Самоустановка различных программ

Printable View

27.10.2015, 15:21
PhiZiK

Вложений: 2

Самоустановка различных программ

Здравствуйте!
В системе устанавливаются самостоятельно различные программы, например CinemaPlus-3.2cV22.10, Gamesdesktop, globalUpdate, SFK и другие, название которых точно не вспомню (левый браузер, софт по очистке реестра, софт для защиты системы, просто что-то с именем Setup). После проверки и лечения Doctor Web CureIt в безопасном режиме несколько дней все было нормально. Потом снова самостоятельно устанавливаются эти программы. Несколько раз принудительно их удалял, но через день-два все повторялось снова. К указанным добавились jogotempo 3.4, Compatible Web Directory. При этом периодически запускается браузер с рекламой. Из автозагрузки все "левые" программы убирал.
Прошу помочь в лечении.
27.10.2015, 15:22
Info_bot

Уважаемый(ая) [B]PhiZiK[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
27.10.2015, 20:09
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Program Files (x86)\MyBrowser\MyBrowser\Application\utility.exe','');
QuarantineFile('C:\Program Files (x86)\globalUpdate\Update\globalupdate.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-3.2cV14.10\5522bb6b-bbb8-4ad8-b668-91c4bffa79d6-10.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-3.2cV22.10\4bfac299-a6dd-484d-951f-988ba708d5b9-5.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-3.2cV22.10\4bfac299-a6dd-484d-951f-988ba708d5b9-11.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-3.2cV22.10\4bfac299-a6dd-484d-951f-988ba708d5b9-10.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-3.2cV22.10\4bfac299-a6dd-484d-951f-988ba708d5b9-1-7.exe','');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-3.2cV22.10\4bfac299-a6dd-484d-951f-988ba708d5b9-1-6.exe','');
QuarantineFile('c:\users\admin\appdata\roaming\netservice\netservice.exe','');
TerminateProcessByName('c:\program files (x86)\7da51801-1444735047-e411-b2a0-f8a9634a8c57\knsy81dd.tmp');
QuarantineFile('c:\program files (x86)\7da51801-1444735047-e411-b2a0-f8a9634a8c57\knsy81dd.tmp','');
DeleteFile('c:\program files (x86)\7da51801-1444735047-e411-b2a0-f8a9634a8c57\knsy81dd.tmp','32');
DeleteFile('C:\Program Files (x86)\CinemaPlus-3.2cV22.10\4bfac299-a6dd-484d-951f-988ba708d5b9-1-6.exe','32');
DeleteFile('C:\Program Files (x86)\CinemaPlus-3.2cV22.10\4bfac299-a6dd-484d-951f-988ba708d5b9-1-7.exe','32');
