Рекламные баннеры в браузере [not-a-virus:Downloader.Win32.Agent.dcjt, not-a-virus:WebToolbar.Win32.CrossRider.lpz ]

Printable View

08.02.2015, 01:08
m48reg

Вложений: 3

Рекламные баннеры в браузере [not-a-virus:Downloader.Win32.Agent.dcjt, not-a-virus:WebToolbar.Win32.CrossRider.lpz ]

Здравствуйте! Прошу помочь разобраться с проблемой. После запуска вирусного exe файла, в браузере стали появляться рекламные баннеры со всех сторон. В панеле управления, раздел "Программы" висят подозрительные программы "Ge-force", "IGS", "Sense", "Shopper Pro", "Winrar archiver", "YTDownloader", которые через панель не удаляются. Были проведены проверки сначала с помощью KIS (базы месячной давности, истекла лицензия), [FONT=Arial]AVPTool (в безопасном режиме), [/FONT]Dr.Web CureIt! (в безопасном режиме). Все антивирусы находят угрозы, вроде как удаляют их, но проблема не исчезает. Что делать? Заранее спасибо за помощь.
08.02.2015, 01:09
Info_bot

Уважаемый(ая) [B]m48reg[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
08.02.2015, 01:36
thyrex

Выполните скрипт в AVZ
[code]procedure DeleteDirectoryF(N: String);
begin
DeleteFileMask(N, '*', true);
DeleteDirectory(N);
end;

