search.us.home and TNT2User

Установился search.us.home. Теперь в FireFox установилась стартовая страница
[URL]http://search.us.com/v/2/?guid={EB4EBA3D-5FE7-469A-9C68-7F3EDC380CB0}&serpv=17[/URL], и браузер запускается с этой страницы всегда. Замена стартовой страницы в настройках не дает результатов.
В IE при открытии новых вкладок время от времени открывается [URL]http://www.otvest-rist.com/[/URL].
В таск менеджере процесс TNT2User.exe *32 занимает четверть процессорного времени. В день заражения на диске С установилась папка TNT2, в которой dll от search.us.home.
Помогите, пожалуйста, избавиться от этого добра.
Вот логи.

Уважаемый(ая) [B]StepIn[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\Lbs\AppData\Local\TNT2\2.0.0.1760\UninstallDlg.1.dll','');
QuarantineFile('C:\Users\Lbs\AppData\Local\TNT2\2.0.0.1760\regsvr.1.dll','');
QuarantineFile('C:\Users\Lbs\AppData\Local\TNT2\2.0.0.1760\log.dll','');
QuarantineFile('C:\Program Files (x86)\TNT2\2.0.0.1760\ppshim.dll','');
TerminateProcessByName('c:\users\lbs\appdata\local\tnt2\2.0.0.1760\tnt2user.exe');
QuarantineFile('c:\users\lbs\appdata\local\tnt2\2.0.0.1760\tnt2user.exe','');
DeleteFile('c:\users\lbs\appdata\local\tnt2\2.0.0.1760\tnt2user.exe','32');
DeleteFile('C:\Program Files (x86)\TNT2\2.0.0.1760\ppshim.dll','32');
DeleteFile('C:\Users\Lbs\AppData\Local\TNT2\2.0.0.1760\log.dll','32');
DeleteFile('C:\Users\Lbs\AppData\Local\TNT2\2.0.0.1760\regsvr.1.dll','32');
DeleteFile('C:\Users\Lbs\AppData\Local\TNT2\2.0.0.1760\UninstallDlg.1.dll','32');
DeleteFile('C:\Windows\system32\Tasks\{033C3518-736A-4319-84C4-3A2015B03F28}','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Скрипт выполнил.
Карантин закачал.
С FireFox ничего не изменилось.
Вот новые логи.

Подскажите, пожалуйста, что с карантином?

Файл сохранён как 140407_213438_virus_534319ee93152.zip
Размер файла 529608
MD5 2867a4b5060caa2fc7b0ca4e4b55f670

Уважаемые Хелперы! Не могли бы вы посмотреть логи и карантин?
Спасибо,
С уважением...

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]

Вот лог.

