Самоустановка различных программ

[PhiZiK]

Здравствуйте!
В системе устанавливаются самостоятельно различные программы, например CinemaPlus-3.2cV22.10, Gamesdesktop, globalUpdate, SFK и другие, название которых точно не вспомню (левый браузер, софт по очистке реестра, софт для защиты системы, просто что-то с именем Setup). После проверки и лечения Doctor Web CureIt в безопасном режиме несколько дней все было нормально. Потом снова самостоятельно устанавливаются эти программы. Несколько раз принудительно их удалял, но через день-два все повторялось снова. К указанным добавились jogotempo 3.4, Compatible Web Directory. При этом периодически запускается браузер с рекламой. Из автозагрузки все "левые" программы убирал.
Прошу помочь в лечении.

[Info_bot]

Уважаемый(ая) PhiZiK, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Program Files (x86)\MyBrowser\MyBrowser\Application\utility.exe','');
 QuarantineFile('C:\Program Files (x86)\globalUpdate\Update\globalupdate.exe','');
 QuarantineFile('C:\Program Files (x86)\CinemaPlus-3.2cV14.10\5522bb6b-bbb8-4ad8-b668-91c4bffa79d6-10.exe','');
 QuarantineFile('C:\Program Files (x86)\CinemaPlus-3.2cV22.10\4bfac299-a6dd-484d-951f-988ba708d5b9-5.exe','');
 QuarantineFile('C:\Program Files (x86)\CinemaPlus-3.2cV22.10\4bfac299-a6dd-484d-951f-988ba708d5b9-11.exe','');
 QuarantineFile('C:\Program Files (x86)\CinemaPlus-3.2cV22.10\4bfac299-a6dd-484d-951f-988ba708d5b9-10.exe','');
 QuarantineFile('C:\Program Files (x86)\CinemaPlus-3.2cV22.10\4bfac299-a6dd-484d-951f-988ba708d5b9-1-7.exe','');
 QuarantineFile('C:\Program Files (x86)\CinemaPlus-3.2cV22.10\4bfac299-a6dd-484d-951f-988ba708d5b9-1-6.exe','');
 QuarantineFile('c:\users\admin\appdata\roaming\netservice\netservice.exe','');
 TerminateProcessByName('c:\program files (x86)\7da51801-1444735047-e411-b2a0-f8a9634a8c57\knsy81dd.tmp');
 QuarantineFile('c:\program files (x86)\7da51801-1444735047-e411-b2a0-f8a9634a8c57\knsy81dd.tmp','');
 DeleteFile('c:\program files (x86)\7da51801-1444735047-e411-b2a0-f8a9634a8c57\knsy81dd.tmp','32');
 DeleteFile('C:\Program Files (x86)\CinemaPlus-3.2cV22.10\4bfac299-a6dd-484d-951f-988ba708d5b9-1-6.exe','32');
 DeleteFile('C:\Program Files (x86)\CinemaPlus-3.2cV22.10\4bfac299-a6dd-484d-951f-988ba708d5b9-1-7.exe','32');
 DeleteFile('C:\WINDOWS\Tasks\4bfac299-a6dd-484d-951f-988ba708d5b9-1-7.job','64');
 DeleteFile('C:\WINDOWS\Tasks\4bfac299-a6dd-484d-951f-988ba708d5b9-1-6.job','64');
 DeleteFile('C:\Program Files (x86)\CinemaPlus-3.2cV22.10\4bfac299-a6dd-484d-951f-988ba708d5b9-10.exe','32');
 DeleteFile('C:\Program Files (x86)\CinemaPlus-3.2cV22.10\4bfac299-a6dd-484d-951f-988ba708d5b9-11.exe','32');
 DeleteFile('C:\Program Files (x86)\CinemaPlus-3.2cV22.10\4bfac299-a6dd-484d-951f-988ba708d5b9-5.exe','32');
 DeleteFile('C:\WINDOWS\Tasks\4bfac299-a6dd-484d-951f-988ba708d5b9-5_user.job','64');
 DeleteFile('C:\WINDOWS\Tasks\4bfac299-a6dd-484d-951f-988ba708d5b9-5.job','64');
 DeleteFile('C:\WINDOWS\Tasks\4bfac299-a6dd-484d-951f-988ba708d5b9-11.job','64');
 DeleteFile('C:\WINDOWS\Tasks\4bfac299-a6dd-484d-951f-988ba708d5b9-10_user.job','64');
 DeleteFile('C:\Program Files (x86)\CinemaPlus-3.2cV14.10\5522bb6b-bbb8-4ad8-b668-91c4bffa79d6-10.exe','32');
 DeleteFile('C:\Program Files (x86)\globalUpdate\Update\globalupdate.exe','32');
 DeleteFile('C:\WINDOWS\Tasks\globalUpdateUpdateTaskMachineCore.job','64');
 DeleteFile('C:\WINDOWS\Tasks\globalUpdateUpdateTaskMachineUA.job','64');
 DeleteFile('C:\WINDOWS\Tasks\5522bb6b-bbb8-4ad8-b668-91c4bffa79d6-10_user.job','64');
 DeleteFile('C:\WINDOWS\Tasks\MyBrowser.job','64');
 DeleteFile('C:\WINDOWS\Tasks\Update Service for Torrent Search.job','64');
 DeleteFile('C:\WINDOWS\Tasks\Update Service for Torrent Search2.job','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\4bfac299-a6dd-484d-951f-988ba708d5b9-5_user','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\4bfac299-a6dd-484d-951f-988ba708d5b9-5','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\4bfac299-a6dd-484d-951f-988ba708d5b9-11','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\4bfac299-a6dd-484d-951f-988ba708d5b9-10_user','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\4bfac299-a6dd-484d-951f-988ba708d5b9-1-7','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\4bfac299-a6dd-484d-951f-988ba708d5b9-1-6','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\ASP','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\globalUpdateUpdateTaskMachineCore','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\globalUpdateUpdateTaskMachineUA','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\MyBrowser','64');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением в Вашей теме.

