Появились постороние программы и вирусы в браузере. Как избавиться от GetSearch в Chrome. [not-a-virus:AdWare.Win32.ConvertAd.awz, not-a-virus:AdWare.Win32.Eorezo.wrq ]

Printable View

07.07.2015, 14:39
yourdoseddos

Вложений: 3

Появились постороние программы и вирусы в браузере. Как избавиться от GetSearch в Chrome. [not-a-virus:AdWare.Win32.ConvertAd.awz, not-a-virus:AdWare.Win32.Eorezo.wrq ]

Уважаемые Хелперы, поймал вирусов в стиле GetSearch, AnyProtect, Kometa и т.д
Браузер Chrome перестал работать.
Использовал антивирусные утилиты и прочие приложения.
Не помогает.
07.07.2015, 14:40
Info_bot

Уважаемый(ая) [B]yourdoseddos[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
07.07.2015, 15:48
Sandor

Здравствуйте!

[URL="http://virusinfo.info/showthread.php?t=130828"][b]Временно[/b] отключите защитное ПО[/URL].
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]:

[CODE]begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
TerminateProcessByName('d:\users\rainbowdash3000\appdata\roaming\00000000-1436101101-0000-0000-8c89a5555533\jnsz2224.tmp');
TerminateProcessByName('d:\users\rainbowdash3000\appdata\roaming\00000000-1436101101-0000-0000-8c89a5555533\knsabfc1.tmp');
StopService('fugomotu');
StopService('zejytose');
QuarantineFile('d:\users\rainbowdash3000\appdata\roaming\00000000-1436101101-0000-0000-8c89a5555533\jnsz2224.tmp', '');
QuarantineFile('d:\users\rainbowdash3000\appdata\roaming\00000000-1436101101-0000-0000-8c89a5555533\knsabfc1.tmp', '');
QuarantineFile('D:\Users\Rainbowdash3000\AppData\Local\00000000-1436115681-0000-0000-8C89A5555533\snsaB17A.tmp', '');
QuarantineFile('D:\Users\Rainbowdash3000\AppData\Roaming\00000000-1436101101-0000-0000-8C89A5555533\hnse3B8F.tmp', '');
QuarantineFile('C:\Program Files\Java\setup.vbs', '');
QuarantineFile('D:\Program Files (x86)\gmsd_ru_005010023\gmsd_ru_005010023.exe', '');
QuarantineFile('D:\Users\Rainbowdash3000\AppData\Local\gmsd_ru_005010023\upgmsd_ru_005010023.exe', '');
QuarantineFile('D:\Users\Rainbowdash3000\AppData\Local\kometa.bat', '');
QuarantineFile('D:\Users\Rainbowdash3000\AppData\Roaming\Browsers\exe.emorhc.bat', '');
QuarantineFile('D:\Users\Rainbowdash3000\AppData\Roaming\Browsers\exe.erolpxei.bat', '');
QuarantineFile('D:\iexplore.bat', '');
DeleteFile('d:\users\rainbowdash3000\appdata\roaming\00000000-1436101101-0000-0000-8c89a5555533\jnsz2224.tmp', '32');
DeleteFile('d:\users\rainbowdash3000\appdata\roaming\00000000-1436101101-0000-0000-8c89a5555533\knsabfc1.tmp', '32');
DeleteFile('D:\Users\Rainbowdash3000\AppData\Local\00000000-1436115681-0000-0000-8C89A5555533\snsaB17A.tmp', '32');
DeleteFile('D:\Users\Rainbowdash3000\AppData\Roaming\00000000-1436101101-0000-0000-8C89A5555533\hnse3B8F.tmp', '32');
DeleteFile('D:\Program Files (x86)\gmsd_ru_005010023\gmsd_ru_005010023.exe', '32');
DeleteFile('D:\Users\Rainbowdash3000\AppData\Local\gmsd_ru_005010023\upgmsd_ru_005010023.exe', '32');
DeleteFile('D:\Users\Rainbowdash3000\AppData\Local\kometa.bat', '32');
DeleteFile('D:\Users\Rainbowdash3000\AppData\Roaming\Browsers\exe.emorhc.bat', '32');
DeleteFile('D:\Users\Rainbowdash3000\AppData\Roaming\Browsers\exe.erolpxei.bat', '32');
DeleteFile('D:\iexplore.bat', '32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Java Update');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','gmsd_ru_005010023');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','upgmsd_ru_005010023.exe');
DeleteService('fugomotu');
DeleteService('zejytose');
DeleteService('gopibeko');
DeleteService('vicoqudu');
ExecuteSysClean;
ExecuteRepair(2);
ExecuteRepair(3);
ExecuteRepair(4);
ExecuteWizard('SCU', 2, 3, true);
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.

