Самостятельно устанавливается множество программ, при каждом запуске системы, реклама в браузерах [not-a-virus:RiskTool.Win32.NetFilter.al, not-a-virus:AdWare.Win32.VisualProtect.h ]

Printable View

26.09.2015, 07:03
mainka16

Вложений: 2

Самостятельно устанавливается множество программ, при каждом запуске системы, реклама в браузерах [not-a-virus:RiskTool.Win32.NetFilter.al, not-a-virus:AdWare.Win32.VisualProtect.h ]

Здравствуйте!
23.09. При загрузке и запуске файла с непроверенного сайта начали происходить неведомые вещи: Установилось много программ, Гугл Хром подменился другим браузером, стали открываться левые вкладки в т.ч. вулкан, появилась реклама в браузере, закрывающая 50% экрана, предлагают установиться другие программы с окнами на английском, даже зная язык можно нажать "не туда".
Я установила Dr.Web CureIt, найдено около 30 вредоносных программ, были обезврежены не с первого раза. С помощью утилиты Unіnstall Tool обнаружила и удалила больше 10 программ(не помню точно, была на панике). Но при каждом запуске системы все возобновляется:(
Нашла ваш форум, очень надеюсь на помощь!
Антивируса нет, только стандартный брендмауэр от Windows 10, не знаю, нужно ли было отключать его при запуске?
*После проверки в avz4 получился один архив , а не два - в папке LOG архив virusinfo_syscheck.zip(в нем два файла avz_sysinfo.htm и avz_sysinfo.xml) и не в архиве virusinfo_syscheck.xml и virusinfo_syscheck.htm, может у меня какой-то сбой, я при раза проделала все по инструкции - результат один:( что делать с этими двумя файлами - как прикрепить?
26.09.2015, 07:04
Info_bot

