Хелп ! [not-a-virus:AdWare.Win32.ConvertAd.bjg, not-a-virus:AdWare.Win32.ConvertAd.bji ]

[Xaocc]

В общем залезла какая то бяка ко мне на комп, постоянно ставит всякие левые приложения типа Амиго, Однокласники, Яндекс, Контакт и тд и тп, стоит Антивирус Касперского, что то находит и удаляет, но не помогает, постоянно лезут сетапы и устанавливается всякая ерунда.
Запускал в безопасном режиме AVPTool что то нашел, удалил , перезапустил и все равно не помогло.

[Info_bot]

Уважаемый(ая) Xaocc, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 QuarantineFile('C:\Users\Orlov\AppData\Local\Hostinstaller\1884383920_monster.exe','');
 QuarantineFile('C:\Users\Orlov\AppData\Local\cDdgrDcZ\XUJaJipSJ1.bat','');
 QuarantineFile('C:\Users\Orlov\AppData\Local\blacount\blcntstb.exe','');
 QuarantineFile('C:\Users\Orlov\AppData\Local\blacount\config.json','');
 QuarantineFile('C:\Program Files (x86)\gmsd_ru_005010181\gmsd_ru_005010181.exe','');
 QuarantineFile('C:\Program Files (x86)\gmsd_ru_005010180\gmsd_ru_005010180.exe','');
 QuarantineFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe','');
 DeleteService('TSSKX64');
 DeleteService('softaal');
 DeleteService('QMUdisk');
 SetServiceStart('tivedijo', 4);
 DeleteService('tivedijo');
 TerminateProcessByName('c:\users\orlov\appdata\local\temp\nsh3b01.tmp');
 TerminateProcessByName('c:\users\orlov\appdata\local\temp\nsnb998.tmp');
 TerminateProcessByName('c:\program files (x86)\baidu\ppt.exe');
 QuarantineFile('c:\users\orlov\appdata\local\temp\nsnb998.tmp','');
 QuarantineFile('c:\users\orlov\appdata\local\temp\nsh3b01.tmp','');
 TerminateProcessByName('c:\program files (x86)\1e00d660-1450092683-d500-4635-485b394343db\knsm7fe6.tmp');
 QuarantineFile('c:\program files (x86)\1e00d660-1450092683-d500-4635-485b394343db\knsm7fe6.tmp','');
 TerminateProcessByName('c:\program files (x86)\1e00d660-1450092683-d500-4635-485b394343db\hnsr5724.tmp');
 QuarantineFile('c:\program files (x86)\1e00d660-1450092683-d500-4635-485b394343db\hnsr5724.tmp','');
 DeleteFile('c:\program files (x86)\1e00d660-1450092683-d500-4635-485b394343db\hnsr5724.tmp','32');
 DeleteFile('c:\program files (x86)\1e00d660-1450092683-d500-4635-485b394343db\knsm7fe6.tmp','32');
 DeleteFile('c:\users\orlov\appdata\local\temp\nsh3b01.tmp','32');
 DeleteFile('c:\users\orlov\appdata\local\temp\nsnb998.tmp','32');
 DeleteFile('c:\program files (x86)\baidu\ppt.exe','32');
 DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\11.1.16908.217\QMUdisk64.sys','32');
 DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\11.1.16908.217\softaal64.sys','32');
 DeleteFile('C:\Windows\system32\drivers\tsskx64.sys','32');
 DeleteFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe','32');
 DeleteFile('C:\Program Files (x86)\gmsd_ru_005010180\gmsd_ru_005010180.exe','32');
 DeleteFile('C:\Program Files (x86)\gmsd_ru_005010181\gmsd_ru_005010181.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','gmsd_ru_005010181');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','gmsd_ru_005010180');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','ZaxarLoader');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','C');
 DeleteFile('C:\Users\Orlov\AppData\Local\blacount\config.json','32');
 DeleteFile('C:\Users\Orlov\AppData\Local\blacount\blcntstb.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','apphide');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','blacount');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','amigo');
 DeleteFile('C:\Users\Orlov\AppData\Local\cDdgrDcZ\XUJaJipSJ1.bat','32');
 DeleteFile('C:\Users\Orlov\AppData\Local\Hostinstaller\1884383920_monster.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\Soft installer','64');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением в Вашей теме.

Сделайте лог CheckBrowsers' Lnk

Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи

[Xaocc]

Все выполнил, карантин отправил .
Вот новые логи.

[thyrex]

Скачайте ClearLNK и сохраните архив с утилитой на Рабочем столе.
1. Распакуйте архив с утилитой в отдельную папку.
2. Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке



3. Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
4. Прикрепите этот отчет к своему следующему сообщению.

+ Сделайте лог полного сканирования МВАМ

[Xaocc]

Сделал все по правилам, логи прилагаются.

