Открываются произвольные сайты, сами начинают устанавливаться программы(GoHD, gentle, games center) [not-a-virus:AdWare.Win32.ConvertAd.bai, not-a-virus:AdWare.Win32.Agent.jluh ]

Printable View

08.11.2015, 12:25
sWan

Вложений: 3

Открываются произвольные сайты, сами начинают устанавливаться программы(GoHD, gentle, games center) [not-a-virus:AdWare.Win32.ConvertAd.bai, not-a-virus:AdWare.Win32.Agent.jluh ]

Здравствуйте, прошу помощи.
Произвольно открываются различные сайты, некоторые программы, в том числе и антивирус переместились из Program files в C:\found.001\dir0000.chk\ (проверок диска не делал).
Так же периодически начинается установка различных программ (GoHD, gentle, games center и т.д.).
Папки открываются в новом окне (хотя в свойствах выбрано, чтоб открывались в том же).
Выполнил проверку и удаление утилитой CureIt (около 9 угроз) но безуспешно.
Заранее благодарен.
08.11.2015, 12:27
Info_bot

Уважаемый(ая) [B]sWan[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
08.11.2015, 12:54
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Program Files\globalupdate\update\1.3.25.0\psuser.dll','');
QuarantineFile('C:\Program Files\globalupdate\update\1.3.25.0\psmachine.dll','');
QuarantineFile('C:\Program Files\globalupdate\update\1.3.25.0\npglobalupdateupdate4.dll','');
QuarantineFile('C:\Program Files\globalupdate\update\1.3.25.0\goopdateres_en.dll','');
QuarantineFile('C:\Program Files\globalupdate\update\1.3.25.0\goopdate.dll','');
QuarantineFile('C:\Program Files\globalupdate\update\1.3.25.0\globalupdateondemand.exe','');
QuarantineFile('C:\Program Files\globalupdate\update\1.3.25.0\globalupdatebroker.exe','');
QuarantineFile('C:\Users\ADMIN\appdata\roaming\jgsrf.exe','');
QuarantineFile('C:\Users\ADMIN\appdata\roaming\aspackage\aspackage.exe','');
QuarantineFile('C:\ProgramData\ShopperPro\spbihe.js','');
QuarantineFile('C:\Users\ADMIN\AppData\Local\Hostinstaller\1781501126_monster.exe','');
QuarantineFile('C:\Users\ADMIN\AppData\Local\Kit Car\xBin\KitCar.dll','');
QuarantineFile('C:\Users\ADMIN\AppData\Local\Download Kingdom\xBin\DownloadKingdom.dll','');
QuarantineFile('C:\Users\ADMIN\AppData\Roaming\PRHSC.exe','');
QuarantineFile('C:\Users\ADMIN\AppData\Roaming\JGSRF.exe','');
QuarantineFile('C:\Program Files\Sense\a9dfa1be-1a70-4855-a003-7143eb21ad20-7.exe','');
QuarantineFile('C:\Program Files\Sense\a9dfa1be-1a70-4855-a003-7143eb21ad20-6.exe','');
QuarantineFile('C:\Program Files\Sense\a9dfa1be-1a70-4855-a003-7143eb21ad20-5.exe','');
QuarantineFile('C:\Program Files\Sense\Sense-codedownloader.exe','');
QuarantineFile('C:\Program Files\Ge-Force\851c41b7-2424-469b-a553-3a8fe911bab0-6.exe','');
QuarantineFile('C:\Program Files\Ge-Force\851c41b7-2424-469b-a553-3a8fe911bab0-5.exe','');
QuarantineFile('C:\Program Files\Ge-Force\851c41b7-2424-469b-a553-3a8fe911bab0-11.exe','');
QuarantineFile('C:\Program Files\CinemaPlus-3.2cV03.04\2962972e-f58e-4d16-b7d1-1cc8baf861f3-11.exe','');
QuarantineFile('C:\Program Files\CinemaPlus-3.2cV03.04\2962972e-f58e-4d16-b7d1-1cc8baf861f3-10.exe','');
QuarantineFile('C:\Program Files\CinemaPlus-3.2cV03.04\2962972e-f58e-4d16-b7d1-1cc8baf861f3-1-7.exe','');
QuarantineFile('C:\Program Files\CinemaPlus-3.2cV03.04\2962972e-f58e-4d16-b7d1-1cc8baf861f3-1-6.exe','');
QuarantineFile('C:\Program Files\GoHD\01a862f1-b62c-4220-8f89-f739e243cac3-5.exe','');
QuarantineFile('C:\Program Files\GoHD\01a862f1-b62c-4220-8f89-f739e243cac3-11.exe','');
QuarantineFile('C:\Program Files\GoHD\01a862f1-b62c-4220-8f89-f739e243cac3-1-7.exe','');
QuarantineFile('C:\Program Files\GoHD\01a862f1-b62c-4220-8f89-f739e243cac3-1-6.exe','');
QuarantineFile('C:\Program Files\Google\chrome.bat','');
QuarantineFile('C:\Program Files\YTDownloader\YTDownloader.exe','');
SetServiceStart('gikojuzi', 4);
SetServiceStart('hocifuto', 4);
SetServiceStart('reruhine', 4);
