Помогите — как удалить вирус mystartsearch.com [not-a-virus:RemoteAdmin.Win32.Ammyy.wrj, not-a-virus:AdWare.Win32.PriceGong.a ]

[Евгений Никольский]

Помогите, пожалуйста, не могу удалить со всех браузеров вирус mystartsearch.com. Avast и Касперский ничего не нашли.

[Info_bot]

Уважаемый(ая) Евгений Никольский, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[icotonev]

Здравствуйте,ждём логи по правилам..!

Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму публиковать в своём в сообщении здесь.

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила оформления запроса о помощи.

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
 QuarantineFile('C:\Users\Андрюшка\AppData\Local\Host installer\1419249726_installcube.exe','');
 QuarantineFile('C:\Users\66F2~1\AppData\Local\Temp\WIZZ\ioproduct_service.bat','');
 DeleteService('TSSKX64');
 DeleteService('TsDefenseBt');
 DeleteService('TS888x64');
 DeleteService('QMUdisk');
 StopService('wsafd_1_10_0_19');
 DeleteService('wsafd_1_10_0_19');
 StopService('SSFK');
 StopService('poluvyru');
 DeleteService('QQPCRTP');
 DeleteService('SSFK');
 DeleteService('poluvyru');
 QuarantineFile('C:\Windows\system32\drivers\wsafd_1_10_0_19.sys','');
 TerminateProcessByName('c:\program files (x86)\sfk\ssfk.exe');
 QuarantineFile('c:\program files (x86)\sfk\ssfk.exe','');
 TerminateProcessByName('C:\Program Files (x86)\SFK\SFKEX64.exe');
 QuarantineFile('C:\Program Files (x86)\SFK\SFKEX64.exe','');
 TerminateProcessByName('c:\users\Андрюшка\appdata\local\kometa\kometaup.exe');
 QuarantineFile('c:\users\Андрюшка\appdata\local\kometa\kometaup.exe','');
 TerminateProcessByName('c:\program files (x86)\03000200-1441275102-0500-0006-000700080009\knsde08a.tmpfs');
 QuarantineFile('c:\program files (x86)\03000200-1441275102-0500-0006-000700080009\knsde08a.tmpfs','');
 TerminateProcessByName('c:\users\66f2~1\appdata\local\temp\wizz\ioprotect.exe');
 QuarantineFile('c:\users\66f2~1\appdata\local\temp\wizz\ioprotect.exe','');
 TerminateProcessByName('c:\users\66f2~1\appdata\local\temp\wizz\ioproduct.exe');
 QuarantineFile('c:\users\66f2~1\appdata\local\temp\wizz\ioproduct.exe','');
 DeleteFile('c:\users\66f2~1\appdata\local\temp\wizz\ioproduct.exe','32');
 DeleteFile('c:\users\66f2~1\appdata\local\temp\wizz\ioprotect.exe','32');
 DeleteFile('c:\program files (x86)\03000200-1441275102-0500-0006-000700080009\knsde08a.tmpfs','32');
 DeleteFile('c:\users\Андрюшка\appdata\local\kometa\kometaup.exe','32');
 DeleteFile('C:\Program Files (x86)\SFK\SFKEX64.exe','32');
 DeleteFile('c:\program files (x86)\sfk\ssfk.exe','32');
 DeleteFile('C:\Windows\system32\drivers\wsafd_1_10_0_19.sys','32');
 DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\10.10.16434.218\QQPCRtp.exe','32');
 DeleteFile('C:\Program Files (x86)\03000200-1441275102-0500-0006-000700080009\knsdE08A.tmpfs','32');
 DeleteFile('C:\Program Files (x86)\SFK\SSFK.exe','32');
 DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\10.10.16434.218\QMUdisk64.sys','32');
 DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\10.10.16434.218\TS888x64.sys','32');
 DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\10.10.16434.218\TsDefenseBT64.sys','32');
 DeleteFile('C:\Windows\system32\drivers\tsskx64.sys','32');
 DeleteFile('C:\Users\66F2~1\AppData\Local\Temp\WIZZ\ioproduct_service.bat','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','IOPROTECT');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','umorhodzlr');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','kometaup');
 DeleteFile('C:\Windows\system32\Tasks\Soft installer','64');
 DeleteFile('C:\Users\Андрюшка\AppData\Local\Host installer\1419249726_installcube.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\WordSurfer Auto Updater 1.10.0.19 Core','64');
 DeleteFile('C:\Windows\system32\Tasks\WordSurfer Auto Updater 1.10.0.19 Pending Update','64');
 DeleteFile('C:\Windows\system32\Tasks\{51F1FA76-03E3-4946-AEC5-75FB92448584}','64');
ExecuteSysClean;
RebootWindows(true);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

