Странные китайские прграммы, Mail.ru-шные сервисы и пяток вирусов

Доброго времени суток.
Итак, на рабочем компе попросили поискать электрические схемы, на каком-то сайте скачали архив схем, после распаковки архива схем не оказалось, зато появились мэйлрушные сервисы, куча каких-то китайских программ (часть удалось удалить, часть осталась) ну и при заходе в интернет открываются левые вкладки, "компьютер заблокирован за просмотр порнографии" и прочие подобные вещи.
Скачал CureIT, проверил в обычном режиме - нашел штук пять разных вирусов, потом в Безопасном режиме - не нашел ничего. После этого удалось удалить часть китайских программ, но часть осталась, и при заходе в интернет все так же открываются левые вкладки, но гораздо меньше и компьютер не блокируется.
Сделал все по инструкции, логи прилагаются.

Уважаемый(ая) [B]tekhnlog[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
DelBHO('{92780B25-18CC-41C8-B9BE-3C9C571A8263}');
DelBHO('{FB4F6285-4C32-49F2-950F-A5998F9CEC6C}');
QuarantineFile('C:\Program Files\IQIYI Video\Common\Accelerator\IEHelper.dll','');
DeleteService('TS888');
DeleteService('QMUdisk');
SetServiceStart('ksapi', 4);
DeleteService('ksapi');
SetServiceStart('kisnetm', 4);
DeleteService('kisnetm');
SetServiceStart('KDHacker', 4);
DeleteService('KDHacker');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\jsonv6.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\kcctrl.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\kdynmrey.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\keasyipcn.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\krcmdmon.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\ksapi.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\ksdectrl.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\kshmpg.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\kswebshield.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\ktoolupd.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\kupdatesp.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\kwssp.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\kxebase.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\kxebscsp.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\kxecore\kxecore.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\kxecore\kxelog.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\lblocker.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\operation\cas\kinfoc.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\scom.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\security\ksde\klengine.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\security\ksde\kmctrl.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\security\ksde\ksdecs.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\security\ksnetm\kmonstat.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\security\kxescan\kae\kaecore.dat','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\security\kxescan\kanthack.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\security\kxescan\kavquara.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\security\kxescan\kfcdetect.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\security\kxescan\ksbwdet2.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\security\kxescan\ksesscan.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\security\kxescan\kseutil.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\security\kxescan\ksextfix.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\security\kxescan\ksinst.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\security\kxescan\ksolescanner.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\security\kxescan\kusbscan.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\security\kxescan\kxesansp.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\security\kxescan\sqlite.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\security\kxescan\wfs.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\security\kxescan\kdhacker.sys','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\security\ksnetm\kisnetmxp.sys','32');
DeleteFile('C:\WINDOWS\system32\drivers\ksapi.sys','32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\10.5.15816.217\QMUdisk.sys','32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\10.5.15816.217\TS888.sys','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved','{D21D88E8-4123-48BA-B0B1-3FDBE4AE5FA4}');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','kxesc');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\kavmenu.dll','32');
DeleteFile('c:\program files\kingsoft\kingsoft antivirus\kxetray.exe','32');
DeleteFile('C:\Program Files\IQIYI Video\Common\Accelerator\IEHelper.dll','32');
DeleteFile('C:\Program Files\IQIYI Video\LStyle\MobProtect.exe','32');
DeleteFile('C:\WINDOWS\Tasks\MobProtect.job','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

[B]Сделайте новые логи по правилам[/B]

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]

Скрипт в AVZ выполнил. После него исчезла одна китайская программа, висевшая в трее.
Прикрепил карантин. Карантин получается еще субботний - это нормально? Или надо было делать новый карантин после сегодняшних логов?
Сделал новые логи, и сделал сканирование FRST. Логи прикрепляю.

Левые вкладки в Хроме продолжают открываться и осталась одна китайская программа, которую не могу удалить, потому что там все или иероглифами, либо квадратиками, какую кнопку нажимать для деинсталяции - непонятно.

Расширение AdBlock какой версии установлено в Firefox и Хроме?