Уважаемый(ая) [B]mainka16[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
26.09.2015, 16:43
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\WINDOWS\system32\VSProtectProxy.dll','');
QuarantineFile('C:\Users\home\AppData\Local\SystemDir\nethost.exe','');
QuarantineFile('C:\Users\home\AppData\Roaming\9zEvWAunIWzXm7psZQGXwFLHefy.exe','');
QuarantineFile('C:\Program Files (x86)\CiPlus-4.5vV21.09\08c62819-465d-418d-8059-025e4a0c90e7-1-6.exe','');
QuarantineFile('C:\WINDOWS\system32\drivers\wwfd_vw_1_10_0_24.sys','');
SetServiceStart('wwfd_vw_1_10_0_24', 4);
DeleteService('wwfd_vw_1_10_0_24');
QuarantineFile('C:\Program Files (x86)\FastoPlayer\VSUpdater.exe','');
DeleteService('VSUpdater');
SetServiceStart('VSProtectProxy', 4);
DeleteService('VSProtectProxy');
SetServiceStart('ridulige', 4);
DeleteService('ridulige');
TerminateProcessByName('c:\program files (x86)\visual protect service\vsprotectproxy.exe');
QuarantineFile('c:\program files (x86)\visual protect service\vsprotectproxy.exe','');
TerminateProcessByName('c:\program files (x86)\visual protect service\vsprotector.exe');
QuarantineFile('c:\program files (x86)\visual protect service\vsprotector.exe','');
TerminateProcessByName('c:\users\home\appdata\local\temp\e592a50d-87a9-437f-9f9b-31aa642d3a9bmp\qqbrowser.exe');
QuarantineFile('c:\users\home\appdata\local\temp\e592a50d-87a9-437f-9f9b-31aa642d3a9bmp\qqbrowser.exe','');
TerminateProcessByName('c:\users\home\appdata\local\temp\nsvf319.tmp');
QuarantineFile('c:\users\home\appdata\local\temp\nsvf319.tmp','');
TerminateProcessByName('c:\users\home\appdata\local\temp\nsgabe6.tmp');
QuarantineFile('c:\users\home\appdata\local\temp\nsgabe6.tmp','');
TerminateProcessByName('c:\program files (x86)\b5d915b2-1442897260-e011-81b4-b870f4dc8737\knsp61ca.tmp');
QuarantineFile('c:\program files (x86)\b5d915b2-1442897260-e011-81b4-b870f4dc8737\knsp61ca.tmp','');
DeleteFile('c:\program files (x86)\b5d915b2-1442897260-e011-81b4-b870f4dc8737\knsp61ca.tmp','32');
DeleteFile('c:\users\home\appdata\local\temp\nsgabe6.tmp','32');
DeleteFile('c:\users\home\appdata\local\temp\nsvf319.tmp','32');
DeleteFile('c:\users\home\appdata\local\temp\e592a50d-87a9-437f-9f9b-31aa642d3a9bmp\qqbrowser.exe','32');
DeleteFile('c:\program files (x86)\visual protect service\vsprotector.exe','32');
DeleteFile('c:\program files (x86)\visual protect service\vsprotectproxy.exe','32');
DeleteFile('C:\Program Files (x86)\FastoPlayer\VSUpdater.exe','32');
DeleteFile('C:\WINDOWS\system32\drivers\wwfd_vw_1_10_0_24.sys','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','nnthvjfovb');
DeleteFile('C:\Program Files (x86)\CiPlus-4.5vV21.09\08c62819-465d-418d-8059-025e4a0c90e7-1-6.exe','32');
DeleteFile('C:\WINDOWS\Tasks\08c62819-465d-418d-8059-025e4a0c90e7-1-6.job','32');
DeleteFile('C:\Program Files (x86)\CiPlus-4.5vV21.09\08c62819-465d-418d-8059-025e4a0c90e7-1-7.exe','32');
DeleteFile('C:\WINDOWS\Tasks\08c62819-465d-418d-8059-025e4a0c90e7-1-7.job','32');
DeleteFile('C:\Program Files (x86)\CiPlus-4.5vV21.09\08c62819-465d-418d-8059-025e4a0c90e7-10.exe','32');
DeleteFile('C:\Program Files (x86)\CiPlus-4.5vV21.09\08c62819-465d-418d-8059-025e4a0c90e7-13.exe','32');
DeleteFile('C:\WINDOWS\Tasks\08c62819-465d-418d-8059-025e4a0c90e7-13.job','32');
DeleteFile('C:\WINDOWS\Tasks\08c62819-465d-418d-8059-025e4a0c90e7-10_user.job','32');
DeleteFile('C:\Program Files (x86)\CiPlus-4.5vV21.09\08c62819-465d-418d-8059-025e4a0c90e7-14.exe','32');
DeleteFile('C:\WINDOWS\Tasks\08c62819-465d-418d-8059-025e4a0c90e7-14.job','32');
DeleteFile('C:\Program Files (x86)\CiPlus-4.5vV21.09\08c62819-465d-418d-8059-025e4a0c90e7-3.exe','32');
DeleteFile('C:\WINDOWS\Tasks\08c62819-465d-418d-8059-025e4a0c90e7-3.job','32');
DeleteFile('C:\Program Files (x86)\CiPlus-4.5vV21.09\08c62819-465d-418d-8059-025e4a0c90e7-5.exe','32');
DeleteFile('C:\Program Files (x86)\CiPlus-4.5vV21.09\08c62819-465d-418d-8059-025e4a0c90e7-6.exe','32');
DeleteFile('C:\Program Files (x86)\CiPlus-4.5vV21.09\08c62819-465d-418d-8059-025e4a0c90e7-7.exe','32');
DeleteFile('C:\Users\home\AppData\Roaming\9zEvWAunIWzXm7psZQGXwFLHefy.exe','32');
DeleteFile('C:\WINDOWS\Tasks\9zEvWAunIWzXm7psZQGXwFLHefy.job','32');
DeleteFile('C:\WINDOWS\Tasks\08c62819-465d-418d-8059-025e4a0c90e7-7.job','32');
DeleteFile('C:\WINDOWS\Tasks\08c62819-465d-418d-8059-025e4a0c90e7-6.job','32');
DeleteFile('C:\WINDOWS\Tasks\08c62819-465d-418d-8059-025e4a0c90e7-5_user.job','32');
DeleteFile('C:\WINDOWS\Tasks\08c62819-465d-418d-8059-025e4a0c90e7-5.job','32');
DeleteFile('C:\Program Files (x86)\Crossbrowse\Crossbrowse\Application\utility.exe','32');
DeleteFile('C:\WINDOWS\Tasks\Crossbrowse.job','32');
DeleteFile('C:\WINDOWS\Tasks\globalUpdateUpdateTaskMachineCore.job','32');
DeleteFile('C:\WINDOWS\Tasks\globalUpdateUpdateTaskMachineUA.job','32');
DeleteFile('C:\Program Files (x86)\globalUpdate\Update\globalupdate.exe','32');
DeleteFile('C:\WINDOWS\system32\Tasks\08c62819-465d-418d-8059-025e4a0c90e7-1-6','64');
DeleteFile('C:\WINDOWS\system32\Tasks\08c62819-465d-418d-8059-025e4a0c90e7-1-7','64');
DeleteFile('C:\WINDOWS\system32\Tasks\08c62819-465d-418d-8059-025e4a0c90e7-3','64');
DeleteFile('C:\WINDOWS\system32\Tasks\08c62819-465d-418d-8059-025e4a0c90e7-5','64');
DeleteFile('C:\WINDOWS\system32\Tasks\08c62819-465d-418d-8059-025e4a0c90e7-6','64');
DeleteFile('C:\WINDOWS\system32\Tasks\08c62819-465d-418d-8059-025e4a0c90e7-7','64');
DeleteFile('C:\WINDOWS\system32\Tasks\Crossbrowse','64');
DeleteFile('C:\WINDOWS\system32\Tasks\globalUpdateUpdateTaskMachineCore','64');
DeleteFile('C:\WINDOWS\system32\Tasks\globalUpdateUpdateTaskMachineUA','64');
DeleteFile('C:\Users\home\AppData\Local\SystemDir\nethost.exe','32');
DeleteFile('C:\WINDOWS\system32\Tasks\nethost task','64');
DeleteFile('C:\WINDOWS\system32\Tasks\VSProtector','64');
DeleteFile('C:\WINDOWS\system32\Tasks\WordWizard Auto Updater 1.10.0.24 Core','64');
DeleteFile('C:\WINDOWS\system32\Tasks\WordWizard Auto Updater 1.10.0.24 Pending Update','64');
DeleteFile('C:\Program Files (x86)\WordWizard_1.10.0.24\Update\WordwizardAutoUpdateClient.exe','32');
DeleteFile('C:\WINDOWS\system32\VSProtectProxy.dll','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteREpair(15);
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] в Вашей теме.

