Странный вирус [not-a-virus:AdWare.Win32.DealPly.brj ]

Printable View

28.05.2015, 23:46
Коля Власов

Вложений: 4

Странный вирус [not-a-virus:AdWare.Win32.DealPly.brj ]

Добрый день,по глупости скачал 1 программу запустил,и тут началось самое интересно поставился браузер амиго все проги от маил ру и SmartWeb и куча всего как только я все удоляю браузер сам закрывается и все ставится по новой,не знаю что делать не могу поудолять некоторые программы которые поставились,не могу выполнить до конца стандартный скрипт"[B]№3[/B] [B]"Скрипт лечения/карантина и сбора информации для раздела[/B]" и проверку системы AVZ тупо зависает и все ,зависает на месте когда к 1 файлу что сегодня создался выскакивает подозрение на trojan-psw win32.onlinegames,еще в браузере страртовая страница не меняется рекламная какая-то,переодически открывается браузер и открываются странные сайты,Помогите прошу
28.05.2015, 23:49
Info_bot

Уважаемый(ая) [B]Коля Власов[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
29.05.2015, 00:14
Коля Власов

AVZ Зависает,не знаю что делать[QUOTE=Info_bot;1276907]Уважаемый(ая) [B]Коля Власов[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].[/QUOTE]
29.05.2015, 17:59
Коля Власов