[thyrex]

Удалите в МВАМ все, кроме

Trojan.FakeAlert, C:\Windows\kmsem\KMService.exe, 2660, , [a5d9b9efa4e74fe794ed76e2de22619f]

Trojan.FakeAlert, C:\Windows\kmsem\KMService.exe, , [a5d9b9efa4e74fe794ed76e2de22619f], 
Trojan.Agent.CK, D:\123\программы\Hide_IP_Platinum_3.50.rar, , [5d218b1d0c7fbc7a02fb816236cb33cd], 
Trojan.Dropper.PGen, D:\123\программы\ACDSee 10_0_238_RU\keygen.exe, , [85f911975536df57ad495afd2ed22cd4], 
RiskWare.Tool.CK, D:\123\программы\acronis\Acronis_TI_Enterprise_Server_9.1_rus\Acronis.Prod.kg.exe, , [d8a604a43358dd59301dba109967b947], 
RiskWare.Tool.CK, D:\123\программы\acronis\ADDS_10.0.2161_RU\Keygen ZWT All languages.exe, , [fe80703856354aec11070ccf669b4fb1], 
RiskWare.Tool.CK, D:\123\программы\admin\Security.Administrator.v11.5.Incl.KeyMaker.and.Patch-DVT\Security.Administrator.v11.5.Incl.KeyMaker.and.Patch-DVT\dva4fse1\d-000se.rar, , [6b13b5f33c4fb38364002037fd03a957], 
RiskWare.Tool.CK, D:\123\программы\admin\Security.Administrator.v11.5.Incl.KeyMaker.and.Patch-DVT\Security.Administrator.v11.5.Incl.KeyMaker.and.Patch-DVT\dva4fse1\d-000se\I_LOVE_DVT.RAR, , [dda1ceda68235dd90262f85f87793bc5], 
RiskWare.Tool.CK, D:\123\программы\admin\Security.Administrator.v11.5.Incl.KeyMaker.and.Patch-DVT\Security.Administrator.v11.5.Incl.KeyMaker.and.Patch-DVT\dva4fse1\d-000se\I_LOVE_DVT\PATCH.EXE, , [e6982b7da9e2db5b471d8acdf50b12ee], 
RiskWare.Tool.CK, D:\123\программы\Adobe_Premiere_Pro_CS3\Adobe Premiere Pro CS3\Premiere Pro CS3 KeyGen-Activation.exe, , [c8b6644492f93afc9cd543208a76718f], 
Trojan.ExploitDrop.BV, D:\123\программы\Alcohol_Software_Collection_2010\Alcohol 120% 2.0.0.1331 Retail\AutoLoader_AxLaUn.exe, , [abd3e3c56e1d22148fca94e946ba8e72], 
Trojan.Agent.CK, D:\123\программы\bat new\TheBat_3[1].x\PHILka.RU_TheBat!-3.x\patch\The BAT! 3.0.1 - Key generator.exe, , [f08e7632870482b42bd30fd48081c43c], 
RiskWare.Tool.HCK, D:\123\программы\flesh\my flesh\nero 7\e-ne2701-2006-08-29\e-ne2701-2006-08-29.rar, , [c3bb9810d8b31b1bd6ea89649e630ef2], 
RiskWare.Tool.HCK, D:\123\программы\flesh\my flesh\nero 7\e-ne2701-2006-08-29\keygen.exe, , [e896a60233582115863abc310bf612ee], 
PUP.Optional.IntroKeygen, D:\123\программы\flesh\my flesh\tweaker\WinXP[1].Manager.v5.0.3.Kg.zip, , [334b3b6d6229d95da630c3ae0df76c94], 
HackTool.Agent, D:\123\программы\Multi.Password.Recovery.1.1.4\Multi.Password.Recovery.1.1.4\Multi.Password.Recovery.1.1.4\Crack\multi.password.recovery.1.1.4-patch.exe, , [700e3a6e6625a591ee70976fe11ff30d], 
HackTool.FilePatcher, D:\123\программы\MuPaRe1.0.6\MuPaRe1.0.6.rar, , [5529b0f8107b4de9f9582847be43d828], 
RiskWare.Tool.CK, D:\123\программы\Runtime_GetDataBack_for_FATNTFS_3.66_+_crack_(keygen)\NTFS\Keygen.exe, , [d5a95c4c533890a6f5303c9fd62b4eb2], 
Trojan.Agent.CK, D:\123\программы\testdisk-6.10_win\testdisk-6.10_win\recup_dir.9\f7257255.exe, , [b6c8d1d7f19a999d8f6f37ac976a7987], 
Trojan.Dropper.PGen, D:\123\торрент5\UltraISO Premium Edition v9.33.2685.Retail\cracks\Core\keygen.exe, , [4d316345474495a1f402b5a2649c5ba5], 
