Picexa,delta-homes, istartsurf, sweet-page. [not-a-virus:AdWare.Win32.SearchProtect.tb, not-a-virus:AdWare.Win32.ELEX.ai ]

Здравствуйте!
Появился на рабочем столе ярлык непрошенной программы Picexa (как пролезла - не знаю). Сразу же на нее revouninstaller -удаляю что нашлось. Проверяю настройки Internet Explorer - стартовая страница изменена на delta-homes, меняю на пустой бланк, в надстройках из списка поиска тоже удаляю.
Перезапускаю Оперу и ИЕ - не помогло. Открываю вкладку Свойства интернета - там домашняя страница прописана уже istartsurf.com. (Откуда?!)
Иду в реестр посмотреть - там в разных разделах в ветках ИЕ много этой Picexa и istartsurf.
Еще вот такой ключ подозрительный HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main и адрес поиска - sweet-page.
Недели две назад после установки обновления для ОС и перезагрузки пропал рабочий стол. Черный экран и курсор-мышь. Работало все, только рабочего стола нету. Кое-как удалось вернуть систему через точку восстановления на 2 июня - более поздние не работали. Ключи реестра на explorer.exe не были подменены. В чем дело было осталось загадкой.
После этого старый mcafee удалили и включили встроенный защитник. Неужто он попропускал эту заразу? Он ненадежный?
Вобщем, нужен взгляд профессионала. Выручайте. Однажды вы уже спасли наш старый компьютер, думаю и тут справитесь.
HijackThis написал что нет доступа изменить файл hosts. Сверили его по буквам на другом исправном ноутбуке - все одинаково, никаких дополнений или изменений.
P.S. Права администратора оказывается надо было включить)

Уважаемый(ая) [B]Кубанец[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
TerminateProcessByName('C:\Users\Дмитрий\AppData\Everything\SFKEX64.exe');
TerminateProcessByName('c:\users\Дмитрий\appdata\everything\serviceeverything.exe');
TerminateProcessByName('c:\users\Дмитрий\appdata\everything\searchbase.exe');
TerminateProcessByName('c:\program files (x86)\miuitab\protectservice.exe');
TerminateProcessByName('c:\program files (x86)\miuitab\hpnotify.exe');
TerminateProcessByName('c:\users\Дмитрий\appdata\everything\everything.exe');
TerminateProcessByName('c:\program files (x86)\miuitab\cmdshell.exe');
StopService('IHProtect Service');
QuarantineFile('C:\Program Files (x86)\Hold Page\HoldPageBHO.dll', '');
QuarantineFile('C:\WINDOWS\system32\drivers\{8299d9bc-4fe2-4889-9adf-025a0769d461}w64.sys', '');
QuarantineFile('C:\WINDOWS\system32\drivers\{078ad437-dc9f-4228-9edb-b3d1c0246ff8}Gw64.sys', '');
QuarantineFile('C:\WINDOWS\system32\drivers\{c5e48979-bd7f-4cf7-9b73-2482a67a4f37}Gw64.sys', '');
QuarantineFile('C:\Users\Дмитрий\AppData\Everything\Patch.dll', '');
QuarantineFile('C:\Users\Дмитрий\AppData\Everything\helper.dll', '');
QuarantineFile('C:\Users\Дмитрий\AppData\Everything\everything.dll', '');
QuarantineFile('C:\Program Files (x86)\MiuiTab\SupTab.dll', '');
QuarantineFile('C:\Program Files (x86)\MiuiTab\IeWatchDog.dll', '');
QuarantineFile('C:\Users\Дмитрий\AppData\Everything\SFKEX64.exe', '');
QuarantineFile('c:\users\Дмитрий\appdata\everything\serviceeverything.exe', '');
QuarantineFile('c:\users\Дмитрий\appdata\everything\searchbase.exe', '');
QuarantineFile('c:\program files (x86)\miuitab\protectservice.exe', '');
QuarantineFile('c:\program files (x86)\miuitab\hpnotify.exe', '');
QuarantineFile('c:\users\Дмитрий\appdata\everything\everything.exe', '');
QuarantineFile('c:\program files (x86)\miuitab\cmdshell.exe', '');
DeleteFile('c:\program files (x86)\miuitab\cmdshell.exe', '32');
DeleteFile('c:\users\Дмитрий\appdata\everything\everything.exe', '32');
DeleteFile('c:\program files (x86)\miuitab\hpnotify.exe', '32');
DeleteFile('c:\users\Дмитрий\appdata\everything\searchbase.exe', '32');
DeleteFile('C:\Users\Дмитрий\AppData\Everything\SFKEX64.exe', '32');
DeleteFile('C:\Program Files (x86)\MiuiTab\IeWatchDog.dll', '32');
DeleteFile('C:\Program Files (x86)\MiuiTab\SupTab.dll', '32');
DeleteFile('C:\Users\Дмитрий\AppData\Everything\everything.dll', '32');
DeleteFile('C:\Users\Дмитрий\AppData\Everything\helper.dll', '32');
DeleteFile('C:\Users\Дмитрий\AppData\Everything\Patch.dll', '32');
DeleteFile('C:\WINDOWS\system32\drivers\{c5e48979-bd7f-4cf7-9b73-2482a67a4f37}Gw64.sys', '32');
DeleteFile('C:\Program Files (x86)\MiuiTab\ProtectService.exe', '32');
DeleteFile('C:\Users\Дмитрий\AppData\Everything\ServiceEverything.exe', '32');
DeleteFile('C:\WINDOWS\system32\drivers\{078ad437-dc9f-4228-9edb-b3d1c0246ff8}Gw64.sys', '32');
DeleteFile('C:\WINDOWS\system32\drivers\{8299d9bc-4fe2-4889-9adf-025a0769d461}w64.sys', '32');
DeleteFile('C:\Program Files (x86)\Hold Page\HoldPageBHO.dll', '32');
DeleteFile('C:\WINDOWS\Tasks\Digital Sites.job', '64');
DeleteService('Util Hold Page');
DeleteService('Update Hold Page');
DeleteFileMask('c:\program files (x86)\miuitab', '*', true);
DeleteFileMask('c:\users\Дмитрий\appdata\everything', '*', true);
DeleteDirectory('c:\program files (x86)\miuitab');
DeleteDirectory('c:\users\Дмитрий\appdata\everything');
DelBHO('{51D26BB4-4D2C-4AE4-9873-5FF41B6DED1F}');
DelBHO('{6c14185e-4de6-4a79-985b-19f23fd1e638}');
ExecuteFile('schtasks.exe', '/delete /TN "Digital Sites" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "{5F4C9F74-8AEA-438D-9A44-583FDB549D40}" /F', 0, 15000, true);
ExecuteSysClean;
ExecuteRepair(4);
ExecuteRepair(3);
ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.

