Помогите избавиться от вирусов [Trojan-Downloader.Win32.Agent.hgsy, not-a-virus:HEUR:NetTool.Win64.NetFilter.gen]

[Zhgutik]

Добрый день.
Ноутбук используется больше как офисный. Скачали случайно файл и после этого стала реклама в Firefox постоянно вылетать.

Рекомендованными утилитами полечил в безопасном режиме, нашли несколько троянов. Но проблема не ушла.
Диагностика AVZ по скрипту №3 вылетает на 30 секунде. Сразу подвисает, потом программа закрывается. Поэтому только 2 лога.
Стоит XP sp3. Помогите вылечить.
Спасибо

[Info_bot]

Уважаемый(ая) Zhgutik, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Program Files\contentprotector\nss\certutil.exe','');
 QuarantineFile('C:\Program Files\contentprotector\import_root_cert.exe','');
 QuarantineFile('C:\Program Files\contentprotector\contentprotectordrv.sys','');
 QuarantineFile('C:\Program Files\contentprotector\contentprotectorconrol.exe','');
 QuarantineFile('C:\Program Files\contentprotector\conprotsetup.exe','');
 QuarantineFile('C:\Program Files\contentprotector\condefclean.exe','');
 QuarantineFile('C:\Documents and Settings\Танечка\Local Settings\Application Data\UpdateAdmin\UpdateAdmin.exe','');
 QuarantineFile('C:\Documents and Settings\Танечка\Local Settings\Application Data\SearchGo\searchgo.exe','');
 QuarantineFile('C:\Documents and Settings\Танечка\Local Settings\Application Data\ScriptWriter\ScriptWriter.exe','');
 QuarantineFile('C:\Documents and Settings\Танечка\Local Settings\Application Data\fupdate\fupdate.exe','');
 DelBHO('{598AEFC6-DD3C-4A63-9AC3-53FCF6155931}');
 DelBHO('{2BC46CFA-4B00-4193-A7BD-6AD1D0BCB5BC}');
 QuarantineFile('C:\Documents and Settings\Танечка\Local Settings\Application Data\SearchGo\searchgo.dll','');
 QuarantineFile('C:\Documents and Settings\Танечка\Главное меню\Программы\Автозагрузка\AdobeARMHelper.vbs','');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','ucbvmdgyqf');
 DeleteFile('C:\Documents and Settings\Танечка\Local Settings\Application Data\Amigo\Application\amigo.exe','32');
 DeleteFile('C:\Documents and Settings\Танечка\Local Settings\Application Data\SearchGo\searchgo.dll','32');
 DeleteFile('C:\Documents and Settings\Танечка\Local Settings\Application Data\fupdate\fupdate.exe','32');
 DeleteFile('C:\WINDOWS\Tasks\fupdate.job','32');
 DeleteFile('C:\WINDOWS\Tasks\MailRuUpdater.job','32');
 DeleteFile('C:\WINDOWS\Tasks\ScriptWriter.job','32');
 DeleteFile('C:\Documents and Settings\Танечка\Local Settings\Application Data\ScriptWriter\ScriptWriter.exe','32');
 DeleteFile('C:\WINDOWS\Tasks\SearchGo Task.job','32');
 DeleteFile('C:\Documents and Settings\Танечка\Local Settings\Application Data\SearchGo\searchgo.exe','32');
 DeleteFile('C:\Documents and Settings\Танечка\Local Settings\Application Data\UpdateAdmin\UpdateAdmin.exe','32');
 DeleteFile('C:\WINDOWS\Tasks\UpdateAdmin.job','32');
 DeleteFile('C:\Program Files\contentprotector\condefclean.exe','32');
 DeleteFile('C:\Program Files\contentprotector\conprotsetup.exe','32');
 DeleteFile('C:\Program Files\contentprotector\contentprotectorconrol.exe','32');
 DeleteFile('C:\Program Files\contentprotector\contentprotectordrv.sys','32');
 DeleteFile('C:\Program Files\contentprotector\import_root_cert.exe','32');
 DeleteFile('C:\Program Files\contentprotector\nss\certutil.exe','32');
 DeleteFile('C:\Program Files\contentprotector\nss\mozcrt19.dll','32');
 DeleteFile('C:\Program Files\contentprotector\nss\nspr4.dll','32');
 DeleteFile('C:\Program Files\contentprotector\nss\nss3.dll','32');
 DeleteFile('C:\Program Files\contentprotector\nss\plc4.dll','32');
 DeleteFile('C:\Program Files\contentprotector\nss\plds4.dll','32');
 DeleteFile('C:\Program Files\contentprotector\nss\smime3.dll','32');
 DeleteFile('C:\Program Files\contentprotector\nss\softokn3.dll','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Сделайте лог Check Browsers' LNK

Выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи

[Zhgutik]

Вот
Mail.ru осталась стартовой страницей, хотя поставил Google.by

[Vvvyg]

Удалите расширения от Mail.Ru.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Кроме уже установленных, отметьте галочками также "90 Days Files".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).

[Zhgutik]

Несколько раз удалял с помощью Adwcleaner - снова появляется Mail.ru элементы при последующих проверках

[Vvvyg]

Удалите программу Weatherbar.

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
HKU\S-1-5-21-583907252-515967899-1417001333-1004\Software\Microsoft\Internet Explorer\Main, = hxxp://samlab.ws
SearchScopes: HKU\S-1-5-21-583907252-515967899-1417001333-1004 -> {327F1737-4BA5-41D8-B621-6D5B0052ACB7} URL = hxxp://search.yahoo.com/search?p={searchTerms}&fr=tightropetb&type=11431
BHO: No Name -> {E7E6F031-17CE-4C07-BC86-EABFE594F69C} -> No File
FF DefaultSearchEngine: РџРѕРёСЃРє@Mail.Ru
FF SelectedSearchEngine: РџРѕРёСЃРє@Mail.Ru
FF Homepage: hxxps://mail.ru/cnt/11956636?fr=ffhp1.0.2&gp=821268
FF Keyword.URL: hxxp://go.mail.ru/distib/ep/?product_id=%7BEF5CFC7E-0164-4125-9527-E4D1ADE07D1D%7D&gp=811010
FF Extension: Визуальные закладки @Mail.Ru - C:\Documents and Settings\Танечка\Application Data\Mozilla\Firefox\Profiles\cx9dt08r.default\extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2016-08-05]
FF Extension: Info Enhancer for Firefox - C:\Documents and Settings\Танечка\Application Data\Mozilla\Firefox\Profiles\cx9dt08r.default\Extensions\[email protected] [2014-07-25] [not signed]
FF Extension: Домашняя страница Mail.Ru - C:\Documents and Settings\Танечка\Application Data\Mozilla\Firefox\Profiles\cx9dt08r.default\Extensions\[email protected] [2016-08-05]
FF Extension: Поиск@Mail.Ru - C:\Documents and Settings\Танечка\Application Data\Mozilla\Firefox\Profiles\cx9dt08r.default\Extensions\[email protected] [2016-08-05]
FF Extension: Kaspersky URL Advisor - C:\Program Files\Mozilla Firefox\extensions\[email protected] [2016-08-03] [not signed]
FF HKLM\...\Firefox\Extensions: [[email protected]] - C:\Program Files\Java\jre6\lib\deploy\jqs\ff => not found
S2 JavaQuickStarterService; "C:\Program Files\Java\jre6\bin\jqs.exe" -service -config "C:\Program Files\Java\jre6\lib\deploy\jqs\jqs.conf"
S3 esgiguard; \??\C:\Program Files\Enigma Software Group\SpyHunter\esgiguard.sys [X]
2016-05-18 12:10 - 2016-05-18 12:10 - 00000000 ____D C:\Documents and Settings\Танечка\Application Data\MailProducts
Task: C:\WINDOWS\Tasks\MailRuUpdater.job => C:\Documents and Settings\Танечка\Local Settings\Application Data\Mail.Ru\MailRuUpdater.exe <==== ATTENTION
Task: C:\WINDOWS\Tasks\MailRuUpdateTask.job => C:\Documents and Settings\Танечка\Local Settings\Application Data\Mail.Ru\MailRuUpdater.exe/scheduler C:\Documents and Settings\Танечка\Local Settings\Application Data\Mail.Ru
C:\Documents and Settings\Танечка\Application Data\Microsoft\Internet Explorer\Quick Launch\Mail.Ru.lnk
C:\Documents and Settings\Танечка\Application Data\Microsoft\Internet Explorer\Quick Launch\Вoйти в Интeрнет.lnk
C:\Documents and Settings\Танечка\Application Data\Microsoft\Internet Explorer\Quick Launch\Поиcк в Интeрнете.lnk
Reg: reg delete "HKU\S-1-5-21-583907252-515967899-1417001333-1004\Software\Microsoft\Windows\CurrentVersion\Uninstall\MailRuUpdater" /f
EmptyTemp:
Reboot:

