помогите пожалуйста разобраться с вирусами [not-a-virus:AdWare.Win32.Agent.jlfm, not-a-virus:HEUR:AdWare.Win32.Generic ]

Сегодня проверил компьютер с помощью детектора на наличие вирусов результат MD5 карантина: 4011280104790B503897D8E17C150B64 вирусы есть. Компьютер тормозит, на Ucoz на панели управления сайта, в логах, был показан IP-адрес Москвы (когда я нахожусь в Ярославской области).Помогите пожалуйста разобраться.

Уважаемый(ая) [B]Kolya K[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
TerminateProcessByName('c:\programdata\viaair\viaair.exe');
TerminateProcessByName('c:\program files (x86)\common files\a95f8535-bd08-4370-a6e0-814924c0d5f0\updater.exe');
TerminateProcessByName('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugincontainer.exe');
TerminateProcessByName('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\5\plugin.exe');
TerminateProcessByName('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\10\plugin.exe');
TerminateProcessByName('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\2\plugin.exe');
TerminateProcessByName('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\12\plugin.exe');
TerminateProcessByName('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\3\plugin.exe');
TerminateProcessByName('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\7\plugin.exe');
TerminateProcessByName('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\8\plugin.exe');
TerminateProcessByName('c:\users\Николай\appdata\roaming\nssm.exe');
StopService('Update Mgr CateredtoYou');
StopService('Service Mgr CateredtoYou');
StopService('ApplicationHosting');
QuarantineFile('C:\Program Files (x86)\Catered to You\Extensions\b90183ad-1cf4-4d7b-9461-b89083957547.dll', '');
QuarantineFile('C:\ProgramData\ApplicationHosting\ApplicationHosting.exe', '');
QuarantineFile('c:\programdata\viaair\viaair.exe', '');
QuarantineFile('c:\program files (x86)\common files\a95f8535-bd08-4370-a6e0-814924c0d5f0\updater.exe', '');
QuarantineFile('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugincontainer.exe', '');
QuarantineFile('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\5\plugin.exe', '');
QuarantineFile('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\10\plugin.exe', '');
QuarantineFile('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\2\plugin.exe', '');
QuarantineFile('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\12\plugin.exe', '');
QuarantineFile('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\3\plugin.exe', '');
QuarantineFile('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\7\plugin.exe', '');
QuarantineFile('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\8\plugin.exe', '');
QuarantineFile('c:\users\Николай\appdata\roaming\nssm.exe', '');
DeleteFile('c:\users\Николай\appdata\roaming\nssm.exe', '32');
DeleteFile('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\8\plugin.exe', '32');
DeleteFile('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\7\plugin.exe', '32');
DeleteFile('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\3\plugin.exe', '32');
DeleteFile('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\12\plugin.exe', '32');
DeleteFile('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\2\plugin.exe', '32');
DeleteFile('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\10\plugin.exe', '32');
DeleteFile('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\5\plugin.exe', '32');
DeleteFile('c:\programdata\viaair\viaair.exe', '32');
DeleteFile('C:\ProgramData\ApplicationHosting\ApplicationHosting.exe', '32');
DeleteFile('C:\ProgramData\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugincontainer.exe', '32');
DeleteFile('C:\Program Files (x86)\Common Files\a95f8535-bd08-4370-a6e0-814924c0d5f0\updater.exe', '32');
DeleteFile('C:\Program Files (x86)\Catered to You\Extensions\b90183ad-1cf4-4d7b-9461-b89083957547.dll', '32');
DeleteService('ApplicationHosting');
DeleteFileMask('C:\Program Files (x86)\Catered to You', '*', true);
DeleteFileMask('C:\ProgramData\a95f8535-bd08-4370-a6e0-814924c0d5f0', '*', true);
DeleteFileMask('C:\ProgramData\ApplicationHosting', '*', true);
DeleteFileMask('c:\programdata\viaair\', '*', true);
DeleteDirectory('C:\Program Files (x86)\Catered to You');
DeleteDirectory('C:\ProgramData\a95f8535-bd08-4370-a6e0-814924c0d5f0');
DeleteDirectory('C:\ProgramData\ApplicationHosting');
DeleteDirectory('c:\programdata\viaair\');
ExecuteSysClean;
ExecuteRepair(4);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Скачайте программу [URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url].

