Амиго и прочий хлам

[federal24]

Здрасти, жена в браузере кликнула на обновить флеш плеер для запуска видео и понеслось...
По возможности удалил весь мусор но осталась стартовая страница в хроме.
Да и мало что там могло остаться. Удалял через унинстал тулс.

[Info_bot]

Уважаемый(ая) federal24, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('c:\windows\system32\tiltwheelmouse.exe','');
 SetServiceStart('MPCKpt', 4);
 DeleteService('MPCKpt');
 DeleteService('grkCachePls.exe');
 SetServiceStart('SoEasySvc', 4);
 DeleteService('SoEasySvc');
 SetServiceStart('MPCProtectService', 4);
 DeleteService('MPCProtectService');
 QuarantineFile('C:\Windows\system32\DRIVERS\MPCKpt.sys','');
 TerminateProcessByName('c:\program files (x86)\sosoeasy\sosoeasysvc.exe');
 QuarantineFile('c:\program files (x86)\sosoeasy\sosoeasysvc.exe','');
 TerminateProcessByName('c:\program files (x86)\mpc cleaner\mpcprotectservice.exe');
 QuarantineFile('c:\program files (x86)\mpc cleaner\mpcprotectservice.exe','');
 DeleteFile('c:\program files (x86)\mpc cleaner\mpcprotectservice.exe','32');
 DeleteFile('c:\program files (x86)\sosoeasy\sosoeasysvc.exe','32');
 DeleteFile('C:\Program Files (x86)\MPC Cleaner\LpcManager.dll','32');
 DeleteFile('C:\Program Files (x86)\MPC Cleaner\Report.dll','32');
 DeleteFile('C:\Program Files (x86)\MPC Cleaner\Support.dll','32');
 DeleteFile('C:\Program Files (x86)\MPC Cleaner\Utility.dll','32');
 DeleteFile('C:\Program Files (x86)\MPC Cleaner\WinService.dll','32');
 DeleteFile('C:\Program Files (x86)\MPC Cleaner\XProcessBus.dll','32');
 DeleteFile('C:\Windows\system32\DRIVERS\MPCKpt.sys','32');
 DeleteFile('C:\Program Files (x86)\Bvafivagh\grkCachePls.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\Gerkmiwegh Cache','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи

[federal24]

При выполнении первого скрипта аваст грязно выругался на авз (кажется файл avz4). Но пк перезагрузился. Карантин отправил.
Теперь стартовая страница майловская. А новые логи вот:

[Vvvyg]

Скачайте программу Universal Virus Sniffer и сделайте полный образ автозапуска uVS.

[federal24]

Чё там? Чёто конкретное засело? Пароли уже надо начинать менять?
На форум не влезла залить залил на Ядиск
https://yadi.sk/d/yMiw3IJHucQVz

[Vvvyg]

Только adware, но весьма живучее.

Скопируйте скрипт из окна "код" ниже в буфер обмена:

;uVS v3.87.4 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v388c
OFFSGNSAVE
cexec tools\CreateRestorePoint.exe BeforeCure
; C:\PROGRAM FILES (X86)\BVAFIVAGH\GRKCACHEPHG.EXE
addsgn 1A2E379A5583338CF42BFB3A88370771E5C9FC9C88592BB9C1C32DB316D671B3561F2BF37B559DCA16B445DB461610A308D78273BD2FF52C2D2ECC26C306E29B 8 PUP/Qksee [Panda]

zoo %SystemDrive%\PROGRAM FILES (X86)\BVAFIVAGH\GRKCACHEPHG.EXE
;------------------------autoscript---------------------------
sreg