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Program Files\Ge-Force\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-7.exe','');
QuarantineFile('C:\Program Files\Ge-Force\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-6.exe','');
QuarantineFile('C:\Program Files\Ge-Force\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-5.exe','');
QuarantineFile('C:\Program Files\Ge-Force\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-4.exe','');
QuarantineFile('C:\Program Files\Ge-Force\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-11.exe','');
QuarantineFile('C:\Program Files\Ge-Force\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-1-7.exe','');
QuarantineFile('C:\Users\Марина\AppData\Roaming\BCEWJBZT.exe','');
QuarantineFile('C:\Users\Марина\AppData\Roaming\DTWVUFS.exe','');
QuarantineFile('C:\Program Files\Ge-Force\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-1-6.exe','');
QuarantineFile('C:\Program Files\Sense\5719cd04-be72-4057-9a0c-559014b5f8a6-7.exe','');
QuarantineFile('C:\Program Files\Sense\5719cd04-be72-4057-9a0c-559014b5f8a6-4.exe','');
QuarantineFile('C:\Program Files\Sense\5719cd04-be72-4057-9a0c-559014b5f8a6-5.exe','');
QuarantineFile('C:\Program Files\Sense\5719cd04-be72-4057-9a0c-559014b5f8a6-6.exe','');
QuarantineFile('C:\Program Files\Sense\5719cd04-be72-4057-9a0c-559014b5f8a6-11.exe','');
QuarantineFile('C:\Program Files\Sense\5719cd04-be72-4057-9a0c-559014b5f8a6-1-7.exe','');
QuarantineFile('C:\Program Files\Sense\5719cd04-be72-4057-9a0c-559014b5f8a6-1-6.exe','');
QuarantineFile('C:\Users\Марина\AppData\Roaming\Skype\m220648\media\printfilterpipelinesvc.exe','');
QuarantineFile('C:\Users\Марина\AppData\Local\Temp\_uninst_.bat','');
QuarantineFile('C:\Users\Марина\AppData\Local\SmartWeb\SmartWebHelper.exe','');
SetServiceStart('serverig', 4);
DeleteService('serverig');
SetServiceStart('OptimizerMonitor', 4);
DeleteService('OptimizerMonitor');
QuarantineFile('C:\Windows\system32\OptimizerMonitor.dll','');
QuarantineFile('C:\Program Files\IGS\OptimizerMonitorCert.dll','');
TerminateProcessByName('c:\program files\igs\optimizermonitor.exe');
QuarantineFile('c:\program files\igs\optimizermonitor.exe','');
TerminateProcessByName('c:\users\Марина\appdata\local\igs\igsrv.exe');
QuarantineFile('c:\users\Марина\appdata\local\igs\igsrv.exe','');
TerminateProcessByName('c:\program files\ge-force\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-6.exe');
QuarantineFile('c:\program files\ge-force\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-6.exe','');
TerminateProcessByName('c:\program files\ge-force\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-1-6.exe');
QuarantineFile('c:\program files\ge-force\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-1-6.exe','');
TerminateProcessByName('c:\program files\sense\5719cd04-be72-4057-9a0c-559014b5f8a6-6.exe');
QuarantineFile('c:\program files\sense\5719cd04-be72-4057-9a0c-559014b5f8a6-6.exe','');
TerminateProcessByName('c:\program files\sense\5719cd04-be72-4057-9a0c-559014b5f8a6-1-6.exe');
QuarantineFile('c:\program files\sense\5719cd04-be72-4057-9a0c-559014b5f8a6-1-6.exe','');
DeleteFile('c:\program files\sense\5719cd04-be72-4057-9a0c-559014b5f8a6-1-6.exe','32');
DeleteFile('c:\program files\sense\5719cd04-be72-4057-9a0c-559014b5f8a6-6.exe','32');
DeleteFile('c:\program files\ge-force\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-1-6.exe','32');
DeleteFile('c:\program files\ge-force\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-6.exe','32');
DeleteFile('c:\users\Марина\appdata\local\igs\igsrv.exe','32');
DeleteFile('c:\program files\igs\optimizermonitor.exe','32');
DeleteFile('C:\Program Files\IGS\OptimizerMonitorCert.dll','32');
DeleteFile('C:\Windows\system32\OptimizerMonitor.dll','32');
DeleteFile('C:\Users\Марина\AppData\Local\SmartWeb\SmartWebHelper.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SmartWeb','command');
DeleteFile('C:\Program Files\Sense\5719cd04-be72-4057-9a0c-559014b5f8a6-1-6.exe','32');
DeleteFile('C:\Program Files\Sense\5719cd04-be72-4057-9a0c-559014b5f8a6-1-7.exe','32');
DeleteFile('C:\Program Files\Sense\5719cd04-be72-4057-9a0c-559014b5f8a6-11.exe','32');
DeleteFile('C:\Windows\Tasks\5719cd04-be72-4057-9a0c-559014b5f8a6-1-6.job','32');
DeleteFile('C:\Windows\Tasks\5719cd04-be72-4057-9a0c-559014b5f8a6-1-7.job','32');
DeleteFile('C:\Windows\Tasks\5719cd04-be72-4057-9a0c-559014b5f8a6-11.job','32');
DeleteFile('C:\Windows\Tasks\5719cd04-be72-4057-9a0c-559014b5f8a6-4.job','32');
DeleteFile('C:\Windows\Tasks\5719cd04-be72-4057-9a0c-559014b5f8a6-5.job','32');
DeleteFile('C:\Windows\Tasks\5719cd04-be72-4057-9a0c-559014b5f8a6-5_user.job','32');
DeleteFile('C:\Windows\Tasks\5719cd04-be72-4057-9a0c-559014b5f8a6-6.job','32');
DeleteFile('C:\Program Files\Sense\5719cd04-be72-4057-9a0c-559014b5f8a6-6.exe','32');
DeleteFile('C:\Program Files\Sense\5719cd04-be72-4057-9a0c-559014b5f8a6-5.exe','32');
DeleteFile('C:\Program Files\Sense\5719cd04-be72-4057-9a0c-559014b5f8a6-4.exe','32');
DeleteFile('C:\Program Files\Sense\5719cd04-be72-4057-9a0c-559014b5f8a6-7.exe','32');
DeleteFile('C:\Program Files\Ge-Force\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-1-6.exe','32');
DeleteFile('C:\Users\Марина\AppData\Roaming\DTWVUFS.exe','32');
DeleteFile('C:\Users\Марина\AppData\Roaming\BCEWJBZT.exe','32');
DeleteFile('C:\Windows\Tasks\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-1-6.job','32');
DeleteFile('C:\Windows\Tasks\DTWVUFS.job','32');
DeleteFile('C:\Windows\Tasks\BCEWJBZT.job','32');
DeleteFile('C:\Windows\Tasks\5719cd04-be72-4057-9a0c-559014b5f8a6-7.job','32');
DeleteFile('C:\Program Files\Ge-Force\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-1-7.exe','32');
DeleteFile('C:\Program Files\Ge-Force\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-11.exe','32');
DeleteFile('C:\Program Files\Ge-Force\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-4.exe','32');
DeleteFile('C:\Windows\Tasks\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-4.job','32');
DeleteFile('C:\Windows\Tasks\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-11.job','32');
DeleteFile('C:\Windows\Tasks\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-1-7.job','32');
DeleteFile('C:\Program Files\Ge-Force\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-5.exe','32');
DeleteFile('C:\Program Files\Ge-Force\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-6.exe','32');
DeleteFile('C:\Program Files\Ge-Force\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-7.exe','32');
DeleteFile('C:\Windows\Tasks\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-5.job','32');
DeleteFile('C:\Windows\Tasks\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-5_user.job','32');
DeleteFile('C:\Windows\Tasks\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-6.job','32');
DeleteFile('C:\Windows\Tasks\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-7.job','32');
DeleteFile('C:\Windows\system32\Tasks\5719cd04-be72-4057-9a0c-559014b5f8a6-11','32');
DeleteFile('C:\Windows\system32\Tasks\5719cd04-be72-4057-9a0c-559014b5f8a6-1-7','32');
DeleteFile('C:\Windows\system32\Tasks\5719cd04-be72-4057-9a0c-559014b5f8a6-1-6','32');
DeleteFile('C:\Windows\system32\Tasks\5719cd04-be72-4057-9a0c-559014b5f8a6-4','32');
DeleteFile('C:\Windows\system32\Tasks\5719cd04-be72-4057-9a0c-559014b5f8a6-5','32');
DeleteFile('C:\Windows\system32\Tasks\5719cd04-be72-4057-9a0c-559014b5f8a6-6','32');
DeleteFile('C:\Windows\system32\Tasks\5719cd04-be72-4057-9a0c-559014b5f8a6-7','32');
DeleteFile('C:\Windows\system32\Tasks\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-4','32');
DeleteFile('C:\Windows\system32\Tasks\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-11','32');
DeleteFile('C:\Windows\system32\Tasks\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-1-7','32');
DeleteFile('C:\Windows\system32\Tasks\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-1-6','32');
DeleteFile('C:\Windows\system32\Tasks\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-5','32');
DeleteFile('C:\Windows\system32\Tasks\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-6','32');
DeleteFile('C:\Windows\system32\Tasks\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-7','32');

