Стали сами устанавливаться программы и браузеры! [not-a-virus:RiskTool.Python.Miner.b ]

Printable View

15.09.2015, 13:53
Никита Мишуков

Стали сами устанавливаться программы и браузеры! [not-a-virus:RiskTool.Python.Miner.b ]

Стали сами устанавливаться программы, браузеры. В браузерах появилось море рекламы. В мозилле вместо поискового запроса появляются вопросительные знаки. Некоторые ярлыки на рабочем столе сменили иконки на стандартные. Делал полную проверку антивирусом Аваст. Было найдено около 50+ угроз. Почистил все программы через панель управления, но на следующий день все повторилось. Пожалуйста, помогите!
15.09.2015, 13:55
Info_bot

Уважаемый(ая) [B]Никита Мишуков[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
15.09.2015, 13:57
mrak74

[URL="http://virusinfo.info/content.php?r=136-pravila"][B]Правила оформления запроса о помощи[/B][/URL]

[URL="http://virusinfo.info/showthread.php?t=121951"][B]Как оформить заявку в разделе "Помогите!"[/B][/URL]

[URL="http://virusinfo.info/content.php?r=136-pravila"] [B]Правила[/B] [/URL] [QUOTE][B]4.[/B] Создайте новую тему в разделе Помогите с кратким описанием проблемы в заголовке и подробным описанием в сообщении; вложите в сообщение файлы логов, полученных в процессе диагностики (AVZ - [B]virusinfo_syscure.zip[/B], AVZ - [B]virusinfo_syscheck.zip[/B], HJT - [B]hijackthis.log[/B])[/QUOTE]
15.09.2015, 19:11
Никита Мишуков

Вложений: 2

Пункт 1 я не выполнял, так как система 64 бит
16.09.2015, 08:38
mrak74

Здравствуйте !!!

