Вирус Neshta и вечный gosearch [Virus.Win32.Neshta.a ]

**Eztekto** · 05.10.2016, 00:51

Здравствуйте! Прошу помочь мне с моей проблемой. Не давно обнаружил у себя вирус neshta тело которого, судя по всему, находится в неубиваемом файле "svchost.com". Точнее убиваемом, но мгновенно восстанавливаемом. Советы в интернете, про прописыванию пути в реестре, а затем лечение при помощи cure it, результатов не дали. Также в гуглхром прописался gosearch от знаменитой мэил. Правда хром я снёс в надежде решить проблему, но попытки переустановить почему-то не увенчиваются успехом. Надеюсь, всё не безнадежно, спасибо)

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 05.10.2016, 00:52

Уважаемый(ая) Eztekto, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**Eztekto** · 07.10.2016, 00:19

UPD
Смог установить chrome, но мэиловская зараза никуда не делась. svchost.com, тоже периодически вредит. Cure it лечит поврежденные им файлы, но от самого вируса избавиться не может, только бессмысленно перемещает.

- - - - -Добавлено - - - - -

app

**mrak74** · 07.10.2016, 01:25

Здравствуйте !!!

Создайте контрольную точку восстановления Windows.

Выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
  QuarantineFile('C:\Windows\svchost.com','');
  QuarantineFile('C:\Users\Медиа\AppData\Local\FilterStart\FilterStart.exe','');
  QuarantineFile('C:\Program Files (x86)\ScreenUp\future_helper.exe','');
  QuarantineFile('C:\Users\Медиа\AppData\LocalLow\SearchGo\searchgo.dll','');
  DeleteFile('C:\Users\Медиа\AppData\LocalLow\SearchGo\searchgo.dll','32');
  DeleteFile('C:\Program Files (x86)\ScreenUp\future_helper.exe','32');
  DeleteFile('C:\windows\system32\Tasks\Manifest Private Mgr','64');
  DeleteFile('C:\Users\Медиа\AppData\Local\FilterStart\FilterStart.exe','32');
  DeleteFile('C:\windows\system32\Tasks\Private Root Helper','64');
  DeleteFile('C:\Windows\svchost.com','32');
  DelBHO('{8E8F97CD-60B5-456F-A201-73065652D099}');
  DelBHO('{2BC46CFA-4B00-4193-A7BD-6AD1D0BCB5BC}');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(1);
RebootWindows(true);
end.

После перезагрузки выполните скрипт:

Код:

begin 
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы Прислать запрошенный карантин

Далее, Как лечить файловый вирус вариант с Live CD предпочтительнее. После лечения таким образом подготовьте комплект новых логов AVZ и HijackThis.

**Eztekto** · 07.10.2016, 12:38

Сообщение от mrak74

Здравствуйте !!!

Создайте контрольную точку восстановления Windows.

Попробовал создать, но почему-то отсутствует вкладка защита системы. Без создания точки не опасно делать дальнейшие действия? Также у меня отстутствует дисковод (ультрабук), есть ли иные способы лечения? :/
upd
Нашёл, Dr. Web Live USB.

**mrak74** · 07.10.2016, 17:59

Сообщение от Eztekto

Без создания точки не опасно делать дальнейшие действия?

Подстраховываюсь. Не делайте тогда.

Сообщение от Eztekto

Нашёл, Dr. Web Live USB

Применяйте, потом сразу же выкладывайте новые логи AVZ и HijackThis.

**Eztekto** · 07.10.2016, 20:16

Сделал скан с помощью Dr web Live usb. Эта гадость никуда не девается :/

**mrak74** · 07.10.2016, 21:00

Dr. Web Live USB - создавали на "чистом", не зараженном компьютере ? Записанную флешку в компьютер во время работы ОС вставляли ?

- - - - -Добавлено - - - - -

http://www.avg.com/ru-ru/remove-win3...ta.tpl-stdfull - попробуйте пролечить этой утилитой.

