Ярлык браузера ссылается на bat-файл [Trojan-Downloader.Win32.Adload.idla ]

[afwfw]

При открытии браузера открываются рекламные сайты. Ярлык браузера на рабочем столе ссылается на папку в разделе ProgramData с названием, состоящем из английских букв в случайной последовательности. Если папку удалить, то при следующем запуске системы создастся новая папка с другим названием. В папке лежит bat-файл и несколько файлов размером в несколько байт.

[Info_bot]

Уважаемый(ая) afwfw, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

Выполните скрипт в AVZ:

begin
 TerminateProcessByName('c:\program files (x86)\defsoft\hnsnm3.exe');
 StopService('HSystem');
 StopService('gkernel');
 QuarantineFileF('c:\program files (x86)\defsoft', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFileF('C:\ProgramData\UpService', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFileF('C:\Users\Игорь\appdata\roaming\windowsupdater', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFile('c:\program files (x86)\defsoft\hnsnm3.exe', '');
 QuarantineFile('C:\ProgramData\CCMUjN\ySbKsCJY0.bat', '');
 QuarantineFile('C:\ProgramData\kRsEYoCVe\SvAWUcxqd5.bat', '');
 QuarantineFile('C:\ProgramData\UpService\UpService.exe', '');
 QuarantineFile('C:\Users\Игорь\appdata\roaming\windowsupdater\updater.exe', '');
 DeleteFile('c:\program files (x86)\defsoft\hnsnm3.exe', '32');
 DeleteFile('C:\ProgramData\UpService\UpService.exe', '32');
 DeleteFile('C:\Users\Игорь\appdata\roaming\windowsupdater\updater.exe', '32');
 DeleteFile('C:\Users\Игорь\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Интернет.lnk');
 DeleteService('HSystem');
 DeleteFileMask('c:\program files (x86)\defsoft', '*', true);
 DeleteFileMask('C:\ProgramData\UpService', '*', true);
 DeleteFileMask('C:\Users\Игорь\appdata\roaming\windowsupdater', '*', true);
 DeleteDirectory('c:\program files (x86)\defsoft');
 DeleteDirectory('C:\ProgramData\UpService');
 DeleteDirectory('C:\Users\Игорь\appdata\roaming\windowsupdater');
 ExecuteFile('schtasks.exe', '/delete /TN "UpService" /F', 0, 15000, true);
ExecuteSysClean;
 ExecuteRepair(8);
 ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.

Компьютер перезагрузится.
Выполните в AVZ скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.

Сделайте лог AdwCleaner (by Xplode).

Сделайте лог Check Browsers' Lnk 2.

[afwfw]

Прошу прощения за долгий ответ.
AdwCleaner ничего не нашел.
Прикрепляю остальные логи.

[Vvvyg]

AdwCleaner ничего не нашел.

Точно? Лог AdwCleaner[S1].txt (или с другой цифрой в имени, самый свежий) приложите.

Выполните скрипт в AVZ:

begin
ClearQuarantine;
 QuarantineFile('C:\ProgramData\CCMUjN\ySbKsCJY0.bat', '');
 QuarantineFile('C:\ProgramData\kRsEYoCVe\SvAWUcxqd5.bat', '');
 QuarantineFile('C:\ProgramData\UpService\UpService.exe', '');
 QuarantineFile('C:\Users\Игорь\appdata\roaming\windowsupdater\updater.exe', '');
 DeleteFile('C:\Users\D395~1\AppData\Local\Temp\gkernel.sys', '32');
 DeleteFile('C:\ProgramData\CCMUjN\ySbKsCJY0.bat', '32');
 DeleteFile('C:\ProgramData\kRsEYoCVe\SvAWUcxqd5.bat', '32');
 DeleteFile('C:\ProgramData\UpService\UpService.exe', '32');
 DeleteFile('C:\Users\Игорь\appdata\roaming\windowsupdater\updater.exe', '32');
 DeleteFileMask('C:\ProgramData\UpService', '*', true);
 DeleteFileMask('C:\Users\Игорь\appdata\roaming\windowsupdater', '*', true);
 DeleteDirectory('C:\ProgramData\UpService');
 DeleteDirectory('C:\Users\Игорь\appdata\roaming\windowsupdater');
 ExecuteFile('schtasks.exe', '/delete /TN "UpService" /F', 0, 15000, true);
ExecuteSysClean;
RebootWindows(true);
end.

Компьютер перезагрузится.

Выполните в AVZ скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.

[afwfw]

Готово

[Vvvyg]

Проблема решена?

[afwfw]

Да, большое спасибо!

[Vvvyg]

Загрузите SecurityCheck by glax24 отсюда и сохраните на Рабочем столе.
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запуск от имени администратора (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt.

Приложите этот файл к своему следующему сообщению.

[afwfw]

Готово

[Vvvyg]

Internet Explorer 8.0.7601.17514 Внимание! Скачать обновления
^Онлайн установка. Последняя версия доступна при включенном обновлении Windows через интернет.^

Рекомендую установить Internet Explorer 11 даже если им не пользуетесь, это критически важный для безопасности компонент Windows.

Java 8 Update 65 v.8.0.650.17 Внимание! Скачать обновления
^Удалите старую версию и установите новую (jre-8u74-windows-i586.exe)^

Это обновить обязательно, до последней версии были очень серьёзные уязвимости.

Bonjour v.3.0.0.10 Внимание! Скачать обновления
^Для проверки новой версии используйте приложение Apple Software Update^
iTunes v.12.1.1.4 Внимание! Скачать обновления
^Для проверки новой версии используйте приложение Apple Software Update^

Это тоже желательно обновить.

Browser Configuration Utility v.1.1.18.0 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.

Avast: Настойки -> Антивирусная защита -> Экран файловой системы -> чувствительность -> поставить галку на "Искать потенциально нежелательные программы (ПНП)".
Убедитесь также, что включены в разделе настройки -> Антивирус DeepScreen и Усиленный режим хотя бы как "Умеренный". Это хоть как-то оградит от запуска разных мусорных программ.


Запустите AdwCleaner и нажмите Деинсталлировать (Uninstall).

Выполните рекомендации после лечения.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 6
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\users\игорь\appdata\roaming\windowsupdater\upda ter.exe - Trojan-Downloader.Win32.Adload.idla