Google Chrome запускает exe.emorhc.bat, неизвестные стартовые страницы [Trojan-Clicker.BAT.Agent.az ]

Здравствуйте.
На одном сайте скачал обновление для гаджета note, не проверил его и попался на вирус.
Теперь Chrome и еще пару ярлыков на рабочем столе в поле объект имеют следующие адреса: C:\Users\westky\AppData\Roaming\Browsers\exe.emorhc.bat "http://2knl.org/?src=hp4&subid1=feb"
"C:\Users\westky\AppData\Roaming\Browsers\exe.rehcnual ateb enotshtraeh.bat" "http://2knl.org/?src=hp4&subid1=feb"
C:\Users\westky\AppData\Roaming\Browsers\exe.rehcnualls.bat "http://2knl.org/?src=hp4&subid1=feb"
При запуске Chrome вместо старых закладок загружаются новые страницы рекламного содержания.
Буду признателен за помощь. Спасибо

Уважаемый(ая) [B]Jack123[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Вчера не обратил внимания, а сейчас заметил, что теперь не работает PostgresSQL. Не запускается вручную и его теперь нет даже в списке служб. Нашел как минимум один новый процесс node-webkit.exe. Судя по всему он появился вместе с запуском вирусного приложения. Возможно есть еще.
Кстати вот ссылка откуда и скачал вирусный гаджет
[удалено]

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Program Files (x86)\Samsung Magician\FreeDos\command.com','');
QuarantineFile('c:\users\westky\appdata\roaming\k7uninstall\k7inetchk.dll','');
QuarantineFile('C:\Users\westky\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\SystemAutorun.exe','');
QuarantineFile('C:\Users\westky\AppData\Roaming\GemWare\DeleteWebkitCookie.exe','');
QuarantineFile('C:\Users\westky\AppData\Roaming\Browsers\exe.erolpxei.bat','');
QuarantineFile('C:\Users\westky\AppData\Roaming\Browsers\exe.emorhc.bat','');
QuarantineFile('c:\program files (x86)\k7 computing\k7tsecurity\k7tsmngr.exe','');
TerminateProcessByName('c:\users\westky\appdata\roaming\gemware\node-webkit.exe');
QuarantineFile('c:\users\westky\appdata\roaming\gemware\node-webkit.exe','');
DeleteFile('c:\users\westky\appdata\roaming\gemware\node-webkit.exe','32');
DeleteFile('C:\Users\westky\AppData\Roaming\Browsers\exe.emorhc.bat','32');
DeleteFile('C:\Users\westky\AppData\Roaming\Browsers\exe.erolpxei.bat','32');
DeleteFile('C:\Users\westky\AppData\Roaming\GemWare\DeleteWebkitCookie.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','node-webkit');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','DeleteWebkitCookie');
DeleteFile('C:\Users\westky\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\SystemAutorun.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] над первым сообщением темы.

[B][COLOR="Blue"]Сделайте новые логи по правилам[/COLOR][/B]



Сделайте лог [url="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]Check Browsers' LNK[/url]

Карантин отправил. Высылаю необходимые логи.
postgreSQL пока что так и не заработал.
По поводу файлов в карантине: K7uninstal - это не вирус. После того как я подхватил вирус я установил антивирусник К7 чтобы просканировать систему. А затем хотел его удалить, но так и не нашел uninstall в папке с программой. В итоге удалил его через панель управления.

Скачайте [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]ClearLNK[/url] и сохраните архив с утилитой на Рабочем столе.
[list][*]Распакуйте архив с утилитой в отдельную папку.[*]Перенесите [B]Check_Browsers_LNK.log[/B] на ClearLNK как показано на рисунке

[img]http://dragokas.com/tools/move.gif[/img]
[*]Отчет о работе [b]ClearLNK-<Дата>.log[/b] будет сохранен в папке [b]LOG[/b].[*]Прикрепите этот отчет к своему следующему сообщению.[/list]

Отчет сделал, но он пустой. После первого вашего скрипта я удалил зараженный ярлык хрома и создал новый.

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]

Высылаю необходимые отчеты. С браузером все в порядке. Но postgreSQL не работает. В службах windows его нет. Пробовал запустить через pgAdmin, выдает следующую ошибку:
Server doesn't listen
The server doesn't accept connections: the connection library reports
could not connect to server: Connection refused (0x0000274D/10061) Is the server running on host "127.0.0.1" and accepting TCP/IP connections on port 5432?
Для меня очень критично отсутствие сервера, т.к. я уже 2ой день не могу работать без него. Есть ли мне смысл сейчас самому пробовать его переустановить ? Ведь причину проблемы так и не удалось устранить, и после переустановки возможно будет то же самое. Одно я знаю точно, что сервер отказал в момент, когда я запустил вирусный файл.

С postgreSQL точно не к нам

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Logitech SetPoint.lnk
ShortcutTarget: Logitech SetPoint.lnk -> C:\Program Files\Logitech\SetPoint\SetPoint.exe (No File)
2015-04-09 22:31 - 2015-04-09 22:31 - 00000000 ____D () C:\Users\westky\AppData\Roaming\Tor Project
2015-04-09 22:09 - 2015-04-10 22:22 - 00000000 ____D () C:\Users\westky\AppData\Roaming\Browsers
2015-04-09 22:09 - 2015-04-10 22:08 - 00000000 ____D () C:\Users\westky\AppData\Roaming\GemWare
2015-04-09 22:09 - 2015-04-10 00:10 - 00000000 ____D () C:\Users\westky\AppData\Roaming\Microsoft Update
2015-04-09 22:09 - 2015-04-09 22:31 - 00000000 ____D () C:\Users\westky\AppData\Roaming\LiteDB
2015-04-09 22:09 - 2015-04-09 22:09 - 00001462 ___RS () C:\Users\westky\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnet Ехрlorer.lnk
2015-04-09 22:09 - 2015-04-09 22:09 - 00001458 ___RS () C:\Users\westky\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnеt Ехplоrеr (64-bit).lnk
2015-04-09 22:09 - 2015-04-09 22:09 - 00000000 ____D () C:\Users\westky\AppData\Roaming\CryptoDB
2015-04-06 22:03 - 2015-04-06 22:03 - 00000000 ____H () C:\Windows\system32\Drivers\Msft_Kernel_LUsbFilt_01005.Wdf
2015-04-06 22:03 - 2015-04-06 22:03 - 00000000 ____H () C:\Windows\system32\Drivers\Msft_Kernel_LMouFilt_01005.Wdf
2015-03-29 01:54 - 2015-03-29 01:54 - 0004968 _____ () C:\ProgramData\lrbivjdu.eai
Reboot:
[/code]
[list][*]Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]

С базой данных пришлось повозиться, но удалось переустановить. Теперь все работает исправно. Так же вирус повредил Windows Installer. Вроде починил с помощью гугла. По ходу завершил некоторые процессы и удалил их, т.к. время их создания примерно совпадало в временем попадания вируса в систему :

C:\Users\westky\AppData\Roaming\Tor Project (Security Task Manager определил его как потенциально опасный процесс)
C:\Users\westky\AppData\Roaming\LiteDB
C:\Users\westky\AppData\Roaming\CryptoDB

Что с проблемой?

Все работает. Большое спасибо

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\westky\appdata\roaming\browsers\exe.emorhc.bat - [B]Trojan-Clicker.BAT.Agent.az[/B][*] c:\users\westky\appdata\roaming\browsers\exe.erolpxei.bat - [B]Trojan-Clicker.BAT.Agent.az[/B][/LIST][/LIST]