**Eztekto** · 07.10.2016, 21:06

Устанавливал на другом компе. Флешка могла прочитаться, только после захода в систему, если вставлял её перед запуском она не читалась. Ноут её увидел, только на моменте входа в учётную запись (где пароль надо вводить). Надеюсь от этого она не могла заразиться, иначе тогда не знаю как её чистить :/

**mrak74** · 07.10.2016, 21:19

Флешка сама является загрузочной, на ней подгружается ОС Live и уже из под нее стартует лечащая утилита. В BIOS возможно параметр загрузки с USB выставить надо было.

**Eztekto** · 07.10.2016, 22:51

После АДВ svchost вроде всё-таки помер. Либо перепрятался, но выскакивать перестал. А вот GoSearch от мэил оказался немного живучей. Парвильно говорят, что рекламные вирусы, как тараканы :/ Прикладываю повторный скан системы.

**mrak74** · 08.10.2016, 02:34

Выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
  QuarantineFile('C:\Program Files (x86)\CDisplayEx\CDisplayEx.exe','');
  QuarantineFile('C:\Users\Медиа\AppData\Local\rightchose\regCheck.vbs','');
  QuarantineFile('C:\Users\Медиа\AppData\Local\DateOption\regCheck.vbs','');
  QuarantineFile('C:\Program Files\SRS Labs\SRS Control Panel\SRS_Premium_Sound_PS3D.zip','');
  QuarantineFile('C:\ProgramData\Microsoft Help\Rgstrtn.lck','');
  QuarantineFile('C:\Users\Медиа\AppData\Local\ValidateLife\regCheck.vbs','');
  QuarantineFile('C:\Users\Медиа\AppData\Local\LastNews\regCheck.vbs','');
  QuarantineFile('C:\Users\Медиа\AppData\Local\FilterOptions\regCheck.vbs','');
  QuarantineFile('C:\Users\Медиа\AppData\Local\FileSystemOptions\regCheck.vbs','');
  QuarantineFile('C:\Users\Медиа\AppData\Local\ImmediateHelp\regCheck.vbs','');
  QuarantineFile('C:\Users\Медиа\AppData\Local\TestMenu\regCheck.vbs','');
  QuarantineFile('C:\Users\Медиа\AppData\Local\Request Private Mgr.exe','');
  DeleteFile('C:\Users\Медиа\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\regCheck.lnk');
  DeleteFile('C:\Users\Медиа\AppData\Local\Request Private Mgr.exe');
  DeleteFile('C:\windows\system32\Tasks\Request Private Mgr','64');
  DeleteFile('C:\Users\Медиа\AppData\Local\TestMenu\regCheck.vbs','32');
  DeleteFile('C:\Users\Медиа\AppData\Local\ImmediateHelp\regCheck.vbs','32');
  DeleteFile('C:\Users\Медиа\AppData\Local\FileSystemOptions\regCheck.vbs','32');
  DeleteFile('C:\Users\Медиа\AppData\Local\FilterOptions\regCheck.vbs','32');
  DeleteFile('C:\Users\Медиа\AppData\Local\LastNews\regCheck.vbs','32');
  DeleteFile('C:\Users\Медиа\AppData\Local\ValidateLife\regCheck.vbs','32');
  DeleteFile('C:\ProgramData\Microsoft Help\Rgstrtn.lck','32');
  DeleteFile('C:\Users\Медиа\AppData\Local\DateOption\regCheck.vbs','32');
  DeleteFile('C:\Users\Медиа\AppData\Local\rightchose\regCheck.vbs','32');
  RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','TestMenu');
  RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','ImmediateHelp');
  RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','FileSystemOptions');
  RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','FilterOptions');
  RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','LastNews');
  RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','ValidateLife');
  RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce','{90120000-001A-0419-0000-0000000FF1CE}');
  RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce','{90120000-006E-0419-0000-0000000FF1CE}');
  RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\RunOnce','{90120000-0012-0000-0000-0000000FF1CE}');
  RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\RunOnce','{90120000-001A-0419-0000-0000000FF1CE}');
  RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\RunOnce','{90120000-006E-0419-0000-0000000FF1CE}');
  RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','DateOption');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После перезагрузки выполните скрипт:

Код:

begin 
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы Прислать запрошенный карантин
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )

+

Скачайте AdwCleaner и сохраните его на Рабочем столе.
Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S0].txt.
Прикрепите отчет к своему следующему сообщению.

- - - - -Добавлено - - - - -

ProxyServer = 107.23.180.148:8080 - сами прописывали в настройках браузера?

