Printable View
Просканировал комп [COLOR=#000000]Dr.Web CureIt нашел 138 зараженных файлов, все отправлены в карантин после комп стал вылетать в синий экран с ошибкой 0х1000000А также в событиях [/COLOR]сообщение [I]"сбой загрузки драйвера перезагрузки или запуска системы" nethfdrv [/I]обновил драйвера стала появляться ошибка 0х00000d1[I]
AVZ постоянно находит [/I][B] Файл с подозрительным именем[/B] [B]hfpapi.dll и [/B][B]nethtsrv.exe[/B]
Уважаемый(ая) [B]Kolobok[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\WINDOWS\system32\hfpapi.dll','');
QuarantineFile('C:\Documents and Settings\user\Application Data\newSI_4396\s_inst.exe','');
QuarantineFile('C:\DOCUME~1\NETWOR~1\APPLIC~1\METACR~1\UPDATE~1\UPDATE~1.EXE','');
QuarantineFile('C:\DOCUME~1\user\APPLIC~1\METACR~1\UPDATE~1\UPDATE~1.EXE','');
QuarantineFile('C:\WINDOWS\RavMonE.exe','');
DeleteService('MRxCls');
DeleteService('MRxNet');
DeleteService('nethfdrv');
QuarantineFile('C:\WINDOWS\system32\drivers\nethfdrv.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\mrxnet.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\mrxcls.sys','');
QuarantineFile('C:\WINDOWS\system32\drivers\gwwgcpjd.sys','');
DeleteService('gwwgcpjd');
QuarantineFile('C:\WINDOWS\system32\nethtsrv.exe','');
DeleteService('NetHttpService');
DeleteFile('C:\WINDOWS\system32\nethtsrv.exe','32');
DeleteFile('C:\WINDOWS\system32\drivers\gwwgcpjd.sys','32');
DeleteFile('C:\WINDOWS\system32\Drivers\mrxcls.sys','32');
DeleteFile('C:\WINDOWS\system32\Drivers\mrxnet.sys','32');
DeleteFile('C:\WINDOWS\system32\drivers\nethfdrv.sys','32');
DeleteFile('C:\WINDOWS\RavMonE.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\RavAV','command');
DeleteFile('C:\DOCUME~1\user\APPLIC~1\METACR~1\UPDATE~1\UPDATE~1.EXE','32');
DeleteFile('C:\DOCUME~1\NETWOR~1\APPLIC~1\METACR~1\UPDATE~1\UPDATE~1.EXE','32');
DeleteFile('C:\WINDOWS\Tasks\At2.job','32');
DeleteFile('C:\WINDOWS\Tasks\At1.job','32');
DeleteFile('C:\WINDOWS\Tasks\newSI_4396.job','32');
DeleteFile('C:\WINDOWS\Tasks\SpeedUpMyPC Maintenance.job','32');
DeleteFile('C:\WINDOWS\Tasks\SpeedUpMyPC Startup.job','32');
DeleteFile('C:\Program Files\Uniblue\SpeedUpMyPC\speedupmypc.exe','32');
DeleteFile('C:\Documents and Settings\user\Application Data\newSI_4396\s_inst.exe','32');
DeleteFile('C:\WINDOWS\system32\hfpapi.dll','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
Сделайте новые логи
Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
проверил
Поместите в карантин МВАМ всё найденное
Сделайте логи [url="http://virusinfo.info/showthread.php?t=115256"]RSIT[/url]
логи RSIT
Удалите вручную
[QUOTE]C:\Program Files\BonanzaDeals
C:\Documents and Settings\user\Application Data\SwvUpdater
C:\Documents and Settings\user\Application Data\webssearches
C:\Documents and Settings\user\Application Data\newSI_4396
C:\Documents and Settings\user\Application Data\23929[/QUOTE]
Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
логи FRST
[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
HKU\S-1-5-21-1844237615-1637723038-725345543-1004\...\MountPoints2: {1296f773-11ec-11de-afbd-001cc0678162} - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RavMonE.exe e
HKU\S-1-5-21-1844237615-1637723038-725345543-1004\...\MountPoints2: {1510db16-ccf1-11dd-afba-001cc0678162} - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RavMonE.exe e