DeleteFile('C:\WINDOWS\Tasks\4bfac299-a6dd-484d-951f-988ba708d5b9-1-7.job','64');
DeleteFile('C:\WINDOWS\Tasks\4bfac299-a6dd-484d-951f-988ba708d5b9-1-6.job','64');
DeleteFile('C:\Program Files (x86)\CinemaPlus-3.2cV22.10\4bfac299-a6dd-484d-951f-988ba708d5b9-10.exe','32');
DeleteFile('C:\Program Files (x86)\CinemaPlus-3.2cV22.10\4bfac299-a6dd-484d-951f-988ba708d5b9-11.exe','32');
DeleteFile('C:\Program Files (x86)\CinemaPlus-3.2cV22.10\4bfac299-a6dd-484d-951f-988ba708d5b9-5.exe','32');
DeleteFile('C:\WINDOWS\Tasks\4bfac299-a6dd-484d-951f-988ba708d5b9-5_user.job','64');
DeleteFile('C:\WINDOWS\Tasks\4bfac299-a6dd-484d-951f-988ba708d5b9-5.job','64');
DeleteFile('C:\WINDOWS\Tasks\4bfac299-a6dd-484d-951f-988ba708d5b9-11.job','64');
DeleteFile('C:\WINDOWS\Tasks\4bfac299-a6dd-484d-951f-988ba708d5b9-10_user.job','64');
DeleteFile('C:\Program Files (x86)\CinemaPlus-3.2cV14.10\5522bb6b-bbb8-4ad8-b668-91c4bffa79d6-10.exe','32');
DeleteFile('C:\Program Files (x86)\globalUpdate\Update\globalupdate.exe','32');
DeleteFile('C:\WINDOWS\Tasks\globalUpdateUpdateTaskMachineCore.job','64');
DeleteFile('C:\WINDOWS\Tasks\globalUpdateUpdateTaskMachineUA.job','64');
DeleteFile('C:\WINDOWS\Tasks\5522bb6b-bbb8-4ad8-b668-91c4bffa79d6-10_user.job','64');
DeleteFile('C:\WINDOWS\Tasks\MyBrowser.job','64');
DeleteFile('C:\WINDOWS\Tasks\Update Service for Torrent Search.job','64');
DeleteFile('C:\WINDOWS\Tasks\Update Service for Torrent Search2.job','64');
DeleteFile('C:\WINDOWS\system32\Tasks\4bfac299-a6dd-484d-951f-988ba708d5b9-5_user','64');
DeleteFile('C:\WINDOWS\system32\Tasks\4bfac299-a6dd-484d-951f-988ba708d5b9-5','64');
DeleteFile('C:\WINDOWS\system32\Tasks\4bfac299-a6dd-484d-951f-988ba708d5b9-11','64');
DeleteFile('C:\WINDOWS\system32\Tasks\4bfac299-a6dd-484d-951f-988ba708d5b9-10_user','64');
DeleteFile('C:\WINDOWS\system32\Tasks\4bfac299-a6dd-484d-951f-988ba708d5b9-1-7','64');
DeleteFile('C:\WINDOWS\system32\Tasks\4bfac299-a6dd-484d-951f-988ba708d5b9-1-6','64');
DeleteFile('C:\WINDOWS\system32\Tasks\ASP','64');
DeleteFile('C:\WINDOWS\system32\Tasks\globalUpdateUpdateTaskMachineCore','64');
DeleteFile('C:\WINDOWS\system32\Tasks\globalUpdateUpdateTaskMachineUA','64');
DeleteFile('C:\WINDOWS\system32\Tasks\MyBrowser','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] в Вашей теме.

