Создаются файлы вида ...temp.exe

[Анатолий Казаченко]

Доброго времени суток уважаемые специалисты virusinfo.
Появилась проблема после установки пиратской проги, которую я уже удалил. Суть проблемы:
1. В браузере поменялась стартовая страница и еще он постоянно сам запускается.
2. В папке D:\Documents and Settings\Анатолий\Local Settings\Temp создаются файлы вида число.temp.exe
3. Антивирусом не лечится.
Большое спасибо всем откликнувшимся.

[Info_bot]

Уважаемый(ая) Анатолий Казаченко, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[SQ]

Здравствуйте,


AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); 
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 TerminateProcessByName('d:\documents and settings\Анатолий\local settings\temp\13.tmp.exe');
 QuarantineFile('d:\documents and settings\Анатолий\local settings\temp\13.tmp.exe','');
 QuarantineFile('D:\Documents and Settings\Анатолий\Local Settings\Application Data\FileSystemDriver\FileSystemDriver.exe','');
 DeleteFile('D:\WINDOWS\Tasks\FileSystemDriver.job','32');
 DeleteFile('d:\documents and settings\Анатолий\local settings\temp\13.tmp.exe','32');
 DeleteFile('D:\Documents and Settings\Анатолий\Local Settings\Application Data\FileSystemDriver\FileSystemDriver.exe','32'); 
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Сделайте лог Check Browsers' LNK by Dragokas & regist.

- Подготовьте лог AdwCleaner и приложите его в теме.

[Анатолий Казаченко]

Все сделал

[SQ]

Удалите ярлык:

"D:\Documents and Settings\Анатолий\Local Settings\Application Data\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk"

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

[Анатолий Казаченко]

Сделал

[SQ]

- Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
  
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Анатолий Казаченко]

Вот

[SQ]

Сами прописывали прокси-сервер

FF NetworkProxy: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\brbcqfrx.default -> autoconfig_url", "data:text/plain, function FindProxyForURL(url, host) {if(isInNet(host, '192.168.0.0', '255.255.0.0')) return 'DIRECT'; \nif(host == 'us1-base.cd-n.net') return 'DIRECT'; \nif(host == 'us2-base.cd-n.net') return 'DIRECT'; \nif(host == 'us3-base.cd-n.net') return 'DIRECT'; \nif(host == 'jp1-base.cd-n.net') return 'DIRECT'; \nif(host == 'de1-base.cd-n.net') return 'DIRECT'; \nif(host == 'au1-base.cd-n.net') return 'DIRECT'; \nif(host == 'ca1-base.cd-n.net') return 'DIRECT'; \nif(host == 'ir1-base.cd-n.net') return 'DIRECT'; \nif(host == 'sg1-base.cd-n.net') return 'DIRECT'; \nif(host == 'kr1-base.cd-n.net') return 'DIRECT'; \nif(host == '127.0.0.1') return 'DIRECT'; \nif(host == 'localhost') return 'DIRECT'; \nif(host == 'us3-base.cd-n.net') return 'DIRECT'; \nreturn 'HTTPS he2c4mjxg4xdenbqfy4dcizrgq3tmnrwgi2dama.mycdns.com:443';}"
FF NetworkProxy: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\brbcqfrx.default -> ftp", "212.120.163.170"
FF NetworkProxy: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\brbcqfrx.default -> ftp_port", 8972
FF NetworkProxy: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\brbcqfrx.default -> http", "81.176.228.20"
FF NetworkProxy: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\brbcqfrx.default -> http_port", 8972
FF NetworkProxy: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\brbcqfrx.default -> ssl", "212.120.163.170"
FF NetworkProxy: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\brbcqfrx.default -> ssl_port", 8972
FF NetworkProxy: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\brbcqfrx.default -> type", 0
FF NetworkProxy: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\ohyctgne.Миша -> autoconfig_url", "data:text/plain, function FindProxyForURL(url, host) {if(isInNet(host, '192.168.0.0', '255.255.0.0')) return 'DIRECT'; \nif(host == 'us1-base.cd-n.net') return 'DIRECT'; \nif(host == 'us2-base.cd-n.net') return 'DIRECT'; \nif(host == 'us3-base.cd-n.net') return 'DIRECT'; \nif(host == 'jp1-base.cd-n.net') return 'DIRECT'; \nif(host == 'de1-base.cd-n.net') return 'DIRECT'; \nif(host == 'au1-base.cd-n.net') return 'DIRECT'; \nif(host == 'ca1-base.cd-n.net') return 'DIRECT'; \nif(host == 'ir1-base.cd-n.net') return 'DIRECT'; \nif(host == 'sg1-base.cd-n.net') return 'DIRECT'; \nif(host == 'kr1-base.cd-n.net') return 'DIRECT'; \nif(host == '127.0.0.1') return 'DIRECT'; \nif(host == 'localhost') return 'DIRECT'; \nif(host == 'ir1-base.cd-n.net') return 'DIRECT'; \nreturn 'HTTPS giydslrsga4c4mrxfyzdanrdge2doobqgq2dqmbq.cd-n.net:443';}"
FF NetworkProxy: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\ohyctgne.Миша -> type", 0
FF NetworkProxy: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\rns7kvqw.Сергей -> no_proxies_on", ""
FF NetworkProxy: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\rns7kvqw.Сергей -> socks", "127.0.0.1"
FF NetworkProxy: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\rns7kvqw.Сергей -> socks_port", 80
FF NetworkProxy: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\rns7kvqw.Сергей -> type", 0