HKU\S-1-5-21-1844237615-1637723038-725345543-1004\...\MountPoints2: {1a470350-e1a1-11df-b0ea-001cc0678162} - J:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\ipse32.exe
HKU\S-1-5-21-1844237615-1637723038-725345543-1004\...\MountPoints2: {1e44bc64-1217-11de-afbe-001cc0678162} - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RavMonE.exe e
HKU\S-1-5-21-1844237615-1637723038-725345543-1004\...\MountPoints2: {5574adc4-ebad-11dd-afbc-001cc0678162} - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RavMonE.exe e
HKU\S-1-5-21-1844237615-1637723038-725345543-1004\...\MountPoints2: {9f4fdf76-cb60-11dd-afb6-001cc0678162} - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RavMonE.exe e
HKU\S-1-5-21-1844237615-1637723038-725345543-1004\...\MountPoints2: {d8c07dd6-25b2-11de-afc9-001cc0678162} - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RavMonE.exe e
HKU\S-1-5-21-1844237615-1637723038-725345543-1004\...\MountPoints2: {e5b202c2-25b1-11de-afc8-001cc0678162} - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RavMonE.exe e
HKU\S-1-5-21-1844237615-1637723038-725345543-1004\Software\Microsoft\Internet Explorer\Main,Search Page = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=984bf8b60425ad16dd8736178dd4193f&text={searchTerms}
HKU\S-1-5-21-1844237615-1637723038-725345543-1004\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://istart.webssearches.com/?type=hp&ts=1407133064&from=amt&uid=WDCXWD3200AAJS-55B4A0_WD-WCAT1296272662726
HKU\S-1-5-21-1844237615-1637723038-725345543-1004\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=984bf8b60425ad16dd8736178dd4193f&text={searchTerms}
URLSearchHook: [S-1-5-21-1844237615-1637723038-725345543-1004] ATTENTION ==> Default URLSearchHook is missing.
URLSearchHook: HKU\S-1-5-21-1844237615-1637723038-725345543-1004 - (No Name) - {0633EE93-D776-472f-A0FF-E1416B8B2E3D} - No File
HKLM\SOFTWARE\Microsoft\Internet Explorer\AboutURLs,Tabs: "http://rts.dsrlte.com/?m=tab&affID=na" <======= ATTENTION
SearchScopes: HKLM -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://istart.webssearches.com/web/?type=ds&ts=1407133064&from=amt&uid=WDCXWD3200AAJS-55B4A0_WD-WCAT1296272662726&q={searchTerms}
SearchScopes: HKLM -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://istart.webssearches.com/web/?type=ds&ts=1407133064&from=amt&uid=WDCXWD3200AAJS-55B4A0_WD-WCAT1296272662726&q={searchTerms}
SearchScopes: HKLM -> {E88E0043-C9D4-4e33-8555-FEE4F5B63060} URL =
SearchScopes: HKU\S-1-5-21-1844237615-1637723038-725345543-1004 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3C} URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=984bf8b60425ad16dd8736178dd4193f&text={searchTerms}
SearchScopes: HKU\S-1-5-21-1844237615-1637723038-725345543-1004 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3D} URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=984bf8b60425ad16dd8736178dd4193f&text=
SearchScopes: HKU\S-1-5-21-1844237615-1637723038-725345543-1004 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://istart.webssearches.com/web/?type=ds&ts=1407133064&from=amt&uid=WDCXWD3200AAJS-55B4A0_WD-WCAT1296272662726&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1844237615-1637723038-725345543-1004 -> {476E84CA-6181-4DAD-9E4B-5EF19F7FFBB2} URL = http://trovi.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT3289075&CUI=UN39971586113171020&UM=7