[URL="http://virusinfo.info/showthread.php?t=130828"]отключите антивирусную программу [/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"][B]Выполните скрипт в AVZ[/B]:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\programdata\hwdsmanproh\wdsmanpro.exe');
TerminateProcessByName('c:\program files (x86)\sfk\ssfk.exe');
TerminateProcessByName('C:\Program Files (x86)\SFK\SFKEX64.exe');
TerminateProcessByName('c:\program files (x86)\gamexpservice\gamexpsvc.exe');
StopService('WdsManPro');
StopService('SSFK');
QuarantineFile('C:\Users\Dima\AppData\Roaming\ufMFMs7HGPS4T3jNU8oQ.exe','');
QuarantineFile('C:\Users\Dima\AppData\Roaming\ARzH9YcCI7WcntrZA1RVkj.exe','');
QuarantineFile('C:\Windows\system32\drivers\wsafd_1_10_0_19.sys','');
QuarantineFile('C:\Program Files (x86)\32444335-1442136823-4B34-4C33-80C16E5C829B\knst7DAC.tmp','');
QuarantineFile('C:\Program Files (x86)\32444335-1442136823-4B34-4C33-80C16E5C829B\jnso989B.tmp','');
QuarantineFile('C:\Program Files (x86)\32444335-1442136823-4B34-4C33-80C16E5C829B\hnsyB1D7.tmp','');
QuarantineFile('c:\programdata\hwdsmanproh\wdsmanpro.exe','');
QuarantineFile('c:\program files (x86)\sfk\ssfk.exe','');
QuarantineFile('C:\Program Files (x86)\SFK\SFKEX64.exe','');
QuarantineFile('c:\program files (x86)\gamexpservice\gamexpsvc.exe','');
DeleteFile('C:\Users\Dima\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Одноклассники.lnk');
DeleteFile('C:\Users\Dima\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Коmеtа.lnk');
DeleteFile('C:\Users\Dima\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Вконтакте.lnk');
DeleteFile('C:\Users\Dima\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Амиго.lnk');
DeleteFile('C:\Program Files (x86)\SFK\SFKEX64.exe','32');
DeleteFile('C:\Program Files (x86)\SFK\SSFK.exe','32');
DeleteFile('C:\ProgramData\HWdsManProH\WdsManPro.exe','32');
DeleteFile('C:\Program Files (x86)\globalUpdate\Update\globalupdate.exe','32');
DeleteFile('C:\Program Files (x86)\32444335-1442136823-4B34-4C33-80C16E5C829B\hnsyB1D7.tmp','32');
DeleteFile('C:\Program Files (x86)\32444335-1442136823-4B34-4C33-80C16E5C829B\jnso989B.tmp','32');
DeleteFile('C:\Program Files (x86)\32444335-1442136823-4B34-4C33-80C16E5C829B\knst7DAC.tmp','32');
DeleteFile('C:\Windows\system32\drivers\wsafd_1_10_0_19.sys','32');
DeleteFile('C:\Users\Dima\AppData\Local\Amigo\Application\amigo.exe','32');
DeleteFile('C:\Users\Dima\AppData\Roaming\daemon.exe','32');
DeleteFile('C:\Program Files (x86)\gmsd_ru_005010086\gmsd_ru_005010086.exe','32');
DeleteFile('C:\Users\Dima\AppData\Local\Kometa\Application\kometa.exe','32');
DeleteFile('C:\Users\Dima\AppData\Local\Amigo\Application\vk.exe','32');
DeleteFile('C:\Users\Dima\AppData\Local\Kometa\Application\kometa.bat','32');
DeleteFile('C:\Users\Dima\AppData\Local\Amigo\Application\ok.exe','32');
DeleteFile('C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe','32');
DeleteFile('C:\Windows\Tasks\APSnotifierPP1.job','32');
DeleteFile('C:\Windows\Tasks\APSnotifierPP2.job','32');
DeleteFile('C:\Windows\Tasks\APSnotifierPP3.job','32');
DeleteFile('C:\Users\Dima\AppData\Roaming\ARzH9YcCI7WcntrZA1RVkj.exe','32');
DeleteFile('C:\Windows\Tasks\ARzH9YcCI7WcntrZA1RVkj.job','32');
DeleteFile('C:\Program Files (x86)\CiPlus-4.5vV14.09\ed6a7513-1494-41cb-a12c-eae1559d75b9-1-6.exe','32');
DeleteFile('C:\Windows\Tasks\ed6a7513-1494-41cb-a12c-eae1559d75b9-1-6.job','32');
DeleteFile('C:\Program Files (x86)\CiPlus-4.5vV14.09\ed6a7513-1494-41cb-a12c-eae1559d75b9-1-7.exe','32');
DeleteFile('C:\Windows\Tasks\ed6a7513-1494-41cb-a12c-eae1559d75b9-1-7.job','32');
DeleteFile('C:\Program Files (x86)\CiPlus-4.5vV14.09\ed6a7513-1494-41cb-a12c-eae1559d75b9-10.exe','32');
