Реклама в браузерах, неизвестные процессы и приложение на китайском

Printable View

29.09.2014, 16:18
BediVeR

Вложений: 3

Реклама в браузерах, неизвестные процессы и приложение на китайском

Доброе время суток!

Приехал с командировки, с компом невесть что.
куча ненужных приложений типа вкмюзик и яндексбар, две версии приложения на китайском - Baidu, реклама в браузерах.
С чем смог - справился, baidu пытался удалить - деинсталлятор на китайском, после удаления осталась неудаляемая папка в program files. В Диспетчере задач незакрываемый процесс BaiduProtect.exe с иероглифами
так-же непонятны процессы BindEx.exe и mDNSResponder.exe
автоматически запускаются какие-то процессы вместе с играми и браузерами
в браузерах постоянно открывается реклама, не только с запуском но и сама по себе время от времени
после продолжительной работы на компьютере некорректно работает меню пуск (кнопки и меню пропадают)
После загрузки Windows жалуется на отсутствие какого-то ".exe" имя состоит из одних цифр, не запомнил.

Прошу вашей помощи!

Проверил AVPTool, ничего не нашел вроде. Логи прикрепляю
29.09.2014, 16:19
Info_bot

Уважаемый(ая) [B]BediVeR[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
29.09.2014, 19:12
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Program Files\DealPly\DealPlyUpdate.exe','');
QuarantineFile('C:\Users\Элис\AppData\Roaming\eTranslator\eTranslator.exe','');
DeleteService('bd0002');
SetServiceStart('BDSafeBrowser', 4);
DeleteService('BDSafeBrowser');
SetServiceStart('BDMWrench', 4);
DeleteService('BDMWrench');
SetServiceStart('BDEnhanceBoost', 4);
DeleteService('BDEnhanceBoost');
SetServiceStart('BDArKit', 4);
DeleteService('BDArKit');
SetServiceStart('bd0004', 4);
DeleteService('bd0004');
SetServiceStart('bd0001', 4);
DeleteService('bd0001');
SetServiceStart('BDSGRTP', 4);
DeleteService('BDSGRTP');
TerminateProcessByName('c:\program files\baidu\bindex.exe');
TerminateProcessByName('c:\program files\common files\baidu\baiduprotect1.3\1.3.0.443\baiduprotect.exe');
DeleteFile('c:\program files\common files\baidu\baiduprotect1.3\1.3.0.443\baiduprotect.exe','32');
DeleteFile('c:\program files\baidu\bindex.exe','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\BDLogicUtils.dll','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\BDKitUtils.dll','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\BDMNet.dll','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\bdsg0001.dll','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\BDMReport.dll','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\DriverManager.dll','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\dynplugins\AssistReportPlugin.dll','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\plugins\BaiduRepair.dll','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\plugins\HIPS.dll','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\SafeExplorer.dll','32');
DeleteFile('C:\Windows\system32\DRIVERS\bd0001.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\bd0004.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\BDArKit.sys','32');
DeleteFile('C:\Windows\system32\drivers\BDEnhanceBoost.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\BDMWrench.sys','32');
DeleteFile('C:\Windows\system32\drivers\BDSafeBrowser.sys','32');
DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.443\BaiduProtect.exe','32');
DeleteFile('C:\Program Files\baidu\BindEx.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','baidu');
DeleteFile('C:\Users\Элис\AppData\Local\temp\_uninst_.bat','32');
DeleteFile('C:\Users\Элис\AppData\Roaming\eTranslator\eTranslator.exe','32');
DeleteFile('C:\Program Files\DealPly\DealPlyUpdate.exe','32');
DeleteFile('C:\Windows\system32\Tasks\DealPlyUpdate','32');
DeleteFileMask('c:\program files\baidu', '*', true);
DeleteDirectory('c:\program files\baidu');
DeleteFileMask('c:\program files\common files\baidu', '*', true);
DeleteDirectory('c:\program files\common files\baidu');
DeleteFileMask('C:\Users\Элис\AppData\Roaming\eTranslator', '*', true);
DeleteDirectory('C:\Users\Элис\AppData\Roaming\eTranslator');
DeleteFileMask('C:\Program Files\DealPly', '*', true);
DeleteDirectory('C:\Program Files\DealPly');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
Сделайте логи [url="http://virusinfo.info/showthread.php?t=115256"]RSIT[/url]
30.09.2014, 07:12
BediVeR

Вложений: 3

скрипт выполнил, карантин отправил, прикрепляю логи
30.09.2014, 08:40
thyrex

Пофиксите в HiJack
[CODE]R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=792dc51affe858a5b63f14da32da15c0&text={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.apeha.ru
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,First Home Page = http://www.apeha.ru
O2 - BHO: (no name) - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - (no file)
O18 - Protocol: soloresinternetrusengnum - {1B7043A7-84E1-443A-804F-20A75728892C} - (no file)
[/CODE]

Поместите в карантин МВАМ только
[CODE]Registry Keys: 3
PUP.Optional.DealPly.A, HKLM\SOFTWARE\DealPly, , [4d22bf34eb90bf771d2b39eea75ccb35],
PUP.Optional.DealPly.A, HKU\S-1-5-21-1094937296-2254813235-1489800445-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\DEALPLY, , [abc4e50e5724bd794af6d288ea1a6d93],
PUP.Optional.InstallCore.A, HKU\S-1-5-21-1094937296-2254813235-1489800445-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\INSTALLCORE, , [0b6440b307744cea6c775efad0347090],

Registry Values: 2
PUP.Optional.DealPly.A, HKU\S-1-5-21-1094937296-2254813235-1489800445-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\DEALPLY|Partner, iron, , [abc4e50e5724bd794af6d288ea1a6d93]
PUP.Optional.InstallCore.A, HKU\S-1-5-21-1094937296-2254813235-1489800445-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\INSTALLCORE|tb, 0M1S1H1K2U, , [0b6440b307744cea6c775efad0347090]