Toolbar: HKU\S-1-5-21-1844237615-1637723038-725345543-1004 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} - No File
Toolbar: HKU\S-1-5-21-1844237615-1637723038-725345543-1004 -> No Name - {D4027C7F-154A-4066-A1AD-4243D8127440} - No File
FF Extension: WallPepper ВКонтакте - C:\Documents and Settings\user\Application Data\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2014-08-29]
FF Extension: uTorrentControl_v6 - C:\Documents and Settings\user\Application Data\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{96f454ea-9d38-474f-b504-56193e00c1a5} [2014-08-29]
FF Extension: Аудио и видео скачивание - C:\Documents and Settings\user\Application Data\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2014-05-12]
FF Extension: Аудио и видео скачивание - C:\Documents and Settings\user\Application Data\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2014-08-19]
FF Extension: Info Enhancer for Firefox - C:\Documents and Settings\user\Application Data\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2013-11-19]
FF Extension: Desktopy - C:\Documents and Settings\user\Application Data\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{71238372-3743-33ab-8a9f-93722af74c97}.xpi [2014-08-04]
FF Extension: Whilokii - C:\Documents and Settings\user\Application Data\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{fed5e6b2-4fc4-43ba-8e95-001d959d8008}.xpi [2014-09-15]
FF HKLM\...\Firefox\Extensions: [[email protected]] - C:\Program Files\Better-Surf\ff
FF HKLM\...\Firefox\Extensions: [[email protected]] - C:\Program Files\BetterSurf\BetterSurfPlus\ff
FF HKLM\...\Firefox\Extensions: [[email protected]] - C:\Program Files\WebexpEnhancedV1\WebexpEnhancedV1alpha9502\ff
FF Extension: Webexp Enhanced - C:\Program Files\WebexpEnhancedV1\WebexpEnhancedV1alpha9502\ff [2013-12-25]
FF HKLM\...\Firefox\Extensions: [[email protected]] - C:\Program Files\VideoPlayerV3\VideoPlayerV3beta976\ff
FF Extension: Video Player - C:\Program Files\VideoPlayerV3\VideoPlayerV3beta976\ff [2014-01-13]
FF HKLM\...\Firefox\Extensions: [[email protected]] - C:\Program Files\MediaPlayerV1\MediaPlayerV1alpha108\ff
FF Extension: Media Player - C:\Program Files\MediaPlayerV1\MediaPlayerV1alpha108\ff [2014-01-31]
FF HKLM\...\Firefox\Extensions: [[email protected]] - C:\Program Files\MediaViewerV1\MediaViewerV1alpha151\ff
FF HKLM\...\Firefox\Extensions: [[email protected]] - C:\Program Files\MediaViewV1\MediaViewV1alpha1550\ff
FF HKLM\...\Firefox\Extensions: [[email protected]] - C:\Program Files\MediaViewV1\MediaViewV1alpha3585\ff
FF HKLM\...\Firefox\Extensions: [[email protected]] - C:\Program Files\MediaWatchV1\MediaWatchV1home7734\ff
FF HKLM\...\Firefox\Extensions: [[email protected]] - C:\Program Files\RichMediaViewV1\RichMediaViewV1release962\ff
CHR Extension: (uTorrentControl_v6) - C:\Documents and Settings\user\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\cflheckfmhopnialghigdlggahiomebp [2014-08-04]
CHR Extension: (Google Search) - C:\Documents and Settings\user\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\coobgpohoikkiipiblmjeljniedjpjpf [2014-08-04]