chklst
delvir

delref SEARCH.MPC.AM
delref %SystemDrive%\PROGRAM FILES (X86)\MPC CLEANER\MPCPROTECTSERVICE.EXE
del %SystemDrive%\PROGRAM FILES (X86)\MPC CLEANER\MPCPROTECTSERVICE.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\MPC CLEANER\SUPPORT.DLL
del %SystemDrive%\PROGRAM FILES (X86)\MPC CLEANER\SUPPORT.DLL
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DCCFIFBOJENKENPKMNBNNDEADPFDIFFOF%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DOELPKEPJLGMEHAJEHFEICFBJDIOBDKFJ%26INSTALLSOURCE%3DONDEMAND%26UC
delref %SystemDrive%\PROGRAM FILES (X86)\MPC CLEANER\ADCLEANER.EXE
del %SystemDrive%\PROGRAM FILES (X86)\MPC CLEANER\ADCLEANER.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\MPC CLEANER\MPCDESKTOP.EXE
del %SystemDrive%\PROGRAM FILES (X86)\MPC CLEANER\MPCDESKTOP.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\MPC CLEANER\MPC.EXE
del %SystemDrive%\PROGRAM FILES (X86)\MPC CLEANER\MPC.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\MPC CLEANER\MPCTRAY.EXE
del %SystemDrive%\PROGRAM FILES (X86)\MPC CLEANER\MPCTRAY.EXE
regt 28
regt 29
del %Sys32%\DRIVERS\MPCKPT.SYS
delref %Sys32%\DRIVERS\MPCKPT.SYS
deldir %SystemDrive%\PROGRAM FILES (X86)\MPC CLEANER
deldir %SystemDrive%\PROGRAM FILES (X86)\BVAFIVAGH
delref %SystemRoot%\TEMP\A407CB49-1B4E-400C-AAE9-7EE40CFC3D9E
delref %SystemDrive%\USERS\GRAF\APPDATA\LOCAL\TEMP\CHROME_BITS_3932_27743\MAIN
delref %SystemDrive%\PROGRAM FILES (X86)\IOBIT\DRIVER BOOSTER\DRIVERBOOSTER.EXE
deltmp
czoo
areg
;-------------------------------------------------------------

Закройте все броузеры, отключите до перезагрузки все экраны Avastзапустите командный файл script.cmd из папки с uVS. Когда откроется окно со скриптом, нажмите "Выполнить".
Компьютер перезагрузится.

В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.
В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Сделайте лог AdwCleaner (by Xplode).

[federal24]

При выполнении скрипта, выскочила ошибка, невозможно изменить (или переместить) реестр.

[regist]

В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.

Где?

+

• Запустите повторно AdwCleaner (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора).
• В меню Tools ->Options (Инструменты ->Настройки) отметьте:
  
  • Сброс политик IE
  • Сброс политик Chrome
• Нажмите кнопку "Scan" ("Сканировать"), а по окончанию сканирования нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C0].txt.
• Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

[federal24]

Вот:
Ах да, ещё момент. У меня в автозагрузку прописывается игра вар тандер. Я её оттуда отключал, а она всё равно туда прописывается. Разработчики пожимают плечами.

[regist]

Сделайте свежий лог AdwCleaner-а.

[federal24]

Вот новый лог:

[Vvvyg]

1. В AdwCleaner выберите "Инструменты" => "Настройки".

2. В настройках выберите режим "Отладка" и нажмите "ОК".

3. Повторно просканируйте и удалите найденное. Далее найдите лог C:\AdwCleaner\AdwCleaner_dbg.log и прикрепите его к сообщению.

Сделайте свежий лог uVS.

[federal24]

вот

[regist]

Предыдущее сообщение обновлено. Выполните, что там написано.

[federal24]

https://yadi.sk/d/0koPE4bDueZgZ

[regist]

1)

найдите лог C:\AdwCleaner\AdwCleaner_dbg.log и прикрепите его к сообщению.

Не прикрепили.

2) Auslogics BoostSpeed v9.0.0 - советую деинсталировать.
От Iobit что-нибудь используете? Если да, то тоже советую деинсталировать.

3) Расширение "RDS BAR (SEO: ТИЦ, PR, DMOZ, YANDEX)" - сами ставили?

4) Ещё раз свежий лог AdwCleaner-а сделайте.

[federal24]

2) Auslogics BoostSpeed v9.0.0 - советую деинсталировать.

А чем плох? я через него дефрагментацию делаю. Что посоветуете в качестве альтернативы?

От Iobit что-нибудь используете? Если да, то тоже советую деинсталировать.

Чёто я не помню такое, вроде драйвер джениус...Уже не использую.

3) Расширение "RDS BAR (SEO: ТИЦ, PR, DMOZ, YANDEX)" - сами ставили?

Да, оно выключено, когда надо включаю.
Кстати у меня ярлык хрома внизу на панели задач, при открытии появляется ещё один ярлык, до заражения такого не было
Логи:

[Vvvyg]

Это, скорее всего, не ярлык, а открытый хром на панели задач.

[federal24]

Сейчас это выглядит так:
1.jpg
А раньше выглядело так:
2.jpg
То есть открытость хрома отображалась в том же месте где и ярлык.