Folders: 7
PUP.OPtional.Dealply.A, C:\Users\?*?»??N?\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\DealPly, , [caa526cdd9a2a3931126490f2ed644bc],
PUP.Optional.DealPly.A, C:\Users\?*?»??N?\AppData\Roaming\DealPly, , [e08fb83bbfbcdb5b9a5a26b780829f61],
PUP.Optional.DealPly.A, C:\Users\?*?»??N?\AppData\Roaming\DealPly\UpdateProc, , [e08fb83bbfbcdb5b9a5a26b780829f61],
PUP.Optional.OpenCandy, C:\Users\?*?»??N?\AppData\Roaming\OpenCandy, , [a0cf19da7407b58187a3ffdf9a6831cf],
PUP.Optional.OpenCandy, C:\Users\?*?»??N?\AppData\Roaming\OpenCandy\C77D1FCB10904114AF4088C37BF0EFBC, , [a0cf19da7407b58187a3ffdf9a6831cf],
PUP.Optional.Updater.A, C:\Users\?*?»??N?\AppData\Roaming\DigitalSites\UpdateProc, , [cda2c92a92e979bd5782f407d0327090],
PUP.Optional.Updater.A, C:\Users\?*?»??N?\AppData\Roaming\DSite\UpdateProc, , [ee81777ca6d5231303d80af11de5a15f],

Files: 24
PUP.OPtional.Dealply.A, C:\Users\?*?»??N?\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\DealPly\Uninstall DealPly.lnk, , [caa526cdd9a2a3931126490f2ed644bc],
PUP.OPtional.Dealply.A, C:\Users\?*?»??N?\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\DealPly\DealPly Help.url, , [caa526cdd9a2a3931126490f2ed644bc],
PUP.OPtional.Dealply.A, C:\Users\?*?»??N?\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\DealPly\DealPly.url, , [caa526cdd9a2a3931126490f2ed644bc],
PUP.Optional.DealPly.A, C:\Users\?*?»??N?\AppData\Roaming\DealPly\UpdateProc\config.dat, , [e08fb83bbfbcdb5b9a5a26b780829f61],
PUP.Optional.OpenCandy, C:\Users\?*?»??N?\AppData\Roaming\OpenCandy\C77D1FCB10904114AF4088C37BF0EFBC\hfza_2018.exe, , [a0cf19da7407b58187a3ffdf9a6831cf],
PUP.Optional.Updater.A, C:\Users\?*?»??N?\AppData\Roaming\DigitalSites\UpdateProc\config.dat, , [cda2c92a92e979bd5782f407d0327090],
PUP.Optional.Updater.A, C:\Users\?*?»??N?\AppData\Roaming\DigitalSites\UpdateProc\info.dat, , [cda2c92a92e979bd5782f407d0327090],
PUP.Optional.Updater.A, C:\Users\?*?»??N?\AppData\Roaming\DigitalSites\UpdateProc\STTL.DAT, , [cda2c92a92e979bd5782f407d0327090],
PUP.Optional.Updater.A, C:\Users\?*?»??N?\AppData\Roaming\DigitalSites\UpdateProc\TTL.DAT, , [cda2c92a92e979bd5782f407d0327090],
PUP.Optional.Updater.A, C:\Users\?*?»??N?\AppData\Roaming\DSite\UpdateProc\config.dat, , [ee81777ca6d5231303d80af11de5a15f],
PUP.Optional.Updater.A, C:\Users\?*?»??N?\AppData\Roaming\DSite\UpdateProc\info.dat, , [ee81777ca6d5231303d80af11de5a15f],
PUP.Optional.Updater.A, C:\Users\?*?»??N?\AppData\Roaming\DSite\UpdateProc\TTL.DAT, , [ee81777ca6d5231303d80af11de5a15f], [/CODE]

Удалите папки
[CODE]C:\Users\Элис\AppData\Roaming\Baidu
C:\Program Files\Common Files\Baidu
C:\ProgramData\Baidu[/CODE]
30.09.2014, 12:51
BediVeR

Спасибо, все это сделал, только случайно пропустил в MBAM

PUP.Optional.Updater.A, C:\Users\?*?»??N?\AppData\Roaming\DSite\UpdateProc\info.dat, , [ee81777ca6d5231303d80af11de5a15f],
не попал в карантин, как его теперь можно добавить?

Что делать дальше, что-то выслать?
30.09.2014, 18:19
thyrex

[quote="BediVeR;1165479"]C:\Users\?*?»??N?\AppData\Roaming\DSite\UpdateProc \info.dat[/quote]Просто удалите файл

Что с проблемой?
30.09.2014, 21:26
BediVeR

с первого взгляда все гуд, приложение удалилось, реклама в хроме пропала, Винда загружается без вопросов.
В опере реклама осталась, там где её вообще быть не должно, попробую переустановить,
и ярлыки перестали работать, но я их пересоздал, вроде нормально.
Спасибо за помощь!
30.09.2014, 22:19
thyrex

[quote="BediVeR;1165718"]попробую переустановить[/quote]Для начала поищите неизвестные установленные расширения для Опера
30.09.2014, 22:34
BediVeR

Спасибо за оперативность! Посмотрел, действительно кроме adblock, стоял переводчик и каких-то 3 неизвестных расширения, их удалил - не помогло. Удалил переводчик, и как ни странно - реклама пропала!
Больше проблем не наблюдаю, если что - знаю куда обратиться :)
Еще раз, огромное Вам спасибо!
30.09.2014, 22:41
thyrex

Удалите МВАМ
30.09.2014, 22:51
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]