Установилась целая пачка мусорного софта. Появились баннеры в браузерах. Не создаются ярлыки браузеров. [not-a-virus:AdWare.Win32.ICLoader.iut ]

Здравствуйте.
Искал в интеренете достаточно редкий драйвер, вроде как нашел...запустил скаченный exe-файл, и тут все и случилось.
Вместо желаемой установки драйвера - В процессе инсталяции стало что-то невообразимое твориться с ярлыками и панелью быстрого запуска - стали добавляться и сортироваться ярлыки, добавилось куча ярлыков на какие-то игровые сайты, самопроизвольно установилось несколько программ (какая-то "защита компьютера", какой-то "супер анинсталятор", ну и просто ярлыки на какие-то паршивые сайты. ) Причем, инсталяция "драйвера" так и не закончилась, она продолжала идти с компом продолжалось твориться невообразимое.
Я понял, что дело плохо, как смог быстро открыл диспетчер задач и прибил все процессы, показавшимися мне незнакомыми.
Потом полез на сайт drweb и скачал оттуда cureit. Пока скачивал, обнаружил, что в браузерах во-первых показывается всплывающая реклама, в-вторых, везде страницей по умолчанию встал какой-то сайта "pagego" или как-то там похоже назывался.
Запустил cureit, он нашел штук 20 зараженных файлов, я удалил их нафиг. Потом браузерах удалил запуск этих самых страниц. В хроме и мозилле - навсякий случай отключил/удалил все расширения, установленные к ним. (там тоже оказалось много новопоявившейся жути ). Потом запустил msconfig, из автозагрузки поубирал запуск спонтанно установившегося софта, который и туда тоже прописался.
Удалил установленные вместе с "драйвером" программы и их файлы.
Скрипя сердцем отправил комп в перезагрузку...
Перезагрузился.

Вроде комп работает, но видно, что не вся зараза убралась - есть проблемы с запуском браузеров.
Почему-то они не запускаются с ярлыков, где бы я их не создавал - например, при запуске с ярлыка Хрома выдается вот такое сообщение:

[QUOTE]Объект "exe.emorch.bat", на который ссылается этот ярлык, изменен или перемещен, и ярлык больше не работает.[/QUOTE]
При создании ярлыка для мозиллы выдается аналогичное сообщение, но название указывается "exe.xoferif.bat".

Если же браузер запустить не через ярлык, а напрямую запуском исполняемого файла, то тогда запускается нормально.

Посмотрите, пожалуйста. Логи сделал и приложил, как написано в инструкции. Спасибо!

Уважаемый(ая) [B]dreamer0x01[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Поэкспериментировал сегодня еще. Ярлыки не создаются только для браузеров, которые были открыты в момент заражения - то есть Хром и Мозила.
IE и Opera открываются нормально..
Надеюсь, это уточнение чем-то поможет.

Заранее спасибо!

Скажите, есть ли какая-нибудь надежда на выздоровление?
Или ситуация совсем фиговая....?

Здравствуйте !!!

[URL="http://virusinfo.info/showthread.php?t=130828"]отключите антивирусную программу [/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"][B]Выполните скрипт в AVZ[/B]:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Users\Dreamer\AppData\Local\WireframeSketcher\plugins\org.eclipse.gef_3.9.100.201408150207.jar','');
QuarantineFile('C:\Program Files\CMS3.0\bin\SDK\JOVSDK\JOVSDK.dll','');
QuarantineFile('C:\Program Files\Gretchko\PTP\uninstall.exe','');
QuarantineFile('C:\Users\Dreamer\AppData\Local\Hostinstaller\4071173247_installcube.exe','');
QuarantineFile('C:\Users\Dreamer\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Lаunch Intеrnеt Eхplorеr Вrowsеr.lnk','');
QuarantineFile('C:\Users\Dreamer\AppData\Roaming\Browsers\exe.erolpxei.bat','');
DeleteFile('C:\Users\Dreamer\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Lаunch Intеrnеt Eхplorеr Вrowsеr.lnk');
DeleteFile('C:\Users\Dreamer\AppData\Roaming\Browsers\exe.erolpxei.bat','32');
DeleteFile('C:\Users\Dreamer\AppData\Roaming\DIGITA~1\UPDATE~1\UPDATE~1.EXE','32');
DeleteFile('C:\Windows\system32\Tasks\Digital Sites','32');
DeleteFile('C:\Windows\Tasks\Digital Sites.job','32');
DelBHO('{8984B388-A5BB-4DF7-B274-77B879E179DB}');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(3);
ExecuteRepair(13);
RebootWindows(true);
end.[/CODE]

