Добрый день.
В google chrome появился новый поиск по умолчанию, который нельзя убрать. Разумеется, с рекламой.
До этого ежедневно в районе 12.00 самостоятельно скачивались и устанавливались различные программы.
Стандартный скрипт 3 из AVZ не выполняется до конца - проблему описал здесь [url]http://virusinfo.info/showthread.php?t=189493[/url]
Выполнил только стандартный скрипт 2.
Логи прикрепляю.
Спасибо.
Уважаемый(ая) [B]twentyseven[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Program Files (x86)\Visual Protect Service\VSProtector.exe','');
QuarantineFile('C:\Users\user\AppData\Local\Host installer\1112702626_monster.exe','');
QuarantineFile('C:\Users\user\AppData\Local\Yandex\YandexBrowser\Application\browser.bat','');
QuarantineFile('C:\Program Files (x86)\Internet Explorer\iexplore.bat','');
QuarantineFile('C:\Users\user\AppData\Local\Google\Chrome\Application\chrome.bat','');
QuarantineFile('C:\Users\user\AppData\Roaming\daemon.exe','');
QuarantineFile('C:\Users\user\AppData\Local\Temp\WIZZ\ioproduct_service.bat','');
SetServiceStart('nujesecu', 4);
DeleteService('nujesecu');
QuarantineFile('C:\WINDOWS\system32\drivers\wsafd_1_10_0_19.sys','');
TerminateProcessByName('c:\program files (x86)\ef4ea946-1441123191-e011-b70f-b870f49a9141\knszaec.tmpfs');
QuarantineFile('c:\program files (x86)\ef4ea946-1441123191-e011-b70f-b870f49a9141\knszaec.tmpfs','');
DeleteFile('c:\program files (x86)\ef4ea946-1441123191-e011-b70f-b870f49a9141\knszaec.tmpfs','32');
DeleteFile('C:\WINDOWS\system32\drivers\wsafd_1_10_0_19.sys','32');
DeleteFile('C:\Users\user\AppData\Local\Temp\WIZZ\ioproduct_service.bat','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','IOPROTECT');
DeleteFile('C:\Users\user\AppData\Roaming\daemon.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Daemon');
DeleteFile('C:\Users\user\AppData\Local\Google\Chrome\Application\chrome.bat','32');
DeleteFile('C:\Program Files (x86)\Internet Explorer\iexplore.bat','32');
DeleteFile('C:\Users\user\AppData\Local\Yandex\YandexBrowser\Application\browser.bat','32');
DeleteFile('C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe','32');
DeleteFile('C:\WINDOWS\Tasks\APSnotifierPP1.job','32');
DeleteFile('C:\WINDOWS\Tasks\APSnotifierPP2.job','32');
DeleteFile('C:\WINDOWS\Tasks\APSnotifierPP3.job','32');
DeleteFile('C:\WINDOWS\system32\Tasks\APSnotifierPP1','64');
DeleteFile('C:\WINDOWS\system32\Tasks\APSnotifierPP2','64');
DeleteFile('C:\WINDOWS\system32\Tasks\APSnotifierPP3','64');
DeleteFile('C:\Users\user\AppData\Local\Host installer\1112702626_monster.exe','32');
DeleteFile('C:\WINDOWS\system32\Tasks\Soft installer','64');
DeleteFile('C:\Program Files (x86)\Visual Protect Service\VSProtector.exe','32');
DeleteFile('C:\WINDOWS\system32\Tasks\VSProtector','64');
DeleteFile('C:\WINDOWS\system32\Tasks\WordSurfer Auto Updater 1.10.0.19 Core','64');
DeleteFile('C:\WINDOWS\system32\Tasks\WordSurfer Auto Updater 1.10.0.19 Pending Update','64');
DeleteFile('C:\Program Files (x86)\WordSurfer_1.10.0.19\Update\WordSurferAutoUpdateClient.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.
Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] в Вашей теме.
Сделайте лог [url="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]CheckBrowsers' Lnk[/url]
[B][COLOR="Red"]Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи[/COLOR][/B]
Все сделал кроме стандартного скрипта №3 (снова не удалось, симптомы те же).
Проблема осталась.
Карантин прислал.
Новые логи прикрепляю.
Добрый день.
Будут ли еще рекомендации?
[quote="twentyseven;1312294"]кроме стандартного скрипта №3 (снова не удалось, симптомы те же).[/quote]
потому что на x64 системах скрипт №3 запускать не надо. Цитата из правил сбора логов
[QUOTE][COLOR="#FF0000"]Если у Вас 64-разрядная или серверная операционная система, выполнять п.1 данного раздела не следует. Переходите сразу к п.2.[/COLOR][/QUOTE]
- Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.
