вылетает ошибка на рабочем столе с картинками [not-a-virus:AdWare.Win32.MMag.k, not-a-virus:AdWare.NSIS.Adwapper.ai ]

Printable View

19.01.2015, 05:39
tatar3924

Вложений: 3

вылетает ошибка на рабочем столе с картинками [not-a-virus:AdWare.Win32.MMag.k, not-a-virus:AdWare.NSIS.Adwapper.ai ]

Здравствуйте, при попытке открыть фото стандартным редактором винды двойным щелчком мыши,вылетает ошибка,прикрепляю также скрин с ошибкой
19.01.2015, 05:40
Info_bot

Уважаемый(ая) [B]tatar3924[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
19.01.2015, 12:40
Vvvyg

url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
TerminateProcessByName('c:\program files (x86)\winzipper\winzipersvc.exe');
TerminateProcessByName('c:\programdata\iepluginservices\pluginservice.exe');
QuarantineFile('C:\Users\tatar\appdata\roaming\newsi_6\s_inst.exe', '');
QuarantineFile('C:\Users\tatar\appdata\roaming\newsi_10\s_inst.exe', '');
QuarantineFile('C:\Users\tatar\appdata\roaming\newsi_1\s_inst.exe', '');
QuarantineFile('C:\Program Files (x86)\SaveSenseLive\Update\SaveSenseLive.exe', '');
QuarantineFile('C:\Users\tatar\AppData\Roaming\YMX.exe', '');
QuarantineFile('C:\Users\tatar\AppData\Roaming\DQIXJHCK.exe', '');
QuarantineFile('C:\Program Files (x86)\TheTorntv V10\b7f7cf2e-8ed0-4f61-a9b6-296185cc9bae-11.exe', '');
QuarantineFile('C:\Users\tatar\AppData\Roaming\eTranslator\eTranslator.exe', '');
QuarantineFile('C:\Program Files (x86)\WinZipper\eshellctx64.dll', '');
QuarantineFile('C:\ProgramData\WindowsMangerProtect\ProtectWindowsManager.exe', '');
QuarantineFile('c:\program files (x86)\winzipper\winzipersvc.exe', '');
QuarantineFile('c:\programdata\iepluginservices\pluginservice.exe', '');
DeleteFile('c:\programdata\iepluginservices\pluginservice.exe', '32');
DeleteFile('c:\program files (x86)\winzipper\winzipersvc.exe', '32');
DeleteFile('C:\Program Files (x86)\WinZipper\ebase.dll', '32');
DeleteFile('C:\Program Files (x86)\WinZipper\sqlite3.dll', '32');
DeleteFile('C:\ProgramData\WindowsMangerProtect\ProtectWindowsManager.exe', '32');
DeleteFile('C:\Program Files (x86)\Google\chrome.bat', '32');
DeleteFile('C:\Program Files (x86)\WinZipper\eshellctx64.dll', '32');
DeleteFile('C:\Users\tatar\AppData\Roaming\eTranslator\eTranslator.exe', '32');
DeleteFile('C:\Windows\Tasks\b7f7cf2e-8ed0-4f61-a9b6-296185cc9bae-1.job', '64');
DeleteFile('C:\Program Files (x86)\TheTorntv V10\b7f7cf2e-8ed0-4f61-a9b6-296185cc9bae-11.exe', '32');
DeleteFile('C:\Windows\Tasks\b7f7cf2e-8ed0-4f61-a9b6-296185cc9bae-11.job', '64');
DeleteFile('C:\Windows\Tasks\b7f7cf2e-8ed0-4f61-a9b6-296185cc9bae-2.job', '64');
DeleteFile('C:\Windows\Tasks\b7f7cf2e-8ed0-4f61-a9b6-296185cc9bae-3.job', '64');
DeleteFile('C:\Windows\Tasks\b7f7cf2e-8ed0-4f61-a9b6-296185cc9bae-4.job', '64');
DeleteFile('C:\Windows\Tasks\b7f7cf2e-8ed0-4f61-a9b6-296185cc9bae-5.job', '64');
DeleteFile('C:\Windows\Tasks\b7f7cf2e-8ed0-4f61-a9b6-296185cc9bae-5_user.job', '64');
DeleteFile('C:\Windows\Tasks\b7f7cf2e-8ed0-4f61-a9b6-296185cc9bae-6.job', '64');
DeleteFile('C:\Windows\Tasks\b7f7cf2e-8ed0-4f61-a9b6-296185cc9bae-7.job', '64');
DeleteFile('C:\Windows\Tasks\c5486dee-5a22-47c2-8955-ab286304fac0.job', '64');