**Eztekto** · 08.10.2016, 11:23

Нет, прокси я не прописывал никакие сам. Вроде удалил адв удалил кучу мэиловского, но остался госерч. Может поможет деталь. Когда ввожу поиск сначала появляется как положено по настройкам гугл, а затем ссылка меняется на сайт типа searche-engine, а потом уже становится go.mail

**Vvvyg** · 09.10.2016, 12:39

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).

**Eztekto** · 09.10.2016, 19:33

Высылаю.

**Vvvyg** · 09.10.2016, 21:26

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

Код:

CreateRestorePoint:
HKLM\...\Run: [] => [X]
BootExecute: autocheck autochk * 娍䘍耀ὤ皉
GroupPolicy: Restriction <======= ATTENTION
GroupPolicy\User: Restriction <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
ProxyServer: [S-1-5-21-1433716604-1986671685-601660990-1000] => 107.23.180.148:8080
FF DefaultSearchEngine: Mozilla\Firefox\Profiles\wx7uoud6.default-1431117758683 -> Поиск@Mail.Ru
FF SelectedSearchEngine: Mozilla\Firefox\Profiles\wx7uoud6.default-1431117758683 -> Поиск@Mail.Ru
FF Homepage: Mozilla\Firefox\Profiles\wx7uoud6.default-1431117758683 -> hxxp://mail.ru/cnt/10445?gp=811013
FF Keyword.URL: Mozilla\Firefox\Profiles\wx7uoud6.default-1431117758683 -> hxxp://go.mail.ru/distib/ep/?product_id=%7BD1B6F9A3-5472-4D36-AE35-8FB06B17213F%7D&gp=811014
FF Extension: (Домашняя страница Mail.Ru) - C:\Users\Медиа\AppData\Roaming\Mozilla\Firefox\Profiles\wx7uoud6.default-1431117758683\Extensions\[email protected] [2016-10-04]
FF Extension: (Поиск@Mail.Ru) - C:\Users\Медиа\AppData\Roaming\Mozilla\Firefox\Profiles\wx7uoud6.default-1431117758683\Extensions\[email protected] [2016-10-04]
FF Extension: (Визуальные закладки @Mail.Ru) - C:\Users\Медиа\AppData\Roaming\Mozilla\Firefox\Profiles\wx7uoud6.default-1431117758683\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2016-10-04]
FF Extension: (No Name) - C:\Users\Медиа\AppData\Roaming\Mozilla\Firefox\Profiles\wx7uoud6.default-1431117758683\extensions\{d720d64d-c71a-4316-b59e-8a41b860178f} [not found]
FF SearchPlugin: C:\Users\Медиа\AppData\Roaming\Mozilla\Firefox\Profiles\wx7uoud6.default-1431117758683\searchplugins\mailru.xml [2016-10-04]
CHR HKLM-x32\...\Chrome\Extension: [aeembeejekghkopiabadonpmfpigojok] - hxxps://clients2.google.com/service/update2/crx
S3 a2acc; \??\C:\PROGRAM FILES (X86)\EMSISOFT ANTI-MALWARE\a2accx64.sys [X]
S1 adgnetworktdi; system32\drivers\adgnetworktdi.sys [X]
S3 GPU-Z; \??\C:\Users\DFC6~1\AppData\Local\Temp\GPU-Z.sys [X]
S3 MBAMSwissArmy; \??\C:\windows\system32\drivers\MBAMSwissArmy.sys [X]
S1 ServiceMgr; system32\drivers\ServiceMgr.sys [X]
S3 zte_ecm_enum_filter; system32\DRIVERS\zte_ecm_enum_filter.sys [X]
2016-10-04 12:55 - 2016-10-04 13:23 - 00000000 ____D C:\Program Files (x86)\Emsisoft Anti-Malware
2016-10-04 12:26 - 2016-10-04 12:26 - 00000000 ____D C:\Users\Медиа\AppData\Local\Поиcк в Интeрнете
2016-10-04 12:26 - 2016-10-04 12:26 - 00000000 ____D C:\Users\Медиа\AppData\Local\Вoйти в Интeрнет
2016-10-04 12:25 - 2016-10-04 23:45 - 00000000 ____D C:\Program Files (x86)\ScreenUp