После перезагрузки выполните скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Загрузите quarantine.zip из папки AVZ по красной ссылке [B]вверху[/B] темы [COLOR="Red"]Прислать запрошенный карантин[/COLOR]
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )

+
[LIST=1][*]Скачайте [url=http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk]CheckBrowserLnk[/url] и сохраните архив с утилитой на [b]Рабочем столе[/b][*]Распакуйте архив с утилитой в отдельную папку[*]Запустите [b]checkbrowserslnk.exe[/b][INDENT][SIZE="1"][B]Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [b]Windows XP[/b] так и есть. В [b]Windows Vista[/b] и [b]Windows 7[/b] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [b]Запуск от имени Администратора[/b], при необходимости укажите пароль администратора и нажмите [b]Да[/b][/SIZE][/INDENT][*]После окончания работы программы в папке [b]Log[/b] будет сохранен отчет [b]CheckBrowserLnk.log[/b][*]Прикрепите этот отчет в вашей теме.[/LIST]

Большое вам спасибо за отклик!

Сделал. Карантин отправил через форму, открывающуюся по красной ссылке вверху темы.
Остальные файлы прикладываю с этим сообщением.

[list][*]Скачайте [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]ClearLNK[/url] и сохраните архив с утилитой на рабочем столе.[*]Распакуйте архив с утилитой в отдельную папку.[*]Перенесите [B]Check_Browsers_LNK.log[/B] на ClearLNK как показано на рисунке

[img]http://dragokas.com/tools/move.gif[/img]
[*]Отчет о работе [b]ClearLNK-<Дата>.log[/b] будет сохранен в папке [b]LOG[/b].[*]Прикрепите этот отчет к своему следующему сообщению.[/list]

Сделал. Отчет во вложении.

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что под окном [b]Optional Scan[/b] отмечены [i]"List BCD"[/i], [i]"Driver MD5"[/i] и [i]"90 Days Files"[/i].[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]http://i.imgur.com/3munStB.png[/img]

Сделал. Ярлыки браузеров, кстати, уже создаются нормально.