DeleteDirectoryF('C:\Program Files\Ge-Force');
DeleteDirectoryF('C:\Program Files\Sense');
DeleteDirectoryF('C:\Users\Марина\AppData\Local\SmartWeb');
DeleteDirectoryF('c:\program files\igs');
DeleteDirectoryF('c:\users\Марина\appdata\local\igs');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(15);
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
Сделайте логи [url="http://virusinfo.info/showthread.php?t=115256"]RSIT[/url]
08.02.2015, 11:44
m48reg

Вложений: 6

Сделано. Что характерно, баннеров больше не наблюдеся, но MBAM что-то нашел...
08.02.2015, 11:58
thyrex

Поместите в карантин МВАМ всё, [B]кроме[/B]
[CODE]PUP.Optional.Zona, C:\Users\???°N??????°\Downloads\ZonaSetup_latest.exe, , [2ee4ff1b98f263d3c84e6206847df907],[/CODE]

Удалите вручную, что найдется
[QUOTE]C:\Users\Марина\AppData\Roaming\DTWVUFS.exe
C:\Program Files\b8b92373-b1d4-4c3a-8756-d5bd201da72e
C:\Program Files\af6890d7-1de1-4512-89c1-186dc8ece847
C:\Users\Марина\AppData\Roaming\BCEWJBZT.exe
C:\Program Files\globalUpdate
C:\Program Files\YTDownloader
C:\Windows\system32\OptimizerMonitorOff.ini
C:\Windows\system32\OptimizerMonitor.ini
C:\Users\Марина\AppData\Roaming\RTUFSV.exe
C:\Program Files\HQ Cinema Video 1.9cV05.02
C:\Program Files\ShopperPro[/QUOTE]
08.02.2015, 12:19
m48reg

Спасибо за оперативный ответ! Хотелось бы задать пару вопросов, если вы не против.
1) "Поместите в карантин МВАМ всё, кроме" - я так понял, надо заново провести проверку? из файла логов в истории нет возможности отправить файлы в карантин ...
2) После этого больше не надо делать логов?
3) Каким-то непонятным образом (ничего не запускалось), на втором ноутбуке в доме активный KIS с актуальными базами нашел not-a-virus:AdWare.Win32.MMag.fw. Вроде бы он его удалил с перезагрузкой, но может стоит еще чем-нибудь проверить на всякий случай? Чем посоветуете?
4) Есть съемный жесткий диск, его хотелось бы тоже проверить? Достаточно ли KIS или прогнать другой программой?
Заранее спасибо за помощь!!!
08.02.2015, 12:28
thyrex