[/CODE]

Компьютер [U]перезагрузится[/U].

Файл [B]quarantine.zip[/B] из папки AVZ загрузите по ссылке "[B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.

Cделайте лог [URL="http://dragokas.com/tools/CheckBrowsersLNK_dbg.zip"]Check Browsers' LNK by Dragokas & regist[/URL]. Заархивируйте его и прикрепите к сообщению.

Подготовьте лог сканирования [url=http://virusinfo.info/showthread.php?t=146192]AdwCleaner[/url].
07.07.2015, 21:44
yourdoseddos

Вложений: 2

Логи

Вот файлы
08.07.2015, 09:35
Sandor

Перетащите лог Check_Browsers_LNK.log на [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиту ClearLNK[/url]. Отчёт о работе прикрепите.

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочками также "Shortcut.txt".

Нажмите кнопку [B]Scan[/B].
После окончания сканирования будут созданы отчеты [B]FRST.txt[/B], [B]Addition.txt[/B], [B]Shortcut.txt[/B] в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
08.07.2015, 10:00
yourdoseddos

Вложений: 4

Уважаемый Sandor!

Вот файлы.
08.07.2015, 10:13
Sandor

Создайте текстовый файл [B]fixlist.txt[/B] в папке с Farbar Recovery Scan Tool, скопируйте в него текст из окна "код" ниже и сохраните.
[code]start
CreateRestorePoint:
HKLM-x32\...\Run: [gmsd_ru_005010021] => [X]
GroupPolicy: Group Policy on Chrome detected <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
BHO: No Name -> {AE805869-2E5C-4ED4-8F7B-F1F7851A4497} -> No File
BHO: No Name -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> No File
BHO-x32: No Name -> {AE805869-2E5C-4ED4-8F7B-F1F7851A4497} -> No File
BHO-x32: No Name -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> No File
Toolbar: HKU\S-1-5-21-3728206028-1674880557-545425281-1000 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} - No File
2015-07-06 13:45 - 2015-06-01 23:16 - 00814288 ____H (Microsoft Corporation) D:\iехplоrе.bаt.exe
2015-07-06 13:44 - 2015-07-06 13:44 - 00000096 ____H D:\Launcher.bat
2015-07-06 13:44 - 2014-09-10 11:58 - 00514560 ____H D:\Lаunсhеr.bаt.exe
2015-07-05 18:11 - 2015-07-05 18:10 - 00628688 _____ (CMI Limited) D:\Users\Rainbowdash3000\AppData\Local\nsl362A.tmp
2015-07-06 13:44 - 2015-06-02 14:17 - 1076832 ____H (Kometa Authors) D:\Users\Rainbowdash3000\AppData\Local\kоmеtа.bаt.exe
2015-07-05 18:11 - 2015-07-05 18:10 - 0628688 _____ (CMI Limited) D:\Users\Rainbowdash3000\AppData\Local\nsl362A.tmp
2015-07-07 11:57 - 2015-07-07 11:57 - 0613255 _____ (CMI Limited) D:\Users\Rainbowdash3000\AppData\Local\nsmB700.tmp
2015-07-05 17:47 - 2015-07-05 17:47 - 0613255 _____ (CMI Limited) D:\Users\Rainbowdash3000\AppData\Local\nsnCC2C.tmp
AlternateDataStreams: D:\Users\Rainbowdash3000\Local Settings:wa
AlternateDataStreams: D:\Users\Rainbowdash3000\AppData\Local:wa
AlternateDataStreams: D:\Users\Rainbowdash3000\AppData\Local\Application Data:wa
FirewallRules: [{CA0D8AF0-7F56-4B97-B322-D2C404ABDFF5}] => (Allow) D:\Program Files (x86)\360\Total Security\safemon\QHSafeTray.exe
FirewallRules: [{44DEC07E-1924-421C-9DCD-FC9556EB3E38}] => (Allow) D:\Program Files (x86)\360\Total Security\safemon\QHSafeTray.exe
