Системный отладчик + куча мусора. [Trojan.Win32.Agent.idxa, not-a-virus:WebToolbar.Win32.CroRi.emq ]

[COLOR=#141414][FONT=Tahoma]При запуске компа у друга открывает эти страницы: 2inf.net и smartinf.ru.

Вот [URL]http://virusinfo.info/virusdetector/report.php?md5=429BBFB747E699CA10B5361E35A26520[/URL] ответ анализатора.

Логи свежие! Просто делал в понедельник, а в остальные дни был сильно занят (Экзамены).

Судя по анализатору - там виной всему Супер Радио, но с компа он удален. При запуске ИЕ - он в процессе, Ие

закрыт - его в процессах нету. Помогите разобраться с проблеммой. Спасибо заранее.

* На СЗ тишина, поэтому пройду лечение тут.[/FONT][/COLOR]

Уважаемый(ая) [B]об.261[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\User\appdata\local\kometa\kometaup.exe','');
QuarantineFile('C:\Users\User\appdata\local\systemdir\setsearchm.exe','');
QuarantineFile('C:\Users\User\AppData\Local\SystemDir\nethost.exe','');
QuarantineFile('C:\Program Files (x86)\Super Radio\dc0f8d26-f3e8-43e4-bd4a-68ffeca68922-7.exe','');
QuarantineFile('C:\Program Files (x86)\Super Radio\dc0f8d26-f3e8-43e4-bd4a-68ffeca68922-6.exe','');
QuarantineFile('C:\Program Files (x86)\Super Radio\dc0f8d26-f3e8-43e4-bd4a-68ffeca68922-5.exe','');
QuarantineFile('C:\Program Files (x86)\Super Radio\dc0f8d26-f3e8-43e4-bd4a-68ffeca68922-2.exe','');
QuarantineFile('C:\Program Files (x86)\Super Radio\dc0f8d26-f3e8-43e4-bd4a-68ffeca68922-11.exe','');
QuarantineFile('C:\Program Files (x86)\Super Radio\Super','');
DelBHO('{BC626543-18E2-404A-ACD4-046A70C61A16}');
DelBHO('{11111111-1111-1111-1111-110611791177}');
QuarantineFile('C:\Program Files (x86)\Аудио и видео скачивание\IE\x86\Downloader.dll','');
QuarantineFile('C:\Program Files (x86)\Super Radio\Super Radio-bho.dll','');
QuarantineFile('C:\Program Files (x86)\Browser Tab Search by Ask\SafetyNut\BrowserTabSearch\msbloader64.exe','');
TerminateProcessByName('c:\program files (x86)\super radio\super radio-bg.exe');
QuarantineFile('c:\program files (x86)\super radio\super radio-bg.exe','');
TerminateProcessByName('c:\program files (x86)\super radio\dc0f8d26-f3e8-43e4-bd4a-68ffeca68922-6.exe');
QuarantineFile('c:\program files (x86)\super radio\dc0f8d26-f3e8-43e4-bd4a-68ffeca68922-6.exe','');
DeleteFile('c:\program files (x86)\super radio\dc0f8d26-f3e8-43e4-bd4a-68ffeca68922-6.exe','32');
DeleteFile('c:\program files (x86)\super radio\super radio-bg.exe','32');
DeleteFile('C:\Program Files (x86)\Browser Tab Search by Ask\SafetyNut\BrowserTabSearch\msbloader64.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Browser Tab Search by Askx64');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','odigxpzewm');
DeleteFile('C:\Program Files (x86)\Super Radio\Super Radio-bho.dll','32');
DeleteFile('C:\Program Files (x86)\Аудио и видео скачивание\IE\x86\Downloader.dll','32');
DeleteFile('C:\Program Files (x86)\Super Radio\Super','32');
DeleteFile('C:\Windows\Tasks\dc0f8d26-f3e8-43e4-bd4a-68ffeca68922-1.job','64');
DeleteFile('C:\Windows\Tasks\dc0f8d26-f3e8-43e4-bd4a-68ffeca68922-11.job','64');
DeleteFile('C:\Program Files (x86)\Super Radio\dc0f8d26-f3e8-43e4-bd4a-68ffeca68922-11.exe','32');
DeleteFile('C:\Windows\Tasks\dc0f8d26-f3e8-43e4-bd4a-68ffeca68922-2.job','64');
DeleteFile('C:\Program Files (x86)\Super Radio\dc0f8d26-f3e8-43e4-bd4a-68ffeca68922-2.exe','32');
DeleteFile('C:\Windows\Tasks\dc0f8d26-f3e8-43e4-bd4a-68ffeca68922-5.job','64');
DeleteFile('C:\Program Files (x86)\Super Radio\dc0f8d26-f3e8-43e4-bd4a-68ffeca68922-5.exe','32');
DeleteFile('C:\Windows\Tasks\dc0f8d26-f3e8-43e4-bd4a-68ffeca68922-5_user.job','64');
DeleteFile('C:\Windows\Tasks\dc0f8d26-f3e8-43e4-bd4a-68ffeca68922-6.job','64');
DeleteFile('C:\Program Files (x86)\Super Radio\dc0f8d26-f3e8-43e4-bd4a-68ffeca68922-6.exe','32');
DeleteFile('C:\Program Files (x86)\Super Radio\dc0f8d26-f3e8-43e4-bd4a-68ffeca68922-7.exe','32');
DeleteFile('C:\Windows\Tasks\dc0f8d26-f3e8-43e4-bd4a-68ffeca68922-7.job','64');
DeleteFile('C:\Windows\system32\Tasks\dc0f8d26-f3e8-43e4-bd4a-68ffeca68922-1','64');
DeleteFile('C:\Windows\system32\Tasks\dc0f8d26-f3e8-43e4-bd4a-68ffeca68922-11','64');
DeleteFile('C:\Windows\system32\Tasks\dc0f8d26-f3e8-43e4-bd4a-68ffeca68922-2','64');
DeleteFile('C:\Windows\system32\Tasks\dc0f8d26-f3e8-43e4-bd4a-68ffeca68922-5','64');
DeleteFile('C:\Windows\system32\Tasks\dc0f8d26-f3e8-43e4-bd4a-68ffeca68922-6','64');
DeleteFile('C:\Windows\system32\Tasks\dc0f8d26-f3e8-43e4-bd4a-68ffeca68922-7','64');
DeleteFile('C:\Windows\system32\Tasks\nethost task','64');
DeleteFile('C:\Users\User\AppData\Local\SystemDir\nethost.exe','32');
DeleteFile('C:\Users\User\appdata\local\systemdir\setsearchm.exe','32');
DeleteFile('C:\Users\User\appdata\local\kometa\kometaup.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(9);
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

