Вирус [not-a-virus:AdWare.Win32.SearchProtect.tb, not-a-virus:AdWare.Win32.ELEX.bc ]

Printable View

08.07.2015, 12:13
Сергей Язев

Вложений: 3

Вирус [not-a-virus:AdWare.Win32.SearchProtect.tb, not-a-virus:AdWare.Win32.ELEX.bc ]

Здравствуйте
Такая ситуация, искал программу, скачал ее, установка не запускалась, но появились сторонние ненужные мне программы, некоторые удалил без проблем, но остались такие, после удаления которых через некоторое время они без моего ведома устанавливаются обратно:? (к примеру, Any Protect, Search Protect, istartsurf и Games Desktop). Сделал все, что было написано в инструкциях, файлы логов прикрепил
08.07.2015, 12:16
Info_bot

Уважаемый(ая) [B]Сергей Язев[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
08.07.2015, 12:52
Nikkollo

Запускайте HijackThis правой кнопкой мыши - "Запуск от имени Администратора".
Пофиксите в HijackThis только указанные строки [URL="http://virusinfo.info/showthread.php?t=4491"](как пофиксить)[/URL]:
[CODE]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.mystartsearch.com/?type=hp&ts=1436340996&z=733508d39a4d5517a7a345dg5z7c5q0c6z1ectat4b&from=cmi&uid=ST500LT012-1DG142_S3P44RHKXXXXS3P44RHK
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.istartsurf.com/web/?type=ds&ts=1436300170&z=21e223b3f0c97db3c281da1g7zccaefozzjcktmlma&from=face&uid=ST500LT012-1DG142_S3P44RHKXXXXS3P44RHK&q={searchTerms}
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.mystartsearch.com/?type=hp&ts=1436340996&z=733508d39a4d5517a7a345dg5z7c5q0c6z1ectat4b&from=cmi&uid=ST500LT012-1DG142_S3P44RHKXXXXS3P44RHK
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.mystartsearch.com/?type=hp&ts=1436340996&z=733508d39a4d5517a7a345dg5z7c5q0c6z1ectat4b&from=cmi&uid=ST500LT012-1DG142_S3P44RHKXXXXS3P44RHK
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.mystartsearch.com/web/?type=ds&ts=1436340996&z=733508d39a4d5517a7a345dg5z7c5q0c6z1ectat4b&from=cmi&uid=ST500LT012-1DG142_S3P44RHKXXXXS3P44RHK&q={searchTerms}
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.mystartsearch.com/web/?type=ds&ts=1436340996&z=733508d39a4d5517a7a345dg5z7c5q0c6z1ectat4b&from=cmi&uid=ST500LT012-1DG142_S3P44RHKXXXXS3P44RHK&q={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.mystartsearch.com/?type=hp&ts=1436340996&z=733508d39a4d5517a7a345dg5z7c5q0c6z1ectat4b&from=cmi&uid=ST500LT012-1DG142_S3P44RHKXXXXS3P44RHK
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.mystartsearch.com/web/?type=ds&ts=1436340996&z=733508d39a4d5517a7a345dg5z7c5q0c6z1ectat4b&from=cmi&uid=ST500LT012-1DG142_S3P44RHKXXXXS3P44RHK&q={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.mystartsearch.com/web/?type=ds&ts=1436340996&z=733508d39a4d5517a7a345dg5z7c5q0c6z1ectat4b&from=cmi&uid=ST500LT012-1DG142_S3P44RHKXXXXS3P44RHK&q={searchTerms}
O13 - DefaultPrefix: http://spacesearch.ru/?ri=1&rsid=2b7bdd180e109768bc3ea7fbadd9b8d0&q=

[/CODE]