Скачайте AVZ 4.45, обновите его базы

Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи

[PhiZiK]

Скрипт выполнил. Карантин пустой, т.к. я уже применял советы других пользователей с другого форума. Правила выполнил еще раз, но сейчас, вроде бы, проблема исчезла...

[thyrex]

Сделайте лог полного сканирования МВАМ

[PhiZiK]

Сделал.

[thyrex]

Удалите в МВАМ только

Trojan.Proxy, HKLM\SOFTWARE\CLASSES\autorun.DynamicNS, , [039c52276427f93db4ba62a0857d8a76], 
Trojan.Proxy, HKLM\SOFTWARE\WOW6432NODE\CLASSES\autorun.DynamicNS, , [4f50e8912863181ee38bac56a85a27d9], 
Trojan.Proxy, HKLM\SOFTWARE\CLASSES\WOW6432NODE\autorun.DynamicNS, , [4f50e8912863181ee38bac56a85a27d9], 
PUP.Optional.CinemaPlus, HKLM\SOFTWARE\WOW6432NODE\CinemaPlus-3.2cV14.10-nv-ie, , [346b7ffaeba03501c112abac61a2d52b], 
PUP.Optional.CinemaPlus, HKLM\SOFTWARE\WOW6432NODE\CinemaPlus-3.2cV16.10-nv-ie, , [554a3c3df695b2840dc6f26555ae07f9], 
PUP.Optional.CinemaPlus, HKLM\SOFTWARE\WOW6432NODE\CinemaPlus-3.2cV22.10, , [5f4096e37c0f072f627179de2ad94bb5], 
PUP.Optional.CinemaPlus, HKLM\SOFTWARE\WOW6432NODE\CinemaPlus-3.2cV22.10-nv-ie, , [f0afd0a9414aff37e1f26dea3bc88779], 
PUP.Optional.CinemaPlus, HKU\S-1-5-18\SOFTWARE\CinemaPlus-3.2cV14.10-nv-ie, , [d5caa1d818730432f0c3c790f0133ec2], 
PUP.Optional.CinemaPlus, HKU\S-1-5-18\SOFTWARE\CinemaPlus-3.2cV16.10-nv-ie, , [2778ed8c24672d09fbb8500759aa2ad6], 
PUP.Optional.CinemaPlus, HKU\S-1-5-18\SOFTWARE\CinemaPlus-3.2cV22.10-nv-ie, , [bfe0413891faa294189bfc5bab583ac6], 
PUP.Optional.CinemaPlus, HKU\S-1-5-21-3237789496-1919621188-462424563-1002\SOFTWARE\CinemaPlus-3.2cV14.10-nv-ie, , [019e6a0f2a616ccac8eb5ef918ebab55], 
PUP.Optional.CinemaPlus, HKU\S-1-5-21-3237789496-1919621188-462424563-1002\SOFTWARE\CinemaPlus-3.2cV16.10-nv-ie, , [5946d1a83556bb7b248fdf7853b09f61], 
PUP.Optional.CinemaPlus, HKU\S-1-5-21-3237789496-1919621188-462424563-1002\SOFTWARE\CinemaPlus-3.2cV22.10, , [88171d5c5f2c5bdb8b28abac0df6f50b], 
PUP.Optional.CinemaPlus, HKU\S-1-5-21-3237789496-1919621188-462424563-1002\SOFTWARE\CinemaPlus-3.2cV22.10-nv-ie, , [5e419ddc8209ca6c486bd97e699a5da3], 

PUP.Optional.CrossBrowse, HKLM\SOFTWARE\CLASSES\.XHTML\OPENWITHPROGIDS|CRSBRWSHTML, , [cfd00d6c5f2cd165dffdfacb16ed9070], 
PUP.Optional.CrossBrowse, HKLM\SOFTWARE\CLASSES\WOW6432NODE\.XHTML\OPENWITHPROGIDS|CRSBRWSHTML, , [29763841800bae88e1fb2a9b35cef709], 
PUP.Optional.CrossBrowse, HKLM\SOFTWARE\WOW6432NODE\CLASSES\.XHTML\OPENWITHPROGIDS|CRSBRWSHTML, , [8a150f6aa7e4c0763ca043828c770ef2], 
PUP.Optional.MyBrowser, HKLM\SOFTWARE\WOW6432NODE\MICROSOFT\ACTIVE SETUP\INSTALLED COMPONENTS, MyBrowser, , [950a81f8dab174c22fefeea92dd6fc04]
PUP.Optional.MyBrowser, HKLM\SOFTWARE\WOW6432NODE\MICROSOFT\ACTIVE SETUP\INSTALLED COMPONENTS|Localized Name, MyBrowser, , [abf44732078441f548d65f3810f30000]

[PhiZiK]

Удалил.

[thyrex]

На Cyberforum темы по этим же компьютерам?

[PhiZiK]

Да, по этому одному создал там и здесь. Другая тема Globalupdate.exe, ssfk.exe, Picexa.exe и другие на Cyberforum, в которой Вы мне тоже помогаете, по другому компу и здесь эту тему не дублировал. Просто именно этот основной рабочий комп и нужно было его побыстрее привести в чувство и максимально вычистить...
Сейчас проблем не наблюдается. Можно считать, что заразу убрали?

Ну и заодно спрошу совета: где лучше создавать тему - на Cyberforum или здесь?

[thyrex]

Плодить темы на форумах не нужно. Все форумы равнозначны

Тему считаем решенной.