[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
HKLM\...\Run: [kxesc] => "c:\program files\kingsoft\kingsoft antivirus\kxetray.exe" -autorun
BHO: No Name -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> No File
FF Plugin: @iqiyi.com/npclient -> C:\Program Files\IQIYI Video\LStyle\npclient.dll ()
FF Plugin: @iqiyi.com/npWebPlayer -> C:\Program Files\IQIYI Video\LStyle\npWebPlayer.dll (爱奇艺公司)
FF Plugin: @kingsfot.com/npkws -> C:\program files\kingsoft\kingsoft antivirus\npkws.dll (Kingsoft Corporation)
FF Plugin HKU\S-1-5-21-2378873063-2213461800-3511595977-1049: @iqiyi.com/npWebPlayer -> C:\Program Files\IQIYI Video\LStyle\npWebPlayer.dll (爱奇艺公司)
2015-02-27 17:32 - 2015-02-27 17:32 - 00001756 _____ () C:\Documents and Settings\izumov_aleksey\Desktop\爱奇艺PPS 影音.lnk
2015-02-27 17:32 - 2015-02-27 17:32 - 00000000 ____D () C:\Documents and Settings\izumov_aleksey\Start Menu\Programs\爱奇艺
2015-02-27 17:32 - 2015-02-27 17:32 - 00000000 ____D () C:\Documents and Settings\izumov_aleksey\Application Data\MobProtect
2015-02-27 14:35 - 2015-02-27 14:35 - 00000064 _____ () C:\WINDOWS\QMNetworkMgr.ini
2015-02-27 14:22 - 2015-02-27 16:33 - 00030392 _____ (Tencent) C:\WINDOWS\system32\Drivers\TS888.sys
2015-02-27 14:20 - 2015-02-27 14:20 - 00000000 ____D () C:\Documents and Settings\All Users\TXQMPC
2015-02-27 14:10 - 2015-02-27 14:10 - 00000000 ____D () C:\Documents and Settings\izumov_aleksey\Application Data\ppslog
2015-02-27 13:20 - 2015-03-02 10:26 - 00262144 _____ () C:\WINDOWS\system32\config\KAVEventLog.EVT
2015-02-27 13:20 - 2015-02-27 14:16 - 00000000 ____D () C:\Documents and Settings\izumov_aleksey\Application Data\Kingsoft
2015-02-27 13:20 - 2015-02-27 13:20 - 00225080 _____ (Kingsoft Corporation) C:\WINDOWS\system32\Drivers\kisknl64.sys
2015-02-27 13:20 - 2015-02-27 13:20 - 00212792 _____ (Kingsoft Corporation) C:\WINDOWS\system32\Drivers\kisknl.sys
2015-02-27 13:20 - 2015-02-27 13:20 - 00171832 _____ (Kingsoft Corporation) C:\WINDOWS\system32\Drivers\kdhacker64.sys
2015-02-27 13:20 - 2015-02-27 13:20 - 00127800 _____ (Kingsoft Corporation) C:\WINDOWS\system32\Drivers\kdhacker.sys
2015-02-27 13:20 - 2015-02-27 13:20 - 00114488 _____ (Kingsoft Corporation) C:\WINDOWS\system32\Drivers\kisnetmxp.sys
2015-02-27 13:20 - 2015-02-27 13:20 - 00112952 _____ (Kingsoft Corporation) C:\WINDOWS\system32\Drivers\kisnetm.sys
2015-02-27 13:20 - 2015-02-27 13:20 - 00106808 _____ (Kingsoft Corporation) C:\WINDOWS\system32\Drivers\kisnetm64.sys
2015-02-27 13:20 - 2015-02-27 13:20 - 00055656 _____ (Kingsoft Corporation) C:\WINDOWS\system32\Drivers\ksapi64.sys
2015-02-27 13:20 - 2015-02-27 13:20 - 00031848 _____ (Kingsoft Corporation) C:\WINDOWS\system32\Drivers\kavbootc64.sys
2015-02-27 13:20 - 2015-02-27 13:20 - 00019352 _____ (Kingsoft Corporation) C:\WINDOWS\system32\Drivers\ksskrpr.sys
2015-02-27 13:20 - 2015-02-27 13:20 - 00018296 _____ (Kingsoft Corporation) C:\WINDOWS\system32\Drivers\kusbquery64.sys
2015-02-27 13:20 - 2015-02-27 13:20 - 00014200 _____ (Kingsoft Corporation) C:\WINDOWS\system32\Drivers\kusbquery.sys
2015-02-27 13:20 - 2015-02-27 13:20 - 00000000 __SHD () C:\KRECYCLE
2015-02-27 13:20 - 2015-02-27 13:20 - 00000000 ____D () C:\Documents and Settings\All Users\Start Menu\Programs\金山毒霸
2015-02-27 13:19 - 2015-02-27 14:14 - 00000000 ____D () C:\Program Files\kingsoft
2015-02-27 13:19 - 2015-02-27 13:20 - 00000000 ____D () C:\Documents and Settings\All Users\Application Data\Kingsoft
2015-02-27 13:19 - 2015-02-27 13:19 - 00028520 _____ (Kingsoft Corporation) C:\WINDOWS\system32\Drivers\kavbootc.sys