DeleteFile('C:\Users\tatar\AppData\Roaming\DQIXJHCK.exe', '32');
DeleteFile('C:\Windows\Tasks\DQIXJHCK.job', '64');
DeleteFile('C:\Windows\Tasks\e5ac1e40-6f0f-449f-8c7a-da045f7eae72.job', '64');
DeleteFile('C:\Windows\Tasks\SaveSenseLiveUpdateTaskMachineUA.job', '64');
DeleteFile('C:\Users\tatar\AppData\Roaming\YMX.exe', '32');
DeleteFile('C:\Windows\Tasks\YMX.job', '64');
DeleteFile('C:\Windows\system32\Tasks\b7f7cf2e-8ed0-4f61-a9b6-296185cc9bae-1', '64');
DeleteFile('C:\Windows\system32\Tasks\b7f7cf2e-8ed0-4f61-a9b6-296185cc9bae-11', '64');
DeleteFile('C:\Windows\system32\Tasks\b7f7cf2e-8ed0-4f61-a9b6-296185cc9bae-2', '64');
DeleteFile('C:\Windows\system32\Tasks\b7f7cf2e-8ed0-4f61-a9b6-296185cc9bae-3', '64');
DeleteFile('C:\Windows\system32\Tasks\b7f7cf2e-8ed0-4f61-a9b6-296185cc9bae-4', '64');
DeleteFile('C:\Windows\system32\Tasks\b7f7cf2e-8ed0-4f61-a9b6-296185cc9bae-5', '64');
DeleteFile('C:\Windows\system32\Tasks\b7f7cf2e-8ed0-4f61-a9b6-296185cc9bae-5_user', '64');
DeleteFile('C:\Windows\system32\Tasks\b7f7cf2e-8ed0-4f61-a9b6-296185cc9bae-6', '64');
DeleteFile('C:\Windows\system32\Tasks\b7f7cf2e-8ed0-4f61-a9b6-296185cc9bae-7', '64');
DeleteFile('C:\Windows\system32\Tasks\c5486dee-5a22-47c2-8955-ab286304fac0', '64');
DeleteFile('C:\Windows\system32\Tasks\DQIXJHCK', '64');
DeleteFile('C:\Windows\system32\Tasks\e5ac1e40-6f0f-449f-8c7a-da045f7eae72', '64');
DeleteFile('C:\Program Files (x86)\SaveSenseLive\Update\SaveSenseLive.exe', '32');
DeleteFile('C:\Windows\system32\Tasks\SaveSenseLiveUpdateTaskMachineUA', '64');
DeleteFile('C:\Windows\system32\Tasks\YMX', '64');
DeleteFile('C:\Users\tatar\appdata\roaming\newsi_1\s_inst.exe', '32');
DeleteFile('C:\Users\tatar\appdata\roaming\newsi_10\s_inst.exe', '32');
DeleteFile('C:\Users\tatar\appdata\roaming\newsi_6\s_inst.exe', '32');
DeleteService('WindowsMangerProtect');
DeleteService('IePluginServices');
DeleteFileMask('C:\Users\tatar\appdata\roaming\newsi_6', '*', true);
DeleteFileMask('C:\Users\tatar\appdata\roaming\newsi_10', '*', true);
DeleteFileMask('C:\Users\tatar\appdata\roaming\newsi_1', '*', true);
DeleteFileMask('C:\Program Files (x86)\SaveSenseLive', '*', true);
DeleteFileMask('C:\Program Files (x86)\TheTorntv V10', '*', true);
DeleteFileMask('C:\Users\tatar\AppData\Roaming\eTranslator', '*', true);
DeleteFileMask('C:\Program Files (x86)\WinZipper', '*', true);
DeleteDirectory('C:\Users\tatar\appdata\roaming\newsi_6');
DeleteDirectory('C:\Users\tatar\appdata\roaming\newsi_10');
DeleteDirectory('C:\Users\tatar\appdata\roaming\newsi_1');
DeleteDirectory('C:\Program Files (x86)\SaveSenseLive');
DeleteDirectory('C:\Program Files (x86)\TheTorntv V10');
DeleteDirectory('C:\Users\tatar\AppData\Roaming\eTranslator');
DeleteDirectory('C:\Program Files (x86)\WinZipper');
DelBHO('{71e129ff-6c2a-4984-818c-7e2c998b8d99}');
DelBHO('{0633EE93-D776-472f-A0FF-E1416B8B2E3D}');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\mobilegeni daemon', 'command');
ExecuteSysClean;
ExecuteRepair(2);
ExecuteRepair(4);
ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.

Сделайте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner (by Xplode)[/URL].

