Не могу удалить рекламные ПО

[Fir642]

Здраствуйте. Сын устанавливал какую-то программу,и вместе с ней установилась просто куча других программ. УКдалить их не получается ни через установку и удаление программ,ни через CCleaner. В браузерах открываются всякие рекламные сайты, на экране справа появилась ненужная панель доступа к соцсетям, при загрузке компьютера вылазят окна о том,что невозможно запустить эти новые программы из-за отсутствия файлов. Утилитой Касперского проверяла 4 раза,каждый раз после проверки он показывал трояны и рекламные ПО,которые я выбирала нейтрализовать,после перезагрузки компьютера утилита снова запускала проверку и снова показывала рекламные ПО и так по кругу. Пожалуйста,помогите. У вас в инструкции написано,что не надо выполнять первый пункт при 64 разрядной версии,поэтому у меня получилось 2 файла диагностики.

[Info_bot]

Уважаемый(ая) Fir642, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

Выполните скрипт в AVZ:

begin
 TerminateProcessByName('c:\users\Александр\appdata\local\gmsd_ru_005010046\upgmsd_ru_005010046.exe');
 TerminateProcessByName('c:\program files (x86)\spacesondpro_v53.1236\spacesondpro_service.exe');
 TerminateProcessByName('c:\program files (x86)\miuitab\protectservice.exe');
 TerminateProcessByName('c:\programdata\mailupdate\mailupdate.exe');
 TerminateProcessByName('c:\users\Александр\appdata\local\kometa\kometaup.exe');
 TerminateProcessByName('c:\users\Александр\appdata\local\kometa\panel\kometalaunchpanel.exe');
 TerminateProcessByName('c:\program files (x86)\miuitab\hpnotify.exe');
 TerminateProcessByName('c:\program files (x86)\1039fb98-1438284244-11e4-9158-30514e540a00\hnsu681.tmp');
 QuarantineFile('C:\Users\Александр\AppData\Local\Kometa\Application\kometa.exe', '');
 QuarantineFile('C:\Program Files\SpaceSoundPro\SpaceSoundPro.exe', '');
 QuarantineFile('C:\Program Files (x86)\MiuiTab\BrowserAction.dll', '');
 QuarantineFile('C:\Program Files (x86)\MiuiTab\BrowerWatchFF.dll', '');
 QuarantineFile('C:\Program Files (x86)\MiuiTab\BrowerWatchCH.dll', '');
 QuarantineFile('c:\users\Александр\appdata\local\gmsd_ru_005010046\upgmsd_ru_005010046.exe', '');
 QuarantineFile('c:\program files (x86)\spacesondpro_v53.1236\spacesondpro_service.exe', '');
 QuarantineFile('c:\program files (x86)\miuitab\protectservice.exe', '');
 QuarantineFile('c:\programdata\mailupdate\mailupdate.exe', '');
 QuarantineFile('c:\users\Александр\appdata\local\kometa\kometaup.exe', '');
 QuarantineFile('c:\users\Александр\appdata\local\kometa\panel\kometalaunchpanel.exe', '');
 QuarantineFile('c:\program files (x86)\miuitab\hpnotify.exe', '');
 QuarantineFile('c:\program files (x86)\1039fb98-1438284244-11e4-9158-30514e540a00\hnsu681.tmp', '');
 DeleteFile('c:\program files (x86)\1039fb98-1438284244-11e4-9158-30514e540a00\hnsu681.tmp', '32');
 DeleteFile('c:\program files (x86)\miuitab\hpnotify.exe', '32');
 DeleteFile('c:\programdata\mailupdate\mailupdate.exe', '32');
 DeleteFile('c:\program files (x86)\miuitab\protectservice.exe', '32');
 DeleteFile('C:\Program Files (x86)\MiuiTab\BrowerWatchCH.dll', '32');