RiskWare.Tool.CK, D:\123\торрент5\UltraISO Premium Edition v9.33.2685.Retail\cracks\ZWT\UISOZWTkeygen.exe, , [d1adf8b0eaa1b581e766428853ad6a96], 
RiskWare.Tool.CK, D:\123\Everest\Регистрация\keygen_FFF.exe, , [186647612d5e52e4ad80c11aa65bd62a], 
RiskWare.Tool.CK, D:\программы\Office2007ru\msoe2007kg.exe, , [4e30efb948434ceabf86e1fa03fed42c], 
RiskWare.Tool.CK, D:\старый хард\my flesh\ADDS_10.0.2161_RU\Keygen ZWT All languages.exe, , [b6c85d4b98f32f0744d495468b76837d], 
HackTool.Agent, D:\старый хард\my flesh\Multi.Password.Recovery.1.1.4\Crack\multi.password.recovery.1.1.4-patch.exe, , [9fdf8226bbd059dd71ed2cdac23e916f], 
RiskWare.Tool.CK, D:\старый хард\MS.Office.2007.Professional.Plus.Russian[NNTT]\Microsoft Office 2007 Key Generator.exe, , [433b36727d0e191dad984c8ffc050cf4], 
RiskWare.Tool.CK, D:\старый хард\торент\ADW Cs3\zwadwcs3\Keygen.exe, , [423cd0d8adde0f27dc95bda6788823dd], 
HackTool.Agent, D:\старый хард\фотошоп\filter\3515ca4891b6ea428ad391ffafdb5c48117.zip, , [92ec0f99b6d5cc6a352ab74f52ae58a8], 
HackTool.Agent, D:\старый хард\фотошоп\filter\Imagenomic.Portraiture.v1.0.0.8.for.Adobe.Photoshop.Cracked-SSG\patch.exe, , [691577318ffcf541cf9025e1768a33cd], 
HackTool.Agent, D:\Adobe CS5.1 [2011]\!KEYGENS\Banknote.protection.removal.exe, , [4c321197c3c859ddc19d8c7afa06b64a], 
RiskWare.Tool.CK, D:\Adobe CS5.1 [2011]\!KEYGENS\KeyGen.exe, , [176732760a81d75f5e0d17b86f9125db], 
RiskWare.Tool.CK, D:\ADOBE.ILLUSTRATOR.CS5.5.ESD.EAST.EUROPE.WIN-WZT.NNTT.k236\adobe_IL_CS5_keygen.exe, , [3d41cbdd2368181ef17afad5ef1145bb], 
RiskWare.Tool.CK, C:\Office2007ru\msoe2007kg.exe, , [0a74911798f3fa3c063f5d7e38c941bf], 
RiskWare.Tool.CK, C:\Program Files\Adobe\Adobe Photoshop Lightroom 4.4\keygen.exe, , [acd298107d0edc5a03c1165a659bf50b], 
CrackTool.Agent, C:\Program Files\Adobe\Adobe Premiere Pro CS6\amtlib.dll, , [90ee1c8c9dee270f9321ff1e778b5da3], 
HackTool.Agent, C:\Program Files (x86)\ABBYY FineReader 10\finereader.10.x.x-patch-plus.exe, , [28568d1bb0db46f0332b59ad17e93ec2], 
HackTool.Agent, C:\Program Files (x86)\ABBYY FineReader 10\finereader.10.x.x-unipatch.exe, , [7d017e2afe8df4425707d82eab55b34d], 
HackTool.Agent, C:\Program Files (x86)\Microsoft Office\KMS\mKMSAct.exe, , [007eeeba63283600202e7bf451b054ac], 
Trojan.Crypt, C:\Users\Orlov\AppData\Local\Temp\438A6D83-E7B5-4509-B7EC-3EFF50371736\05a00036.exe, , [f18d2d7b7b1064d2712edce33ac7e020], 
PUP.Optional.OpenCandy, C:\Users\Orlov\AppData\Roaming\OpenCandy\OpenCandy_42A6355F277041C780009A48A8072D73\LatestDLMgr.exe, , [aad4d3d5c6c5d165aac39f05d133916f], 
RiskWare.Tool.CK, C:\Users\Orlov\Desktop\flesh\soft\MS.Office.2007.Professional.Plus.Russian[NNTT]\Microsoft Office 2007 Key Generator.exe, , [d9a5dcccdead45f175d0528952af8a76], 
RiskWare.Tool.HCK, C:\Users\Orlov\Desktop\flesh\soft\nero 7\e-ne2701-2006-08-29\e-ne2701-2006-08-29.rar, , [7b03e7c1177474c27d43c22b33ce04fc], 
RiskWare.Tool.HCK, C:\Users\Orlov\Desktop\flesh\soft\nero 7\e-ne2701-2006-08-29\KEYGEN.EXE, , [cdb17d2b0784d3637d4388658a77a45c], 