- выполните такой скрипт в AVZ
[code]
begin
ClearQuarantine;
QuarantineFile('C:\ProgramData\BlueStacks\UserData\Library\My Apps\YouTube.lnk','');
QuarantineFile('C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Яндекс.Диск\Яндекс.Диск.lnk','');
QuarantineFile('C:\Users\user\Desktop\Хлам с рабочего стола\Моzillа Firеfох.lnk','');
QuarantineFile('C:\Users\user\Desktop\Хлам с рабочего стола\Оpеrа.lnk','');
QuarantineFile('C:\Users\user\Desktop\Хлам с рабочего стола\Яндекс.Диск.lnk','');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Моzillа Firеfох.lnk','');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Оpеrа 31.lnk','');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Оpеrа.lnk','');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Яндекс\Punto Switcher\Puntо Switсhеr.lnk','');
QuarantineFile('C:\ProgramData\BlueStacks\UserData\Library\App Stores\1Mobile Market.lnk','');
QuarantineFile('C:\ProgramData\BlueStacks\UserData\Library\My Apps\2048.lnk','');
QuarantineFile('C:\ProgramData\BlueStacks\UserData\Library\My Apps\ES Проводник.lnk','');
QuarantineFile('C:\ProgramData\BlueStacks\UserData\Library\My Apps\Help.lnk','');
QuarantineFile('C:\ProgramData\BlueStacks\UserData\Library\My Apps\Skype.lnk','');
QuarantineFile('C:\ProgramData\BlueStacks\UserData\Library\My Apps\Моя Югра.lnk','');
QuarantineFile('C:\Users\user\Desktop\Хлам с рабочего стола\Тhе Witсhеr 2 Аssаssins оf Кings.lnk','');
QuarantineFile('C:\Users\user\Desktop\Хлам с рабочего стола\Тhе Witсhеr Gоld Еditiоn.lnk','');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\R.G. Gamblers\the witcher 2\Тhе Witсhеr 2 Аssаssins оf Кings.lnk','');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\R.G. Games\Dragon Age Inquisition\Запустить Inquisitiоn.lnk','');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Яндекс\Punto Switcher\Дневник.lnk','');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Яндекс\Punto Switcher\Настройка раскладок.lnk','');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Яндекс\Punto Switcher\Новые возможности.lnk','');
QuarantineFile('C:\PROGRA~2\Yandex\PUNTOS~1\" "C:\PROGRA~2\Yandex\PUNTOS~1\WELCOM~1.URL','');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Яндекс\Punto Switcher\Справка.lnk','');
QuarantineFile('C:\Users\user\AppData\Roaming\Yandex\YandexDisk\YandexDiskStarter.bat','');
QuarantineFile('C:\Program Files (x86)\Mozilla Firefox\firefox.bat','');
QuarantineFile('C:\Program Files (x86)\Opera\opera.bat','');
QuarantineFile('C:\Users\user\AppData\Roaming\Yandex\YandexDisk\YaDesktopStarter.bat','');
QuarantineFile('C:\Program Files (x86)\Opera\launcher.bat','');
QuarantineFile('C:\Program Files (x86)\Yandex\Punto Switcher\punto.bat','');
QuarantineFile('C:\Program Files (x86)\R.G. Gamblers\the witcher 2\Launcher.bat','');
QuarantineFile('C:\Program Files (x86)\The Witcher Gold Edition\launcher.bat','');
QuarantineFile('C:\Program Files\R.G. Games\Dragon Age Inquisition\Launcher.bat','');
QuarantineFile('C:\Program Files (x86)\Yandex\Punto Switcher\diary.bat','');
QuarantineFile('C:\Program Files (x86)\Yandex\Punto Switcher\layouts.bat','');
QuarantineFile('C:\Program Files (x86)\Yandex\Punto Switcher\WelcomeToPunto.bat','');
QuarantineFile('C:\Program Files (x86)\Yandex\Punto Switcher\ps.bat','');
DeleteFile('C:\Users\user\AppData\Roaming\Yandex\YandexDisk\YandexDiskStarter.bat','');
DeleteFile('C:\Program Files (x86)\Mozilla Firefox\firefox.bat','');
DeleteFile('C:\Program Files (x86)\Opera\opera.bat','');
DeleteFile('C:\Users\user\AppData\Roaming\Yandex\YandexDisk\YaDesktopStarter.bat','');
DeleteFile('C:\Program Files (x86)\Opera\launcher.bat','');
DeleteFile('C:\Program Files (x86)\Yandex\Punto Switcher\punto.bat','');
DeleteFile('C:\Program Files (x86)\R.G. Gamblers\the witcher 2\Launcher.bat','');
DeleteFile('C:\Program Files (x86)\The Witcher Gold Edition\launcher.bat','');
DeleteFile('C:\Program Files\R.G. Games\Dragon Age Inquisition\Launcher.bat','');
DeleteFile('C:\Program Files (x86)\Yandex\Punto Switcher\diary.bat','');
DeleteFile('C:\Program Files (x86)\Yandex\Punto Switcher\layouts.bat','');
DeleteFile('C:\Program Files (x86)\Yandex\Punto Switcher\WelcomeToPunto.bat','');
DeleteFile('C:\Program Files (x86)\Yandex\Punto Switcher\ps.bat','');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
[/code]
- Файл [B][color=RED]quarantine.zip[/color][/B] из папки AVZ загрузите по ссылке [B][color=RED]Прислать запрошенный карантин[/color][/B] вверху темы.