 DeleteFile('C:\Program Files (x86)\MiuiTab\BrowerWatchFF.dll', '32');
 DeleteFile('C:\Program Files (x86)\MiuiTab\BrowserAction.dll', '32');
 DeleteFile('C:\Users\Александр\AppData\Local\Kometa\Panel\1.0.0.726\sciter32.dll', '32');
 DeleteFile('C:\Program Files (x86)\SpaceSondPro_v53.1236\SpaceSondPro_Service.exe', '32');
 DeleteFile('C:\Program Files\SpaceSoundPro\SpaceSoundPro.exe', '32');
 DeleteFile('C:\Users\Александр\AppData\Local\Kometa\Application\kometa.exe', '32');
 DeleteFile('C:\Users\Александр\AppData\Local\Kometa\Panel\KometaLaunchPanel.exe', '32');
 DeleteFile('C:\Users\Александр\AppData\Local\Kometa\kometaup.exe', '32');
 DeleteFile('C:\Users\Александр\AppData\Local\gmsd_ru_005010046\upgmsd_ru_005010046.exe', '32');
 DeleteFile('C:\WINDOWS\Tasks\61595c25-c256-4e72-b6ff-85d28206eff4-1-6.job', '64');
 DeleteFile('C:\WINDOWS\Tasks\61595c25-c256-4e72-b6ff-85d28206eff4-1-7.job', '64');
 DeleteFile('C:\WINDOWS\Tasks\61595c25-c256-4e72-b6ff-85d28206eff4-10_user.job', '64');
 DeleteFile('C:\WINDOWS\Tasks\61595c25-c256-4e72-b6ff-85d28206eff4-3.job', '64');
 DeleteFile('C:\WINDOWS\Tasks\61595c25-c256-4e72-b6ff-85d28206eff4-5.job', '64');
 DeleteFile('C:\WINDOWS\Tasks\61595c25-c256-4e72-b6ff-85d28206eff4-5_user.job', '64');
 DeleteFile('C:\WINDOWS\Tasks\61595c25-c256-4e72-b6ff-85d28206eff4-6.job', '64');
 DeleteFile('C:\WINDOWS\Tasks\61595c25-c256-4e72-b6ff-85d28206eff4-7.job', '64');
 DeleteFileMask('C:\Users\Александр\AppData\Local\gmsd_ru_005010046', '*', true);
 DeleteFileMask('C:\Users\Александр\AppData\Local\Kometa', '*', true);
 DeleteFileMask('C:\Program Files\SpaceSoundPro', '*', true);
 DeleteFileMask('C:\Program Files (x86)\SpaceSondPro_v53.1236', '*', true);
 DeleteFileMask('C:\Program Files (x86)\MiuiTab\', '*', true);
 DeleteFileMask('c:\programdata\mailupdate', '*', true);
 DeleteFileMask('c:\program files (x86)\1039fb98-1438284244-11e4-9158-30514e540a00', '*', true);
 DeleteDirectory('C:\Users\Александр\AppData\Local\gmsd_ru_005010046');
 DeleteDirectory('C:\Users\Александр\AppData\Local\Kometa');
 DeleteDirectory('C:\Program Files\SpaceSoundPro');
 DeleteDirectory('C:\Program Files (x86)\SpaceSondPro_v53.1236');
 DeleteDirectory('C:\Program Files (x86)\MiuiTab\');
 DeleteDirectory('c:\programdata\mailupdate');
 DeleteDirectory('c:\program files (x86)\1039fb98-1438284244-11e4-9158-30514e540a00');
ExecuteSysClean;
 ExecuteRepair(4);
 ExecuteRepair(3);
 ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.

Компьютер перезагрузится.
Выполните в AVZ скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.

Сделайте лог AdwCleaner (by Xplode).

Сделайте лог Check Browsers' LNK.

[Fir642]

вот,вроде все выполнила

[Vvvyg]

# AdwCleaner v4.208 - Отчёт создан 10/07/2015 в 09:07:27

Нужен самый свежий файл вида AdwCleaner[R?].txt, где вместо вопросительного знака - цифра. В папке C:\Adwcleaner поищите.

Перетащите лог Check_Browsers_LNK.log на утилиту ClearLNK. Отчёт о работе прикрепите.

[Fir642]

готово

[Vvvyg]

C ClearLNK что-то не так пошло...

Запустите ClearLNK[, скопируйте текст ниже в окно утилиты и нажмите "Лечить".

