virus:WebToolbar.Win32.CroRi.fte