Сделайте лог [URL="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]Check Browsers' LNK[/URL].
19.01.2015, 14:54
tatar3924

Вложений: 3

в avz все сделал, карантин отправил,прикладываю 3 лога
19.01.2015, 15:10
Vvvyg

Скачайте, распакуйте и запустите [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиту ClearLNK[/url]. Скопируйте текст ниже в окно утилиты и нажмите "[B]Лечить[/B]".[CODE]>>> [script][RO][MASK] "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Ореrа.lnk" -> ["C:\Program Files (x86)\Opera\launcher.bat"] -> start "" /I /B /D "c:\PROGRA~2\opera\" "c:\PROGRA~2\opera\launcher.exe"hxxp://new-search.ru"¶ (MD5:849661D051F6F1511ACBC350D59CE61E)
>>> [script][MASK] "C:\Users\tatar\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Intеrnеt Ехрlоrеr.lnk" -> ["C:\Windows\system32\cmd.exe" -> /C "c:\program files (x86)\internet explorer\iexplore.bat"] -> start "" /I /B /D "c:\PROGRA~2\INTERN~1\" "c:\PROGRA~2\INTERN~1\iexplore.exe" hxxp://cysearch.ru (MD5:25F13E76F16863BAC0A8DC94017674F8)
>>> [script][MASK] "C:\Users\tatar\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\ореrа - Ярлык.lnk" -> ["C:\Windows\system32\cmd.exe" -> /C "c:\program files (x86)\opera\launcher.bat"] -> start "" /I /B /D "c:\PROGRA~2\opera\" "c:\PROGRA~2\opera\launcher.exe"hxxp://new-search.ru"¶ (MD5:849661D051F6F1511ACBC350D59CE61E)
>>> [script][MASK] "C:\Users\tatar\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Ореrа 11.64 1403.lnk" -> ["C:\Windows\system32\cmd.exe" -> /C "c:\program files (x86)\opera\launcher.bat"] -> start "" /I /B /D "c:\PROGRA~2\opera\" "c:\PROGRA~2\opera\launcher.exe"hxxp://new-search.ru"¶ (MD5:849661D051F6F1511ACBC350D59CE61E)
>>> [script][MASK] "C:\Users\tatar\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Intеrnеt Ехрlоrеr.lnk" -> ["C:\Windows\system32\cmd.exe" -> /C "c:\program files (x86)\internet explorer\iexplore.bat"] -> start "" /I /B /D "c:\PROGRA~2\INTERN~1\" "c:\PROGRA~2\INTERN~1\iexplore.exe" hxxp://cysearch.ru (MD5:25F13E76F16863BAC0A8DC94017674F8)
>>> [script][MASK] "C:\Users\tatar\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\ореrа - Ярлык (2).lnk" -> ["C:\Windows\system32\cmd.exe" -> /C "c:\program files (x86)\opera\launcher.bat"] -> start "" /I /B /D "c:\PROGRA~2\opera\" "c:\PROGRA~2\opera\launcher.exe"hxxp://new-search.ru"¶ (MD5:849661D051F6F1511ACBC350D59CE61E)
>>> [script][MASK] "C:\Users\tatar\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\ореrа - Ярлык.lnk" -> ["C:\Windows\system32\cmd.exe" -> /C "c:\program files (x86)\opera\launcher.bat"] -> start "" /I /B /D "c:\PROGRA~2\opera\" "c:\PROGRA~2\opera\launcher.exe"hxxp://new-search.ru"¶ (MD5:849661D051F6F1511ACBC350D59CE61E)
>>> [script][MASK] "C:\Users\tatar\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Ореrа 11.64 1403 (2).lnk" -> ["C:\Windows\system32\cmd.exe" -> /C "c:\program files (x86)\opera\launcher.bat"] -> start "" /I /B /D "c:\PROGRA~2\opera\" "c:\PROGRA~2\opera\launcher.exe"hxxp://new-search.ru"¶ (MD5:849661D051F6F1511ACBC350D59CE61E)
>>> [script][MASK] "C:\Users\tatar\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Ореrа 11.64 1403.lnk" -> ["C:\Windows\system32\cmd.exe" -> /C "c:\program files (x86)\opera\launcher.bat"] -> start "" /I /B /D "c:\PROGRA~2\opera\" "c:\PROGRA~2\opera\launcher.exe"hxxp://new-search.ru"¶ (MD5:849661D051F6F1511ACBC350D59CE61E)
-[script] "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\R.G. Mechanics\L.A.Noire\Играть L.А.Nоirе.lnk" -> ["D:\Games\L.A.Noire\lanlauncher.bat"] -> start "" /I /B /D "d:\games\LAF5F4~1.NOI\" "d:\games\LAF5F4~1.NOI\LANLAU~1.EXE" hxxp://cysearch.ru (MD5:A7CB67EE975D37C69EDC915685E31840)
-[script] "C:\Users\tatar\Desktop\L.А.Nоirе.lnk" -> ["D:\Games\L.A.Noire\lanlauncher.bat"] -> start "" /I /B /D "d:\games\LAF5F4~1.NOI\" "d:\games\LAF5F4~1.NOI\LANLAU~1.EXE" hxxp://cysearch.ru (MD5:A7CB67EE975D37C69EDC915685E31840)[/CODE]
Отчёт о работе прикрепите.