>>> [script][MASK][s] "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome\Gооgle Сhrome.lnk"   -> ["C:\Users\Александр\AppData\Roaming\Browsers\exe.emorhc.bat"] -> start "" "c:\PROGRA~2\google\chrome\APPLIC~1\chrome.exe" "hxxp://searclh-poisk.ru" ( обфусцирован ) (574 байт.) (MD5:5DE8EFD9B2B60BB56B0C4791F5CCC073)
>>> [script][MASK][s] "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Мozilla Firefох.lnk"     -> ["C:\Users\Александр\AppData\Roaming\Browsers\exe.xoferif.bat"] -> start "" "c:\PROGRA~2\MOZILL~1\firefox.exe" "hxxp://searclh-poisk.ru" ( обфусцирован ) (483 байт.) (MD5:AA83EADC8E411D893617FAA3E5F7CBE9)
>>> [script][MASK][s] "C:\Users\Александр\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Gооgle Chrоme.lnk"    -> ["C:\Users\Александр\AppData\Roaming\Browsers\exe.emorhc.bat"] -> start "" "c:\PROGRA~2\google\chrome\APPLIC~1\chrome.exe" "hxxp://searclh-poisk.ru" ( обфусцирован ) (574 байт.) (MD5:5DE8EFD9B2B60BB56B0C4791F5CCC073)
>>> [script][MASK][s] "C:\Users\Александр\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Lаunсh Intеrnet Еxplоrer Вrowser.lnk"     -> ["C:\Users\Александр\AppData\Roaming\Browsers\exe.erolpxei.bat"] -> start "" "c:\PROGRA~2\INTERN~1\iexplore.exe" "hxxp://searclh-poisk.ru" ( обфусцирован ) (490 байт.) (MD5:2991CBD7FAEA692550338B94DB6EEB99)
>>> [script][MASK] "C:\Users\Александр\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Gоogle Сhrоmе (2).lnk"   -> ["C:\Users\Александр\AppData\Roaming\Browsers\exe.emorhc.bat"] -> start "" "c:\PROGRA~2\google\chrome\APPLIC~1\chrome.exe" "hxxp://searclh-poisk.ru" ( обфусцирован ) (574 байт.) (MD5:5DE8EFD9B2B60BB56B0C4791F5CCC073)
>>> [script][MASK][s] "C:\Users\Александр\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Gоogle Сhrоmе.lnk"    -> ["C:\Users\Александр\AppData\Roaming\Browsers\exe.emorhc.bat"] -> start "" "c:\PROGRA~2\google\chrome\APPLIC~1\chrome.exe" "hxxp://searclh-poisk.ru" ( обфусцирован ) (574 байт.) (MD5:5DE8EFD9B2B60BB56B0C4791F5CCC073)
>>> [script][MASK][s] "C:\Users\Александр\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Intеrnet Eхplorer.lnk"          -> ["C:\Users\Александр\AppData\Roaming\Browsers\exe.erolpxei.bat"] -> start "" "c:\PROGRA~2\INTERN~1\iexplore.exe" "hxxp://searclh-poisk.ru" ( обфусцирован ) (490 байт.) (MD5:2991CBD7FAEA692550338B94DB6EEB99)
>>> [script][MASK][s] "C:\Users\Александр\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnеt Exрlоrеr.lnk"   -> ["C:\Users\Александр\AppData\Roaming\Browsers\exe.erolpxei.bat"] -> start "" "c:\PROGRA~2\INTERN~1\iexplore.exe" "hxxp://searclh-poisk.ru" ( обфусцирован ) (490 байт.) (MD5:2991CBD7FAEA692550338B94DB6EEB99)
>>> [script][MASK][s] "C:\Users\Александр\Desktop\misc files\Gооgle Сhromе.lnk"  -> ["C:\Users\Александр\AppData\Roaming\Browsers\exe.emorhc.bat"] -> start "" "c:\PROGRA~2\google\chrome\APPLIC~1\chrome.exe" "hxxp://searclh-poisk.ru" ( обфусцирован ) (574 байт.) (MD5:5DE8EFD9B2B60BB56B0C4791F5CCC073)
