Устанавливаются программы, подменяются браузеры, открываются ссылки

[Stepan13]

Добрый день, помогите, пожалуйста, побороть вирусы. сам никак не могу вычистить. где-то засело и возобновляется через некоторое время.
Ставятся самостоятельно программы, заменяют браузеры, домашнюю страницу и так далее.
Началось всё вроде с китайского байду или типа того.

[Info_bot]

Уважаемый(ая) Stepan13, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\Светлана\appdata\local\smartweb\__u.exe','');
 QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV23.06\21cff50e-715b-46d3-b1f2-b59912e254af-5.exe','');
 QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV23.06\21cff50e-715b-46d3-b1f2-b59912e254af-10.exe','');
 QuarantineFile('C:\Users\Светлана\AppData\Roaming\Browsers\exe.resworb.bat','');
 QuarantineFile('C:\Users\Светлана\AppData\Roaming\Browsers\exe.emorhc.bat','');
 QuarantineFile('C:\Windows\system32\drivers\innfd_1_10_0_14.sys','');
 QuarantineFile('C:\Program Files (x86)\Tencent\QQPCMgr\10.5.15816.217\QMUdisk64.sys','');
 QuarantineFile('C:\Windows\system32\drivers\wsfd_1_10_0_19.sys','');
 DeleteService('wsfd_1_10_0_19');
 DeleteService('QMUdisk');
 SetServiceStart('innfd_1_10_0_14', 4);
 DeleteService('innfd_1_10_0_14');
 SetServiceStart('WindowsMangerProtect', 4);
 DeleteService('WindowsMangerProtect');
 SetServiceStart('kuzodiku', 4);
 DeleteService('kuzodiku');
 SetServiceStart('IHProtect Service', 4);
 DeleteService('IHProtect Service');
 SetServiceStart('fewonize', 4);
 DeleteService('fewonize');
 QuarantineFile('C:\Program Files (x86)\MiuiTab\SupTab.dll','');
 QuarantineFile('C:\Program Files (x86)\MiuiTab\IeWatchDog.dll','');
 QuarantineFile('C:\Program Files (x86)\MiuiTab\BrowserAction.dll','');
 QuarantineFile('C:\Program Files (x86)\MiuiTab\BrowerWatchCH.dll','');
 TerminateProcessByName('c:\programdata\windowsmangerprotect\protectwindowsmanager.exe');
 QuarantineFile('c:\programdata\windowsmangerprotect\protectwindowsmanager.exe','');
 TerminateProcessByName('c:\program files (x86)\miuitab\protectservice.exe');
 QuarantineFile('c:\program files (x86)\miuitab\protectservice.exe','');
 TerminateProcessByName('c:\users\Светлана\appdata\roaming\3f3f6d00-1424482300-81e0-27a7-14dae9028f31\nsj4458.tmpfs');
 QuarantineFile('c:\users\Светлана\appdata\roaming\3f3f6d00-1424482300-81e0-27a7-14dae9028f31\nsj4458.tmpfs','');
 TerminateProcessByName('c:\users\Светлана\appdata\roaming\3f3f6d00-1424482300-81e0-27a7-14dae9028f31\jnsz7ccc.tmp');
 QuarantineFile('c:\users\Светлана\appdata\roaming\3f3f6d00-1424482300-81e0-27a7-14dae9028f31\jnsz7ccc.tmp','');
 TerminateProcessByName('c:\program files (x86)\miuitab\hpnotify.exe');
 QuarantineFile('c:\program files (x86)\miuitab\hpnotify.exe','');
 TerminateProcessByName('c:\program files (x86)\miuitab\cmdshell.exe');
 QuarantineFile('c:\program files (x86)\miuitab\cmdshell.exe','');
 DeleteFile('c:\program files (x86)\miuitab\cmdshell.exe','32');
 DeleteFile('c:\program files (x86)\miuitab\hpnotify.exe','32');
 DeleteFile('c:\users\Светлана\appdata\roaming\3f3f6d00-1424482300-81e0-27a7-14dae9028f31\jnsz7ccc.tmp','32');
 DeleteFile('c:\users\Светлана\appdata\roaming\3f3f6d00-1424482300-81e0-27a7-14dae9028f31\nsj4458.tmpfs','32');
 DeleteFile('c:\program files (x86)\miuitab\protectservice.exe','32');
 DeleteFile('c:\programdata\windowsmangerprotect\protectwindowsmanager.exe','32');
 DeleteFile('C:\Program Files (x86)\MiuiTab\BrowerWatchCH.dll','32');
 DeleteFile('C:\Program Files (x86)\MiuiTab\BrowserAction.dll','32');
 DeleteFile('C:\Program Files (x86)\MiuiTab\IeWatchDog.dll','32');
 DeleteFile('C:\Program Files (x86)\MiuiTab\SupTab.dll','32');
 DeleteFile('C:\Windows\system32\drivers\wsfd_1_10_0_19.sys','32');
 DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\10.5.15816.217\QMUdisk64.sys','32');
 DeleteFile('C:\Windows\system32\drivers\innfd_1_10_0_14.sys','32');
 DeleteFile('C:\Users\Светлана\AppData\Roaming\Browsers\exe.emorhc.bat','32');
 DeleteFile('C:\Users\Светлана\AppData\Roaming\Browsers\exe.resworb.bat','32');
 DeleteFile('C:\Program Files (x86)\CinemaPlus-4.5vV23.06\21cff50e-715b-46d3-b1f2-b59912e254af-10.exe','32');
 DeleteFile('C:\Program Files (x86)\CinemaPlus-4.5vV23.06\21cff50e-715b-46d3-b1f2-b59912e254af-5.exe','32');
 DeleteFile('C:\Windows\Tasks\21cff50e-715b-46d3-b1f2-b59912e254af-10_user.job','64');
 DeleteFile('C:\Windows\Tasks\21cff50e-715b-46d3-b1f2-b59912e254af-5_user.job','64');
 DeleteFile('C:\Windows\Tasks\B0TYg2U4YNFha31uq6G.job','64');
 DeleteFile('C:\Windows\Tasks\ZDGTehm2sugGTJiQBCw.job','64');
 DeleteFile('C:\Users\Светлана\appdata\local\smartweb\__u.exe','32');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин над первым сообщением в Вашей теме.

Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи

[Stepan13]

Скрипт выполнил, комп перезагрузился.
в папке карантин была папка с текущей датой и в ней различные файлы, не в архиве.
Но в это время у меня завис роутер и при загрузке не подхватился айпишник.
Я перезагрузился ещё раз. запустил стандартный скрипт сбора данных.
запустил вторую утилиту.
дальше перенёс флешку в комп с которого я всё пишу.
папка с карантином была пуста, архива с карантином тоже не было.

я запустил ещё раз скрипт из поста выше, но файлы видимо были удалены тем же скриптом.

новые логи прилагаю.

[thyrex]

Сделайте лог полного сканирования МВАМ

[Stepan13]

mbam

[thyrex]

Удалите в МВАМ все найденное

[Stepan13]

всё удалил.
ещё какие-то логи нужны или это всё?

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
  
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Stepan13]

оба лога во вложении.

[Stepan13]

подскажите, нужно ли ещё что-то делать?