Запустите повторно [B]AdwCleaner (by Xplode) [/B](в [B]Windows Vista/7/8[/B] необходимо запускать через правую кнопку мыши [B]от имени администратора)[/B]), нажмите кнопку [B]Сканировать[/B], по окончании сканирования уберите галочки на вкладке [B]Папки[/B] со всех пунктов, где упоминаются Mail.Ru [B]если используете соответствующие программы[/B].

Затем нажмите [B]Очистить[/B] и по окончании удаления перезагрузите систему по требованию программы.

После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[S0].txt, прикрепите к своему следующему сообщению.

[URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кэш и cookies-файлы браузеров[/URL].
19.01.2015, 16:50
tatar3924

Вложений: 2

кэш почистил,логи прикрепляю
19.01.2015, 20:45
Vvvyg

Попробуйте по правой кнопке мыши на файле выбрать "Открыть с помощью" и выбрать Paint - откроется?
19.01.2015, 21:14
tatar3924

с помощью пейнта открывается,а вот при двойном щелчке также выходит ошибка
19.01.2015, 21:29
Vvvyg

А теперь - снова - "Открыть с помощью", "Выбрать программу", и при установленной галочке "Использовать выбранную программу..." опять-таки ткните в Paint.
19.01.2015, 23:25
tatar3924

если ставить галку открыть с помощью пейнт,то открывает без проблем двойным щелчком, а если снова стандартный просмотр виндовс,то сначала открывается без проблем, а примерно через 2-3 открытия фото снова ошибка
19.01.2015, 23:37
Vvvyg

Давно началось?

Скачайте утилиту [URL="https://yadi.sk/d/HeoPGwfQZEaMW"]MiniToolBox[/URL] и сохраните на рабочем столе.

Запустите [U]при подключённом интернете[/U], отметьте следующие пункты:

[LIST][*]Список настроек прокси Internet Explorer[*]Список настроек прокси Firefox[*]Список из файла Hosts[*]Список настроек IP[*]Список настроек Winsock[*]Список последних 10 записей журнала событий[*]Список установленных программ[*]Только проблемных[*]Список юзеров, разделов и размера памяти[*]Список дампа памяти[*]список точек восстановления[/LIST]

и нажмите Старт.

После завершения сбора информации откроется отчет [b]Result.txt[/b], прикрепите его к своему сообщению. Если вы закрыли отчет утилиты, он будет находиться в той же папке, откуда была запущена утилита.
20.01.2015, 00:17
tatar3924

Вложений: 1

началось еще до нового года, примерно месяца 2-3 назад, прикрепляю отчет
20.01.2015, 00:35
Vvvyg

Точек восстановления нет, откат системы к состоянию до возникновения проблемы невозможен. Да и сама проблема явно не с вирусами связана, помочь нечем.
20.01.2015, 01:00
tatar3924

Спасибо большое и на этом:)
20.01.2015, 01:01
Vvvyg

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url] при наличии доступа в интернет:[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к броузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].
20.01.2015, 01:11
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\tatar\appdata\roaming\dqixjhck.exe - [B]not-a-virus:AdWare.NSIS.Adwapper.ai[/B] ( DrWEB: Trojan.Crossrider.33211, BitDefender: Gen:Application.Heur.4v1@kmeJV2eO )[*] c:\users\tatar\appdata\roaming\newsi_1\s_inst.exe - [B]not-a-virus:AdWare.Win32.MMag.k[/B][*] c:\users\tatar\appdata\roaming\newsi_10\s_inst.exe - [B]not-a-virus:AdWare.Win32.MMag.k[/B] ( DrWEB: Adware.Plugin.248, BitDefender: Adware.Generic.1036930 )[*] c:\users\tatar\appdata\roaming\newsi_6\s_inst.exe - [B]not-a-virus:AdWare.Win32.MMag.k[/B] ( DrWEB: Adware.Plugin.248, BitDefender: Adware.Generic.1036930 )[*] c:\users\tatar\appdata\roaming\ymx.exe - [B]not-a-virus:AdWare.NSIS.Adwapper.ai[/B] ( DrWEB: Trojan.Crossrider.31451, BitDefender: Gen:Application.Heur.Dv1@ku2EkolO )[/LIST][/LIST]