>>> [script][MASK][s] "C:\Users\Александр\Desktop\misc files\Мozillа Firеfох.lnk"          -> ["C:\Users\Александр\AppData\Roaming\Browsers\exe.xoferif.bat"] -> start "" "c:\PROGRA~2\MOZILL~1\firefox.exe" "hxxp://searclh-poisk.ru" ( обфусцирован ) (483 байт.) (MD5:AA83EADC8E411D893617FAA3E5F7CBE9)
- "C:\Users\Александр\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Elements (E).lnk"        -> ["E:\"] ( цель на съемном устройстве: ОТКЛЮЧЕНО )
- "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\PC App Store.lnk"        -> ["C:\Users\Александр\AppData\Local\Pokki\Engine\HostAppService.exe"  =>  /OPEN"f22abfeae27a67446927d078890381efc546d3e1"]
- "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Start Menu.lnk"          -> ["C:\Users\Александр\AppData\Local\Pokki\Engine\HostAppService.exe"  => /OPEN"menu"]
- "C:\Users\Александр\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Lenovo Web Start.lnk"    -> ["C:\Users\Александр\AppData\Local\Pokki\Engine\HostAppService.exe"  =>  /OPEN"04bb6df446330549a2cb8d67fbd1a745025b7bd1"]
- "C:\Users\Александр\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\PC App Store.lnk"        -> ["C:\Users\Александр\AppData\Local\Pokki\Engine\HostAppService.exe"  =>  /OPEN"f22abfeae27a67446927d078890381efc546d3e1"]
- "C:\Users\Александр\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\SkyDrive.lnk"  -> ["C:\Users\Александр\AppData\Local\Microsoft\SkyDrive\SkyDrive.exe"]
- "C:\Users\Александр\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Start Menu.lnk"          -> ["C:\Users\Александр\AppData\Local\Pokki\Engine\HostAppService.exe"  => /OPEN"menu"]
- "C:\Users\Александр\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\The KMPlayer\KMPlayer Setup Wizard.lnk"      -> ["C:\The KMPlayer\KMPSetup.exe"]
- "C:\Users\Александр\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Меню Пуск.lnk"           -> ["C:\Users\Александр\AppData\Local\Pokki\Engine\HostAppService.exe"  => /OPEN"menu"]
- "C:\Users\Александр\Desktop\misc files\GIMP 2.lnk"         -> ["C:\Program Files\GIMP 2\bin\gimp-2.8.exe"]
- "C:\Users\Александр\Desktop\misc files\McAfee Security Scan Plus.lnk"          -> ["C:\Program Files\McAfee Security Scan\3.8.150\McUICnt.exe"  => SecurityScanner.dll]
-[h] "C:\Users\Александр\Desktop\misc files\World of Warcraft.lnk"     -> ["C:\Users\Александр\Documents\программы\World of Warcraft\World of Warcraft Launcher.exe"]
-[h] "C:\Users\Александр\Desktop\misc files\Battle.net.lnk"  -> ["C:\Program Files (x86)\Battle.net\Battle.net Launcher.exe"]
>>> [h] "C:\Users\Александр\Desktop\misc files\Google Chrome.lnk"      -> ["C:\Program Files (x86)\Google\Chrome\Application\chrome.exe"]
>>> [h] "C:\Users\Александр\Desktop\misc files\Mozilla Firefox.lnk"    -> ["C:\Program Files (x86)\Mozilla Firefox\firefox.exe"]