готово

Рекомендую деинсталлировать One System Care, как и от других оптимизаторов, от него больше вреда, чем пользы.

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url][code];uVS v3.86.5 [http://dsrt.dyndns.org]
;Target OS: NTv10.0
v385c
offsgnsave
; C:\USERS\НИКОЛАЙ\APPDATA\ROAMING\NSSM.EXE
addsgn 1A083B9A5583E98CF42BC4E50CD811472562F3DA89FA2C870CBE3931154A21B3366B11163E92D8B5D57F7B602C5623DA2389001E57DAB075744C632043122073 8 NSSM.PUP

chklst
delvir

delref %SystemDrive%\PROGRAM FILES (X86)\CATERED TO YOU\EXTENSIONS\B90183AD-1CF4-4D7B-9461-B89083957547.DLL
deldir %SystemDrive%\PROGRAM FILES (X86)\CATERED TO YOU\EXTENSIONS
delref %SystemDrive%\PROGRAMDATA\VIAAIRS\FF.HP
delref %SystemDrive%\PROGRAMDATA\VIAAIRS\FF.NT
deltmp
restart[/code]Компьютер перезагрузится.

В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.

Выполнил. В Google Chrome реклама замучила.

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочками также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).

устанавливал антивирус spy-hunter с помощью него подчистил реестр,но похоже ещё что-то осталось, потому что в Google Chrome до сих пор вылезает catered to you. Искал через поиск файлы связанные с этим вирусом и удалял их. После работы Google Chrome снова парачка высвечивалась. По удалял приложения в Google Chrome но рекламы всё равно остались. Почему-то spy-hunter часто ругался на изменения DNS. В последний раз сканировал им, а он завис, перед сканированием FRST удалил его.

Деинсталлируйте Mail.Ru Агент 6.5, если не нужен.

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]CreateRestorePoint:
GroupPolicy: Restriction - Chrome <======= ATTENTION
GroupPolicyScripts: Restriction <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
BHO-x32: No Name -> {B69F34DD-F0F9-42DC-9EDD-957187DA688D} -> No File
BHO-x32: No Name -> {BA0C978D-D909-49B6-AFE2-8BDE245DC7E6} -> No File
CHR HKLM-x32\...\Chrome\Extension: [bejnpnkhfgfkcpgikiinojlmdcjimobi] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [geidjeefddhgefeplhdlegoldlgiodon] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pjfkgjlnocfakoheoapicnknoglipapd] - hxxp://clients2.google.com/service/update2/crx
OPR Extension: (Catered to You) - C:\Users\Николай\AppData\Roaming\Opera Software\Opera Stable\Extensions\mmeobkibkkgjhdfcanhgckfhfahaabij [2015-10-31]
S2 gamexpsvc; "C:\Program Files (x86)\GameXPService\gamexpsvc.exe" [X]
S2 LiveUpdateSvc; C:\Program Files (x86)\IObit\LiveUpdate\LiveUpdate.exe [X]
2015-11-03 23:13 - 2015-11-03 23:13 - 00000000 ____D C:\Users\Николай\AppData\Roaming\AMCPromote
2015-11-03 23:13 - 2015-11-03 23:13 - 00000000 ____D C:\Users\Все пользователи\{126CFB2A-3098-4C8B-A9BB-8D922A069FE0}
2015-11-03 21:24 - 2015-11-03 21:24 - 00000000 ____D C:\Users\Николай\AppData\Roaming\ProductData
2015-11-03 21:24 - 2015-11-03 21:24 - 00000000 ____D C:\Users\Николай\AppData\IObit
2015-11-03 21:23 - 2015-11-03 21:26 - 00000000 ____D C:\Users\Николай\AppData\LocalLow\IObit
2015-11-03 21:23 - 2015-11-03 21:26 - 00000000 ____D C:\Users\Все пользователи\ProductData
Task: {90915E65-D96B-4E46-AD74-C2880EB2074D} - System32\Tasks\GameXPService Autoupdate => C:\Program Files (x86)\GameXPService\gamexpsvc.exe
C:\Users\Николай\Desktop\игры\Играть! GameXP.lnk
C:\Users\Николай\AppData\Roaming\Microsoft\Windows\SendTo\МойМир@Mail.ru.lnk
2015-10-24 22:27 - 2015-11-03 21:54 - 00000000 ____D C:\Users\Николай\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\GameXP
EmptyTemp:
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Сообщите, что с проблемой.

