Рекламная стартовая страница

Здравствуйте!
Маленький ребёнок без моего ведома скачал игру из интернета, в нагрузку к скачанному поустанавливалось очень много программ, в том числе Baidu, которые я успешно принудительно удалил с помощью Revo Uninstaller Pro по инструкции из интернета.

Несколько раз чистил всё ccleaner, перезагружал компьютер, сбрасывал настройки браузера, проверял антивирусом, но ничего не помогает.

В IE, Mozilla, Chrome остались стартовые страницы: trahlab, vezunchik.club, search-da.

Не знаю что делать.

+сделал всё по инструкции, но файла AVZ - virusinfo_syscure.zip [/B][B]в папке LOG нет.

Выполнил ещё раз третий скрипт, прикрепляю.
Но получается, что порядок действий нарушен, если надо, то переделаю.

Уважаемый(ая) [B]Doge[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте!

- Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.

WindowsMangerProtect, AnyProtectEx, - удалите через установку удаление программ.


Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
SetServiceStart('BDArKit', 4);
SetServiceStart('BDKVRTP', 4);
StopService('BdSandBox');
StopService('BDMWrench_x64');
StopService('bd0003');
StopService('BDArKit');
StopService('BDKVRTP');
QuarantineFile('C:\Users\HM\AppData\Roaming\QGYN.exe', '');
QuarantineFile('C:\Program Files\Adobe\Adobe After Effects CC\Support Files\AfterFX.com', '');
QuarantineFile('C:\Windows\system32\DRIVERS\BdSandBox.sys', '');
QuarantineFile('C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdSvc.exe', '');
QuarantineFile('C:\Windows\System32\Drivers\BDArKit.SYS', '');
QuarantineFile('C:\Windows\system32\DRIVERS\bd0003.sys', '');
DeleteFile('C:\Windows\Tasks\QGYN.job', '64');
DeleteFile('C:\Windows\system32\Tasks\QGYN', '64');
DeleteFile('C:\Users\HM\AppData\Roaming\QGYN.exe', '32');
DeleteFile('C:\Program Files\Adobe\Adobe After Effects CC\Support Files\AfterFX.com', '32');
DeleteFile('C:\Windows\system32\DRIVERS\bd0003.sys', '32');
DeleteFile('C:\Windows\System32\Drivers\BDArKit.SYS', '32');
DeleteFile('C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdSvc.exe', '32');
DeleteFile('C:\Windows\system32\DRIVERS\BdSandBox.sys', '32');
DeleteService('BdSandBox');
DeleteService('BDMWrench_x64');
DeleteService('bd0003');
DeleteService('BDArKit');
DeleteService('BDKVRTP');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteRepair(2);
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwCleaninger"]AdwCleaninger (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaninger\AdwCleaninger[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Здравствуйте!
Сделал файл и загрузил его по форме, не совсем понял, что значит прикрепить его к этому сообщению.
Ссылка на результаты анализа: [url]http://virusinfo.info/virusdetector/report.php?md5=5ED744979217661CE5F6CB2DA32780E2[/url]
Тема для обсуждения результатов анализа: [url]http://virusinfo.info/showthread.php?t=180815[/url]

WindowsMangerProtect нашёл и удалил, а вот AnyProtectEx не могу найти ни в ccleaner, ни в Revo Uninstaller Pro, ни в стандартных (у меня win 8.1) "Программы и компоненты" - поиск выдаёт только файлы с карантином avz по этому запросу.
+ В процессах таких активных нет.

Сейчас буду выполнять скрипт в AVZ.

...
Скрипт выполнил, карантин отправил, повторные логи прикрепляю, перехожу к следующему пункту.

...
Я так понял, что для того, чтобы скачать AdwCleaninger (by Xplode) необходимо зарегистрироваться на сайте, никак не могу найти там регистрацию. Можно ли скачать эту программу откуда-то ещё?

Скачал с другого сайта, ссылка есть на этот ([url]https://toolslib.net/[/url]) сайт есть на том сайте ([url]http://general-changelog-team.fr/[/url]), который Вы дали. Надеюсь всё безопасно.

Прикрепляю отчёт.