1. Скачайте Check Browsers' LNK и сохраните архив с утилитой на Рабочем столе
2. Распакуйте архив с утилитой в отдельную папку
3. Запустите Check Browsers LNK.exe
   Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да
4. После окончания работы программы в папке Log будет сохранен отчет Check_Browsers_LNK.log
5. Прикрепите этот отчет в вашей теме.

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S1].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\Андрюшка\appdata\roaming\aspackage\aspackage.exe','');
 QuarantineFile('C:\Program Files (x86)\WordSurfer_1.10.0.19\Update\WordSurferAutoUpdateClient.exe','');
 DeleteService('TSSKX64');
 DeleteService('TsDefenseBt');
 DeleteService('TS888x64');
 DeleteService('QMUdisk');
 SetServiceStart('wsafd_1_10_0_19', 4);
 DeleteService('wsafd_1_10_0_19');
 DeleteService('QQPCRTP');
 SetServiceStart('SSFK', 4);
 DeleteService('SSFK');
 SetServiceStart('poluvyru', 4);
 DeleteService('poluvyru');
 QuarantineFile('C:\Windows\system32\drivers\wsafd_1_10_0_19.sys','');
 TerminateProcessByName('c:\program files (x86)\sfk\ssfk.exe');
 QuarantineFile('c:\program files (x86)\sfk\ssfk.exe','');
 TerminateProcessByName('C:\Program Files (x86)\SFK\SFKEX64.exe');
 QuarantineFile('C:\Program Files (x86)\SFK\SFKEX64.exe','');
 TerminateProcessByName('c:\users\Андрюшка\appdata\local\kometa\kometaup.exe');
 QuarantineFile('c:\users\Андрюшка\appdata\local\kometa\kometaup.exe','');
 TerminateProcessByName('c:\program files (x86)\03000200-1441275102-0500-0006-000700080009\knsde08a.tmpfs');
 QuarantineFile('c:\program files (x86)\03000200-1441275102-0500-0006-000700080009\knsde08a.tmpfs','');
 QuarantineFile('c:\users\66f2~1\appdata\local\temp\wizz\ioprotect.exe','');
 QuarantineFile('c:\users\66f2~1\appdata\local\temp\wizz\ioproduct.exe','');
 DeleteFile('c:\program files (x86)\03000200-1441275102-0500-0006-000700080009\knsde08a.tmpfs','32');
 DeleteFile('c:\users\Андрюшка\appdata\local\kometa\kometaup.exe','32');
 DeleteFile('C:\Program Files (x86)\SFK\SFKEX64.exe','32');
 DeleteFile('c:\program files (x86)\sfk\ssfk.exe','32');
 DeleteFile('C:\Windows\system32\drivers\wsafd_1_10_0_19.sys','32');
 DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\10.10.16434.218\QQPCRtp.exe','32');
 DeleteFile('C:\Windows\system32\drivers\tsskx64.sys','32');
 DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\10.10.16434.218\TsDefenseBT64.sys','32');
 DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\10.10.16434.218\TS888x64.sys','32');
 DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\10.10.16434.218\QMUdisk64.sys','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','umorhodzlr');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','kometaup');
 DeleteFile('C:\Program Files (x86)\WordSurfer_1.10.0.19\Update\WordSurferAutoUpdateClient.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\WordSurfer Auto Updater 1.10.0.19 Core','64');
 DeleteFile('C:\Windows\system32\Tasks\WordSurfer Auto Updater 1.10.0.19 Pending Update','64');
 DeleteFile('C:\Users\Андрюшка\appdata\roaming\aspackage\aspackage.exe','32');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением в Вашей теме.

