Printable View
[COLOR=#333333]Здравствуйте. Некоторые папки с файлами превратились в ярлыки, которые при открытии сообщают, что путь к этим файлам изменён, хотя прописан он правильно. Поиск на компьютере ничего не даёт. Скрытых файлов не нахожу. С подобной проблемой я обращался ранее на форуме [URL="http://virusinfo.info/showthread.php?t=186593"]здесь[/URL], но я заразил этим и второй компьютер. [/COLOR][COLOR=#333333]Помогите, пожалуйста, вылечить заразу и найти пропавшие папки.[/COLOR]
Уважаемый(ая) [B]WhiteSky[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Так же сделал полную проверку MBAM. Вот лог
Удалите в MBAM (переместите в карантин) всё найденное.
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочками также "Shortcut.txt".
Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).
Спасибо за ответ. В MBAM всё найденное удалил. Прикрепляю логи FRST
Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]CreateRestorePoint:
HKLM-x32\...\Run: [skinapp] => C:\Program Files (x86)\skinapp\skinapp.exe [154112 2015-07-07] (SkinApp)
HKLM-x32\...\Run: [KRB Updater Utility] => C:\ProgramData\KRB Updater Utility\krbupdater-utility.exe [179171 2015-05-17] ()
HKU\S-1-5-21-1327438025-4197815074-3781332967-1000\...\Run: [zbzcwvxpga] => explorer "http://yatvyati.ru/?utm_source=uoua03&utm_content=88c5fbfda974cb6b6298393cbef91f14"
HKU\S-1-5-21-1327438025-4197815074-3781332967-1000\...\MountPoints2: {203e54db-dfc6-11e4-9845-806e6f6e6963} - E:\autorun.exe
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => No File
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
CHR HKU\S-1-5-21-1327438025-4197815074-3781332967-1000\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
HKU\S-1-5-21-1327438025-4197815074-3781332967-1000\Software\Microsoft\Internet Explorer\Main,Start Page = http://yatvyati.ru/?utm_source=startpage03&utm_content=3fd806602ee2ffa4a37593b90364b636
DefaultPrefix-x32: => http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=a43efd07d8803db2c6dfa408be94504b&text= <==== ATTENTION
FF NewTab: https://ru.search.yahoo.com/?fr=vmn&type=vmn__webcompa__1_0__ya__hp_WCYID10099_swoc_campaign_150603__yaff
FF Homepage: hxxp://yatvyati.ru/?utm_source=startpage03&utm_content=3fd806602ee2ffa4a37593b90364b636
FF Extension: NetFilterPRO - C:\Users\админ111\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2015-05-29]
FF HKLM\...\Firefox\Extensions: [jid1-n5ARdBzHkUEdAA@jetpack] - C:\Users\админ111\AppData\Roaming\Mozilla\Extensions\jid1-n5ARdBzHkUEdAA@jetpack
FF Extension: SuperMegaBest.com - C:\Users\админ111\AppData\Roaming\Mozilla\Extensions\jid1-n5ARdBzHkUEdAA@jetpack [2015-05-04]
FF HKLM-x32\...\Firefox\Extensions: [jid1-n5ARdBzHkUEdAA@jetpack] - C:\Users\админ111\AppData\Roaming\Mozilla\Extensions\jid1-n5ARdBzHkUEdAA@jetpack
CHR Extension: (SuperMegaBest.com) - C:\Users\админ111\AppData\Local\Google\Chrome\User Data\Default\Extensions\aonedlchkbicmhepimiahfalheedjgbh [2015-06-27]
CHR Extension: (No Name) - C:\Users\админ111\AppData\Local\Google\Chrome\User Data\Default\Extensions\plmlpbcjkpppncefeoongifnpinjmegf [2015-05-29]
CHR HKLM-x32\...\Chrome\Extension: [aonedlchkbicmhepimiahfalheedjgbh] - https://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [cncgohepihcekklokhbhiblhfcmipbdh] - http://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [gehngeifmelphpllncobkmimphfkckne] - http://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [ilamgbdaebkbpkkmfmmfbnaamkhijdek] - https://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [mfmjpfoggikolkfilofbpgcnhdcgahib] - https://clients2.google.com/service/update2/crx
OPR Extension: (NetFilterPRO) - C:\Users\админ111\AppData\Roaming\Opera Software\Opera Stable\Extensions\plmlpbcjkpppncefeoongifnpinjmegf [2015-05-28]
2015-07-07 21:16 - 2015-07-07 21:32 - 00000000 ____D C:\Program Files (x86)\Kinoroom Browser
2015-07-07 21:16 - 2015-07-07 21:17 - 00001980 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Kinoroom Browser.lnk
2015-07-07 21:16 - 2015-07-07 21:17 - 00000000 ____D C:\Users\Все пользователи\KRB Updater Utility
2015-07-07 21:16 - 2015-07-07 21:17 - 00000000 ____D C:\ProgramData\KRB Updater Utility
2015-07-07 21:13 - 2015-07-07 21:15 - 00000000 ____D C:\Program Files (x86)\skinapp
2015-07-07 21:13 - 2015-07-07 21:13 - 00000000 ____D C:\Users\админ111\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\skinapp
2015-07-07 21:11 - 2015-07-07 23:01 - 00000000 ____D C:\Users\админ111\AppData\Local\SystemDir
2015-06-27 16:01 - 2015-06-27 16:06 - 00000000 ____D C:\Users\админ111\AppData\Roaming\eTranslator
2015-06-27 15:57 - 2015-06-27 15:57 - 00000000 ____D C:\Users\админ111\AppData\Local\Вoйти в Интeрнет
2015-06-27 15:50 - 2015-06-27 15:50 - 00000000 ____D C:\Users\админ111\AppData\Local\Поиcк в Интeрнете
