блокируются формы для входа в соц. сети, сайты, появляются рекламные и порно-баннеры [not-a-virus:AdWare.Win32.Tirrip.d ]

Printable View

07.09.2014, 15:24
tretnik

блокируются формы для входа в соц. сети, сайты, появляются рекламные и порно-баннеры [not-a-virus:AdWare.Win32.Tirrip.d ]

блокируются формы для входа в соц. сети, сайты, появляются рекламные и порно-баннеры. система 64-разрядная.

(разделе Диагностика было написано "[COLOR=#FF0000][FONT=Arial]Если у Вас 64-разрядная или серверная операционная система, выполнять п.1 данного раздела не следует. Переходите сразу к п.2.[/FONT][/COLOR]"). помогите, пожалуйста.
07.09.2014, 15:27
Info_bot

Уважаемый(ая) [B]tretnik[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
07.09.2014, 16:37
tretnik

добавил недостающий архив на всякий случай
08.09.2014, 00:30
Vvvyg

Деинсталлируйте:

Quiknowledge
Аудио и видео скачивание
eDealsPop
MyPC Backup
Zaxar Game Browser
Kinoroom Browser
eTranslator

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
TerminateProcessByName('c:\program files (x86)\quiknowledge\service\qksvc.exe');
TerminateProcessByName('c:\program files (x86)\edealspop\edealspop.exe');
StopService('BackupStack');
StopService('storegidfilter');
StopService('qknfd');
QuarantineFile('C:\Users\Евгений\AppData\Local\Microsoft\Extensions\safebrowser.exe','');
QuarantineFile('C:\Users\Евгений\AppData\Local\Microsoft\Extensions\extsetup.exe','');
QuarantineFile('C:\Users\Евгений\AppData\Roaming\newSI_20107\s_inst.exe','');
QuarantineFile('C:\Users\Евгений\AppData\Roaming\newSI_1801\s_inst.exe','');
QuarantineFile('C:\Program Files (x86)\Аудио и видео скачивание\IE\x86\Downloader.dll','');
QuarantineFile('C:\Program Files (x86)\Quiknowledge\IE\QuiknowledgeClientIE.dll','');
QuarantineFile('C:\Users\Public\Videos\Adobe\upd.exe','');
QuarantineFile('C:\ProgramData\Schedule\timetasks.exe','');
QuarantineFile('C:\ProgramData\Program status\scheck.exe','');
QuarantineFile('C:\ProgramData\Kbrowser utility\kbrowser-updater-utility.exe','');
QuarantineFile('C:\Program Files (x86)\common files\system\dnet\dnetc.exe','');
QuarantineFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe','');
QuarantineFile('C:\Program Files (x86)\MyPC Backup\BackupStack.exe','');
QuarantineFile('C:\Windows\storegidfilter.sys','');
QuarantineFile('C:\Windows\system32\drivers\qknfd.sys','');
QuarantineFile('c:\program files (x86)\quiknowledge\service\qksvc.exe','');
QuarantineFile('c:\program files (x86)\edealspop\edealspop.exe','');
DeleteFile('c:\program files (x86)\quiknowledge\service\qksvc.exe','32');
DeleteFile('C:\Windows\system32\drivers\qknfd.sys','32');
DeleteFile('C:\Windows\storegidfilter.sys','32');
DeleteFile('C:\Program Files (x86)\MyPC Backup\BackupStack.exe','32');
DeleteFile('C:\PROGRA~2\SupTab\SEARCH~1.DLL','32');
DeleteFile('C:\PROGRA~2\SupTab\SEARCH~2.DLL','32');
DeleteFile('C:\Program Files (x86)\Kinoroom Browser\kinoroom-browser.exe','32');
DeleteFile('C:\Program Files (x86)\Ticno\Tabs\Ticno','32');
DeleteFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe','32');
DeleteFile('C:\Program Files (x86)\common files\system\dnet\dnetc.exe','32');
DeleteFile('C:\Program Files (x86)\eDealsPop\eDealsPop.exe','32');
DeleteFile('C:\ProgramData\Kbrowser utility\kbrowser-updater-utility.exe','32');
DeleteFile('C:\ProgramData\Program status\scheck.exe','32');
DeleteFile('C:\ProgramData\Schedule\timetasks.exe','32');
DeleteFile('C:\Users\Public\Videos\Adobe\upd.exe','32');
DeleteFile('C:\Program Files (x86)\punto.bat','32');
DeleteFile('C:\Users\Евгений\AppData\Local\ok.bat','32');
DeleteFile('C:\Users\Евгений\AppData\Local\storegid\storegid.exe','32');
DeleteFile('C:\Users\Евгений\AppData\Local\storegid\storegidup.exe','32');
DeleteFile('C:\Users\Евгений\AppData\Local\vk.bat','32');
DeleteFile('C:\Users\Евгений\AppData\Roaming\eTranslator\eTranslator.exe','32');
DeleteFile('C:\Program Files (x86)\Quiknowledge\IE\QuiknowledgeClientIE.dll','32');
DeleteFile('C:\Program Files (x86)\Аудио и видео скачивание\IE\x86\Downloader.dll','32');
DeleteFile('C:\Windows\Tasks\AmiUpdXp.job','64');
DeleteFile('C:\Windows\Tasks\At1.job','64');
DeleteFile('C:\Users\Евгений\AppData\Roaming\newSI_1801\s_inst.exe','32');
DeleteFile('C:\Windows\Tasks\newSI_1801.job','64');
