Открываются вкладки браузера с иероглифами

При запуске браузера (любого) а иногда и сами по себе открываются вкладки с кучей китайщины.

Никакие антивирусы, adwcleaner, malwarebytes ничего не находят.

upd 1. Нашел, что вирусом являются несколько процессов svchost.exe, запущенные от имени пользователя.
ParentID первого из них - процесс spoolsv.exe. При запуске они прописывают стартовые страницы в браузерах, также несколько штук висят в памяти постоянно.

upd 2. вирусные svchost стартуют спустя пару минут после загрузки ОС. Если в службах отключить spoolsv.exe, то ничего не запускается.

Уважаемый(ая) [B]vovka36[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что под окном [b]Optional Scan[/b] отмечены [i]"List BCD"[/i], [i]"Driver MD5"[/i] и [i]"90 Days Files"[/i].[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]http://i.imgur.com/3munStB.png[/img]

Результаты сканирования Farbar Recovery Scan Tool

[B][COLOR="#FF0000"]ВНИМАНИЕ![/COLOR][/B] Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
CloseProcesses:
GroupPolicyScripts: Restriction <======= ATTENTION
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.72lp.com
HKU\S-1-5-21-1346624193-13193539-2266308514-1003\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.72lp.com
Toolbar: HKU\S-1-5-21-1346624193-13193539-2266308514-1003 -> No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - No File
CHR HKLM\...\Chrome\Extension: [pgaidlfgjkmeendhknafahppllbniejm] - hxxps://clients2.google.com/service/update2/crx
R2 ihctrl32; C:\WINDOWS\System32\ihctrl32.dll [221184 2009-03-21] ()
R2 wsaudio; C:\WINDOWS\System32\wsaudio.dll [367104 2009-03-21] ()
EmptyTemp:
[/code][*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]

fixlog

Что с проблемой?

Проблема до сих пор актуальна, визуально ничего не изменилось. Спустя пару минут после старта spoolsv запускает один svchost от имени пользователя, тот в свою очередь запускает еще штук 6 svchost. Три из них что-то отрабатывают и завершаются спустя минуты 2. Ровно 3 svchost остаются висеть постоянно, один из них постоянно занимает все ресурсы одного ядра процессора, второй 2—3%. Стартовые страница браузеров естественно снова изменились

Скачайте ComboFix [url=http://download.bleepingcomputer.com/sUBs/ComboFix.exe]здесь[/url] и сохраните в корень диска С.

1. [color=red]Внимание![/color] Обязательно закройте все браузеры, [URL="http://virusinfo.info/showthread.php?t=130828"]временно выключите антивирус, firewall и другое защитное программное обеспечение[/URL]. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.

2. Запустите [b]combofix.exe[/b], когда процесс завершится, скопируйте текст из [b]C:\ComboFix.txt[/b] и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe. Например: temp.exe

Combofix.txt

Удалился НУЖНЫЙ файл unicrypth.exe. Не беда, восстановлю.
Проблема осталась актуальна.
Также замечу, возможно, это поможет - заражение произошло не недавно, а уже более 3 месяцев назад, просто пользователь терпел всё это молча...

upd. Хотя... Есть некоторые изменения. Пронаблюдаю, отпишусь...

upd 2. spoolsv всё так же запускает один svchost под юзером, однако тот в свою очередь запускает еще только 1 svchost. Стартовые страницы в браузерах моментально прописываются
Однако, теперь отсутствует тот svchost, который кушал ресурсы процессора...

Скопируйте текст ниже в Блокнот и [COLOR="#0000CD"]сохраните[/COLOR] как файл с названием [B]CFScript.txt[/B] [COLOR="#0000CD"][B]в корень диска С.[/B][/COLOR]
[code]
KillAll::

NetSvc::
wsaudio
ihctrl32

DDS::
uStart Page = hxxp://www.72lp.com
mStart Page = hxxp://www.72lp.com

Reboot::
[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[IMG]http://savepic.org/5315621m.gif[/IMG]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

Combofix new

Проблема актуальна, изменений с предыдущего поста нет

Скопируйте текст ниже в Блокнот и [COLOR="#0000CD"]сохраните[/COLOR] как файл с названием [B]CFScript.txt[/B] [COLOR="#0000CD"][B]в корень диска С.[/B][/COLOR]
[code]
KillAll::

File::

Driver::
ihctrl32
wsaudio

Folder::

Registry::

NetSvc::
wsaudio
ihctrl32

FileLook::

DirLook::

Reboot::
[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[IMG]http://savepic.org/5315621m.gif[/IMG]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

Combofix.txt

Результата этот фикс не дал никакого

Еще раз сделайте лог FRST.txt

Новый лог farbar

[LIST=1][*]Скачайте [B][URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL][/B] (uVS)[*]Извлеките uVS из [I]архива[/I] или из [I]zip-папки[/I]. Откройте папку с UVS и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт [B]"Запустить под текущим пользователем"[/B].[*]Выберите меню [B]"Файл"[/B] => [B]"Сохранить полный образ автозапуска"[/B]. Программа предложит вам указать место сохранения лога в формате [B]"имя_компьютера_дата_сканирования"[/B]. Лог необходимо сохранить на рабочем столе.
[INDENT][SIZE="1"][B]!!!Внимание.[/B] Если у вас установлены архиваторы [B]WinRAR[/B] или [B]7-Zip[/B], то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.[/SIZE][/INDENT][*]Дождитесь окончания работы программы и прикрепите лог к посту в теме.
[INDENT][SIZE="1"][B]!!! Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [B]Windows XP[/B] так и есть. В [B]Windows Vista[/B] и [B]Windows 7[/B] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [B]Запуск от имени Администратора[/B], при необходимости укажите пароль администратора и нажмите [B]"Да"[/B].[/SIZE][/INDENT][*][/LIST]

UVS


Кстати, заметил еще одну вирусную активность - появился запрос на выполнение файла, скачанного из интернета. Естественно, отказался.

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url]

[code]
;uVS v3.86.5 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v385c
breg

delref HTTP://WWW.72LP.COM
deltmp
delnfr
restart
[/code]

Компьютер перезагрузится.

Сделайте новый лог uVS.

[b]mike 1[/b], не дождался вашего ответа, и всё таки решил переустановить ОС, хотя очень не хотел.
Спасибо большое за помощь, но вопрос снимается.