Printable View
После лечения от зловредов KIS'ом 14, в папке Program Files и в автозагрузке (HKLM:Run m2zkntk1mjjjzdl Все пользователи C:\Program Files\Sm2zkntk1mjjjzdl\m2jknzk4mjzjyjl.exe), зловред снова создает папки, программу (salus) а так же браузер начинает выдавать кучу всплывающих окон (одно из них [удалено]), после клика на любую ссылку перенаправляет на рекламные страницы.
Уважаемый(ая) [B]dime12[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\iexplore.bat','');
QuarantineFile('C:\Documents and Settings\Администратор\Local Settings\Application Data\Yandex\browser.bat','');
SetServiceStart('sysmon', 4);
DeleteService('sysmon');
SetServiceStart('rsutils', 4);
DeleteService('rsutils');
SetServiceStart('pfnfd_1_10_0_9', 4);
DeleteService('pfnfd_1_10_0_9');
QuarantineFile('C:\WINDOWS\system32\Drivers\m2jknzk4mjzjyjl.sys','');
SetServiceStart('m2jknzk4mjzjyjl', 4);
DeleteService('m2jknzk4mjzjyjl');
SetServiceStart('kguard', 4);
DeleteService('kguard');
DeleteService('RsRavMon');
SetServiceStart('UniversalUpdater', 4);
DeleteService('UniversalUpdater');
SetServiceStart('pfsvc_1.10.0.9', 4);
DeleteService('pfsvc_1.10.0.9');
TerminateProcessByName('c:\program files\universal updater\updaterservice.exe');
QuarantineFile('c:\program files\universal updater\updaterservice.exe','');
TerminateProcessByName('c:\program files\phrasefinder_1.10.0.9\service\pfsvc.exe');
QuarantineFile('c:\program files\phrasefinder_1.10.0.9\service\pfsvc.exe','');
TerminateProcessByName('c:\program files\sm2zkntk1mjjjzdl\m2jknzk4mjzjyjl.exe');
QuarantineFile('c:\program files\sm2zkntk1mjjjzdl\m2jknzk4mjzjyjl.exe','');
DeleteFile('c:\program files\sm2zkntk1mjjjzdl\m2jknzk4mjzjyjl.exe','32');
DeleteFile('c:\program files\phrasefinder_1.10.0.9\service\pfsvc.exe','32');
DeleteFile('c:\program files\universal updater\updaterservice.exe','32');
DeleteFile('C:\WINDOWS\system32\Drivers\sysmon.sys','32');
DeleteFile('RsRavMon.sys','32');
DeleteFile('C:\WINDOWS\system32\DRIVERS\kguard.sys','32');
DeleteFile('C:\WINDOWS\system32\Drivers\m2jknzk4mjzjyjl.sys','32');
DeleteFile('C:\WINDOWS\system32\DRIVERS\rsutils.sys','32');
DeleteFile('C:\WINDOWS\system32\DRIVERS\sysmon.sys','32');
DeleteFile('C:\Documents and Settings\Администратор\Local Settings\Application Data\Yandex\browser.bat','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','m2zkntk1mjjjzdl');
DeleteFile('C:\iexplore.bat','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.
Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы
[B]Сделайте новые логи по правилам[/B]
Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
Сделайте лог [url="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]Check Browsers' LNK[/url]
Карантин отправил.
Вот логи.