Запускайте AVZ правой кнопкой мыши - "Запуск от имени Администратора".
Выполните скрипт в AVZ [URL="http://virusinfo.info/showthread.php?t=7239"](как выполнить)[/URL]:
[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ClearQuarantine;
QuarantineFile('C:\Program Files\miuitab\suptab.dll','');
QuarantineFile('C:\Program Files\miuitab\protectservice.exe','');
QuarantineFile('C:\Program Files\miuitab\iewatchdog.dll','');
QuarantineFile('C:\Program Files\miuitab\hpnotify.exe','');
QuarantineFile('C:\Program Files\miuitab\cmdshell.exe','');
QuarantineFile('C:\Program Files\miuitab\browerwatchch.dll','');
QuarantineFile('C:\Program Files\anyprotectex\anyprotect.exe','');
QuarantineFile('C:\Users\Ольга\appdata\local\smartweb\swhk.dll','');
QuarantineFile('C:\Users\Ольга\appdata\local\smartweb\smartwebhelper.exe','');
QuarantineFile('C:\Users\Ольга\appdata\local\smartweb\smartwebapp.exe','');
QuarantineFile('C:\Users\Ольга\AppData\Roaming\istartsurf\UninstallManager.exe','');
QuarantineFile('C:\Users\Ольга\AppData\Roaming\mystartsearch\UninstallManager.exe','');
QuarantineFile('C:\Program Files\AnyProtectEx\AnyProtect.exe','');
DelBHO('{51D26BB4-4D2C-4AE4-9873-5FF41B6DED1F}');
QuarantineFile('C:\iexplore.bat','');
QuarantineFile('C:\Users\Ольга\AppData\Local\gmsd_ru_005010024\upgmsd_ru_005010024.exe','');
QuarantineFile('C:\Users\Ольга\AppData\Local\SmartWeb\SmartWebHelper.exe','');
QuarantineFile('C:\Program Files\gmsd_ru_005010024\gmsd_ru_005010024.exe','');
QuarantineFile('C:\Users\Ольга\AppData\Roaming\96A880E6-1436255791-7564-BE68-E03F49A4E90E\jnshA5B0.tmp','');
QuarantineFile('C:\ProgramData\WindowsMangerProtect\ProtectWindowsManager.exe','');
QuarantineFile('C:\Users\Ольга\AppData\Roaming\96A880E6-1436255791-7564-BE68-E03F49A4E90E\hnssC553.tmp','');
QuarantineFile('C:\Users\Ольга\AppData\Roaming\96A880E6-1436255791-7564-BE68-E03F49A4E90E\knss83C9.tmpfs','');
QuarantineFile('C:\Program Files\MiuiTab\ProtectService.exe','');
QuarantineFile('C:\Users\Ольга\AppData\Local\SmartWeb\swhk.dll','');
QuarantineFile('C:\Program Files\MiuiTab\SupTab.dll','');
QuarantineFile('C:\Program Files\MiuiTab\IeWatchDog.dll','');
QuarantineFile('C:\Program Files\MiuiTab\BrowerWatchCH.dll','');
QuarantineFile('c:\users\Ольга\appdata\local\gmsd_ru_005010024\upgmsd_ru_005010024.exe','');
TerminateProcessByName('c:\users\Ольга\appdata\local\gmsd_ru_005010024\upgmsd_ru_005010024.exe');
QuarantineFile('c:\users\Ольга\appdata\local\smartweb\smartwebhelper.exe','');
TerminateProcessByName('c:\users\Ольга\appdata\local\smartweb\smartwebhelper.exe');
QuarantineFile('c:\users\Ольга\appdata\local\smartweb\smartwebapp.exe','');
TerminateProcessByName('c:\users\Ольга\appdata\local\smartweb\smartwebapp.exe');
QuarantineFile('c:\programdata\windowsmangerprotect\protectwindowsmanager.exe','');
TerminateProcessByName('c:\programdata\windowsmangerprotect\protectwindowsmanager.exe');
QuarantineFile('c:\program files\miuitab\protectservice.exe','');
TerminateProcessByName('c:\program files\miuitab\protectservice.exe');
QuarantineFile('c:\users\Ольга\appdata\roaming\96a880e6-1436255791-7564-be68-e03f49a4e90e\knss83c9.tmpfs','');
TerminateProcessByName('c:\users\Ольга\appdata\roaming\96a880e6-1436255791-7564-be68-e03f49a4e90e\knss83c9.tmpfs');
QuarantineFile('c:\users\Ольга\appdata\roaming\96a880e6-1436255791-7564-be68-e03f49a4e90e\jnsha5b0.tmp','');
TerminateProcessByName('c:\users\Ольга\appdata\roaming\96a880e6-1436255791-7564-be68-e03f49a4e90e\jnsha5b0.tmp');
QuarantineFile('c:\program files\miuitab\hpnotify.exe','');
TerminateProcessByName('c:\program files\miuitab\hpnotify.exe');
QuarantineFile('c:\users\Ольга\appdata\roaming\96a880e6-1436255791-7564-be68-e03f49a4e90e\hnssc553.tmp','');
TerminateProcessByName('c:\users\Ольга\appdata\roaming\96a880e6-1436255791-7564-be68-e03f49a4e90e\hnssc553.tmp');
QuarantineFile('c:\program files\gmsd_ru_005010024\gmsd_ru_005010024.exe','');
TerminateProcessByName('c:\program files\gmsd_ru_005010024\gmsd_ru_005010024.exe');
QuarantineFile('c:\users\Ольга\appdata\local\yandex\yandexbrowser\application\42.0.2311.4209\crash_service.exe','');