2015-06-27 15:47 - 2015-06-27 15:47 - 00000000 ____D C:\Users\админ111\AppData\Roaming\MailProducts
2015-05-23 12:35 - 2015-05-23 12:35 - 0000006 _____ () C:\Users\админ111\AppData\Roaming\smw_inst
2015-05-01 22:14 - 2015-05-01 22:14 - 0333506 _____ (AnySend.com) C:\Users\админ111\AppData\Local\nsdEC55.tmp
Task: {0065C7A0-92F4-4AEE-8CCF-877CD7C89756} - \nethost task No Task File <==== ATTENTION
Task: {1AF8B63D-6A65-4679-89B8-D662C3082638} - System32\Tasks\Driver Booster SkipUAC (админ111) => C:\Program Files (x86)\IObit\Driver Booster\DriverBooster.exe
Task: {24C557DB-93C6-43AC-8A67-8FB3B7C49C47} - \chrome5 No Task File <==== ATTENTION
Task: {52AF34F2-E4E7-42D5-BC1D-83A8938804E1} - System32\Tasks\KRB Updater Utility => C:\ProgramData\KRB Updater Utility\krbupdater-utility.exe [2015-05-17] ()
Task: {5ECAAB8C-006C-4DFB-BA71-C194A4289401} - System32\Tasks\avastBCLRestart_chrome.exe => Chrome.exe
Task: {75B99A7B-F83D-449E-967F-60518002DA79} - \SuperClick Auto Updater 1.10.0.16 Pending Update No Task File <==== ATTENTION
Task: {7723DE64-8A80-4CE7-8C38-4111ACDC377A} - \chrome5_logon No Task File <==== ATTENTION
Task: {84CFD9A0-917E-4D0B-A083-7F017C27F671} - \SuperClick Auto Updater 1.10.0.16 Core No Task File <==== ATTENTION
ShortcutWithArgument: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome\Google Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) -> "hxxp://yandex.ru"
ShortcutWithArgument: C:\Users\админ111\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) -> "hxxp://yandex.ru"
ShortcutWithArgument: C:\Users\админ111\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) -> "hxxp://yandex.ru"
ShortcutWithArgument: C:\Users\Все пользователи\Microsoft\Windows\Start Menu\Programs\Google Chrome\Google Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) -> "hxxp://yandex.ru"
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Kinoroom Browser.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Обнови Софт
C:\Users\админ111\AppData\Roaming\Microsoft\Windows\SendTo\AnySend.lnk
C:\Users\админ111\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk
EmptyTemp:
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. [U]При сохранении выберите кодировку [B]Юникод[/B]![/U]
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
Сделайте лог [URL="http://dragokas.com/tools/CheckBrowsersLNK_dbg.zip"]Check Browsers' LNK by Dragokas & regist[/URL], упакуйте в архив и прикрепите к сообщению.
Где именно находятся папки, "превратившиеся" в ярлыки?
Логи прикрепляю. Если честно, этот компьютер заразил этим другой, а конкретно на нём такие проблемы на выявляются. Просто я не знал как обозначить проблему, вот и написал о беде, которая от него исходит
Скачайте, распакуйте и запустите [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиту ClearLNK[/url]. Скопируйте текст ниже в окно утилиты и нажмите "[B]Лечить[/B]".[CODE]>>> "C:\Users\админ111\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\ImplicitAppShortcuts\48499db33039e897\Пользователь*1 - Chrome.lnk" -> ["C:\Program Files (x86)\Google\Chrome\Application\chrome.exe" =>> --profile-directory="Profile 4"]
>>> [RO][MASK] "C:\Users\админ111\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Оpеrа.lnk" -> ["C:\opera.bat" =>> "hxxp://searchrap.ru" ]
>>> [modified][RO][MASK] "C:\Users\админ111\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Gооglе Сhrоmе.lnk" -> ["C:\Program Files (x86)\Google\chrome.bat" =>> "hxxp://searchrap.ru" ]
>>> [modified][MASK] "C:\Users\админ111\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Lаunсh Intеrnеt Ехplоrеr Вrоwsеr.lnk" -> ["C:\iexplore.bat" =>> "hxxp://searchrap.ru" ]
>>> [modified][RO][MASK] "C:\Users\админ111\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Gооglе Сhrоmе.lnk" -> ["C:\Program Files (x86)\Google\chrome.bat" =>> "hxxp://searchrap.ru" ]
>>> [modified][MASK] "C:\Users\админ111\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Gооglе Сhrоmе.lnk" -> ["C:\Program Files (x86)\Google\chrome.bat" =>> "hxxp://searchrap.ru" ]
>>> [modified][RO][MASK] "C:\Users\админ111\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Intеrnеt Ехplоrеr (Nо Аdd-оns).lnk" -> ["C:\iexplore.bat" =>> "hxxp://searchrap.ru" ]
!!! [MASK] "C:\Users\админ111\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.ico" (32038 байт) (MD5: F45E88EB759D99DBFC282F419BF67C97)
- "C:\Users\админ111\Favorites\Links\Интернет.url" -> hxxp://yatvyati.ru/?utm_source=favorites03&utm_content=e7c3ad12ce03ec9d3766a6cb522e9d73[/CODE]
Отчёт о работе прикрепите.
Сообщите, что с проблемами.
Спасибо. Вроде бы всё в порядке. Проблем не наблюдается. Основная проблема остаётся на другом компьютере. Как всё завершится, с меня донат
Удалите папку C:\FRST со всем содержимым.
Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].