DeleteFile('C:\Windows\Tasks\ed6a7513-1494-41cb-a12c-eae1559d75b9-10_user.job','32');
DeleteFile('C:\Program Files (x86)\CiPlus-4.5vV14.09\ed6a7513-1494-41cb-a12c-eae1559d75b9-11.exe','32');
DeleteFile('C:\Windows\Tasks\ed6a7513-1494-41cb-a12c-eae1559d75b9-11.job','32');
DeleteFile('C:\Program Files (x86)\CiPlus-4.5vV14.09\ed6a7513-1494-41cb-a12c-eae1559d75b9-3.exe','32');
DeleteFile('C:\Windows\Tasks\ed6a7513-1494-41cb-a12c-eae1559d75b9-3.job','32');
DeleteFile('C:\Program Files (x86)\CiPlus-4.5vV14.09\ed6a7513-1494-41cb-a12c-eae1559d75b9-4.exe','32');
DeleteFile('C:\Windows\Tasks\ed6a7513-1494-41cb-a12c-eae1559d75b9-4.job','32');
DeleteFile('C:\Program Files (x86)\CiPlus-4.5vV14.09\ed6a7513-1494-41cb-a12c-eae1559d75b9-5.exe','32');
DeleteFile('C:\Windows\Tasks\ed6a7513-1494-41cb-a12c-eae1559d75b9-5.job','32');
DeleteFile('C:\Windows\Tasks\ed6a7513-1494-41cb-a12c-eae1559d75b9-5_user.job','32');
DeleteFile('C:\Program Files (x86)\CiPlus-4.5vV14.09\ed6a7513-1494-41cb-a12c-eae1559d75b9-6.exe','32');
DeleteFile('C:\Windows\Tasks\ed6a7513-1494-41cb-a12c-eae1559d75b9-6.job','32');
DeleteFile('C:\Program Files (x86)\CiPlus-4.5vV14.09\ed6a7513-1494-41cb-a12c-eae1559d75b9-7.exe','32');
DeleteFile('C:\Windows\Tasks\ed6a7513-1494-41cb-a12c-eae1559d75b9-7.job','32');
DeleteFile('C:\Windows\Tasks\globalUpdateUpdateTaskMachineCore.job','32');
DeleteFile('C:\Windows\Tasks\globalUpdateUpdateTaskMachineUA.job','32');
DeleteFile('C:\Users\Dima\AppData\Roaming\ufMFMs7HGPS4T3jNU8oQ.exe','32');
DeleteFile('C:\Windows\Tasks\ufMFMs7HGPS4T3jNU8oQ.job','32');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP1','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP2','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP3','64');
DeleteFile('C:\Windows\system32\Tasks\ARzH9YcCI7WcntrZA1RVkj','64');
DeleteFile('C:\Windows\system32\Tasks\ed6a7513-1494-41cb-a12c-eae1559d75b9-1-6','64');
DeleteFile('C:\Windows\system32\Tasks\ed6a7513-1494-41cb-a12c-eae1559d75b9-1-7','64');
DeleteFile('C:\Windows\system32\Tasks\ed6a7513-1494-41cb-a12c-eae1559d75b9-10_user','64');
DeleteFile('C:\Windows\system32\Tasks\ed6a7513-1494-41cb-a12c-eae1559d75b9-11','64');
DeleteFile('C:\Windows\system32\Tasks\ed6a7513-1494-41cb-a12c-eae1559d75b9-3','64');
DeleteFile('C:\Windows\system32\Tasks\ed6a7513-1494-41cb-a12c-eae1559d75b9-4','64');
DeleteFile('C:\Windows\system32\Tasks\ed6a7513-1494-41cb-a12c-eae1559d75b9-5','64');
DeleteFile('C:\Windows\system32\Tasks\ed6a7513-1494-41cb-a12c-eae1559d75b9-5_user','64');
DeleteFile('C:\Windows\system32\Tasks\ed6a7513-1494-41cb-a12c-eae1559d75b9-6','64');
DeleteFile('C:\Windows\system32\Tasks\ed6a7513-1494-41cb-a12c-eae1559d75b9-7','64');
DeleteFile('C:\Windows\system32\Tasks\globalUpdateUpdateTaskMachineCore','64');
DeleteFile('C:\Windows\system32\Tasks\globalUpdateUpdateTaskMachineUA','64');
DeleteFile('C:\Windows\system32\Tasks\ufMFMs7HGPS4T3jNU8oQ','64');
DelBHO('{D5FEC983-01DB-414a-9456-AF95AC9ED7B5}');
DelBHO('{0633EE93-D776-472f-A0FF-E1416B8B2E3D}');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Babakan','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\amigo','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Daemon','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\gmsd_ru_005010086','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\KometaAutoLaunch_654BA8B964942D6F97399186D89A2C99','command');
DeleteService('wsafd_1_10_0_19');
DeleteService('nokobuzo');
DeleteService('lehicewu');
DeleteService('gyvixodu');
DeleteService('globalUpdatem');
DeleteService('globalUpdate');
DeleteService('WdsManPro');
DeleteService('SSFK');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(4);
ExecuteWizard('SCU',2,2,true);
RebootWindows(true);
end.[/CODE]