Вложений: 1

После магических прыжков с бубном вокруг пк ,мне все таки удалось выполнить 3 скрипт в безопасном режиме вот логи
30.05.2015, 13:20
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\user\AppData\Roaming\istartsurf\UninstallManager.exe','');
QuarantineFile('C:\Users\user\AppData\Roaming\UPDATE~1\UPDATE~1\UPDATE~1.EXE','');
QuarantineFile('C:\Users\user\AppData\Roaming\Gtrm6c5.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV28.05\68ffd55b-b383-4e0c-aad7-8b00b56d5a49-5.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV28.05\68ffd55b-b383-4e0c-aad7-8b00b56d5a49-4.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV28.05\68ffd55b-b383-4e0c-aad7-8b00b56d5a49-11.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV28.05\68ffd55b-b383-4e0c-aad7-8b00b56d5a49-10.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV28.05\68ffd55b-b383-4e0c-aad7-8b00b56d5a49-1-7.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-4.5vV28.05\68ffd55b-b383-4e0c-aad7-8b00b56d5a49-1-6.exe','');
QuarantineFile('C:\Program Files (x86)\XTab\SupTab.dll','');
QuarantineFile('C:\Users\user\AppData\Roaming\Browsers\exe.resworb.bat','');
QuarantineFile('C:\Users\user\AppData\Roaming\Browsers\exe.erolpxei.bat','');
QuarantineFile('C:\Users\user\AppData\Local\SmartWeb\SmartWebHelper.exe','');
QuarantineFile('C:\Users\user\AppData\Local\Kometa\kometaup.exe','');
QuarantineFile('C:\Users\user\AppData\Local\6981491E-1432852123-3DA1-DA6B-10C37B1946B8\bnsk55F1.exe','');
SetServiceStart('TSSysKit', 4);
DeleteService('TSSysKit');
DeleteService('TSDefenseBt');
SetServiceStart('TSCPM', 4);
DeleteService('TSCPM');
SetServiceStart('TAOKernelDriver', 4);
DeleteService('TAOKernelDriver');
QuarantineFile('QQSysMonX64.sys','');
SetServiceStart('QQSysMonX64', 4);
DeleteService('QQSysMonX64');
SetServiceStart('QMUdisk', 4);
DeleteService('QMUdisk');
SetServiceStart('qelejify', 4);
DeleteService('qelejify');
SetServiceStart('pegohuho', 4);
DeleteService('pegohuho');
SetServiceStart('WindowsMangerProtect', 4);
DeleteService('WindowsMangerProtect');
SetServiceStart('dyvehiqu', 4);
SetServiceStart('lozycegu', 4);
DeleteService('lozycegu');
QuarantineFile('C:\Program Files (x86)\XTab\ProtectService.exe','');
DeleteService('IHProtect Service');
QuarantineFile('C:\Program Files (x86)\globalUpdate\Update\globalupdate.exe','');
DeleteService('globalUpdate');
DeleteService('dyvehiqu');
QuarantineFile('C:\Windows\system32\drivers\innfd_1_10_0_14.sys','');
TerminateProcessByName('c:\program files (x86)\gmsd_ru_258\gmsd_ru_258.exe');
QuarantineFile('c:\program files (x86)\gmsd_ru_258\gmsd_ru_258.exe','');
TerminateProcessByName('c:\programdata\windowsmangerprotect\protectwindowsmanager.exe');
QuarantineFile('c:\programdata\windowsmangerprotect\protectwindowsmanager.exe','');
TerminateProcessByName('c:\users\user\appdata\roaming\6981491e-1432841271-3da1-da6b-10c37b1946b8\hnskf159.tmp');
QuarantineFile('c:\users\user\appdata\roaming\6981491e-1432841271-3da1-da6b-10c37b1946b8\hnskf159.tmp','');
TerminateProcessByName('c:\users\user\appdata\roaming\6981491e-1432841271-3da1-da6b-10c37b1946b8\jnshd0ee.tmp');
QuarantineFile('c:\users\user\appdata\roaming\6981491e-1432841271-3da1-da6b-10c37b1946b8\jnshd0ee.tmp','');
TerminateProcessByName('c:\users\user\appdata\roaming\6981491e-1432841271-3da1-da6b-10c37b1946b8\nsg9b61.tmpfs');
QuarantineFile('c:\users\user\appdata\roaming\6981491e-1432841271-3da1-da6b-10c37b1946b8\nsg9b61.tmpfs','');
DeleteFile('c:\users\user\appdata\roaming\6981491e-1432841271-3da1-da6b-10c37b1946b8\nsg9b61.tmpfs','32');
DeleteFile('c:\users\user\appdata\roaming\6981491e-1432841271-3da1-da6b-10c37b1946b8\jnshd0ee.tmp','32');
DeleteFile('c:\users\user\appdata\roaming\6981491e-1432841271-3da1-da6b-10c37b1946b8\hnskf159.tmp','32');
DeleteFile('c:\programdata\windowsmangerprotect\protectwindowsmanager.exe','32');
DeleteFile('c:\program files (x86)\gmsd_ru_258\gmsd_ru_258.exe','32');
DeleteFile('C:\Windows\system32\drivers\innfd_1_10_0_14.sys','32');
DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\10.9.16349.225\QMUdisk64.sys','32');
DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\10.9.16349.225\QQSysMonX64.sys','32');
DeleteFile('C:\Windows\System32\Drivers\TAOKernel64.sys','32');
