Здравствуйте, уважаемые хелперы.
Вчера решил поставить игру "Кунг-фу панда 2". Скачал вроде её экзешник, запустил - вместо игры установился какой-то Baide и папка Game xp. Байду сразу удалил, папку не стал. Но компьютер стал жутко тормозить. Посмотрите на предмет вирусов. Пожалуйста.
Уважаемый(ая) [B]Паттттт[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Помогите, пожалуйста.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Никто не поможет?
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Помогите, пожалуйста.
Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
DelCLSID('{11292110-6F8D-4D56-863C-44902A1E7880}');
DelBHO('{15DEE173-1BE9-4424-81E0-58A87076E9B1}');
QuarantineFile('C:\opera.bat','');
QuarantineFile('C:\iexplore.bat','');
QuarantineFile('C:\Program Files\punto.bat','');
QuarantineFile('C:\Program Files\Google\chrome.bat','');
DeleteFile('C:\iexplore.bat','32');
DeleteFile('C:\opera.bat','32');
DeleteFile('C:\Program Files\Google\chrome.bat','32');
DeleteFile('C:\Program Files\punto.bat','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','baidu');
BC_ImportAll;
ExecuteSysClean;
BC_DeleteFile('C:\Windows\system32\DRIVERS\bd0001.sys');
BC_DeleteFile('C:\Windows\system32\DRIVERS\bd0002.sys');
BC_DeleteFile('C:\Windows\system32\DRIVERS\bd0003.sys');
BC_DeleteFile('C:\Windows\system32\DRIVERS\bd0004.sys');
BC_DeleteFile('C:\Windows\system32\DRIVERS\BDArKit.sys');
BC_DeleteFile('C:\Windows\system32\drivers\BDDefense.sys');
BC_DeleteFile('C:\Windows\system32\DRIVERS\BDMWrench.sys');
BC_DeleteFile('C:\Windows\system32\drivers\BDSafeBrowser.sys');
BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduHips\1.2.0.751\BaiduHips.exe');
BC_DeleteFile('C:\Program Files\BaiduSd2.1\BaiduSd\2.1.0.3086\BaiduSdSvc.exe');
BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\BaiduAnSvc.exe');
BC_DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.521\BaiduProtect.exe');
BC_DeleteSvc('BaiduHips');
BC_DeleteSvc('BDKVRTP');
BC_DeleteSvc('BDMRTP');
BC_DeleteSvc('BDSGRTP');
BC_DeleteSvc('bd0001');
BC_DeleteSvc('bd0002');
BC_DeleteSvc('bd0003');
BC_DeleteSvc('bd0004');
BC_DeleteSvc('BDArKit');
BC_DeleteSvc('BDDefense');
BC_DeleteSvc('BDMWrench');
BC_DeleteSvc('BDSafeBrowser');
BC_DeleteSvc('BDMNetMon');
BC_DeleteFile('C:\Program Files\baidu\baidu.exe');
BC_DeleteFile('C:\Program Files\BaiduSd2.1\BaiduSd\2.1.0.3086\websafe\WebMonBHO.dll');
BC_DeleteFile('C:\Program Files\Baidu\BaiduAn\3.0.0.3971\BDSWShellExt.dll');
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Пофиксите в HiJack
[CODE]R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=e6fda62e15cb919267c1c0f172496fc6&text={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=e6fda62e15cb919267c1c0f172496fc6&text={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=e6fda62e15cb919267c1c0f172496fc6&text=
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=e6fda62e15cb919267c1c0f172496fc6&text=
O3 - Toolbar: (no name) - {91397D20-1446-11D4-8AF4-0040CA1127B6} - (no file)
O4 - HKLM\..\Run: [baidusdTray] "C:\Program Files\BaiduSd2.1\BaiduSd\2.1.0.3086\BaiduSdTray.exe" -stmd=3
O4 - HKLM\..\Run: [BaiduAnTray] "C:\Program Files\Baidu\BaiduAn\3.0.0.3971\BaiduAnTray.exe" -stmd=3
O4 - HKCU\..\Run: [baidu] C:\Program Files\baidu\baidu.exe
O13 - DefaultPrefix: http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=e6fda62e15cb919267c1c0f172496fc6&text=[/CODE]
Сделайте новые логи
Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]
Скрипт выполнил, но больших изменений не увидел. Перед скриптом глянл меню пуск, нашёл китайские папки там. После скрипта и Комбофикса они остались. Но после них скрипт №3 АВЗ не выполняет - ВЫЛЕТАЕТ. Но скрипт №2 выполнить удалось. Его я выполинл после Комбофикса. Запрошенный карантин выслал. Фикс в Хайджеке перед Комбофиксом прошёл успешно. Все логи прикладываю. Также компьютер хоть и чуть меньше, но всё ещё тормозит. По карантину:
Результат загрузки
Файл сохранён как 141216_194914_quarantine_5490547ad61c1.zip
Размер файла 4727
MD5 0e277278fde51eb3df4e6538508b657d
Файл закачан, спасибо!