[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

[CODE]CreateRestorePoint:
CloseProcesses:
HKLM\...\Run: [] => [X]
HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\Run: [AdobeBridge] => [X]
HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\MountPoints2: {09da8e6a-17df-11e2-91b0-0c6076e45b44} - F:\AutoRun.exe
HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\MountPoints2: {09da8e7d-17df-11e2-91b0-0c6076e45b44} - F:\AutoRun.exe
HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\MountPoints2: {0b34e264-e607-11e1-aed9-0c6076e45b44} - F:\AutoRun.exe
HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\MountPoints2: {0b34e27b-e607-11e1-aed9-0c6076e45b44} - F:\AutoRun.exe
HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\MountPoints2: {0ded4e68-7ffb-11e1-9a8f-0c6076e45b44} - F:\AutoRun.exe
HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\MountPoints2: {0ded4e6d-7ffb-11e1-9a8f-0c6076e45b44} - H:\AutoRun.exe
HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\MountPoints2: {446aa16d-3310-11e5-b13f-0c6076e45b44} - F:\AutoRun.exe
HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\MountPoints2: {54030b40-386a-11e1-8fb4-806e6f6e6963} - G:\AUTORUN.EXE
HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\MountPoints2: {60664621-283c-11e2-9bdc-001e101f82a0} - F:\AutoRun.exe
HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\MountPoints2: {7e3f588c-e609-11e1-9727-0c6076e45b44} - F:\AutoRun.exe
HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\MountPoints2: {8aa91b54-9ff4-11e1-9f9f-0c6076e45b44} - F:\AutoRun.exe
HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\MountPoints2: {8aa91b57-9ff4-11e1-9f9f-0c6076e45b44} - F:\AutoRun.exe
HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\MountPoints2: {ad3a23cb-7fb2-11e1-b45e-0c6076e45b44} - F:\AutoInstall.exe
HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\MountPoints2: {cb863a6a-8017-11e1-82d7-0c6076e45b44} - F:\AutoRun.exe
HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\MountPoints2: {cb863a6d-8017-11e1-82d7-0c6076e45b44} - F:\AutoRun.exe
HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\MountPoints2: {ed813526-1864-11e2-875b-001e101f21c1} - F:\AutoRun.exe
HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\MountPoints2: {f4ad50f0-38ae-11e2-9abb-00245416bb17} - F:\AutoRun.exe
HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...0c966feabec1\InprocServer32: [Default-shell32] ATTENTION! ====> ZeroAccess?
ShellIconOverlayIdentifiers: [GDriveSharedOverlay] -> {81539FE6-33C7-4CE7-90C7-1C7B8F2F2D44} => No File
SearchScopes: HKU\S-1-5-21-2877184984-2730117990-1089718700-1000 -> {E88E0043-C9D4-4e33-8555-FEE4F5B63060} URL = hxxp://go.mail.ru/search?q={searchTerms}&utf8in=1&fr=ietb
SearchScopes: HKU\S-1-5-21-2877184984-2730117990-1089718700-1000 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/search?utf8in=1&fr=ietb&q={SearchTerms}
BHO: ExplorerWnd Helper -> {10921475-03CE-4E04-90CE-E2E7EF20C814} -> C:\Program Files\IObit\IObit Uninstaller\UninstallExplorer32.dll => No File
BHO: AVG Safe Search -> {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} -> C:\Program Files\AVG\AVG2012\avgssie.dll => No File
Toolbar: HKU\S-1-5-21-2877184984-2730117990-1089718700-1000 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} - No File
FF DefaultSearchUrl: hxxp://go.mail.ru/search?fr=fftb&utf8in&q=
CHR Plugin: (Native Client) - C:\Users\Dreamer\AppData\Local\Google\Chrome\Application\46.0.2490.71\ppGoogleNaClPluginChrome.dll => No File
CHR Plugin: (Chrome PDF Viewer) - C:\Users\Dreamer\AppData\Local\Google\Chrome\Application\46.0.2490.71\pdf.dll => No File
CHR Plugin: (Shockwave Flash) - C:\Users\Dreamer\AppData\Local\Google\Chrome\Application\46.0.2490.71\gcswf32.dll => No File
CHR Plugin: (Shockwave Flash) - C:\Windows\system32\Macromed\Flash\NPSWF32.dll => No File
CHR Plugin: (MetaProducts NPAPI plugin) - C:\Users\Dreamer\AppData\Local\Google\Chrome\User Data\Default\Extensions\pkijdmeepjhpenmighhaodgfoogncnlk\1.1.1_0\plugin/mpoe.dll => No File
CHR Plugin: (AVG Internet Security) - C:\Users\Dreamer\AppData\Local\Google\Chrome\User Data\Default\Extensions\jmfkcklnlgedgbglfkkgedjfmejoahla\12.0.0.1901_0\plugins/avgnpss.dll => No File
CHR Plugin: (Adobe Acrobat) - C:\Program Files\Adobe\Reader 10.0\Reader\Browser\nppdf32.dll => No File
CHR Plugin: (Google Update) - C:\Users\Dreamer\AppData\Local\Google\Update\1.3.21.111\npGoogleUpdate3.dll => No File
Task: {CE5C1025-005A-4522-B521-A3D183D37BF9} - System32\Tasks\Express Files Updater => C:\Program Files\ExpressFiles\EFupdater.exe <==== ATTENTION
EmptyTemp:[/CODE][*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]

Сделал.

Проблемы решены ?

Кстати. Я нашел у себя тот самый файлик "инсталятора драйвера", при запуске которого произошло заражение - лежит в корзине.
Если нужен, могу запаковать под паролем и прислать для изучения.

[quote="dreamer0x01;1324075"]Если нужен, могу запаковать под паролем и прислать для изучения.[/quote]
В zip архив с паролем [B]virus[/B] пришлите по красной ссылке [B]вверху[/B] темы [COLOR="Red"]Прислать запрошенный карантин[/COLOR]. Спасибо !!!

А с проблемой то что ?

[QUOTE=mrak74;1324070]Проблемы решены ?[/QUOTE]
Да! Стало лучше еще после вашего сообщения 10:56, но опасался, что где-то еще осталось, поэтому дожидался окончания "процедур".

Большущее вам спасибо! Очень выручили. Уже было отчаялся и собрался винт переформатить и весь софт переставить... А тут Вы пришли и помогли. Успехов вам в вашем непростом деле и отличного настроения!

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[QUOTE]В zip архив с паролем virus пришлите по красной ссылке вверху темы Прислать запрошенный карантин.[/QUOTE]
Отправил. Надеюсь, поможет в лечении других случаев и в обновлении баз.

Еще раз большое спасибо вам.

[URL="http://virusinfo.info/showthread.php?t=121902"][B]Советы и рекомендации после лечения компьютера[/B][/URL]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]19[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\dreamer\appdata\roaming\browsers\exe.erolpxei.bat - [B]Trojan.BAT.StartPage.nu[/B] ( DrWEB: BAT.Hosts.147 )[*] \driversetup_2015.exe - [B]not-a-virus:AdWare.Win32.ICLoader.iut[/B] ( AVAST4: Win32:Adware-gen [Adw] )[/LIST][/LIST]