Помогите, нестабильное соединение Интернет, тормозит компьютер [not-a-virus:RiskTool.Win32.Agent.jzs]

Printable View

17.04.2015, 18:50
Кирилл Сергеев

Помогите, нестабильное соединение Интернет, тормозит компьютер [not-a-virus:RiskTool.Win32.Agent.jzs]

Проблема в частых обрывах в соединении с интернетом, появляется ошибка в браузере 500 Internal Privoxy Error. Причина в вирусе под названием Jelbrus Secure Web, есть папка с таким названием, когда интернет пропадает и появляется данная ошибка я запускаю из этой папки файлы, только тогда появляется соединение, часто не воспроизводится видео с youtube, также тормозит компьютер в различных процессах. Все сделал по инструкции.
17.04.2015, 18:51
Info_bot

Уважаемый(ая) [B]Кирилл Сергеев[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
17.04.2015, 18:54
Кирилл Сергеев

Не открывается окно с вложениями, просто белое окно, как прикладывать тогда?
17.04.2015, 21:17
thyrex

Выложите на rghost.ru
17.04.2015, 23:20
Кирилл Сергеев

[url]http://rghost.ru/8YG4MDBjr[/url]
[url]http://rghost.ru/8g7Zh8yxh[/url]
[url]http://rghost.ru/8cZpcD5WJ[/url]
18.04.2015, 10:25
thyrex

acestream удалите через Установку программ

Оставьте только один антивирус.

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Program Files (x86)\GoForFilesUpdater\GoForFilesUpdater.exe','');
QuarantineFile('C:\Users\1\appdata\local\google\chrome\user data\default\extensions\bdigkpjbmbdepgpkjeabfghlchdmphke\3.2_0\plg\npapihelper.dll','');
QuarantineFile('C:\Users\1\AppData\Roaming\32CFCA\32CFCA.exe','');
QuarantineFile('C:\Windows\system32\drivers\ssnfd.sys','');
DeleteService('ssnfd');
TerminateProcessByName('c:\users\1\appdata\roaming\acestream\updater\ace_update.exe');
DeleteFile('c:\users\1\appdata\roaming\acestream\updater\ace_update.exe','32');
DeleteFile('C:\Windows\system32\drivers\ssnfd.sys','32');
DeleteFile('C:\Users\1\AppData\Roaming\32CFCA\32CFCA.exe','32');
DeleteFile('C:\Users\1\appdata\roaming\acestream\engine\lib\ctools.dll','32');
DeleteFile('C:\Users\1\appdata\local\google\chrome\user data\default\extensions\bdigkpjbmbdepgpkjeabfghlchdmphke\3.2_0\plg\npapihelper.dll','32');
DeleteFile('C:\Program Files (x86)\GoForFilesUpdater\GoForFilesUpdater.exe','32');
DeleteFile('C:\Windows\system32\Tasks\Update Service GoForFiles','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] над первым сообщением темы.

[B][COLOR="Blue"]Сделайте новые логи по правилам[/COLOR][/B]
18.04.2015, 17:22
Кирилл Сергеев

Вложений: 2

[url]http://rghost.ru/8GMfbM2dr[/url]
[url]http://rghost.ru/7tpJn7NvT[/url]
[url]http://rghost.ru/8lqXQFwkB[/url]
Все равно возникает ошибка в браузере, на скринах все показано, показан этот вирус.
[ATTACH=CONFIG]555488[/ATTACH]
[ATTACH=CONFIG]555489[/ATTACH]
18.04.2015, 20:13
thyrex

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
19.04.2015, 15:19
Кирилл Сергеев

[url]http://rghost.ru/private/78zpl5Dyc/14f34746895a774be3c741bb86df0397[/url]
[url]http://rghost.ru/private/8HbQGdfm4/b63f1aeae0976e700566b0949366873e[/url]
19.04.2015, 17:07
thyrex