Скопируйте текст ниже в Блокнот и сохраните как файл с названием [B]CFScript.txt[/B] [B][COLOR="#0000CD"]в корень диска С[/COLOR][/B]
[code]KillAll::
File::
c:\windows\system32\drivers\BDEnhanceBoost.sys
C:\iехplоrе.bаt.exe
c:\program files\puntо.bаt.exe
C:\оpеrа.bаt.exe
c:\users\Seva\AppData\Local\chrome.bat
c:\users\Seva\WoTLauncher.bat
C:\firefox.bat
C:\firеfох.bаt.exe
Driver::
BDEnhanceBoost
Folder::
c:\users\Seva\AppData\Roaming\Baidu
c:\programdata\Baidu
c:\users\Seva\AppData\Roaming\VOPackage
Registry::
FileLook::
DirLook::[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://savepic.org/5315621m.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.
Похоже не помогло. В Пуске как были китайские папки - так они и остались. После перзагрузки.
Может потому, что у меня Виндовс 7 и надо от администратора запускать, а при переносе так не получается. Лог Комбофикса новый прилагаю.
[quote="Паттттт;1200815"]В Пуске как были китайские папки - так они и остались[/quote]Это ярлыки. Удаляйте
[QUOTE]c:\windows\system32\drivers\BDEnhanceBoost.sys
C:\iехplоrе.bаt.exe
c:\program files\puntо.bаt.exe
C:\оpеrа.bаt.exe
c:\users\Seva\AppData\Local\chrome.bat
c:\users\Seva\WoTLauncher.bat
C:\firefox.bat
C:\firеfох.bаt.exe[/QUOTE]удалите вручную, если найдутся
[b]thyrex[/b],
А что с Оперой? После заражения она постоянно ВЫЛЕТАЕТ, запускается с 5 раза, и то не всегда. До вируса работала нормлаьно. Как исправить?
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Правда после перезагрузки после удаления вышеуказанных файлов Опера пока не вылетала. Но проверим.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Так а вирус удалён? И что это был за вирус?
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
И Opera и Mozilla Firefox падают. Мозилла начала падать сегодня. Раньше не было. Опера раньше иногда падала, сейчас - при каждом запуске после её отключения.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Поискал поиском и нашёл и удалил вручную ещё одну папку Baidu. Не могу удалить этот файл: C:\Windows\System32\baiduan_number_new.ttf.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Да и в браузерах Опера и Мозилла при загрузке и далее периодически запускается какая-то страница, которую антивирус НОД 32 блокирует как страницу с потенциально опасным содержимым.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Вот такая ссылка запускается периодически при работе в браузерах: http://148.251.195.78/click?s=4&v=0.2&k=14&u=http%3A%2F%2F148.251.195.78%3A81%2Fe42q Потом она меняется.
[WARNING]
Похоже Вы так и не осознали, что своим постоянным up'ом темы только отворачиваете от себя хэлперов. Я, похоже, совершил большую глупость, когда решил поверить Вам и помочь. Ну что ж - Вы сами этого захотели - все новые темы останутся без внимания[/WARNING]
Список установленных расширений для браузеров напишите.
Сделайте [url="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]такой лог[/url]
[QUOTE=thyrex;1201080][WARNING]
Похоже Вы так и не осознали, что своим постоянным up'ом темы только отворачиваете от себя хэлперов. Я, похоже, совершил большую глупость, когда решил поверить Вам и помочь. Ну что ж - Вы сами этого захотели - все новые темы останутся без внимания[/WARNING]
Список установленных расширений для браузеров напишите.
Сделайте [url="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]такой лог[/url][/QUOTE]
Я не аппал, а просто дописывал симптомы и подозрительные файлы. Простите, пожалуйста, если опять обидел.
А как в опере установленны расширения посмотреть?
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Выкладываю запрошенный лог и скрины списка расширений браузеров. В Опере нашёл как посмотреть.
Лог я выложил. Что мне делать?
Пересоздайте ярлыки
[QUOTE]C:\ProgramData\Microsoft\Windows\Start Menu\Programs\R.G. Catalyst\Transformers 2\Начать Игру.lnk
C:\Users\Public\Desktop\Тrаnsfоrmеrs 2.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Утилиты\Puntо Switсhеr.lnk
C:\Users\Public\Desktop\Wоrld оf Таnks.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome\Gооglе Сhrоmе.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Моzillа Firеfох.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Оpеrа.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Яндекс\Элементы Яндекса\Страница Элементов Яндекса для Intеrnеt Ехplоrеr.lnk
C:\Users\Public\Desktop\Gооglе Сhrоmе.lnk
C:\Users\Seva\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Intеrnеt Ехplоrеr.lnk
C:\Users\Seva\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Оpеrа.lnk
C:\Users\Seva\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Intеrnеt Ехplоrеr (Nо Аdd-оns).lnk
C:\Users\Seva\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnеt Ехplоrеr.lnk[/QUOTE]
И всё?
Скажите, пожалуйста, а файл [B]C:\Windows\System32\baiduan_number_new.ttf[/B] удалять надо?
Большущее спасибо. Простите меня за всё! Удачи Вам!:cray::cray:
Удаляйте. Это какой-то файл от шрифта
Ясно. Большое спасибо. Удачи во всём!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]12[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\iexplore.bat - [B]Trojan-Clicker.BAT.Small.bt[/B][/LIST][/LIST]