[quote="Doge;1253657"]Сделал файл и загрузил его по форме, не совсем понял, что значит прикрепить его к этому сообщению.[/quote]
надо было ссылки, вы правильно сделали.

[quote="Doge;1253657"]Я так понял, что для того, чтобы скачать AdwCleaninger (by Xplode) необходимо зарегистрироваться на сайте, никак не могу найти там регистрацию. Можно ли скачать эту программу откуда-то ещё?

Скачал с другого сайта, ссылка есть на этот ([url]https://toolslib.net/[/url]) сайт есть на том сайте ([url]http://general-changelog-team.fr/[/url]), который Вы дали. Надеюсь всё безопасно.[/quote]
сегодня новая версия вышла и видно они сменили ссылку на скачивание, как раз на тот сайт откуда вы скачали.

Логи сейчас просмотрю.

- [url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё кроме папок от mail.ru - если программами от mail.ru не пользуетесь, то их тоже удалите. Отчет после удаления прикрепите.


Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFile('C:\Windows\system32\VCL.dll', '');
DeleteFile('C:\Windows\system32\VCL.dll', '32');
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]


- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

Почистил, прикрепляю отчёт, после очистки и перезагрузки всё равно эти стартовые страницы остались. :(

Сейчас буду делать скрипт и логи...

После выполнения скрипта и перезагрузки всё равно стартовые страницы остались и никак не убираются

1) Свежий лог сканирования AdwCleaner-а сделайте.

2) - сделайте лог [URL="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]Check Browsers' LNK[/URL]

3) [url=http://virusinfo.info/showthread.php?t=121767][b]Сделайте полный образ автозапуска uVS[/b][/url] только программу скачайте [url=https://yadi.sk/d/6A65LkI1WEuqC]отсюда[/url]

Отчёт uvs уже не получается прикрепить, так как израсходовано доступное место.
Можно ли удалить старые отчёты и логи?

[quote="Doge;1253789"]Можно ли удалить старые отчёты и логи?[/quote]
личный кабинет - управление вложениями, но лучше просто загрузите сюда [url]http://rghost.ru/[/url]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

+
- выполните такой скрипт в AVZ
[code]
begin
ClearQuarantine;
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Моzillа Firеfох.lnk','');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Оpеrа.lnk','');
QuarantineFile('C:\Users\HM\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Моzillа Firеfох.lnk','');
QuarantineFile('C:\Users\HM\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Оpеrа.lnk','');
QuarantineFile('C:\Users\Public\Desktop\Gооglе Сhrоmе.lnk','');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome\Gооglе Сhrоmе.lnk','');
QuarantineFile('C:\Users\HM\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Gооglе Сhrоmе.lnk','');
QuarantineFile('C:\Users\HM\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Intеrnеt Ехplоrеr.lnk','');
QuarantineFile('C:\Users\HM\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Маil.Ru.lnk','');
QuarantineFile('C:\Users\HM\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnеt Ехplоrеr.lnk','');
QuarantineFile('C:\firefox.bat','');
QuarantineFile('C:\launcher.bat','');
QuarantineFile('C:\Program Files (x86)\Google\chrome.bat','');
QuarantineFile('C:\iexplore.bat','');
DeleteFile('C:\firefox.bat','');
DeleteFile('C:\launcher.bat','');
DeleteFile('C:\Program Files (x86)\Google\chrome.bat','');
DeleteFile('C:\iexplore.bat','');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
[/code]
- Файл [B][color=RED]quarantine.zip[/color][/B] из папки AVZ загрузите по ссылке [B][color=RED]Прислать запрошенный карантин[/color][/B] вверху темы.

- Перетащите лог Check_Browsers_LNK.log на [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиту ClearLNK[/url]. Отчёт о работе прикрепите.