TerminateProcessByName('c:\users\Ольга\appdata\local\yandex\yandexbrowser\application\42.0.2311.4209\crash_service.exe');
QuarantineFile('c:\program files\miuitab\cmdshell.exe','');
TerminateProcessByName('c:\program files\miuitab\cmdshell.exe');
DeleteFile('c:\program files\miuitab\cmdshell.exe','32');
DeleteFile('c:\users\Ольга\appdata\local\yandex\yandexbrowser\application\42.0.2311.4209\crash_service.exe','32');
DeleteFile('c:\program files\gmsd_ru_005010024\gmsd_ru_005010024.exe','32');
DeleteFile('c:\users\Ольга\appdata\roaming\96a880e6-1436255791-7564-be68-e03f49a4e90e\hnssc553.tmp','32');
DeleteFile('c:\program files\miuitab\hpnotify.exe','32');
DeleteFile('c:\users\Ольга\appdata\roaming\96a880e6-1436255791-7564-be68-e03f49a4e90e\jnsha5b0.tmp','32');
DeleteFile('c:\users\Ольга\appdata\roaming\96a880e6-1436255791-7564-be68-e03f49a4e90e\knss83c9.tmpfs','32');
DeleteFile('c:\program files\miuitab\protectservice.exe','32');
DeleteFile('c:\programdata\windowsmangerprotect\protectwindowsmanager.exe','32');
DeleteFile('c:\users\Ольга\appdata\local\smartweb\smartwebapp.exe','32');
DeleteFile('c:\users\Ольга\appdata\local\smartweb\smartwebhelper.exe','32');
DeleteFile('c:\users\Ольга\appdata\local\gmsd_ru_005010024\upgmsd_ru_005010024.exe','32');
DeleteFile('C:\Program Files\MiuiTab\BrowerWatchCH.dll','32');
DeleteFile('C:\Program Files\MiuiTab\IeWatchDog.dll','32');
DeleteFile('C:\Program Files\MiuiTab\SupTab.dll','32');
DeleteFile('C:\Users\Ольга\AppData\Local\SmartWeb\swhk.dll','32');
DeleteFile('C:\Program Files\MiuiTab\ProtectService.exe','32');
BC_DeleteSvc('IHProtect Service');
DeleteFile('C:\Users\Ольга\AppData\Roaming\96A880E6-1436255791-7564-BE68-E03F49A4E90E\knss83C9.tmpfs','32');
BC_DeleteSvc('pykosumu');
DeleteFile('C:\Users\Ольга\AppData\Roaming\96A880E6-1436255791-7564-BE68-E03F49A4E90E\hnssC553.tmp','32');
BC_DeleteSvc('vicoqudu');
DeleteFile('C:\ProgramData\WindowsMangerProtect\ProtectWindowsManager.exe','32');
BC_DeleteSvc('WindowsMangerProtect');
DeleteFile('C:\Users\Ольга\AppData\Roaming\96A880E6-1436255791-7564-BE68-E03F49A4E90E\jnshA5B0.tmp','32');
BC_DeleteSvc('zejytose');
DeleteFile('C:\Program Files\gmsd_ru_005010024\gmsd_ru_005010024.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','gmsd_ru_005010024');
DeleteFile('C:\Users\Ольга\AppData\Local\SmartWeb\SmartWebHelper.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','SmartWeb');
DeleteFile('C:\Users\Ольга\AppData\Local\gmsd_ru_005010024\upgmsd_ru_005010024.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','upgmsd_ru_005010024.exe');
DeleteFile('C:\iexplore.bat','32');
DeleteFile('C:\Program Files\AnyProtectEx\AnyProtect.exe','32');
DeleteFile('C:\Windows\Tasks\APSnotifierPP1.job','32');
DeleteFile('C:\Windows\Tasks\APSnotifierPP2.job','32');
DeleteFile('C:\Windows\Tasks\APSnotifierPP3.job','32');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP1','32');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP2','32');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP3','32');
DeleteFile('C:\Windows\system32\Tasks\SmartWeb Upgrade Trigger Task','32');
DeleteFile('C:\Users\Ольга\AppData\Roaming\mystartsearch\UninstallManager.exe','32');
DeleteFile('C:\Windows\system32\Tasks\{9F0CBD58-4E7F-4406-AB9C-36E92275E653}','32');
DeleteFile('C:\Users\Ольга\AppData\Roaming\istartsurf\UninstallManager.exe','32');
DeleteFile('C:\Windows\system32\Tasks\{EDA6E77E-6A19-4807-8956-9D93E9BAF7FB}','32');
DeleteFile('C:\Users\Ольга\appdata\local\smartweb\smartwebapp.exe','32');
DeleteFile('C:\Users\Ольга\appdata\local\smartweb\smartwebhelper.exe','32');
DeleteFile('C:\Users\Ольга\appdata\local\smartweb\swhk.dll','32');
DeleteFile('C:\Program Files\anyprotectex\anyprotect.exe','32');
DeleteFile('C:\Program Files\miuitab\browerwatchch.dll','32');
DeleteFile('C:\Program Files\miuitab\cmdshell.exe','32');
DeleteFile('C:\Program Files\miuitab\hpnotify.exe','32');
DeleteFile('C:\Program Files\miuitab\iewatchdog.dll','32');
DeleteFile('C:\Program Files\miuitab\protectservice.exe','32');
DeleteFile('C:\Program Files\miuitab\suptab.dll','32');
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
ExecuteWizard('SCU',2,2,true);
BC_Activate;
RebootWindows(true);
end.