Trojan.Disfa.MSIL, C:\Users\Orlov\Desktop\flesh\DVDFab 8.1.1.2 Final Multilingual Software + Patch\DVDFab8112Qt\DVDFab.Products.v8.x.x.x.Multi.Patch.v0.8-BBB\Patch.exe, , [46385256eaa144f21ef97eee788c2cd4], 
CrackTool.Agent, C:\Users\Orlov\Desktop\flesh\everest_ult530\everest_ult530.rar, , [96e87137d1ba50e657b0aeb135cc5ea2], 
CrackTool.Agent, C:\Users\Orlov\Desktop\flesh\everest_ult530\SND-LE46015-KG.EXE, , [a6d801a7fa919b9be5222e3111f008f8], 
RiskWare.Tool.HCK, C:\Users\Orlov\Downloads\UniversalTermsrvPatch_20090425 (1).zip, , [e7977b2d127969cd30afeb11f80841bf], 
RiskWare.Tool.HCK, C:\Users\Orlov\Downloads\UniversalTermsrvPatch_20090425.zip, , [cab42484305b55e1c51ab349d729669a], 
RiskWare.Tool.HCK, E:\111111\UniversalTermsrvPatch-x64.exe, , [99e51197a2e92412f2ed9c604fb138c8], 
RiskWare.Tool.HCK, E:\111111\UniversalTermsrvPatch_20090425\UniversalTermsrvPatch-x64.exe, , [e797f6b2018aac8aa13ef705f30dfd03], 
RiskWare.Tool.HCK, E:\111111\UniversalTermsrvPatch_20090425\UniversalTermsrvPatch-x86.exe, , [d7a7e9bf7d0e12247b647f7d1de31ce4], 
Trojan.Disfa.MSIL, E:\торенты закачка\DVDFab 8.1.1.2 Final Multilingual Software + Patch\DVDFab 8.1.1.2 Final Multilingual Software + Patch.rar, , [0b73f3b5aae16acc8196294334d0a957], 
Trojan.Disfa.MSIL, E:\торенты закачка\DVDFab 8.1.1.2 Final Multilingual Software + Patch\DVDFab 8.1.1.2 Final Multilingual Software + Patch\DVDFab8112Qt\DVDFab.Products.v8.x.x.x.Multi.Patch.v0.8-BBB\Patch.exe, , [f28ce0c859324aec879091db2cd8659b], 
HackTool.WGAFix, E:\торенты закачка\Windows XP\Windows_XP_Pro_SP3_Russian - Updates JULY-2009\CrackMCE\wga-fix.exe, , [99e52f79b9d293a3ee1fb15de51d12ee], 
CrackTool.Agent, E:\торенты закачка\WinRAR 4.01 NNTT k236\Keyfilemaker-CORE\keygen.exe, , [78061692a3e87abcdad9ad7019e9b24e], 
Trojan.Agent, E:\торенты закачка\WinRAR 4.01 NNTT k236\Keygen FFF\Keygen.exe, , [dca2aefa2f5c2d09960eee16996721df], 
RiskWare.Tool.CK, E:\торенты закачка\Everest\Регистрация\keygen_FFF.exe, , [235b1e8a6229ce680d20cd0e8a77e31d], 
Trojan.MalPack, E:\торенты закачка\Everest\Регистрация\keygen_zwt.exe, , [e19da107206b79bd48a5401aba47a55b], 
RiskWare.Tool.CK, E:\торенты закачка\Adobe Photoshop Lightroom 4.4 Final\keygen.exe, , [0f6f10987615b0867054343cc13fa25e], 
CrackTool.Agent, E:\торенты закачка\Adobe Premiere Pro CS6\Crack\amtlib.dll, , [b7c79e0ab0dbcc6ad3e1001dde24f60a],

[Xaocc]

Спасибо за помощь !)

[thyrex]

Если удалили в МВАМ, тогда продолжим.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Полученные в пп. 4 и 5 логи заархивируйте (в один архив) и прикрепите к сообщению.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 7
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\program files (x86)\1e00d660-1450092683-d500-4635-485b394343db\hnsr5724.tmp - not-a-virus:AdWare.Win32.ConvertAd.bji ( DrWEB: Adware.ConvertAd.60, AVAST4: Win32:Rootkit-gen [Rtk] )
  2. c:\users\orlov\appdata\local\blacount\blcntstb.exe - not-a-virus:AdWare.Win32.Agent.joqn ( AVAST4: Win32:Malware-gen )
  3. c:\users\orlov\appdata\local\temp\nsnb998.tmp - not-a-virus:AdWare.Win32.ConvertAd.bjg ( DrWEB: Trojan.Click3.16724, AVAST4: Win32:Malware-gen )