[LIST][*]Пожалуйста, запустите adwCleaninger.exe[*]Нажмите [B]Uninstall[/B] ([B]Удалить[/B]).[*]Подтвердите удаление нажав кнопку: Да.[/LIST]

[B]UVS:[/B]
[url]http://rghost.ru/private/8zNbmkj2M/dd9a7b888603e89e08e5ea3b1a047bef[/url]

...
Карантин загрузил, сейчас буду делать следующий пункт
...
Отчёт о работе прикрепил

adwClean удалил

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url]

[CODE];uVS v3.85.12 [http://dsrt.dyndns.org]
;Target OS: NTv6.3
v385c
BREG

sreg

zoo %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\CHROME.EXE
bl F217EF2EA31D8F73504B1CD2F9787D9D 809288
delall \\?\C:\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\CHROME.EXE

zoo %SystemDrive%\PROGRAM FILES (X86)\BAIDU\BAIDUSD\3.0.0.4605\EXPLUGIN\NPBAIDUSDDETECTPLUG.DLL
delall \\?\C:\PROGRAM FILES (X86)\BAIDU\BAIDUSD\3.0.0.4605\EXPLUGIN\NPBAIDUSDDETECTPLUG.DLL

zoo %Sys32%\DRIVERS\BDFILEDEFEND.SYS
delall \\?\C:\WINDOWS\SYSTEM32\DRIVERS\BDFILEDEFEND.SYS

zoo %SystemDrive%\PROGRAM FILES (X86)\COMMON FILES\BAIDU\BDDOWNLOAD\109\BDCOMPROXY.DLL
delall \\?\C:\PROGRAM FILES (X86)\COMMON FILES\BAIDU\BDDOWNLOAD\109\BDCOMPROXY.DLL

zoo %Sys32%\DRIVERS\BDMWRENCH_X64.SYS
bl 46E85FE5F787FDABAE8EA8C571ADC53B 56136
delall \\?\C:\WINDOWS\SYSTEM32\DRIVERS\BDMWRENCH_X64.SYS

zoo %Sys32%\DRIVERS\BD0003.SYS
bl A5E55CB840660113D2C051D09EF3790F 67400
delall \\?\C:\WINDOWS\SYSTEM32\DRIVERS\BD0003.SYS

zoo %Sys32%\DRIVERS\BD0001.SYS
bl B070BE913D270FC77A53F8D4304AF94D 202576
delall \\?\C:\WINDOWS\SYSTEM32\DRIVERS\BD0001.SYS

zoo %Sys32%\DRIVERS\BDARKIT.SYS
bl AC5C57F6C95C5B2EE4FE78C7C93372A5 152392
delall \\?\C:\WINDOWS\SYSTEM32\DRIVERS\BDARKIT.SYS

zoo %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\СHRОMЕ.BАT.EXE
delall \\?\C:\PROGRAM FILES (X86)\GOOGLE\СHRОMЕ.BАT.EXE

czoo
areg

[/CODE]

сделайте свежий образ автозапуска.

Здравствуйте!
Я так понял, что скрипт удалил полностью Хром?
После установки нового не будет стоять по-умолчанию поиск ямдекс?

Карантин отправил
Полный образ автозапуска: [url]http://rghost.ru/private/8HXNjCR9y/a67e785a3be033b7e9886219878101bf[/url]

[quote="Doge;1254368"]Я так понял, что скрипт удалил полностью Хром?[/quote]
нет, он удалил только
[quote="regist;1253833"]СHRОMЕ.[B]BАT[/B].EXE[/quote] - этот файл скопирован вирусом.

Посмотрите, разве у вас нету файла?
[CODE]C:\Program Files (x86)\Google\Chrome\Application\chrome.exe[/CODE]

Здравствуйте!
Да, этот файл есть, но в настройках всё ещё стоит ямдекс как поиск по-умолчанию.
Как его оттуда убрать?

В адресной строке Хрома наберите[CODE]chrome://settings/[/CODE]

В разделе Поиск нажмите Управление поисковыми системами.
Появится список. При наведении мышкой на нужную строку справа появится крестик, нажав на который, эта строка (и поисковая система) удалится из настроек.

Здравствуйте!
Дело в том, что там нет этого крестика, пишет, что эта поисковая система установлена администратором

[ATTACH=CONFIG]553046[/ATTACH]

[quote="Doge;1257514"]Дело в том, что там нет этого крестика[/quote]
потому что надо сначала сменить поиск по умолчанию на какой-то другой, а уже потом удалять.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]31[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\iexplore.bat - [B]Trojan.Win32.StartPage.frep[/B][/LIST][/LIST]