Сделайте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner (by Xplode)[/URL].

Доброго вечера, Вадим!
Скрипты выполнены (может важно - интернет был отключен при скриптовании), карантин загружен.
Повторное исследование AVZ и отчет AdwCleaner прилагаю (интернет подключен был).

[url="http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864"]Удалите всё найденное в [B]AdwCleaner[/B][/URL], дождитесь окончания удаления и перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[S0].txt, прикрепите к своему следующему сообщению.
[URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кэш и cookies-файлы браузеров[/URL] и сообщите, что с проблемами.

Здравствуйте, Вадим!
Очистка AdwCleaner сделана, отчет прилагается. Кэш и куки очищен. В настройках браузеров выставил "никогда" не проверять обновление сохраненных в кэше страниц (стояло проверять через 5 минут)
Также, как в инструкции Никиты Соловьева, почищен через Ccleaner "Index.dat" в разделе Internet Explorer и кэш DNS системы (на всякий "пожарный").
В панели управления Программы и компоненты Microsoft Office 365 - ru-ru, издатель Microsoft Corporation версия 15.0.4727.1003, установлено вчера.(!!! Кроме рекомендованных вами ничего не устанавливаю) Revouninstaller его не видит, Ccleaner пишет, что есть. Как открыть эту программу - не понятно. Вообще, как сделать, чтобы программы без спросу не устанавливались?
А так, вроде все в норме - никаких левых ярлыков и программ, домашние страницы - чистые бланки, как прописано. Что дальше - будем посмотреть.

Хорошо, ждём окончательного вердикта.

Привет Влад!
Два дня гоняю ноутбук вроде все нормально(тьфу-тьфу). Так что закрываем тему.
Спасибо вам большое за оперативность и профессионализм, за 7 лет работы на сайте. Хорошее, нужное дело делаете для всех.
Хотелось бы добавить - до новых встреч, но по таким поводам лучше с вами реже встречаться:)
Всего вам доброго!

Спасибо.

Запустите AdwCleaner и нажмите [B]Удалить[/B].

Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]15[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files (x86)\miuitab\cmdshell.exe - [B]not-a-virus:AdWare.Win32.ELEX.ak[/B][*] c:\program files (x86)\miuitab\hpnotify.exe - [B]not-a-virus:AdWare.Win32.SearchProtect.tb[/B][*] c:\program files (x86)\miuitab\iewatchdog.dll - [B]not-a-virus:AdWare.Win32.ELEX.ai[/B] ( DrWEB: Adware.Mutabaha.120 )[*] c:\program files (x86)\miuitab\protectservice.exe - [B]not-a-virus:AdWare.Win32.ELEX.al[/B][*] c:\program files (x86)\miuitab\suptab.dll - [B]not-a-virus:AdWare.Win32.SubTab.j[/B][*] c:\users\дмитрий\appdata\everything\serviceeverything.exe - [B]not-a-virus:AdWare.Win32.ELEX.ag[/B][*] c:\users\дмитрий\appdata\everything\sfkex64.exe - [B]not-a-virus:AdWare.Win64.Agent.ay[/B][/LIST][/LIST]