Нашёл рассадник Catered to you. Я недавно установил графический редактор Gimp и одновременно с ним браузер Оперу и похоже это расширение в Google Chrome. Чистил компьютер программами hitmanpro и Malwarebytes Anti-malware и регистр вычистился и ещё вирус в загрузках нашёл. Стоял в системе Malwarebytes Anti-malware, когда я запустил Gimp, стали размещаться в системе вирусы. Удалил Gimp, удалил Google Chrome и стал искать всё что связано с ним по всем папкам, нашёл даже папку "Хром". После установил заново Google Chrome и эта назойливая реклама пропала. Только по запарке системные файлы Thumbs на рабочем столе удалил, грозит ли это чем? Установил несколько возможно скоро нужных мне программ. Сейчас система притормаживает. Проверил детектором: вроде всё норм, только на Adguard немного красного.

[QUOTE=Kolya K;1328987]Нашёл рассадник Catered to you. Я недавно установил графический редактор Gimp и одновременно с ним браузер Оперу[/QUOTE]

Что ещё раз подтверждает простую истину: не надо искать программы, особенно бесплатные, нужно качать их с официальных сайтов. Которые выдаются, кстати, в первых строках поисковиков.

Удалите папку C:\FRST со всем содержимым.

Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].

спасибо большое:) вы мне очень помогли.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]12[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files (x86)\catered to you\extensions\b90183ad-1cf4-4d7b-9461-b89083957547.dll - [B]not-a-virus:AdWare.NSIS.BrowseFox.f[/B][*] c:\program files (x86)\common files\a95f8535-bd08-4370-a6e0-814924c0d5f0\updater.exe - [B]not-a-virus:HEUR:AdWare.Win32.Generic[/B][*] c:\programdata\applicationhosting\applicationhosting.exe - [B]not-a-virus:AdWare.Win32.Agent.jlfm[/B] ( AVAST4: Win32:Adware-gen [Adw] )[*] c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugincontainer.exe - [B]not-a-virus:HEUR:AdWare.Win32.Generic[/B][*] c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\10\plugin.exe - [B]not-a-virus:HEUR:AdWare.Win32.Generic[/B][*] c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\12\plugin.exe - [B]not-a-virus:HEUR:AdWare.Win32.Generic[/B][*] c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\2\plugin.exe - [B]not-a-virus:HEUR:AdWare.Win32.Generic[/B][*] c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\3\plugin.exe - [B]not-a-virus:HEUR:AdWare.Win32.Generic[/B][*] c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\5\plugin.exe - [B]not-a-virus:AdWare.Win32.BrowseFox.btzx[/B][*] c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\7\plugin.exe - [B]not-a-virus:HEUR:AdWare.Win32.Generic[/B][*] c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\8\plugin.exe - [B]not-a-virus:HEUR:AdWare.Win32.Generic[/B][*] c:\programdata\viaair\viaair.exe - [B]not-a-virus:AdWare.Win32.Agent.jlir[/B] ( AVAST4: Win32:Adware-gen [Adw] )[/LIST][/LIST]