[list][*]Скачайте [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]ClearLNK[/url] и сохраните архив с утилитой на рабочем столе.[*]Распакуйте архив с утилитой в отдельную папку.[*]Перенесите [B]Check_Browsers_LNK.log[/B] на ClearLNK как показано на рисунке
[img]http://dragokas.com/tools/move.gif[/img]
[*]Отчет о работе [b]ClearLNK-<Дата>.log[/b] будет сохранен в папке [b]LOG[/b].[*]Прикрепите этот отчет к своему следующему сообщению.[/list]
В MBAM удалите все, [B]кроме[/B]:
[CODE]
Registry Data: 3
PUM.Disabled.SecurityCenter, HKLM\SOFTWARE\MICROSOFT\SECURITY CENTER|AntiVirusDisableNotify, 1, Good: (0), Bad: (1),,[007dda4792f85dd9e5f4b4118c79d828]
PUM.Disabled.SecurityCenter, HKLM\SOFTWARE\MICROSOFT\SECURITY CENTER|UpdatesDisableNotify, 1, Good: (0), Bad: (1),,[522b140d4d3d38fe64776362ff0607f9]
Files: 169
PUP.Optional.InstallCore, C:\Documents\???°??N?N??·????\Unlocker1.9.2_inst.exe, , [67162af7ed9d3303be040b655ea73dc3],
PUP.Optional.InstallCore.A, C:\Documents\???°???°N?????\DownloadManagerSetup.exe, , [314c928faae0f3438fed522bef16e41c],
PUP.Optional.Babylon.A, C:\Documents\Downloads\Unlocker1.9.2.exe, , [a3da08198703989ee9b20f1f738ee11f],
Packed.NSPack, C:\Games\Klevalka\Klevalka.exe, , [7904031e2f5bec4af619694958ad3ac6],
Backdoor.Agent, C:\Program Files\Alcohol Soft\Alcohol 120\Plugins\Helper\AlSrvN.exe, , [235ab8694e3c41f54b4ec3af936fbe42],
[/CODE]
Выполнил.
Что с проблемой?
Браузеры работают корректно. Папка Sm2zkntk1mjjjzdl в Program Fiies осталась, программа Salus тоже. Востанавливались сами после удаления через 3 дня.
Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
Выполнил.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Addition.txt попозже как очистится от старых файлов обмена.
[quote="dime12;1235120"]как очистится от старых файлов обмена.[/quote]Мой кабинет - Вложения
[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
HKU\S-1-5-21-789336058-1383384898-725345543-500\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION
SearchScopes: HKLM -> {EEE7E0A3-AE64-4dc8-84D1-F5D7BAF2DB0C} URL = http://slirsredirect.search.aol.com/redirector/sredir?sredir=2685&query={searchTerms}&invocationType=tb50-ie-winamp-chromesbox-en-us&tb_uuid=20120109081302765&tb_oid=13-12-2010&tb_mrud=09-01-2012
SearchScopes: HKU\S-1-5-21-789336058-1383384898-725345543-500 -> yandex.ru-120810 URL = http://websearch.ask.com/redirect?client=ie&tb=BT5&o=15443&src=crm&q={searchTerms}&locale=ru_RU
SearchScopes: HKU\S-1-5-21-789336058-1383384898-725345543-500 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3C} URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=aa7d67e1addf224a375771fd98417ded&text={searchTerms}
SearchScopes: HKU\S-1-5-21-789336058-1383384898-725345543-500 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3D} URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=aa7d67e1addf224a375771fd98417ded&text=
SearchScopes: HKU\S-1-5-21-789336058-1383384898-725345543-500 -> {87E31E6D-50DC-40eb-B80D-F9E1C6ECC05D} URL = http://ru.search.yahoo.com/search?p={searchTerms}&fr=chr-devicevm&type=STDVM
SearchScopes: HKU\S-1-5-21-789336058-1383384898-725345543-500 -> {EEE7E0A3-AE64-4dc8-84D1-F5D7BAF2DB0C} URL = http://slirsredirect.search.aol.com/redirector/sredir?sredir=2685&query={searchTerms}&invocationType=tb50-ie-winamp-chromesbox-en-us&tb_uuid=20120109081302765&tb_oid=13-12-2010&tb_mrud=09-01-2012
FF Homepage: user_pref("browser.startup.homepage","hxxp://1knl.org/?src=hp3&subid1=jan");
OPR Extension: (SaveFrom.net помощник) - C:\Documents and Settings\Администратор\Application Data\Opera Software\Opera Stable\Extensions\npdpplbicnmpoigidfdjadamgfkilaak [2014-07-16]
Reboot:
[/code][*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]
Выполнил
Что с проблемой?
Всплывающие окна и перенаправления при кликах пропали в браузерах пропали. Огромное спасибо.
Удалите МВАМ
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]18[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]