Сделайте лог CheckBrowsers' Lnk

Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи

[Евгений Никольский]

Вот скинул все возможные логи по правилам. Спасибо за помощь!

[mike 1]

• Скачайте ClearLNK и сохраните архив с утилитой на рабочем столе.
• Распакуйте архив с утилитой в отдельную папку.
• Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке
  
  
  
• Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
• Прикрепите этот отчет к своему следующему сообщению.

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

[Евгений Никольский]

Вот как просили

[icotonev]

Что с проблемой?

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".



3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt). Пожалуйста, и его тоже прикрепите в следующем сообщении.

[Евгений Никольский]

Все заработало. Большое спасибо! Логи скинуть не могу, человек, у которого была эта проблема уехал.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 35
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\program files (x86)\gmsd_ru_005010080\gmsd_ru_005010080.exe - not-a-virus:AdWare.Win32.Eorezo.afob
  2. c:\program files (x86)\sfk\sfkex64.exe - not-a-virus:AdWare.Win64.Agent.be
  3. c:\program files (x86)\sfk\ssfk.exe - HEUR:Trojan.Win32.Generic
  4. c:\program files (x86)\wordsurfer_1.10.0.19\update\wordsurferautoup dateclient.exe - not-a-virus:AdWare.MSIL.Surfer.ak
  5. c:\program files (x86)\03000200-1441275102-0500-0006-000700080009\knsv7c42.tmp - not-a-virus:AdWare.Win32.Agent.jgjp
  6. c:\users\андрюшка\appdata\local\gmsd_ru_005010080\ upgmsd_ru_005010080.exe - not-a-virus:AdWare.Win32.Eorezo.afob
  7. c:\users\андрюшка\appdata\local\host installer\1419249726_installcube.exe - not-a-virus:Downloader.MSIL.Agent.glg
  8. c:\users\андрюшка\appdata\local\smartweb\smartweba pp.exe - not-a-virus:AdWare.Win32.PriceGong.a ( DrWEB: Adware.Shopper.845, AVAST4: Win32:PriceGong-B [Adw] )
  9. c:\users\андрюшка\appdata\local\smartweb\smartwebh elper.exe - not-a-virus:AdWare.Win32.PriceGong.a ( DrWEB: Adware.Shopper.845 )
  10. c:\users\андрюшка\appdata\local\smartweb\swhk.dll - not-a-virus:AdWare.Win32.PriceGong.a ( DrWEB: Adware.Shopper.845, AVAST4: Win32:BHO-AOK [Adw] )
  11. c:\users\андрюшка\appdata\roaming\aspackage\aspack age.exe - not-a-virus:AdWare.NSIS.ConvertAd.oqd
  12. c:\users\андрюшка\appdata\roaming\skype\my skype received files\aa_v3.5.exe - not-a-virus:RemoteAdmin.Win32.Ammyy.wrj ( DrWEB: Program.RemoteAdmin.701 )
  13. c:\users\66f2~1\appdata\local\temp\nsg496.tmp - Trojan-Downloader.Win32.Genome.tqca
  14. c:\users\66f2~1\appdata\local\temp\nswadba.tmp - not-a-virus:AdWare.NSIS.Agent.gp ( DrWEB: Trojan.DownLoader12.51329 )
  15. c:\users\66f2~1\appdata\local\temp\wizz\ioprotect. exe - not-a-virus:AdWare.Win32.Agent.jgbd
  16. c:\windows\system32\drivers\wsafd_1_10_0_19.sys - not-a-virus:NetTool.Win64.NetFilter.l