[COLOR=#333333]Добрый день.
В системе имеется несанкционированная рекламная активность, которая проявляется автозапуском [/COLOR][COLOR=#333333]сайта [/COLOR]2Inf.ru [COLOR=#333333]через [/COLOR][B]simsimotkroysia[/B](Открывается сразу при запуске системы), а в процессе работы с браузером идет постоянное перенаправление на go.mail.ru/search
Уважаемый(ая) [B]Roman37[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте!
- Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.
Закройте все программы
Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]
[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -
[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFileF('C:\Users\Пользователь\AppData\Roaming\newSI_2149\', '*.exe, *.dll, *.sys, *.bat, *.vbs', true, '', 0, 0);
QuarantineFileF('C:\Users\Пользователь\AppData\Roaming\newSI_21590\', '*.exe, *.dll, *.sys, *.bat, *.vbs', true, '', 0, 0);
QuarantineFileF('C:\Users\Пользователь\AppData\Roaming\newSI_21591\', '*.exe, *.dll, *.sys, *.bat, *.vbs', true, '', 0, 0);
QuarantineFileF('C:\Users\Пользователь\AppData\Roaming\newSI_4396\', '*.exe, *.dll, *.sys, *.bat, *.vbs', true, '', 0, 0);
QuarantineFile('C:\Users\Пользователь\AppData\Roaming\newSI_2149\s_inst.exe', '');
QuarantineFile('C:\Users\Пользователь\AppData\Roaming\newSI_21590\s_inst.exe', '');
QuarantineFile('C:\Users\Пользователь\AppData\Roaming\newSI_21591\s_inst.exe', '');
QuarantineFile('C:\Users\Пользователь\AppData\Roaming\newSI_4396\s_inst.exe', '');
DeleteFile('C:\Windows\Tasks\newSI_2149.job', '32');
DeleteFile('C:\Windows\Tasks\newSI_21590.job', '32');
DeleteFile('C:\Windows\Tasks\newSI_21591.job', '32');
DeleteFile('C:\Windows\Tasks\newSI_4396.job', '32');
DeleteFile('C:\Users\Пользователь\AppData\Roaming\newSI_2149\s_inst.exe', '32');
DeleteFile('C:\Users\Пользователь\AppData\Roaming\newSI_21590\s_inst.exe', '32');
DeleteFile('C:\Users\Пользователь\AppData\Roaming\newSI_21591\s_inst.exe', '32');
DeleteFile('C:\Users\Пользователь\AppData\Roaming\newSI_4396\s_inst.exe', '32');
DeleteFileMask('C:\Users\Пользователь\AppData\Roaming\newSI_2149\', '*', true);
DeleteFileMask('C:\Users\Пользователь\AppData\Roaming\newSI_21590\', '*', true);
DeleteFileMask('C:\Users\Пользователь\AppData\Roaming\newSI_21591\', '*', true);
DeleteFileMask('C:\Users\Пользователь\AppData\Roaming\newSI_4396\', '*', true);
DeleteDirectory('C:\Users\Пользователь\AppData\Roaming\newSI_2149\');
DeleteDirectory('C:\Users\Пользователь\AppData\Roaming\newSI_21590\');
DeleteDirectory('C:\Users\Пользователь\AppData\Roaming\newSI_21591\');
DeleteDirectory('C:\Users\Пользователь\AppData\Roaming\newSI_4396\');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'nzgkthpync');
BC_ImportALL;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.
[/code]
[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]
[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.
- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
Процедуру и скрипты выполнил. логи прилагаю
1) В оставшееся уже тоже удалите.
+ [QUOTE]AdwCleaner[S0].txt - [1866 octets] - [09/01/2015 14:13:27]
AdwCleaner[S1].txt - [1111 octets] - [09/01/2015 14:24:37]
AdwCleaner[S2].txt - [1175 octets] - [09/01/2015 16:04:14][/QUOTE]
эти файлы прикрепите.
+ Выполните скрипт AVZ
[CODE]begin
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\nzgkthpync','command');
RebootWindows(false);
end.
[/CODE]
после перезагрузки свежие логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
Прикладываю
[LIST][*]Пожалуйста, запустите adwcleaner.exe[*]Нажмите [B]Uninstall[/B] ([B]Удалить[/B]).[*]Подтвердите удаление нажав кнопку: Да.[/LIST]
Скачайте [url="http://data-cdn.mbamupdates.com/v0/program/data/mbam-setup-1.75.0.1300.exe"]Malwarebytes' Anti-Malware[/url]. Установите (во время установки откажитесь от использования [B]бесплатного тестового периода[/B]), обновите базы ([U][COLOR="blue"]во время обновления откажитесь от загрузки и установки новой версии[/COLOR][/U]), выберите "[B]Perform Full Scan[/B]" ("[B]Полное сканирование[/B]"), нажмите "[B]Scan[/B]" ("[B]Сканирование[/B]"), после сканирования - [B]Ok - Show Results[/B] ("[B]Показать результаты[/B]") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту.
[B][COLOR="Red"]Самостоятельно ничего не удаляйте!!![/COLOR][/B]
Если лог не открылся, то найти его можно в следующей папке:
[CODE]%appdata%\Malwarebytes\Malwarebytes Anti-Malware\Logs[/CODE] Файл требующегося лога имеет имя [U]mbam-log-[data] (time).txt[/U], например: [I]MBAM-log-2014-10-14 (12-18-10).txt[/I]
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. [url=http://data.mbamupdates.com/tools/mbam-rules.exe]Загрузить обновление [B]MBAM[/B][/URL].
и заодно отпишитесь, что с проблемой?
Добрый день.
Проблема частично решилась, автозапуск браузера с выходом на 2inf устранен, из меню автозагрузки команда исчезла.
Исчезли рекламные баннеры, они вылазили на торговых сайтах (как Aliexpress и т.п.). Редирект на майл ру остался.
Malwarebytes' Anti-Malware скачал, при обновлении баз, не спрашивая, устанавливал новую версию. Проверку в ней не проводил.
Огромное спасибо за помощь, далее пока не получиться поработать с устройством, т.к. он уехал вместе с хозяином, которому оказывалась посильная помощь.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]