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, закройте все браузеры, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Java 8 обновите до Java 8 Update 101.

[Zhgutik]

СПАСИБО
Вроде, все прошло!

[Vvvyg]

Fix result of Farbar Recovery Tool (FRST written by Farbar) (x86) Version: 09-05-2015

Притом логи делали свежей версией Farbar Recovery Scan Tool:

Scan result of Farbar Recovery Scan Tool (FRST) (x86) Version: 11-08-2016 01

Где же Вы такую древность нашли, и куда новый потеряли? Переделывать не нужно.

Загрузите, распакуйте на Рабочий стол и запустите SecurityCheck by glax24 & Severnyj.
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запуск от имени администратора (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt.

Приложите этот файл к своему следующему сообщению.

[Zhgutik]

Видимо на компе старая версия сидела, не обратил внимание))))
Этот mailruupdater постоянно висит в диспетчере

[Vvvyg]

Сделайте лог AdwCleaner (by Xplode).

[Zhgutik]

Вот

[Vvvyg]

Удалите всё найденное в AdwCleaner, дождитесь окончания удаления и перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C5].txt, прикрепите к своему следующему сообщению.

[Zhgutik]

Вот

[Vvvyg]

Проблема решена?

Удалите программу Weatherbar v.1.3.3.

Adobe Acrobat 5.0 v.5.0 Данная программа больше не поддерживается разработчиком. Рекомендуется деинсталлировать ее, скачать и установить Adobe Acrobat DC.
Adobe Flash Player 17 ActiveX v.17.0.0.169 Внимание! Скачать обновления
Adobe Flash Player 17 NPAPI v.17.0.0.169 Внимание! Скачать обновления

Устаревшие продукты Adobe содержат множество критических уязвимостей. Так что, обновляйте, либо удалите вовсе.

[Zhgutik]

Спасибо, все вылечили

[regist]

папку C:\FRST удалите.

• Пожалуйста, запустите adwcleaner.exe
• Нажмите File (Файл) Uninstall (Деинсталлировать).
• Подтвердите удаление нажав кнопку: Да.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 35
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\documents and settings\танечка\local settings\application data\fupdate\fupdate.exe - Trojan-Downloader.Win32.Agent.hgsy
  2. c:\documents and settings\танечка\local settings\application data\searchgo\searchgo.dll - not-a-virus:WebToolbar.Win32.Searchbar.k ( BitDefender: Trojan.GenericKD.3158757, AVAST4: Win32:Malware-gen )
  3. c:\documents and settings\танечка\local settings\application data\searchgo\searchgo.exe - not-a-virus:AdWare.Win32.Searchgo.a ( BitDefender: Trojan.GenericKD.3141570, AVAST4: Win32:Adware-gen [Adw] )
  4. c:\program files\contentprotector\condefclean.exe - not-a-virus:NetTool.Win64.NetFilter.jd
  5. c:\program files\contentprotector\conprotsetup.exe - not-a-virus:HEUR:AdWare.Win32.Mewishid.gen
  6. c:\program files\contentprotector\contentprotectorconrol.exe - not-a-virus:NetTool.Win64.NetFilter.jd
  7. c:\program files\contentprotector\contentprotectordrv.sys - not-a-virus:HEUR:NetTool.Win64.NetFilter.gen
  8. c:\program files\contentprotector\import_root_cert.exe - not-a-virus:NetTool.Win64.NetFilter.jd
  9. c:\program files\contentprotector\nss\certutil.exe - not-a-virus:NetTool.Win64.NetFilter.jd