• Закройте и сохраните все открытые приложения.
• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  CloseProcesses:
  FF Homepage: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\brbcqfrx.default -> hxxp://granena.ru/?utm_content=31b5cebd524a9af6c7a772dca81815e9&utm_source=startpm&utm_term=FF3DD882E75269FC423D4BE4E22452D2&utm_d=20161130
  FF Homepage: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\blqh81n2.Мама -> hxxp://granena.ru/?utm_content=31b5cebd524a9af6c7a772dca81815e9&utm_source=startpm&utm_term=FF3DD882E75269FC423D4BE4E22452D2&utm_d=20161130
  FF Homepage: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\ohyctgne.Миша -> hxxp://granena.ru/?utm_content=31b5cebd524a9af6c7a772dca81815e9&utm_source=startpm&utm_term=FF3DD882E75269FC423D4BE4E22452D2&utm_d=20161130
  FF Homepage: D:\Documents and Settings\Анатолий\Application Data\Mozilla\Firefox\Profiles\dbet1zh2.Кристина -> hxxp://granena.ru/?utm_content=31b5cebd524a9af6c7a772dca81815e9&utm_source=startpm&utm_term=FF3DD882E75269FC423D4BE4E22452D2&utm_d=20161130
  CHR StartupUrls: Default -> "hxxp://mail.ru/cnt/10445?gp=811005",
           "hxxp://granena.ru/?utm_content=31b5cebd524a9af6c7a772dca81815e9&utm_source=startpm&utm_term=FF3DD882E75269FC423D4BE4E22452D2&utm_d=20161130"
  Folder: D:\WINDOWS\PIF
  AlternateDataStreams: D:\Documents and Settings\Анатолий\Local Settings\Application Data:30E37200-FFC8-475d-AE97-CF377D18CFB4.INI [60]
  StandardProfile\AuthorizedApplications: [0x443A5C446F63756D656E747320616E642053657474696E67735C143D0432A2A4170706C69636174696F6E20446174615C41434553747265616D5C656E67696E655C6163655F656E67696E652E657865<*>] => D:\Documents and Settings\Анатолий\Application Data\ACEStream\engine\ace_engine.exe:*:Enabled:AceStream
  Reboot:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите.
• Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[Анатолий Казаченко]

Да, сам настраивал прокси через shell. Думаю с этой программой и подцепил вирус.

[SQ]

Сообщите, что с проблемой?

[Анатолий Казаченко]

Да вроде решена проблема. Во всяком случае браузер не пытается больше сам лезть в интернет и файлы не плодятся. Я старый антивирус снес, сейчас устанавливаю drweb. А вы, как специалист что скажете (по логам)? Все в порядке?

- - - - -Добавлено - - - - -

Спасибо вам большое.

[SQ]

В логах ничего плохого не замечено, поэтому и уточнял.

На этом всё! Удачи Вам!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 5
• В ходе лечения вредоносные программы в карантинах не обнаружены