DeleteFile('C:\Windows\system32\Drivers\TFsFltX64.sys','32');
DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\10.9.16349.225\tscpm64.sys','32');
DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\10.9.16349.225\TSSysKit64.sys','32');
DeleteFile('C:\Program Files (x86)\globalUpdate\Update\globalupdate.exe','32');
DeleteFile('C:\Program Files (x86)\XTab\ProtectService.exe','32');
DeleteFile('QQSysMonX64.sys','32');
DeleteFile('C:\Windows\system32\Drivers\TAOKernel64.sys','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','gmsd_ru_258');
DeleteFile('C:\Users\user\AppData\Local\6981491E-1432852123-3DA1-DA6B-10C37B1946B8\bnsk55F1.exe','32');
DeleteFile('C:\Users\user\AppData\Local\Kometa\kometaup.exe','32');
DeleteFile('C:\Users\user\AppData\Local\SmartWeb\SmartWebHelper.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','SmartWeb');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','kometaup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','WinCheck');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','upgmsd_ru_258.exe');
DeleteFile('C:\Users\user\AppData\Roaming\Browsers\exe.erolpxei.bat','32');
DeleteFile('C:\Users\user\AppData\Roaming\Browsers\exe.resworb.bat','32');
DeleteFile('C:\Program Files (x86)\XTab\SupTab.dll','32');
DeleteFile('C:\Program Files (x86)\CinemaPlus-4.5vV28.05\68ffd55b-b383-4e0c-aad7-8b00b56d5a49-1-6.exe','32');
DeleteFile('C:\Windows\Tasks\68ffd55b-b383-4e0c-aad7-8b00b56d5a49-1-6.job','64');
DeleteFile('C:\Program Files (x86)\CinemaPlus-4.5vV28.05\68ffd55b-b383-4e0c-aad7-8b00b56d5a49-1-7.exe','32');
DeleteFile('C:\Windows\Tasks\68ffd55b-b383-4e0c-aad7-8b00b56d5a49-1-7.job','64');
DeleteFile('C:\Program Files (x86)\CinemaPlus-4.5vV28.05\68ffd55b-b383-4e0c-aad7-8b00b56d5a49-10.exe','32');
DeleteFile('C:\Windows\Tasks\68ffd55b-b383-4e0c-aad7-8b00b56d5a49-10_user.job','64');
DeleteFile('C:\Program Files (x86)\CinemaPlus-4.5vV28.05\68ffd55b-b383-4e0c-aad7-8b00b56d5a49-11.exe','32');
DeleteFile('C:\Windows\Tasks\68ffd55b-b383-4e0c-aad7-8b00b56d5a49-11.job','64');
DeleteFile('C:\Program Files (x86)\CinemaPlus-4.5vV28.05\68ffd55b-b383-4e0c-aad7-8b00b56d5a49-4.exe','32');
DeleteFile('C:\Windows\Tasks\68ffd55b-b383-4e0c-aad7-8b00b56d5a49-4.job','64');
DeleteFile('C:\Program Files (x86)\CinemaPlus-4.5vV28.05\68ffd55b-b383-4e0c-aad7-8b00b56d5a49-5.exe','32');
DeleteFile('C:\Windows\Tasks\68ffd55b-b383-4e0c-aad7-8b00b56d5a49-5.job','64');
DeleteFile('C:\Windows\Tasks\68ffd55b-b383-4e0c-aad7-8b00b56d5a49-5_user.job','64');
DeleteFile('C:\Windows\Tasks\globalUpdateUpdateTaskMachineCore.job','64');
DeleteFile('C:\Windows\Tasks\globalUpdateUpdateTaskMachineUA.job','64');
DeleteFile('C:\Windows\Tasks\Gtrm6c5.job','64');
DeleteFile('C:\Users\user\AppData\Roaming\Gtrm6c5.exe','32');
DeleteFile('C:\Users\user\AppData\Roaming\UPDATE~1\UPDATE~1\UPDATE~1.EXE','32');
DeleteFile('C:\Windows\Tasks\UpdaterEX.job','64');
DeleteFile('C:\Windows\system32\Tasks\68ffd55b-b383-4e0c-aad7-8b00b56d5a49-1-6','64');
DeleteFile('C:\Windows\system32\Tasks\68ffd55b-b383-4e0c-aad7-8b00b56d5a49-1-7','64');
DeleteFile('C:\Windows\system32\Tasks\68ffd55b-b383-4e0c-aad7-8b00b56d5a49-10_user','64');
DeleteFile('C:\Windows\system32\Tasks\68ffd55b-b383-4e0c-aad7-8b00b56d5a49-11','64');
DeleteFile('C:\Windows\system32\Tasks\68ffd55b-b383-4e0c-aad7-8b00b56d5a49-4','64');
DeleteFile('C:\Windows\system32\Tasks\68ffd55b-b383-4e0c-aad7-8b00b56d5a49-5','64');
DeleteFile('C:\Windows\system32\Tasks\68ffd55b-b383-4e0c-aad7-8b00b56d5a49-5_user','64');
DeleteFile('C:\Windows\system32\Tasks\globalUpdateUpdateTaskMachineCore','64');
DeleteFile('C:\Windows\system32\Tasks\globalUpdateUpdateTaskMachineUA','64');
DeleteFile('C:\Windows\system32\Tasks\Gtrm6c5','64');
DeleteFile('C:\Windows\system32\Tasks\SmartWeb Upgrade Trigger Task','64');
DeleteFile('C:\Windows\system32\Tasks\Soft installer','64');
DeleteFile('C:\Users\user\AppData\Local\Host installer\4265501545_installcube.exe','32');
DeleteFile('C:\Windows\system32\Tasks\UpdaterEX','64');
DeleteFile('C:\Users\user\AppData\Roaming\istartsurf\UninstallManager.exe','32');
DeleteFile('C:\Windows\system32\Tasks\{E067D631-EB6A-4FEA-8EDE-94B55E604F79}','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] над первым сообщением в Вашей теме.