[B][COLOR="Red"]Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи[/COLOR][/B]
29.09.2015, 10:38
mainka16

Вложений: 2

Карантин отправила.
Правила выполнять с проверки Dr.Web CureIt? на сей раз нашел 35 программ:(
В avz так же только один архив получается.
Вопрос - можно ли до ваших ответов предпринимать самостоятельные действия, такие как 1 - удаление обеспечения, которое брендмауэр помещает в карантин как особоопасное, 2 - удаление устанавливающихся каждый запуск программ в Unіnstall Tool? Или это может помешать?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

На диске С при поиске карантина обнаружила два относительно новых файла:
task Файл сценария VBScript (.vbs) приложение Microsoft ® Windows Based Script Host за 22 сентября, когда началась вся эта история
и user Файл JavaScript (.js) приложение Microsoft ® Windows Based Script Host за 29 сентября - сегодня
Временами всплывает окно "ошибка сценария", мне кажется файлы не очень хорошие, можно их удалить?:O
29.09.2015, 20:26
thyrex

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
01.10.2015, 22:46
mainka16

Вложений: 1

Ужас... 372 угрозы - это реально вылечить?
01.10.2015, 23:03
thyrex

Удалите в МВАМ все, [B]кроме[/B]
[CODE]PUP.RiskWare.Tool.CK, C:\Program Files\Adobe\Adobe Photoshop CS6 (64 Bit)\amtlib.dll, , [824693be05865ed8eb8f8424ed1522de],
PUP.RiskWare.Tool.CK, D:\dister\Adobe Photoshop CS6 13.0\adobe.photoshop.cs6-patch.exe, , [329665ec1a71d363deb31cacaf5212ee],
PUP.RiskWare.Tool.CK, D:\Марина флеш\УЧЕБА\Adobe Photoshop CS6 13.0\adobe.photoshop.cs6-patch.exe, , [cdfb08498a01f83e89087a4ef60bc23e], [/CODE]
02.10.2015, 08:58
mainka16

А если окно предыдущей проверки было закрыто? Нужно снова провести проверку и потом удалять?
02.10.2015, 18:48
thyrex

Да, повторный запуск на проверку
03.10.2015, 10:46
mainka16

[QUOTE=thyrex;1319274]Да, повторный запуск на проверку[/QUOTE]

Провела повторную проверку, просмотрела все найденное, почему-то там не было фотошопных файлов, которые не надо было удалять - очень странно, так-то все на месте осталось...

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Помогите!!! После удаления у меня отвалился интернет и самое главное - не работает программа Арзикад, в которой я работаю! Выдает ошибку "невозможно запустить межпроцессный коммуникационный сервис ArchiCAD". на форуме программы нашла, что у кого-то из-за McAfee это - брендмауэр заблокировал. Я сейчас вижу новый ярлык этой программы, но у меня ее не было и сейчас в программах и компонентах ее нет. Как решить проблему??? Логи не могу прикрепить опять же из-за отвалившегося интернета!!!
03.10.2015, 21:15
thyrex

Выполните скрипт в AVZ
[code]begin
ExecuteREpair(15);
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Интернет появился?
03.10.2015, 21:25
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files (x86)\fastoplayer\vsupdater.exe - [B]not-a-virus:AdWare.Win32.VisualProtect.h[/B] ( BitDefender: Gen:Trojan.Heur.JP.bT0@aGFquomi )[*] c:\program files (x86)\visual protect service\vsprotector.exe - [B]not-a-virus:AdWare.Win32.VisualProtect.a[/B] ( BitDefender: Gen:Backdoor.Heur.Shark.6G0@bmhh6oci )[*] c:\users\home\appdata\local\systemdir\nethost.exe - [B]not-a-virus:Downloader.Win32.Agent.ecrm[/B] ( AVAST4: Win32:Malware-gen )[*] c:\users\home\appdata\local\temp\nsgabe6.tmp - [B]not-a-virus:Downloader.Win32.AdLoad.rdrn[/B][*] c:\users\home\appdata\roaming\9zevwauniwzxm7pszqgxwflhefy.exe - [B]not-a-virus:WebToolbar.Win32.CroRi.fte[/B][*] c:\windows\system32\drivers\wwfd_vw_1_10_0_24.sys - [B]not-a-virus:RiskTool.Win32.NetFilter.al[/B][*] c:\windows\system32\vsprotectproxy.dll - [B]not-a-virus:AdWare.Win32.VisualProtect.l[/B][/LIST][/LIST]