Отчёт о работе прикрепите.

Удалите всё найденное в AdwCleaner, дождитесь окончания удаления и перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[S0].txt, прикрепите к своему следующему сообщению.
Очистите кэш и cookies-файлы браузеров и сообщите, что с проблемами.

[Fir642]

вот первое

[Vvvyg]

И вердикт жду - решена ли проблема после очистки в AdwCleaner.

[Fir642]

Вроде рекламные страницы больше не вылазят,но вот при загрузке компьютера вылазит куча окон :
ASCTray.exe системная ошибка,нет какого-то там файла. RealTimeProtector.exe та же системная ошибка, Прекращение работы программы RealTime Protector. Advanced System Care 8 и Performance Monitor тоже окна,что нет каких-то файлов. Кажется,это те самые ненужные программы,что загрузились вместе с рекламными по,и которые я пыталась удалить. что мне сделать,чтобы эти окна не вылазили?

[Vvvyg]

Скачайте программу Universal Virus Sniffer и сделайте полный образ автозапуска uVS.

[Fir642]

Не могу загрузить образ, пишет файл превысил объем на форуме.что делать? он весит 694 Кб в архиве. Видно,тут с сайта не удалились еще с прошлого моего лечения файлы,а как их удалить,я не знаю.не вижу функции.

[Vvvyg]

Удалите вложения, относящиеся к самым старым темам.
Или загрузите на rghost.ru и дайте ссылку в теме.

[Fir642]

вот

[Vvvyg]

Выполните скрипт в uVS:

;uVS v3.85.27 [http://dsrt.dyndns.org]
;Target OS: NTv6.3
v385c
delref %SystemDrive%\USERS\���������\APPDATA\ROAMING\WHVE7MJ2QSW52JXHCV5THL.EXE
delall %SystemDrive%\USERS\АЛЕКСАНДР\APPDATA\ROAMING\WHVE7MJ2QSW52JXHCV5THL.EXE
zoo %SystemDrive%\PROGRAM FILES (X86)\GMSD_RU_005010046\GAMESDESKTOP_WIDGET.EXE
delall %SystemDrive%\PROGRAM FILES (X86)\GMSD_RU_005010046\GAMESDESKTOP_WIDGET.EXE
del %SystemDrive%\USERS\АЛЕКСАНДР\APPDATA\ROAMING\BROWSERS\EXE.EMORHC.BAT
del %SystemDrive%\USERS\АЛЕКСАНДР\APPDATA\ROAMING\BROWSERS\EXE.EROLPXEI.BAT
del %SystemDrive%\USERS\АЛЕКСАНДР\APPDATA\ROAMING\BROWSERS\EXE.REHCNUAL TEN.ELTTAB.BAT
del %SystemDrive%\USERS\АЛЕКСАНДР\APPDATA\ROAMING\BROWSERS\EXE.XOFERIF.BAT
zoo %SystemDrive%\PROGRAMDATA\CWINMANPROC\PROTECTWINDOWSMANAGER.EXE
delall %SystemDrive%\PROGRAMDATA\CWINMANPROC\PROTECTWINDOWSMANAGER.EXE
deldir %SystemDrive%\PROGRAMDATA\CWINMANPROC
delref %SystemDrive%\PROGRAM FILES\SPACESOUNDPRO\SPACESOUNDPRO.DLL
delall %SystemDrive%\PROGRAM FILES (X86)\IOBIT\ADVANCED SYSTEMCARE 8\REALTIMEPROTECTOR.EXE
uidel  "C:\Program Files (x86)\gmsd_ru_005010046\unins001.exe"
delall %SystemDrive%\PROGRAM FILES (X86)\IOBIT\ADVANCED SYSTEMCARE 8\ASC.EXE
delall %SystemDrive%\PROGRAM FILES (X86)\IOBIT\LIVEUPDATE\LIVEUPDATE.EXE
deldirex %SystemDrive%\PROGRAM FILES (X86)\IOBIT
deldir %SystemDrive%\PROGRAM FILES (X86)\IOBIT
delref %SystemDrive%\PROGRAM FILES (X86)\OTWEAK\SYSTEMBOOSTERPRO\SYSTEMBOOSTERPRO.EXE
deltmp
czoo
restart

Компьютер перезагрузится.

В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.

[Fir642]

После перезагрузки все эти окна с сообщениями об ошибках программ исчезли,осталось только окно с прекращением программы GWXUX. Как мне ранее объяснили,это реклама Windows 10, и опасности не представляет?

[Vvvyg]

Да, именно так.

Запустите AdwCleaner и нажмите Удалить.

Выполните рекомендации после лечения.

[Fir642]

спасибо большое за помощь

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 15
• В ходе лечения обнаружены вредоносные программы:
  
  1. \gamesdesktop_widget.exe._4a9ed0f35542ea1bd88c3718 46ef3242041d1fd2 - not-a-virus:AdWare.Win32.Eorezo.afob