[/CODE]
Компьютер перезагрузится.

После перезагрузки выполните скрипт в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
[/CODE]
Загрузите quarantine.zip из папки AVZ по красной ссылке "Прислать запрошенный карантин" в шапке этой темы.

Сделайте заново лог virusinfo_syscheck.zip и лог HijackThis (пункты 2 и 3 раздела "Диагностика" [URL="http://virusinfo.info/pravila.html"]правил[/URL]) и приложите в теме.

Подготовьте лог AdwCleaner
[url]http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844[/url]
и приложите его в теме.

Сделайте лог [URL="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]CheckBrowserLnk[/URL]
и приложите в теме.
08.07.2015, 14:43
Сергей Язев

Вложений: 4

Пожалуйста
08.07.2015, 20:11
Nikkollo

Запускайте HijackThis правой кнопкой мыши - "Запуск от имени Администратора".
Пофиксите в HijackThis только указанные строки [URL="http://virusinfo.info/showthread.php?t=4491"](как пофиксить)[/URL]:
[CODE]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.mystartsearch.com/?type=hppp&ts=1436341006&z=de5f1c0e1c45c7b0eeb8894g4z3c6q7cbzeg7e2ebb&from=cmi&uid=ST500LT012-1DG142_S3P44RHKXXXXS3P44RHK
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.mystartsearch.com/?type=hppp&ts=1436341006&z=de5f1c0e1c45c7b0eeb8894g4z3c6q7cbzeg7e2ebb&from=cmi&uid=ST500LT012-1DG142_S3P44RHKXXXXS3P44RHK
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.mystartsearch.com/?type=hppp&ts=1436341006&z=de5f1c0e1c45c7b0eeb8894g4z3c6q7cbzeg7e2ebb&from=cmi&uid=ST500LT012-1DG142_S3P44RHKXXXXS3P44RHK
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.mystartsearch.com/?type=hppp&ts=1436341006&z=de5f1c0e1c45c7b0eeb8894g4z3c6q7cbzeg7e2ebb&from=cmi&uid=ST500LT012-1DG142_S3P44RHKXXXXS3P44RHK
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.mystartsearch.com/web/?type=dspp&ts=1436341006&z=de5f1c0e1c45c7b0eeb8894g4z3c6q7cbzeg7e2ebb&from=cmi&uid=ST500LT012-1DG142_S3P44RHKXXXXS3P44RHK&q={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.mystartsearch.com/web/?type=dspp&ts=1436341006&z=de5f1c0e1c45c7b0eeb8894g4z3c6q7cbzeg7e2ebb&from=cmi&uid=ST500LT012-1DG142_S3P44RHKXXXXS3P44RHK&q={searchTerms}