Скачайте AVZ 4.45, обновите его базы

[B][COLOR="Red"]Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи[/COLOR][/B]
01.11.2015, 15:05
PhiZiK

Вложений: 2

Скрипт выполнил. Карантин пустой, т.к. я уже применял советы других пользователей с другого форума. Правила выполнил еще раз, но сейчас, вроде бы, проблема исчезла...
01.11.2015, 22:02
thyrex

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
03.11.2015, 17:00
PhiZiK

Вложений: 1

Сделал.
03.11.2015, 18:02
thyrex

Удалите в МВАМ [B]только[/B]
[CODE]Trojan.Proxy, HKLM\SOFTWARE\CLASSES\autorun.DynamicNS, , [039c52276427f93db4ba62a0857d8a76],
Trojan.Proxy, HKLM\SOFTWARE\WOW6432NODE\CLASSES\autorun.DynamicNS, , [4f50e8912863181ee38bac56a85a27d9],
Trojan.Proxy, HKLM\SOFTWARE\CLASSES\WOW6432NODE\autorun.DynamicNS, , [4f50e8912863181ee38bac56a85a27d9],
PUP.Optional.CinemaPlus, HKLM\SOFTWARE\WOW6432NODE\CinemaPlus-3.2cV14.10-nv-ie, , [346b7ffaeba03501c112abac61a2d52b],
PUP.Optional.CinemaPlus, HKLM\SOFTWARE\WOW6432NODE\CinemaPlus-3.2cV16.10-nv-ie, , [554a3c3df695b2840dc6f26555ae07f9],
PUP.Optional.CinemaPlus, HKLM\SOFTWARE\WOW6432NODE\CinemaPlus-3.2cV22.10, , [5f4096e37c0f072f627179de2ad94bb5],
PUP.Optional.CinemaPlus, HKLM\SOFTWARE\WOW6432NODE\CinemaPlus-3.2cV22.10-nv-ie, , [f0afd0a9414aff37e1f26dea3bc88779],
PUP.Optional.CinemaPlus, HKU\S-1-5-18\SOFTWARE\CinemaPlus-3.2cV14.10-nv-ie, , [d5caa1d818730432f0c3c790f0133ec2],
PUP.Optional.CinemaPlus, HKU\S-1-5-18\SOFTWARE\CinemaPlus-3.2cV16.10-nv-ie, , [2778ed8c24672d09fbb8500759aa2ad6],
PUP.Optional.CinemaPlus, HKU\S-1-5-18\SOFTWARE\CinemaPlus-3.2cV22.10-nv-ie, , [bfe0413891faa294189bfc5bab583ac6],
PUP.Optional.CinemaPlus, HKU\S-1-5-21-3237789496-1919621188-462424563-1002\SOFTWARE\CinemaPlus-3.2cV14.10-nv-ie, , [019e6a0f2a616ccac8eb5ef918ebab55],
PUP.Optional.CinemaPlus, HKU\S-1-5-21-3237789496-1919621188-462424563-1002\SOFTWARE\CinemaPlus-3.2cV16.10-nv-ie, , [5946d1a83556bb7b248fdf7853b09f61],
PUP.Optional.CinemaPlus, HKU\S-1-5-21-3237789496-1919621188-462424563-1002\SOFTWARE\CinemaPlus-3.2cV22.10, , [88171d5c5f2c5bdb8b28abac0df6f50b],
PUP.Optional.CinemaPlus, HKU\S-1-5-21-3237789496-1919621188-462424563-1002\SOFTWARE\CinemaPlus-3.2cV22.10-nv-ie, , [5e419ddc8209ca6c486bd97e699a5da3],

PUP.Optional.CrossBrowse, HKLM\SOFTWARE\CLASSES\.XHTML\OPENWITHPROGIDS|CRSBRWSHTML, , [cfd00d6c5f2cd165dffdfacb16ed9070],
PUP.Optional.CrossBrowse, HKLM\SOFTWARE\CLASSES\WOW6432NODE\.XHTML\OPENWITHPROGIDS|CRSBRWSHTML, , [29763841800bae88e1fb2a9b35cef709],
PUP.Optional.CrossBrowse, HKLM\SOFTWARE\WOW6432NODE\CLASSES\.XHTML\OPENWITHPROGIDS|CRSBRWSHTML, , [8a150f6aa7e4c0763ca043828c770ef2],
PUP.Optional.MyBrowser, HKLM\SOFTWARE\WOW6432NODE\MICROSOFT\ACTIVE SETUP\INSTALLED COMPONENTS, MyBrowser, , [950a81f8dab174c22fefeea92dd6fc04]
PUP.Optional.MyBrowser, HKLM\SOFTWARE\WOW6432NODE\MICROSOFT\ACTIVE SETUP\INSTALLED COMPONENTS|Localized Name, MyBrowser, , [abf44732078441f548d65f3810f30000][/CODE]
05.11.2015, 11:46
PhiZiK

Вложений: 1

Удалил.
05.11.2015, 22:50
thyrex

На Cyberforum темы по этим же компьютерам?
06.11.2015, 11:45
PhiZiK

Да, по этому одному создал там и здесь. Другая тема [B]Globalupdate.exe, ssfk.exe, Picexa.exe и другие[/B] на Cyberforum, в которой Вы мне тоже помогаете, по другому компу и здесь эту тему не дублировал. Просто именно этот основной рабочий комп и нужно было его побыстрее привести в чувство и максимально вычистить...
Сейчас проблем не наблюдается. Можно считать, что заразу убрали?

[SIZE=1][COLOR="#A9A9A9"]Ну и заодно спрошу совета: где лучше создавать тему - на Cyberforum или здесь?[/COLOR][/SIZE]
06.11.2015, 21:00
thyrex

Плодить темы на форумах не нужно. Все форумы равнозначны

Тему считаем решенной.