CHR Extension: (Metacrawler __MSG_newtab__) - C:\Documents and Settings\user\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\doobfiogmfmpjnoofjhhgjehmlofngfp [2014-08-04]
CHR Extension: (Google Wallet) - C:\Documents and Settings\user\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda [2014-08-04]
CHR Extension: (Gmail) - C:\Documents and Settings\user\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\pjkljhegncpnkpknbcohdijeoejaedia [2014-08-04]
CHR HKLM\...\Chrome\Extension: [aingpkbaofibdjjhhecnihlhdfoaemfh] - C:\Program Files\WebexpEnhancedV1\WebexpEnhancedV1alpha9502\ch\WebexpEnhancedV1alpha9502.crx [Not Found]
CHR HKLM\...\Chrome\Extension: [cflheckfmhopnialghigdlggahiomebp] - C:\Documents and Settings\user\Local Settings\Application Data\CRE\cflheckfmhopnialghigdlggahiomebp.crx [2014-07-29]
CHR HKLM\...\Chrome\Extension: [cjinoaejjgagbfmeogbhpkdblanggebl] - C:\Program Files\MediaViewV1\MediaViewV1alpha1550\ch\MediaViewV1alpha1550.crx [2014-02-26]
CHR HKLM\...\Chrome\Extension: [doobfiogmfmpjnoofjhhgjehmlofngfp] - C:\DOCUME~1\user\LOCALS~1\APPLIC~1\metacrawler-speeddial.crx [2013-09-27]
CHR HKLM\...\Chrome\Extension: [eicjmchljifidnichokndhhbknblofkm] - C:\Program Files\MediaViewV1\MediaViewV1alpha3585\ch\MediaViewV1alpha3585.crx [2014-02-27]
CHR HKLM\...\Chrome\Extension: [glkapmpkppkfcpcmhaabcjjdaekiggad] - C:\Program Files\RichMediaViewV1\RichMediaViewV1release962\ch\RichMediaViewV1release962.crx [Not Found]
CHR HKLM\...\Chrome\Extension: [hcncjpganfocbfoenaemagjjopkkindp] - No Path
CHR HKLM\...\Chrome\Extension: [kboaohoolafgiajnmccihfhidooadklp] - C:\Program Files\MediaWatchV1\MediaWatchV1home7734\ch\MediaWatchV1home7734.crx [Not Found]
CHR HKLM\...\Chrome\Extension: [kggbehjcmllodbolpeehjnmmlpdndidh] - C:\Program Files\MediaViewerV1\MediaViewerV1alpha151\ch\MediaViewerV1alpha151.crx [2014-02-23]
CHR HKLM\...\Chrome\Extension: [mmifolfpllfdhilecpdpmemhelmanajl] - C:\Program Files\BetterSurf\BetterSurfPlus\ch\BetterSurfPlus.crx [Not Found]
CHR HKLM\...\Chrome\Extension: [phkianmlcbaiedlkkpclmlgnofdljcge] - C:\Program Files\VideoPlayerV3\VideoPlayerV3beta976\ch\VideoPlayerV3beta976.crx [Not Found]
CHR HKLM\...\Chrome\Extension: [poheodfamflhhhdcmjfeggbgigeefaco] - C:\Program Files\Better-Surf\ch\Chrome.crx [Not Found]
CHR HKU\S-1-5-21-1844237615-1637723038-725345543-1004\...\Chrome\Extension: [cflheckfmhopnialghigdlggahiomebp] - C:\Documents and Settings\user\Local Settings\Application Data\CRE\cflheckfmhopnialghigdlggahiomebp.crx [2014-07-29]
CHR HKU\S-1-5-21-1844237615-1637723038-725345543-1004\...\Chrome\Extension: [doobfiogmfmpjnoofjhhgjehmlofngfp] - C:\DOCUME~1\user\LOCALS~1\APPLIC~1\metacrawler-speeddial.crx [2013-09-27]
2015-02-12 15:37 - 2014-08-04 10:55 - 00000000 ____D () C:\Documents and Settings\user\Local Settings\Application Data\uTorrentControl_v6
2015-02-06 15:39 - 2014-08-15 08:56 - 00000000 ____D () C:\Documents and Settings\user\Local Settings\Application Data\storegid
Reboot:
[/code][*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]
Синий экран пока не появлялся, но комп стал очень долго загружаться, после окна загрузки виндовс черный экран минут 5 потом окно выбора пользователя.
Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]22[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]