[/CODE]

Удалите все найденное в AdwCleaner.
Как удалить:
[url]http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864[/url]

Скачайте на рабочий стол эту [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиту[/url].
Перетащите на нее мышью лог CheckBrowserLnk.log.

Сделайте заново лог HijackThis (пункт 3 раздела "Диагностика" [URL="http://virusinfo.info/pravila.html"]правил[/URL]) и приложите в теме.

Сделайте заново лог AdwCleaner
[url]http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844[/url]
и приложите его в теме.
09.07.2015, 00:51
Сергей Язев

Вложений: 2

Вот
09.07.2015, 13:46
Nikkollo

Что с проблемой?
09.07.2015, 13:56
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]94[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files\anyprotectex\anyprotect.exe - [B]not-a-virus:AdWare.Win32.Agent.hpxh[/B][*] c:\program files\gmsd_ru_005010024\gmsd_ru_005010024.exe - [B]not-a-virus:HEUR:AdWare.Win32.Generic[/B][*] c:\program files\miuitab\browerwatchch.dll - [B]not-a-virus:AdWare.Win32.ELEX.ah[/B] ( DrWEB: Adware.Mutabaha.119 )[*] c:\program files\miuitab\cmdshell.exe - [B]not-a-virus:AdWare.Win32.SearchProtect.ti[/B][*] c:\program files\miuitab\hpnotify.exe - [B]not-a-virus:AdWare.Win32.SearchProtect.tb[/B][*] c:\program files\miuitab\iewatchdog.dll - [B]not-a-virus:AdWare.Win32.ELEX.bd[/B] ( DrWEB: Adware.Mutabaha.120 )[*] c:\program files\miuitab\protectservice.exe - [B]not-a-virus:AdWare.Win32.ELEX.be[/B][*] c:\program files\miuitab\suptab.dll - [B]not-a-virus:AdWare.Win32.SubTab.j[/B][*] c:\programdata\windowsmangerprotect\protectwindowsmanager.exe - [B]not-a-virus:AdWare.Win32.WProtManager.bj[/B][*] c:\users\ольга\appdata\local\smartweb\smartwebapp.exe - [B]not-a-virus:AdWare.Win32.PriceGong.a[/B] ( DrWEB: Adware.Shopper.845 )[*] c:\users\ольга\appdata\local\smartweb\smartwebhelper.exe - [B]not-a-virus:AdWare.Win32.PriceGong.a[/B] ( DrWEB: Adware.Shopper.845 )[*] c:\users\ольга\appdata\local\smartweb\swhk.dll - [B]not-a-virus:AdWare.Win32.PriceGong.a[/B] ( DrWEB: Adware.Shopper.845 )[*] c:\users\ольга\appdata\roaming\mystartsearch\uninstallmanager.exe - [B]not-a-virus:AdWare.Win32.ELEX.bc[/B][*] c:\users\ольга\appdata\roaming\96a880e6-1436255791-7564-be68-e03f49a4e90e\hnssc553.tmp - [B]not-a-virus:AdWare.Win32.Vopak.ast[/B][*] c:\users\ольга\appdata\roaming\96a880e6-1436255791-7564-be68-e03f49a4e90e\jnsha5b0.tmp - [B]not-a-virus:AdWare.Win32.ConvertAd.awz[/B] ( AVAST4: Win32:Rootkit-gen [Rtk] )[/LIST][/LIST]