После перезагрузки выполните скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Загрузите quarantine.zip из папки AVZ по красной ссылке [B]вверху[/B] темы [COLOR="Red"]Прислать запрошенный карантин[/COLOR]
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )

+
[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].
19.09.2015, 19:08
Никита Мишуков

Вложений: 3

Вот

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Упс, не тот лог прикрепил...Вот теперь то!
21.09.2015, 08:41
mrak74

[URL="http://virusinfo.info/showthread.php?t=7239"][B]Выполните скрипт в AVZ[/B]:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Windows\proxy.exe','');
DeleteFile('C:\Users\Dima\AppData\Local\Kometa\kometaup.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Babakan','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\kometaup','command');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки выполните скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Загрузите quarantine.zip из папки AVZ по красной ссылке [B]вверху[/B] темы [COLOR="Red"]Прислать запрошенный карантин[/COLOR]
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )

[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.
28.09.2015, 09:14
Никита Мишуков

Вложений: 4

Когда делал первую чистку в AdwCleaner выдало ошибку, но отчет сохранился. Вторая чистка прошла успешно. Прикрепил отчеты обоих очисток на всякий случай
28.09.2015, 10:01
mrak74

[URL="http://virusinfo.info/showthread.php?t=7239"][B]Выполните скрипт в AVZ[/B]:[/URL]
[CODE]begin
QuarantineFile('C:\Windows\proxy.exe','');
DeleteFile('C:\Windows\proxy.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Babakan','command');
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )
30.09.2015, 23:17
Никита Мишуков

Вложений: 2

Вот, пожалуйста
01.10.2015, 11:04
mrak74

Скопируйте следующий текст в Блокнот и сохраните, как [B]fix.reg[/B]:
[CODE]
Windows Registry Editor Version 5.00

[-HKEY_LOCAL_MACHINE, SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Babakan]
[/CODE]
запустите файл [B]fix.reg[/B] и согласитесь на внесение изменений в реестр.

- Откройте файл [URL="http://df.ru/~kad/ScanVuln.txt"][B]ScanVuln.txt[/B][/URL]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

Что с проблемой ?
19.10.2015, 10:06
Никита Мишуков

После выполнения скрипта не нашел avz_log.txt. Но AVZ после скрипта выдал, что ничего не найдено.
Это в принципе не важно, проблем больше никаких нет, ОГРОМНЕЙШЕЕ СПАСИБО за Вашу помощь!
19.10.2015, 11:13
mrak74

[URL="http://virusinfo.info/showthread.php?t=121902"][B]Советы и рекомендации после лечения компьютера[/B][/URL]
19.10.2015, 11:23
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files (x86)\sfk\sfkex64.exe - [B]not-a-virus:AdWare.Win64.MySearch.b[/B][*] c:\programdata\hwdsmanproh\wdsmanpro.exe - [B]not-a-virus:AdWare.Win32.ELEX.by[/B][*] c:\users\dima\appdata\roaming\arzh9ycci7wcntrza1rvkj.exe - [B]not-a-virus:WebToolbar.Win32.CroRi.glx[/B][*] c:\users\dima\appdata\roaming\ufmfms7hgps4t3jnu8oq.exe - [B]not-a-virus:WebToolbar.Win32.CroRi.fte[/B][*] c:\windows\proxy.exe - [B]not-a-virus:RiskTool.Python.Miner.b[/B] ( DrWEB: Tool.BtcMine.292 )[/LIST][/LIST]