[B][COLOR="Blue"]Сделайте новые логи по правилам[/COLOR][/B]

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]

Файл сохранён как 150314_213539_virus_5504716b42853.zip
Размер файла 5776465
MD5 0a52dec022314ae827bb82d209ac06eb
Сори, не разглядел, надо бы по-крупнее написать. Завтра постараюсь сделать повторно логи - это будет вечером.

В Farbar Recovery Scan Tool там было еще файлы 90 дневные и я там птичку тоже поставил. Возможно скрин не полный. У него в принципе софт был установлен 3 месяца назад. Подарки постепенно появлялись.

У расширения AdBlock в Хроме какая версия?

[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
CHR HKU\S-1-5-21-4164690760-3540609721-3156471464-1000\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
SearchScopes: HKU\S-1-5-21-4164690760-3540609721-3156471464-1000 -> DefaultScope {A06ED961-D98F-4CF9-A89B-80AB11DB149C} URL = http://go-search.ru/search?q={searchTerms}
SearchScopes: HKU\S-1-5-21-4164690760-3540609721-3156471464-1000 -> {A06ED961-D98F-4CF9-A89B-80AB11DB149C} URL = http://go-search.ru/search?q={searchTerms}
BHO: Super Radio -> {11111111-1111-1111-1111-110611791177} -> C:\Program Files (x86)\Super Radio\Super Radio-bho64.dll [2015-01-09] (Buca Apps)
BHO-x32: Skype Click to Call for Internet Explorer -> {AE805869-2E5C-4ED4-8F7B-F1F7851A4497} -> C:\Program Files (x86)\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll [2014-07-14] (Microsoft Corporation)
BHO-x32: No Name -> {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} -> No File
Toolbar: HKU\S-1-5-21-4164690760-3540609721-3156471464-1000 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} - No File
CHR HKLM-x32\...\Chrome\Extension: [cncgohepihcekklokhbhiblhfcmipbdh] - http://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [gdknicmnhbaajdglbinpahhapghpakch] - https://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [gehngeifmelphpllncobkmimphfkckne] - http://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [gkgcmimepaonfdgamebdbeffalkjpmbc] - C:\Program Files (x86)\Аудио и видео скачивание\avdownloader-sk.crx [Not Found]
CHR HKLM-x32\...\Chrome\Extension: [jedelkhanefmcnpappfhachbpnlhomai] - https://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [kneggodalbcmgdkkfhbhbicbbahnacjb] - http://vkplayerpro.ru/index.xml
CHR HKLM-x32\...\Chrome\Extension: [pchfckkccldkbclgdepkaonamkignanh] - http://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pganlglbhgfjfgopijbhemcpbehjnpia] - https://clients2.google.com/service/update2/crx
OPR Extension: (Super Radio) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\icpgdmbkannfhajbcinkekegjlcbcibl [2015-01-09]
OPR Extension: (No Name) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\kneggodalbcmgdkkfhbhbicbbahnacjb [2015-01-10]
2015-01-10 17:02 - 2015-01-13 19:09 - 00000000 ____D () C:\Users\User\AppData\Local\Kometa
2015-01-10 15:32 - 2015-01-10 17:12 - 00000000 ____D () C:\Users\User\AppData\Local\Amigo
2015-01-10 15:30 - 2015-03-05 18:30 - 00000000 ____D () C:\Users\User\AppData\Local\SystemDir
Task: {8BE95835-1898-45A5-BFCD-15F0E53E0D85} - \nethost task No Task File <==== ATTENTION
Task: C:\Windows\Tasks\globalUpdateUpdateTaskMachineCore.job => C:\Program Files (x86)\globalUpdate\Update\GoogleUpdate.exe <==== ATTENTION
Task: C:\Windows\Tasks\globalUpdateUpdateTaskMachineUA.job => C:\Program Files (x86)\globalUpdate\Update\GoogleUpdate.exe <==== ATTENTION
Reboot:
[/code][*]Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]