DeleteFile('C:\Users\Евгений\AppData\Roaming\newSI_20107\s_inst.exe','32');
DeleteFile('C:\Windows\Tasks\newSI_20107.job','64');
DeleteFile('C:\Windows\system32\Tasks\AmiUpdXp','64');
DeleteFile('C:\Windows\system32\Tasks\At1','64');
DeleteFile('C:\Users\Евгений\AppData\Local\Microsoft\Extensions\extsetup.exe','32');
DeleteFile('C:\Windows\system32\Tasks\extsetup','64');
DeleteFile('C:\Windows\system32\Tasks\kbrowser-updater-utility','64');
DeleteFile('C:\Windows\system32\Tasks\newSI_1801','64');
DeleteFile('C:\Windows\system32\Tasks\newSI_20107','64');
DeleteFile('C:\Users\Евгений\AppData\Local\Microsoft\Extensions\safebrowser.exe','32');
DeleteFile('C:\Windows\system32\Tasks\Safebrowser','64');
DelBHO('{0633EE93-D776-472f-A0FF-E1416B8B2E3D}');
DelBHO('{bc8c4384-d19c-474b-a298-c90b7e5c5204}');
DelBHO('{8984B388-A5BB-4DF7-B274-77B879E179DB}');
DelBHO('{57FC7EA7-2F0D-4F3E-89BB-A1651B3F39AA}');
DelBHO('{3593C8B9-8E18-4B4B-B7D3-CB8BEB1AA42C}');
DelBHO('{323C6E6D-1621-470F-8A52-4FDEC4E75E40}');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\MobileDocuments','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','mobilegeni daemon');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ZaxarLoader','command');
RegKeyStrParamWrite('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings', 'ProxyServer', '');
RegKeyParamWrite('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings', 'ProxyEnable', 'REG_DWORD', '0');
DeleteService('WindowsProtectManger');
DeleteService('ProtectMonitor');
DeleteService('PirritDesktop');
DeleteService('NativeRepositorySprite.exe');
DeleteService('IePluginServices');
DeleteService('GamesRS');
DeleteService('DebugDirectXRepository.exe');
DeleteService('BackupStack');
DeleteService('BackupScreenshotSoftware.exe');
DeleteService('ArchiveBIOSExport.exe');
DeleteService('AppGNUPerl.exe');
DeleteService('APIDefaultFreeware.exe');
DeleteService('a95c9c1391dbe6a.exe');
DeleteService('68abedd63fd8292.exe');
DeleteService('2923cf9482865aef91b5ac8319f54cd2.exe');
DeleteService('0b63e187d0b0756.exe');
DeleteService('storegidfilter');
DeleteService('qknfd');
DeleteFileMask('C:\Users\Евгений\AppData\Local\Microsoft\Extensions','*',true);
DeleteFileMask('C:\Users\Евгений\AppData\Roaming\newSI_20107','*',true);
DeleteFileMask('C:\Users\Евгений\AppData\Roaming\newSI_1801','*',true);
DeleteFileMask('C:\Users\Public\Videos\Adobe','*',true);
DeleteFileMask('C:\ProgramData\Schedule','*',true);
DeleteFileMask('C:\ProgramData\Program status','*',true);
DeleteFileMask('C:\ProgramData\Kbrowser utility','*',true);
DeleteFileMask('C:\Program Files (x86)\eDealsPop','*',true);
DeleteFileMask('C:\Program Files (x86)\common files\system\dnet','*',true);
DeleteFileMask('C:\Program Files (x86)\Zaxar','*',true);
DeleteFileMask('C:\Program Files (x86)\Аудио и видео скачивание','*',true);
DeleteFileMask('C:\Program Files (x86)\MyPC Backup','*',true);
DeleteFileMask('C:\Users\Евгений\AppData\Roaming\eTranslator','*',true);
DeleteFileMask('C:\Users\Евгений\AppData\Local\storegid','*',true);
DeleteFileMask('c:\program files (x86)\quiknowledge','*',true);
DeleteDirectory('C:\Users\Евгений\AppData\Local\Microsoft\Extensions');
DeleteDirectory('C:\Users\Евгений\AppData\Roaming\newSI_20107');
DeleteDirectory('C:\Users\Евгений\AppData\Roaming\newSI_1801');
DeleteDirectory('C:\Users\Public\Videos\Adobe');
DeleteDirectory('C:\ProgramData\Schedule');
DeleteDirectory('C:\ProgramData\Program status');
DeleteDirectory('C:\ProgramData\Kbrowser utility');
DeleteDirectory('C:\Program Files (x86)\eDealsPop');
DeleteDirectory('C:\Program Files (x86)\common files\system\dnet');
DeleteDirectory('C:\Program Files (x86)\Zaxar');
DeleteDirectory('C:\Program Files (x86)\Аудио и видео скачивание');
DeleteDirectory('C:\Program Files (x86)\MyPC Backup');
DeleteDirectory('C:\Users\Евгений\AppData\Roaming\eTranslator');
DeleteDirectory('C:\Users\Евгений\AppData\Local\storegid');
DeleteDirectory('c:\program files (x86)\quiknowledge');
ClearHostsFile;
ExecuteSysClean;
ExecuteRepair(3);
ExecuteRepair(4);
ExecuteRepair(2);
ExecuteWizard('SCU',2,2,true);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Пересоздайте ярлыки запуска браузеров на рабочем столе и панели быстрого запуска.

Выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.

Сделайте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner (by Xplode)[/URL].
09.09.2014, 18:56
tretnik

итак, всё выполнил. во вложении требуемые файлы.
09.09.2014, 22:38
Vvvyg

С того времени ещё умудрились нахватать чего-то непонятного.

Запустите повторно [B]AdwCleaner (by Xplode) [/B](в [B]Windows Vista/7/8[/B] необходимо запускать через правую кнопку мыши [B]от имени администратора)[/B]), нажмите кнопку [B]Сканировать[/B], по окончании сканирования уберите галочки на вкладке [B]Папки[/B] со всех пунктов, где упоминаются Mail.Ru [B]если используете соответствующие программы[/B].

Затем нажмите [B]Очистить[/B] и по окончании удаления перезагрузите систему по требованию программы.

Выполните скрипт в AVZ:[CODE]begin
TerminateProcessByName('c:\users\Евгений\appdata\local\dlcmemoryscript\compilermacromysql.exe');
TerminateProcessByName('c:\users\Евгений\appdata\local\dlcmemoryscript\dlcmemoryscript.exe');
StopService('RgFltX64');
QuarantineFile('C:\Users\Евгений\AppData\Local\DLCMemoryScript\RegFltrX64.sys','');
QuarantineFile('c:\users\Евгений\appdata\local\dlcmemoryscript\compilermacromysql.exe','');
QuarantineFile('c:\users\Евгений\appdata\local\dlcmemoryscript\dlcmemoryscript.exe','');
DeleteFile('c:\users\Евгений\appdata\local\dlcmemoryscript\dlcmemoryscript.exe','32');
DeleteFile('c:\users\Евгений\appdata\local\dlcmemoryscript\compilermacromysql.exe','32');
DeleteFile('C:\Users\Евгений\AppData\Local\DLCMemoryScript\RegFltrX64.sys','32');
RegKeyStrParamWrite('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings', 'ProxyServer', '');
RegKeyParamWrite('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings', 'ProxyEnable', 'REG_DWORD', '0');
DeleteService('RgFltX64');
DeleteService('vosr');
DeleteFileMask('C:\Users\Евгений\AppData\Local\DLCMemoryScript','*',true);
DeleteDirectory('C:\Users\Евгений\AppData\Local\DLCMemoryScript');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

[B]Обновите базы AVZ[/B] ("Файл" -> "Обновление баз"), выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.

[URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кэш и cookies-файлы браузеров[/URL] и проверьте проблему.
10.09.2014, 18:33
tretnik

сделано!
10.09.2014, 20:11
Vvvyg

Что с проблемой? Если решена, [url="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт в AVZ[/url] при наличии доступа в интернет:[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к броузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].
10.09.2014, 20:21
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]12[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files (x86)\common files\system\dnet\dnetc.exe - [B]not-a-virus:NetTool.Win32.Calc-DNet.i[/B] ( DrWEB: Trojan.Distnet )[*] c:\users\public\videos\adobe\upd.exe - [B]Trojan.MSIL.Small.cg[/B] ( BitDefender: Gen:Variant.Kazy.363246, AVAST4: MSIL:BitCoinMiner-W [Trj] )[*] c:\users\евгений\appdata\local\dlcmemoryscript\regfltrx64.sys - [B]not-a-virus:AdWare.Win32.Tirrip.d[/B] ( BitDefender: Adware.PirritSuggestor.A )[*] c:\users\евгений\appdata\roaming\newsi_20107\s_inst.exe - [B]not-a-virus:AdWare.Win32.MediaMagnet.b[/B][/LIST][/LIST]