[quote="m48reg;1226757"]я так понял, надо заново провести проверку?[/quote]Именно так

[quote="m48reg;1226757"]2) После этого больше не надо делать логов?[/quote]Можно не делать

[quote="m48reg;1226757"]на втором ноутбуке в доме активный KIS с актуальными базами нашел not-a-virus:AdWare.Win32.MMag.fw[/quote]Создайте по нему отдельную тему

[quote="m48reg;1226757"]Есть съемный жесткий диск, его хотелось бы тоже проверить? Достаточно ли KIS[/quote]Думаю, да
08.02.2015, 12:38
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]71[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files\ge-force\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-11.exe - [B]not-a-virus:WebToolbar.Win32.CrossRider.lpz[/B] ( BitDefender: Gen:Application.Heur.Vv1@k43yo3fO )[*] c:\program files\ge-force\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-1-6.exe - [B]not-a-virus:WebToolbar.Win32.CrossRider.lpz[/B] ( BitDefender: Gen:Application.Heur.wz1@kGpTIani )[*] c:\program files\ge-force\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-1-7.exe - [B]not-a-virus:WebToolbar.Win32.CrossRider.lpz[/B] ( BitDefender: Gen:Application.Heur.8u1@kyUteiiO )[*] c:\program files\ge-force\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-4.exe - [B]not-a-virus:WebToolbar.Win32.CrossRider.lpz[/B] ( BitDefender: Gen:Application.Heur.sv1@ki6EiZnO )[*] c:\program files\ge-force\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-5.exe - [B]not-a-virus:WebToolbar.Win32.CrossRider.lpz[/B] ( BitDefender: Gen:Application.Heur.fv1@ku2arNhO )[*] c:\program files\ge-force\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-6.exe - [B]not-a-virus:WebToolbar.Win32.CrossRider.lpz[/B][*] c:\program files\ge-force\eec96653-9a9c-43f7-ae9a-8b5f4f572f04-7.exe - [B]not-a-virus:WebToolbar.Win32.CrossRider.lpz[/B] ( BitDefender: Gen:Application.Heur.8u1@kyUteiiO )[*] c:\program files\igs\optimizermonitorcert.dll - [B]not-a-virus:Downloader.Win32.Agent.dcjt[/B] ( AVAST4: Win32:Malware-gen )[*] c:\program files\igs\optimizermonitor.exe - [B]not-a-virus:Downloader.Win32.Agent.dcjt[/B][*] c:\program files\sense\5719cd04-be72-4057-9a0c-559014b5f8a6-11.exe - [B]not-a-virus:WebToolbar.Win32.CrossRider.lpz[/B] ( BitDefender: Gen:Application.Heur.Vv1@kCCdMqiO )[*] c:\program files\sense\5719cd04-be72-4057-9a0c-559014b5f8a6-1-6.exe - [B]not-a-virus:WebToolbar.Win32.CrossRider.lpz[/B] ( BitDefender: Gen:Application.Heur.wz1@kmeuihii )[*] c:\program files\sense\5719cd04-be72-4057-9a0c-559014b5f8a6-1-7.exe - [B]not-a-virus:WebToolbar.Win32.CrossRider.lpz[/B] ( BitDefender: Gen:Application.Heur.8u1@kWB@L2aO )[*] c:\program files\sense\5719cd04-be72-4057-9a0c-559014b5f8a6-4.exe - [B]not-a-virus:WebToolbar.Win32.CrossRider.lpz[/B] ( BitDefender: Gen:Application.Heur.sv1@k8aLTqgO )[*] c:\program files\sense\5719cd04-be72-4057-9a0c-559014b5f8a6-5.exe - [B]not-a-virus:WebToolbar.Win32.CrossRider.lpz[/B] ( BitDefender: Gen:Application.Heur.fv1@kK922BmO )[*] c:\program files\sense\5719cd04-be72-4057-9a0c-559014b5f8a6-6.exe - [B]not-a-virus:WebToolbar.Win32.CrossRider.lpz[/B][*] c:\program files\sense\5719cd04-be72-4057-9a0c-559014b5f8a6-7.exe - [B]not-a-virus:WebToolbar.Win32.CrossRider.lpz[/B] ( BitDefender: Gen:Application.Heur.8u1@kWB@L2aO )[/LIST][/LIST]