Пост №3. Лог AVZ, когда выполнился, то левые сайты при загрузке компа больше не открывались.
[QUOTE]У расширения AdBlock в Хроме какая версия?[/QUOTE]
Версия 2.19

Вот новые логи:

DriverToolkit - этой программы у него нету вообще. Если можно помогите и ее остатки удалить.

Выполните скрипт в AVZ
[code]begin
DeleteFile('C:\Windows\system32\Tasks\DriverToolkit Autorun','64');
DeleteFile('C:\Windows\Tasks\DriverToolkit Autorun.job','64');
DeleteFile('C:\Program Files (x86)\DriverToolkit\DriverToolkit.exe','32');
DeleteFileMask('C:\Program Files (x86)\DriverToolkit', '*', true);
DeleteDirectory('C:\Program Files (x86)\DriverToolkit');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

[B][COLOR="Blue"]Сделайте новые логи по правилам[/COLOR][/B]

Вот логи. Как там дела?

Что слышно? На компе сейчас все в порядке. Проблем не замечено. Что говорят логи?

Сори, что логи удалил отсюда. Думал тут закончили, но нет. Сегодня при проверке Emsisoft - он нашел Супер Радио, удалили, но при полной проверке он находит какие-то программы + ключи реестра, которые вроде бы являются системными.
Вот логи нашел, это они за 19 число...
Единственное, что удалили через Emsisoft в Program Files (x86) - это: Супер Радио и web_disco. Повторить логи в выходной смогу, а пока можно с Супер Радио разобраться.

Ничего интересного в логах

Вот лог, что делать?

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files (x86)\super radio\dc0f8d26-f3e8-43e4-bd4a-68ffeca68922-11.exe - [B]not-a-virus:WebToolbar.Win32.CrossRider.kyc[/B] ( BitDefender: Gen:Application.Heur.9v1@k4lsXojO, AVAST4: Win32:Malware-gen )[*] c:\program files (x86)\super radio\dc0f8d26-f3e8-43e4-bd4a-68ffeca68922-2.exe - [B]not-a-virus:WebToolbar.Win32.CrossRider.kyc[/B] ( AVAST4: Win32:Malware-gen )[*] c:\program files (x86)\super radio\dc0f8d26-f3e8-43e4-bd4a-68ffeca68922-5.exe - [B]not-a-virus:WebToolbar.Win32.CrossRider.kyc[/B] ( BitDefender: Gen:Application.Heur.jv1@kmSdzWnO )[*] c:\program files (x86)\super radio\dc0f8d26-f3e8-43e4-bd4a-68ffeca68922-6.exe - [B]not-a-virus:WebToolbar.Win32.CroRi.emq[/B] ( BitDefender: Gen:Application.Heur.sz1@kKiTClki, AVAST4: Win32:Malware-gen )[*] c:\program files (x86)\super radio\dc0f8d26-f3e8-43e4-bd4a-68ffeca68922-7.exe - [B]not-a-virus:WebToolbar.Win32.CrossRider.kyc[/B] ( BitDefender: Gen:Application.Heur.gv1@k81vLJhO )[*] c:\program files (x86)\super radio\super radio-bg.exe - [B]not-a-virus:WebToolbar.Win32.CrossRider.kyc[/B][*] c:\program files (x86)\super radio\super radio-bho.dll - [B]not-a-virus:WebToolbar.Win32.CrossRider.kyc[/B] ( BitDefender: Gen:Application.Heur.Xy9@kGxJ@Pki )[*] c:\users\user\appdata\local\kometa\kometaup.exe - [B]not-a-virus:Downloader.Win32.Agent.cxan[/B] ( DrWEB: Trojan.LoadMoney.587, BitDefender: Gen:Variant.Graftor.165927 )[*] c:\users\user\appdata\local\systemdir\setsearchm.exe - [B]Trojan.Win32.Agent.idxa[/B] ( AVAST4: Win32:GenMalicious-FAK [Trj] )[/LIST][/LIST]