- Исправьте с помощью [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиты ClearLNK[/url] следующие ярлыки, отчёт о работе прикрепите:
- сделайте лог [URL="http://dragokas.com/tools/CheckBrowsersLNK_dbg.zip"]Check Browsers' LNK by Dragokas & regist[/URL] (скачайте утилиту заново по моей ссылке). Заархивируйте его и прикрепите к сообщению.
Ссылка по скрипту №8 [url]http://virusinfo.info/virusdetector/report.php?md5=0648ED368D5D3B2CA20F09CDEC91BBB6[/url]
[QUOTE=regist;1313406]Исправьте с помощью [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиты ClearLNK[/url] следующие ярлыки[/QUOTE]
Какие именно?
Лог Check Browsers прикрепить не могу - весит 1682кб
[quote="twentyseven;1313418"]Какие именно?[/quote]
извините, не тот шаблон вставил
- Перетащите лог Check_Browsers_LNK.log на [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиту ClearLNK[/url]. Отчёт о работе прикрепите.
[quote="twentyseven;1313418"]Лог Check Browsers прикрепить не могу - весит 1682кб[/quote]написано же
[quote="regist;1313406"][B]Заархивируйте его[/B] и прикрепите к сообщению.[/quote]
Простите)
Итак,
Ссылка по скрипту - [url]http://virusinfo.info/virusdetector/report.php?md5=0648ED368D5D3B2CA20F09CDEC91BBB6[/url]
Карантин прислал
Файлы прикрепляю
[LIST][*]Скачайте [B][URL="https://toolslib.net/downloads/viewdownload/1-adwcleaner/"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
Прикрепляю
Pokki и VOPackage деинсталируйте.
[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR] (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]).[*]В меню [b]Настройки[/b] отметьте:
[list][*]Сброс политик IE[*]Сброс политик Chrome[/list][*]Нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]), а по окончанию сканирования нажмите кнопку [B]"Cleaning"[/B] ([B]"Очистка"[/B]) и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[C1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].
Теперь все вроде бы ок.
Большое спасибо!
Свежий лог AdwCleaner-а сделайте.
Прикрепляю
Содержимое папки
[CODE]C:\ProgramData\{2ACB8283-3DA0-4D9A-8EC6-CE39EEA98C97}[/CODE]
посмотрите и сообщите, что там.
[LIST][*]Пожалуйста, запустите adwcleaner.exe[*]Нажмите [B]Uninstall[/B] ([B]Удалить[/B]).[*]Подтвердите удаление нажав кнопку: Да.[/LIST]
Посмотрел - ничего там не было.
После удаления в AdwCleaner папка исчезла.
Лог прикрепляю
AdwCleaner - деинсталируйте, инструкция в предыдущем посте.
Выполните скрипт в AVZ при наличии доступа в интернет:
[CODE]var
LogPath : string;
ScriptPath : string;
begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.
[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]
Деинсталлировал.
AVZ уязвимостей не нашел.
Большое спасибо
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]32[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files (x86)\internet explorer\iexplore.bat - [B]not-a-virus:AdWare.BAT.Clicker.af[/B][*] c:\program files (x86)\mozilla firefox\firefox.bat - [B]not-a-virus:AdWare.BAT.Clicker.af[/B][*] c:\program files (x86)\opera\launcher.bat - [B]not-a-virus:AdWare.BAT.Clicker.af[/B][*] c:\program files (x86)\opera\opera.bat - [B]not-a-virus:AdWare.BAT.Clicker.af[/B][*] c:\program files (x86)\r.g. gamblers\the witcher 2\launcher.bat - [B]not-a-virus:AdWare.BAT.Clicker.af[/B][*] c:\program files (x86)\the witcher gold edition\launcher.bat - [B]not-a-virus:AdWare.BAT.Clicker.af[/B][*] c:\program files (x86)\yandex\punto switcher\diary.bat - [B]not-a-virus:AdWare.BAT.Clicker.af[/B][*] c:\program files (x86)\yandex\punto switcher\layouts.bat - [B]not-a-virus:AdWare.BAT.Clicker.af[/B][*] c:\program files (x86)\yandex\punto switcher\ps.bat - [B]not-a-virus:AdWare.BAT.Clicker.af[/B][*] c:\program files (x86)\yandex\punto switcher\punto.bat - [B]not-a-virus:AdWare.BAT.Clicker.af[/B][*] c:\program files (x86)\yandex\punto switcher\welcometopunto.bat - [B]not-a-virus:AdWare.BAT.Clicker.af[/B][*] c:\program files\r.g. games\dragon age inquisition\launcher.bat - [B]not-a-virus:AdWare.BAT.Clicker.af[/B][*] c:\users\user\appdata\local\yandex\yandexbrowser\application\browser.bat - [B]not-a-virus:AdWare.BAT.Clicker.af[/B][*] c:\users\user\appdata\roaming\yandex\yandexdisk\yadesktopstarter.bat - [B]not-a-virus:AdWare.BAT.Clicker.af[/B][*] c:\users\user\appdata\roaming\yandex\yandexdisk\yandexdiskstarter.bat - [B]not-a-virus:AdWare.BAT.Clicker.af[/B][/LIST][/LIST]