[B][COLOR="Blue"]Сделайте новые логи по правилам[/COLOR][/B]
30.05.2015, 15:38
Коля Власов

Вложений: 2

Новые логи
30.05.2015, 18:05
thyrex

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
30.05.2015, 18:39
Коля Власов

Вложений: 2

Вот)
30.05.2015, 20:39
thyrex

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
HKLM-x32\...\Run: [] => [X]
CHR Extension: (Quick Searcher) - C:\Users\user\AppData\Local\Google\Chrome\User Data\Default\Extensions\gbkjddnnlgmahpnjjkiolhoophlpibfn [2015-05-28]
OPR Extension: (CinemaPlus-4.5vV28.05) - C:\Users\user\AppData\Roaming\Opera Software\Opera Stable\Extensions\bfaohpmjmhdgnjblojekjlnadhehiadj [2015-05-28]
2015-05-29 01:19 - 2015-05-29 01:21 - 00000000 ____D () C:\ProgramData\Reimage Protector
2015-05-29 01:04 - 2015-05-29 01:22 - 00000000 ____D () C:\rei
2015-05-29 01:04 - 2015-05-29 01:20 - 00000000 ____D () C:\Program Files\Reimage
2015-05-28 22:43 - 2015-05-29 18:15 - 00000000 ____D () C:\Program Files (x86)\CinemaPlus-4.5vV28.05
2015-05-28 22:43 - 2015-05-28 22:43 - 00000000 ____D () C:\Users\user\AppData\Local\globalUpdate
2015-05-28 22:43 - 2015-05-28 22:43 - 00000000 ____D () C:\Program Files (x86)\globalUpdate
2015-05-28 22:41 - 2015-05-29 16:53 - 00000000 ____D () C:\Program Files (x86)\XTab
2015-05-28 22:41 - 2015-05-29 07:48 - 00000000 ____D () C:\ProgramData\WindowsMangerProtect
2015-05-28 22:41 - 2015-05-28 22:41 - 00000000 ____D () C:\Users\user\AppData\Roaming\istartsurf
2015-05-28 22:41 - 2015-05-28 22:41 - 00000000 ____D () C:\ProgramData\IHProtectUpDate
2015-05-28 22:34 - 2015-05-28 22:34 - 00000000 ____D () C:\Program Files\Common Files\Tencent
2015-05-28 22:33 - 2015-05-28 22:37 - 00000000 ____D () C:\Users\user\AppData\Roaming\Tencent
2015-05-28 22:33 - 2015-05-28 22:34 - 00000000 ____D () C:\ProgramData\Tencent
2015-05-28 22:33 - 2015-05-28 22:33 - 00000000 ____D () C:\Program Files (x86)\Tencent
2015-05-28 22:26 - 2015-05-29 18:15 - 00000000 ____D () C:\Users\user\AppData\Roaming\Browsers
2015-04-14 19:28 - 2015-04-14 19:28 - 0004387 _____ () C:\Users\user\AppData\Roaming\Gtrm6c5
Task: {91933333-23E3-46AE-892A-894173317D21} - System32\Tasks\MdmUpdateTaskMachineCore => C:\Users\user\AppData\Roaming\WebStorage\Caches\mdm <==== ATTENTION
C:\Users\user\AppData\Roaming\WebStorage\Caches
Reboot:
[/code]
[list][*]Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]
30.05.2015, 21:35
Коля Власов

Вложений: 1

Вот)
30.05.2015, 23:07
thyrex

Что с проблемой?
30.05.2015, 23:14
Коля Власов

Вроде решилась,Спасибо
30.05.2015, 23:24
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\user\appdata\roaming\update~1\update~1\update~1.exe - [B]not-a-virus:AdWare.Win32.DealPly.brj[/B] ( BitDefender: Trojan.GenericKDV.1261968 )[/LIST][/LIST]