[url="http://virusinfo.info/showpost.php?p=493584&postcount=2"]Удалите в МВАМ[/url] все, [b]кроме[/b] [code]PUP.Adware.MediaGet, C:\Users\Lbs\Downloads\abbyy_lingvo_5_20__professional_plus_v4___id1168007id.exe, , [04732702e7945fd7b319bd4aba4641bf],
PUP.Optional.OpenCandy, D:\Utils\Multimedia\MediaCoder2011-R4-5142.zip, , [0770cc5d3942d75f0a16be85d4304db3],
PUP.Hacktool.Patcher, D:\Utils\Tmp\ABBYY Lingvo x5 v15.0.511\15.0.511.0.exe, , [017669c0ec8f66d0dcd26f967c84c63a],
PUP.Hacktool.Patcher, D:\Utils\Tmp\ABBYY Lingvo x5 v15.0.567\15.0.576.0.exe, , [e88f9990f6851c1abfefa85dd729a858],
PUP.Hacktool.Patcher, D:\Utils\Tmp\ABBYY Lingvo x5 v15.0.591\15.0.591.0.exe, , [cea99594e59604327b334cb95ba550b0],
PUP.Hacktool.Patcher, D:\Utils\Tmp\ABBYY Lingvo x5 v15.0.592.10\15.0.592.10.exe, , [a7d0ff2a1d5e0f27f3bbfd08f808cd33],
PUP.Hacktool.Patcher, D:\Utils\Tmp\ABBYY Lingvo x5 v15.0.592.5\15.0.592.5.exe, , [c9ae4ddc2c4f86b06f3fe223738d25db],
PUP.Hacktool.Patcher, E:\Documents\Photos\Fl\Setup\Alcohol_v1.9.8.7117_patch_rus.rar, , [eb8cfb2ea9d2340217971fe61ce408f8],
PUP.Wpakill, E:\Documents\Photos\Fl\Setup\antiwpa.zip, , [0c6b70b98af1c86eeaf9bb708381837d],
Trojan.Agent, E:\Documents\Photos\Fl\Setup\MSKey4in1.rar, , [f681ef3aaccf6ec8d358317a6c9556aa],
RiskWare.Tool.HCK, E:\Documents\Photos\Fl\Setup\Ne_ro.v8.1.1.0.Ultra.kg.zip, , [4c2bb079e497bb7b92b07f4119e82bd5],
Trojan.Agent.CK, E:\Documents\Photos\Fl\Setup\Zoom_Player_Home_MAX_v6.00.rar, , [b0c789a0e19aae8818571d91659c2ad6],
Trojan.Agent.CK, E:\Documents\Photos\Fl\Setup\Zoom_Player_Home_Premium_v6.00.rar, , [dd9ac7620f6ca1957ff0d5d9fb06b050],
Trojan.Downloader, E:\Documents\Photos\Fl\Setup\_r_ALL_Crack.rar, , [5027ed3cb4c7a393da674bff41bfa060],
PUP.Optional.OpenCandy, F:\From_Asus_Nb_Ulyana_2012_04_01\DiskD\DM\winamp5623_full_bundle_emusic-7plus_all.exe, , [89ee0326770441f5ad73d76c21e3c13f],
PUP.Optional.OpenCandy, F:\From_Cube_16\SetUp\!New\KMPlayer_EN_3.1.0.0.exe, , [ee89a18882f958deab750d36dd27827e],
PUP.Optional.OpenCandy, F:\From_Cube_16\SetUp\Multimedia\Info\MediaInfo\MediaInfo_GUI_0.7.48_Windows_i386.exe, , [95e279b0611a34020a16a1a2f90b0ff1],
RiskWare.Tool.CK, F:\From_Cube_16\SetUp\Office\2007\DM.ZIP, , [afc89e8b1467fe3803ce0d2059ab56aa],
Hacktool.WGAFix, F:\From_Cube_16\SetUp\Windows\XP\Act\Windows XP Activation Crack\WGA Fixer.exe, , [babd9b8e58234beb02d0534d54aded13],
Trojan.Downloader, F:\From_Cube_16\SetUp\Windows\XP\SP3\Windows_XP_Activation_and_Reactivation.zip, , [492eb574d6a5d56135d4e9c82dd444bc],
RiskWare.Tool.CK, F:\From_Cube_16\SetUp\Windows\XP\SP3\Windows_XP_Activator.zip, , [b5c2be6b67148aac3ef28836af5245bb],
PUP.Optional.OpenCandy, F:\From_Cube_16\Utils\Multimedia\MediaCoder2011-R4-5142.zip, , [3443d6534f2c84b2a878c47fe42037c9],
Malware.Packer.Gen, F:\Setup\Adobe\Adobe_Photoshop_Lightroom_2.4_Build_572242_Final\Adobe.Photoshop.Lightroom.v2.Keymaker.Only-EMBRACE\keygen.exe, , [cbac13162c4fc86ef741b0958878bb45],
PUP.Optional.OpenCandy, G:\Downloads\DM\MyPhoneExplorer_Setup_1.8.4.exe, , [3344d8510f6ceb4bb967014243c18e72],
PUP.Optional.OpenCandy, G:\Downloads\DM\DTLite4471-0335.exe, , [086f9c8dd0abe84eda466dd60103c739],
PUP.Optional.OpenCandy, G:\Downloads\DM\DTLite4471-0337.exe, , [e097f435186376c03ce40b3817ed8878],
PUP.Optional.OpenCandy, G:\Downloads\DM\DTLite4481-0347 (1).exe, , [83f4e148d4a7241257c9350e7b89a759],
PUP.Optional.OpenCandy, G:\Downloads\DM\DTLite4481-0347.exe, , [d99e18110c6fc07646dafd46df2514ec],
Riskware.Tool.CK, G:\Downloads\DM\VMWare.ZIP, , [b7c00821186377bf56a19b9009fbf010],
PUP.Hacktool.Patcher, G:\LLL\MyComp\DM\Lingvo_15.0.zip, , [0a6df93084f70531634b42c3778922de],
Trojan.FakeAlert.DF, I:\Program Files\ASCON\KOMPAS-3D V10\Libs\FTDraw\FTSCALC.exe, , [601780a927541c1a62493a0cab562cd4], [/code]

Удалил в МВАМ.
Пока изменений не заметил.
Какие ещё сделать логи?

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]

Лог сделал.

Скопируйте текст ниже в Блокнот и сохраните как файл с названием [B]CFScript.txt[/B] [B][COLOR="#0000CD"]в корень диска С[/COLOR][/B]
[code]KillAll::

FireFox::
FF - ProfilePath - c:\users\Lbs\AppData\Roaming\Mozilla\Firefox\Profiles\h3qxuo56.default\
FF - prefs.js: keyword.URL - hxxp://search.us.com/serp?guid={42B87340-45B7-4D2C-94C1-F3ADD79148B7}&action=default_search&serpv=5&k=
FF - user.js: plugin.state.npconduitfirefoxplugin - 0
FF - user.js: browser.startup.homepage - hxxp://search.us.com/v/2/?guid={EB4EBA3D-5FE7-469A-9C68-7F3EDC380CB0}&serpv=17
FF - user.js: browser.startup.page - 1
FF - user.js: plugin.state.npconduitfirefoxplugin - 0
FF - user.js: keyword.URL - hxxp://search.us.com/serp?guid={42B87340-45B7-4D2C-94C1-F3ADD79148B7}&action=default_search&serpv=5&k=
FF - user.js: browser.search.defaultenginename - Search.us
FF - user.js: browser.keywordURLPromptDeclined - 1
FF - user.js: browser.newtab.url -

[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.

Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

Скрипт выполнил. Вот лог.
Теперь FireFox в порядке!

[url="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/url]

Проблема с search.us.home успешно решена! С FireFox всё тоже хорошо!
Однако, проблема с IE осталась:
В IE при открытии новых вкладок время от времени открывается [url]http://www.otvest-rist.com/[/url].
Помогите, пожалуйста, избавиться от этого добра.

Куки и кэш браузера почистите

Куки и кэш браузера почистил.
Но в IE и Chrome при открытии новых вкладок по прежнему время от времени открывается [url]http://www.otvest-rist.com/[/url].

Проблема с search.us.home успешно решена, но в контекстном меню браузеров присутствует Search with Search.us.

Помогите, пожалуйста, избавиться от этого добра

Неизвестные расширения для браузеров есть?

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]