2015-02-27 13:19 - 2015-02-27 13:19 - 00024472 _____ (Kingsoft Corporation) C:\WINDOWS\system32\Drivers\bc.sys
2015-02-27 13:14 - 2015-02-27 17:27 - 00000000 ____D () C:\Documents and Settings\izumov_aleksey\Start Menu\Programs\腾讯软件
2015-02-27 13:14 - 2015-02-27 13:14 - 00000000 ____D () C:\Program Files\Tencent
2015-02-27 13:14 - 2015-02-27 13:14 - 00000000 ____D () C:\Program Files\Common Files\Tencent
2015-02-27 13:14 - 2015-02-27 13:14 - 00000000 ____D () C:\Documents and Settings\LocalService\Application Data\Tencent
2015-02-27 13:13 - 2015-02-27 17:32 - 00001766 _____ () C:\Documents and Settings\izumov_aleksey\Start Menu\Programs\爱奇艺PPS影音.lnk
2015-02-27 13:13 - 2015-02-27 17:32 - 00001760 _____ () C:\Documents and Settings\izumov_aleksey\Start Menu\爱奇艺PPS影音.lnk
2015-02-27 13:13 - 2015-02-27 17:31 - 00000000 ____D () C:\Program Files\IQIYI Video
2015-02-27 13:13 - 2015-02-27 14:34 - 00000000 ____D () C:\Documents and Settings\All Users\Application Data\Tencent
2015-02-27 13:13 - 2015-02-27 14:32 - 00000000 ____D () C:\Documents and Settings\izumov_aleksey\Application Data\IQIYI Video
2015-02-27 13:13 - 2015-02-27 14:13 - 00000000 ____D () C:\Documents and Settings\izumov_aleksey\Application Data\Tencent
2015-02-27 13:13 - 2015-02-27 13:13 - 00000000 ____D () C:\Documents and Settings\All Users\Application Data\QiYi
2015-02-27 13:11 - 2015-02-27 16:23 - 00000000 ____D () C:\Program Files\Application Assistance
C:\Documents and Settings\izumov_aleksey\Local Settings\Temp\QQPCMgr_Setup.exe
C:\Documents and Settings\izumov_aleksey\Local Settings\Temp\QYAgent_runxx.dl.dll
CustomCLSID: HKU\S-1-5-21-2378873063-2213461800-3511595977-1049_Classes\CLSID\{5EC7C511-CD0F-42E6-830C-1BD9882F3458}\InprocServer32 -> C:\Program Files\IQIYI Video\LStyle\npWebPlayer.dll (爱奇艺公司)
CustomCLSID: HKU\S-1-5-21-2378873063-2213461800-3511595977-1049_Classes\CLSID\{61CED8F3-2CB2-4C3C-9484-7530E1127A58}\InprocServer32 -> C:\Program Files\IQIYI Video\LStyle\npWebPlayer.dll (爱奇艺公司)
CustomCLSID: HKU\S-1-5-21-2378873063-2213461800-3511595977-1049_Classes\CLSID\{D96C1D26-5CDF-4506-9244-57233C3984DF}\InprocServer32 -> C:\Program Files\IQIYI Video\LStyle\npWebPlayer.dll (爱奇艺公司)
CustomCLSID: HKU\S-1-5-21-2378873063-2213461800-3511595977-1049_Classes\CLSID\{F3D0D36F-23F8-4682-A195-74C92B03D4AF-NOT}\InprocServer32 -> C:\Program Files\IQIYI Video\LStyle\npWebPlayer.dll (爱奇艺公司)
Reboot:
[/code][*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]

Сделал.
При сохранениии в Блокнот написало, что форматирование текста будет потеряно, нажал "ОК", иероглифы заменились на квадратики. Нажал Fix, процесс прошел, прошла перезагрузка, были проблемы с загрузкой Виндоус, но с третьего раза загрузилось.
Сразу же при запуске Виндоус пыталась запуститься FRST, но возникла ошибка и окно с предложением отправить отчет в Майкрософт. Нажал "Не отправлять".
Лог прикрепил.
В хроме АдБлок 39.0, в ФФ - АдБлок 39.0 и АдБлок+ 2.6.3. но я ФФ не пользуюсь уже где-то полгода.
В Хроме все так же открываются левые вкладки. Китайские программы вроде бы все удалились.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

В общем, удалил старый АдБлок, вместо него установил АдБлок Плюс 1.8.11 - вроде бы пропали всплывающие окна и левые вкладки.

Товарищи дорогие, поглядите пожалуйста, все ли уже в порядке? Можно дальше спокойно работать?

[quote="tekhnlog;1238739"]В хроме АдБлок 39.0, в ФФ - АдБлок 39.0[/quote]это фейковые расширения

Работайте спокойно

Благодарю за помощь.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]