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION
ProxyEnable: [S-1-5-21-2934711152-3788345237-271431272-1000] => Internet Explorer proxy is enabled.
ProxyServer: [S-1-5-21-2934711152-3788345237-271431272-1000] => 127.0.0.1:8118
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://istart.webssearches.com/?type=hppp&ts=1417768342&from=irs&uid=TOSHIBAXMK5059GSXP_32U2C5XMTXX32U2C5XMT /verysilent /hideuninstall
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = 0x00
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://istart.webssearches.com/web/?type=ds&ts=1417768258&from=irs&uid=TOSHIBAXMK5059GSXP_32U2C5XMTXX32U2C5XMT&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = 0x00
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://istart.webssearches.com/?type=hppp&ts=1417768342&from=irs&uid=TOSHIBAXMK5059GSXP_32U2C5XMTXX32U2C5XMT /verysilent /hideuninstall
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Page_URL = 0x00
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://istart.webssearches.com/web/?type=ds&ts=1417768258&from=irs&uid=TOSHIBAXMK5059GSXP_32U2C5XMTXX32U2C5XMT&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = 0x00
HKU\S-1-5-21-2934711152-3788345237-271431272-1000\Software\Microsoft\Internet Explorer\Main,Start Page = 0x00
HKU\S-1-5-21-2934711152-3788345237-271431272-1000\Software\Microsoft\Internet Explorer\Main,Search Page = http://istart.webssearches.com/web/?type=dspp&ts=1417768342&from=irs&uid=TOSHIBAXMK5059GSXP_32U2C5XMTXX32U2C5XMT /verysilent /hideuninstall&q={searchTerms}
HKU\S-1-5-21-2934711152-3788345237-271431272-1000\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://istart.webssearches.com/web/?type=dspp&ts=1417768342&from=irs&uid=TOSHIBAXMK5059GSXP_32U2C5XMTXX32U2C5XMT /verysilent /hideuninstall&q={searchTerms}
SearchScopes: HKLM -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://istart.webssearches.com/web/?type=ds&ts=1417768258&from=irs&uid=TOSHIBAXMK5059GSXP_32U2C5XMTXX32U2C5XMT&q={searchTerms}
SearchScopes: HKLM -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = http://istart.webssearches.com/web/?type=ds&ts=1417768258&from=irs&uid=TOSHIBAXMK5059GSXP_32U2C5XMTXX32U2C5XMT&q={searchTerms}
CHR Extension: (Magic Player) - C:\Users\1\AppData\Local\Google\Chrome\User Data\Default\Extensions\kpckgflgdapkpabemgkielbefdildaio [2014-06-08]
CHR Extension: (APIHelper) - C:\Users\1\AppData\Local\Google\Chrome\User Data\Default\Extensions\bdigkpjbmbdepgpkjeabfghlchdmphke [2015-01-13]
OPR Extension: (APIHelper) - C:\Users\1\AppData\Roaming\Opera Software\Opera Stable\Extensions\fhmcldpohlnkhmdbhfggpafgkafbcfnh [2015-02-14]
OPR Extension: (Ultimate Discounter) - C:\Users\1\AppData\Roaming\Opera Software\Opera Stable\Extensions\hnbekdjpdldejohkmdonijjglpohocgo [2015-01-02]
OPR Extension: (AS Magic Player) - C:\Users\1\AppData\Roaming\Opera Software\Opera Stable\Extensions\mfhnkgpdlogbknkhlgdjlejeljbhflim [2015-01-03]
S3 esgiguard; \??\C:\Program Files\Enigma Software Group\SpyHunter\esgiguard.sys [X]
2015-04-18 17:56 - 2013-10-10 11:30 - 00000000 __SHD () C:\Users\1\AppData\Roaming\32CFCA
2015-04-18 17:53 - 2014-06-07 23:34 - 00000000 ____D () C:\Users\1\AppData\Roaming\.ACEStream
2015-04-18 17:53 - 2014-06-07 23:32 - 00000000 ____D () C:\Users\1\AppData\Roaming\ACEStream
2015-02-13 19:56 - 2015-02-13 19:56 - 0000000 _____ () C:\Users\1\AppData\Roaming\155.tmp
2015-02-13 19:56 - 2015-02-13 19:56 - 0851968 _____ () C:\Users\1\AppData\Roaming\155.tmp.exe
2015-02-15 15:15 - 2015-02-15 15:15 - 0000000 _____ () C:\Users\1\AppData\Roaming\212E.tmp
2015-02-08 12:20 - 2015-02-08 12:20 - 0000000 _____ () C:\Users\1\AppData\Roaming\69E9.tmp
2015-02-08 12:20 - 2015-02-08 12:20 - 0851968 _____ () C:\Users\1\AppData\Roaming\69E9.tmp.exe
2015-02-07 12:20 - 2015-02-07 12:20 - 0000000 _____ () C:\Users\1\AppData\Roaming\A860.tmp
2015-02-07 12:20 - 2015-02-07 12:20 - 0851968 _____ () C:\Users\1\AppData\Roaming\A860.tmp.exe
2014-12-20 18:52 - 2014-12-20 18:52 - 0628496 _____ (CMI Limited) C:\Users\1\AppData\Local\nsb7882.tmp
Task: {77C5C050-1A02-4487-8ED6-26E158D6A972} - \GPUP No Task File <==== ATTENTION
Task: {D696F697-610B-47DF-BAC1-D0245B919AB5} - \Update Service GoForFiles No Task File <==== ATTENTION
Task: {E0F2ED33-37D3-4774-9D4D-29508F395EB1} - \Программа онлайн-обновления Adobe. No Task File <==== ATTENTION
Task: {A5E0B116-DA2F-4B17-AEE2-C9572580C6F5} - \DTReg No Task File <==== ATTENTION
Reboot:
[/code]
[list][*]Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]
19.04.2015, 19:09
Кирилл Сергеев

[url]http://rghost.ru/private/6CYxHzBwv/e232e3df259d31a641852397a733aa2f[/url]
20.04.2015, 16:40
thyrex

Что с проблемой?
20.04.2015, 20:43
Кирилл Сергеев

Вроде не вылезает эта ошибка, но она всплывает внезапно, папка с этим эльбрусом осталась все равно :?
21.04.2015, 07:28
thyrex

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
(The Privoxy team - www.privoxy.org) C:\Program Files (x86)\Jelbrus Secure Web\privoxy.exe
R2 PrivoxyService; C:\Program Files (x86)\Jelbrus Secure Web\privoxy.exe [443202 2015-02-07] (The Privoxy team - www.privoxy.org) [File not signed] <==== ATTENTION
S2 d3dadapter; %SystemRoot%\System32\d3dadapter.dll [X]
S4 ir16_32; %SystemRoot%\System32\ir16_32.dll [X]
S2 wlanmgr; %SystemRoot%\System32\wlanmgr.dll [X]
C:\Program Files (x86)\Jelbrus Secure Web
Reboot:
[/code]
[list][*]Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]
26.04.2015, 17:31
Кирилл Сергеев

Вложений: 1

Сделал
28.04.2015, 19:37
thyrex

Проблема решена?
29.04.2015, 15:52
Кирилл Сергеев

Наверное
29.04.2015, 16:02
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files (x86)\goforfilesupdater\goforfilesupdater.exe - [B]not-a-virus:RiskTool.Win32.Agent.jzs[/B] ( DrWEB: Adware.Downware.4798, BitDefender: Gen:Variant.Kazy.501214, AVAST4: Win32:Dropper-gen [Drp] )[/LIST][/LIST]