FirewallRules: [{839C29A1-3053-4F72-9595-531D8C470BE1}] => (Allow) D:\Program Files (x86)\360\Total Security\LiveUpdate360.exe
FirewallRules: [{DB898037-EB8B-4B39-9738-E55EFAA686E9}] => (Allow) D:\Program Files (x86)\360\Total Security\LiveUpdate360.exe
FirewallRules: [TCP Query User{DAF68AB8-EE41-42F2-BA46-EF2CA96BDC2B}D:\program files (x86)\ppцъкц2.0\ihelper.exe] => (Allow) D:\program files (x86)\ppцъкц2.0\ihelper.exe
FirewallRules: [UDP Query User{6157445D-A995-4805-9B9D-9FB1C8D8E9AE}D:\program files (x86)\ppцъкц2.0\ihelper.exe] => (Allow) D:\program files (x86)\ppцъкц2.0\ihelper.exe
FirewallRules: [{3795C330-DA61-4F39-AA68-074A63D77E75}] => (Block) D:\program files (x86)\ppцъкц2.0\ihelper.exe
FirewallRules: [{5123CAC9-D353-4A0E-8BC7-915014B0D368}] => (Block) D:\program files (x86)\ppцъкц2.0\ihelper.exe
FirewallRules: [TCP Query User{13BD64DA-D2BF-44B2-B889-01F70E4D9C6C}D:\program files (x86)\pp助手2.0\adevicehelpermon.exe] => (Allow) D:\program files (x86)\pp助手2.0\adevicehelpermon.exe
FirewallRules: [UDP Query User{AFEF5FC3-60AF-494A-85B5-37C389029810}D:\program files (x86)\pp助手2.0\adevicehelpermon.exe] => (Allow) D:\program files (x86)\pp助手2.0\adevicehelpermon.exe
FirewallRules: [TCP Query User{B8585442-6607-4B5C-A276-1236137A83A3}D:\program files (x86)\pp助手2.0\ihelper.exe] => (Allow) D:\program files (x86)\pp助手2.0\ihelper.exe
FirewallRules: [UDP Query User{BFD0D126-5BAA-41D6-8427-D1152597A844}D:\program files (x86)\pp助手2.0\ihelper.exe] => (Allow) D:\program files (x86)\pp助手2.0\ihelper.exe
FirewallRules: [{5EC2409E-CBBA-4EC9-BAB9-A177A2467DB6}] => (Block) D:\program files (x86)\pp助手2.0\ihelper.exe
FirewallRules: [{730EE474-F4F2-4E6E-9DEF-876366EC8222}] => (Block) D:\program files (x86)\pp助手2.0\ihelper.exe
FirewallRules: [{17036D68-01DF-470E-AFCE-904300A8D29A}] => (Block) D:\program files (x86)\pp助手2.0\adevicehelpermon.exe
FirewallRules: [{1DA85DF3-74F8-468E-AF3B-C805F2F6B7CF}] => (Block) D:\program files (x86)\pp助手2.0\adevicehelpermon.exe
FirewallRules: [{8BE5D25F-2107-436F-83BF-1A5E94F1E9FA}] => (Allow) D:\program files (x86)\common files\tencent\qqdownload\130\tencentdl.exe
FirewallRules: [{43BEF0F0-5CFB-4327-81CF-07833CF7D16E}] => (Allow) D:\program files (x86)\common files\tencent\qqdownload\130\bugreport_xf.exe
EmptyTemp:
Reboot:
end[/code]
Отключите до перезагрузки антивирус, запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
08.07.2015, 10:49
yourdoseddos

Вложений: 1

Отправляю файл

fixlog.txt
08.07.2015, 11:35
Sandor

Повторите, пожалуйста, [url=http://virusinfo.info/showthread.php?t=186687&p=1292341&viewfull=1#post1292341]логи FRST[/url].
08.07.2015, 11:45
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] d:\program files (x86)\gmsd_ru_005010023\gmsd_ru_005010023.exe - [B]not-a-virus:AdWare.Win32.Eorezo.wrq[/B] ( BitDefender: Adware.Eorezo.BZ )[*] d:\users\rainbowdash3000\appdata\roaming\00000000-1436101101-0000-0000-8c89a5555533\jnsz2224.tmp - [B]not-a-virus:AdWare.Win32.ConvertAd.awz[/B] ( AVAST4: Win32:Rootkit-gen [Rtk] )[/LIST][/LIST]