2016-10-04 12:25 - 2016-10-04 17:39 - 00000000 ____D C:\Users\Медиа\AppData\Local\FilterStart
2016-10-04 12:25 - 2016-10-04 12:25 - 00000312 _____ C:\Users\Медиа\AppData\Local\expand.ini
2016-10-06 12:40 - 2016-10-06 12:40 - 0000000 __RSH () C:\Program Files\360
2014-04-29 23:39 - 2014-04-29 23:39 - 0000006 _____ () C:\Users\Медиа\AppData\Roaming\smw_inst
C:\Users\Медиа\AppData\Local\Temp\coi1634.exe
C:\Users\Медиа\AppData\Local\Temp\msQ9fpVV7E1K.exe
C:\Users\Медиа\AppData\Local\Temp\tb6EXF3JR9j8.exe
C:\Users\Медиа\AppData\Local\Temp\X8Aep02tSR7O.exe
C:\Users\Медиа\AppData\Local\Temp\xihaXDODpOIl.exe
C:\Users\Медиа\AppData\Local\Temp\ZHVjjzJv9hLS.exe
Task: {0A1106A8-D27D-4D95-B442-04599C819252} - \Private Root Helper -> No File <==== ATTENTION
Task: {0F4F7171-63CB-4E8D-8A97-982F4FBE34C0} - System32\Tasks\{03B8F657-0641-4F02-B5FE-5CEA18296CDF} => D:\setup.exe
Task: {1693F621-DBA0-4F88-B878-3472CDBA5CB2} - \Request Private Mgr -> No File <==== ATTENTION
Task: {3BCC7146-489C-4FD1-98D3-1E5B42F01F62} - System32\Tasks\{C79E7BCF-4117-4A60-B7EA-25F3ABDBBE2C} => pcalua.exe -a C:\Users\Медиа\AppData\Local\Temp\ТОШИБА.temp\TVAP\Setup.exe -d C:\Users\DFC6~1\AppData\Local\Temp\BADF~1.TEM\TVAP <==== ATTENTION
Task: {52128736-5C93-4A76-B82B-851AAA556FB0} - \Manifest Private Mgr -> No File <==== ATTENTION
Task: {D0AACB1F-171E-4C77-A87E-1110F3E9BCE2} - \{7CD87FEE-30E7-4D5D-B3DB-A9A0FB225922} -> No File <==== ATTENTION
Task: {F15C36DA-ADDB-44CD-8EDF-67B0369D5F45} - System32\Tasks\{211E6D40-F34E-442D-AB64-E0AAB9E2496C} => C:\Users\Медиа\Downloads\LeagueofLegends.exe
C:\Users\Медиа\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk
AlternateDataStreams: C:\ProgramData\TEMP:41ADDB8A [151]
AlternateDataStreams: C:\ProgramData\TEMP:A064CECC [274]
FirewallRules: [{8C8A71E1-A476-44C5-B637-62B63C4D82FD}] => (Allow) C:\Program Files\UBar\ubar.exe
Reboot:

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!
Отключите до перезагрузки антивирус, закройте все браузеры, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Очистите кэш и cookies-файлы браузеров и сообщите, что с проблемой.

**Eztekto** · 09.10.2016, 22:42

Сделал по инструкции, но проблема осталась. Так же не уточнял, что помимо поисковика периодически вылезает реклама. Думаю это всё от одного идёт.

**Vvvyg** · 09.10.2016, 23:10

Отключите все расширения в Chrome, если пропадёт реклама - подключайте по одному, проверяйте эффект. Возможно, одно из расширений шалит, какое именно - понять по логам сложно.
Сообщите результат.

**Eztekto** · 09.10.2016, 23:31

Как ни странно оказался заражён AdBlock) Переустановил и проблема исчезла. Спасибо большое за труд, очень помогли!)

**Vvvyg** · 09.10.2016, 23:34

Значит, подменили, официальный не спамит.

Запустите AdwCleaner и нажмите Деинсталлировать (Uninstall).

Удалите папку C:\FRST со всем содержимым.

Выполните рекомендации после лечения.

Вирус Neshta и вечный gosearch [Virus.Win32.Neshta.a ] (заявка № 204546)

Опции темы