SetServiceStart('tylucywe', 4);
DeleteService('tylucywe');
DeleteService('reruhine');
DeleteService('hocifuto');
DeleteService('gikojuzi');
TerminateProcessByName('c:\users\admin\appdata\local\03000200-1446736773-0500-0006-000700080009\snssc092.tmp');
QuarantineFile('c:\users\admin\appdata\local\03000200-1446736773-0500-0006-000700080009\snssc092.tmp','');
TerminateProcessByName('c:\program files\03000200-1446729522-0500-0006-000700080009\knst4920.tmp');
QuarantineFile('c:\program files\03000200-1446729522-0500-0006-000700080009\knst4920.tmp','');
TerminateProcessByName('c:\program files\03000200-1446729522-0500-0006-000700080009\jnsc2099.tmp');
QuarantineFile('c:\program files\03000200-1446729522-0500-0006-000700080009\jnsc2099.tmp','');
TerminateProcessByName('c:\program files\03000200-1446729522-0500-0006-000700080009\hnsn3802.tmp');
QuarantineFile('c:\program files\03000200-1446729522-0500-0006-000700080009\hnsn3802.tmp','');
TerminateProcessByName('c:\program files\cinemaplus-3.2cv03.04\2962972e-f58e-4d16-b7d1-1cc8baf861f3-1-6.exe');
QuarantineFile('c:\program files\cinemaplus-3.2cv03.04\2962972e-f58e-4d16-b7d1-1cc8baf861f3-1-6.exe','');
TerminateProcessByName('c:\program files\gohd\01a862f1-b62c-4220-8f89-f739e243cac3-1-6.exe');
QuarantineFile('c:\program files\gohd\01a862f1-b62c-4220-8f89-f739e243cac3-1-6.exe','');
DeleteFile('c:\program files\gohd\01a862f1-b62c-4220-8f89-f739e243cac3-1-6.exe','32');
DeleteFile('c:\program files\cinemaplus-3.2cv03.04\2962972e-f58e-4d16-b7d1-1cc8baf861f3-1-6.exe','32');
DeleteFile('c:\program files\03000200-1446729522-0500-0006-000700080009\hnsn3802.tmp','32');
DeleteFile('c:\program files\03000200-1446729522-0500-0006-000700080009\jnsc2099.tmp','32');
DeleteFile('c:\program files\03000200-1446729522-0500-0006-000700080009\knst4920.tmp','32');
DeleteFile('c:\users\admin\appdata\local\03000200-1446736773-0500-0006-000700080009\snssc092.tmp','32');
DeleteFile('C:\Program Files\YTDownloader\YTDownloader.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\YTDownloader','command');
DeleteFile('C:\Program Files\Google\chrome.bat','32');
DeleteFile('C:\Program Files\GoHD\01a862f1-b62c-4220-8f89-f739e243cac3-1-6.exe','32');
DeleteFile('C:\Program Files\GoHD\01a862f1-b62c-4220-8f89-f739e243cac3-1-7.exe','32');
DeleteFile('C:\Program Files\GoHD\01a862f1-b62c-4220-8f89-f739e243cac3-11.exe','32');
DeleteFile('C:\Program Files\GoHD\01a862f1-b62c-4220-8f89-f739e243cac3-5.exe','32');
DeleteFile('C:\Windows\Tasks\01a862f1-b62c-4220-8f89-f739e243cac3-5_user.job','32');
DeleteFile('C:\Windows\Tasks\01a862f1-b62c-4220-8f89-f739e243cac3-5.job','32');
DeleteFile('C:\Windows\Tasks\01a862f1-b62c-4220-8f89-f739e243cac3-11.job','32');
DeleteFile('C:\Windows\Tasks\01a862f1-b62c-4220-8f89-f739e243cac3-1-7.job','32');
DeleteFile('C:\Windows\Tasks\01a862f1-b62c-4220-8f89-f739e243cac3-1-6.job','32');
DeleteFile('C:\Program Files\CinemaPlus-3.2cV03.04\2962972e-f58e-4d16-b7d1-1cc8baf861f3-1-6.exe','32');
DeleteFile('C:\Program Files\CinemaPlus-3.2cV03.04\2962972e-f58e-4d16-b7d1-1cc8baf861f3-1-7.exe','32');
DeleteFile('C:\Program Files\CinemaPlus-3.2cV03.04\2962972e-f58e-4d16-b7d1-1cc8baf861f3-10.exe','32');
DeleteFile('C:\Program Files\CinemaPlus-3.2cV03.04\2962972e-f58e-4d16-b7d1-1cc8baf861f3-11.exe','32');
DeleteFile('C:\Windows\Tasks\2962972e-f58e-4d16-b7d1-1cc8baf861f3-11.job','32');
DeleteFile('C:\Windows\Tasks\2962972e-f58e-4d16-b7d1-1cc8baf861f3-10_user.job','32');
DeleteFile('C:\Windows\Tasks\2962972e-f58e-4d16-b7d1-1cc8baf861f3-1-7.job','32');
DeleteFile('C:\Windows\Tasks\2962972e-f58e-4d16-b7d1-1cc8baf861f3-1-6.job','32');
DeleteFile('C:\Program Files\Ge-Force\851c41b7-2424-469b-a553-3a8fe911bab0-11.exe','32');
DeleteFile('C:\Program Files\Ge-Force\851c41b7-2424-469b-a553-3a8fe911bab0-5.exe','32');
DeleteFile('C:\Program Files\Ge-Force\851c41b7-2424-469b-a553-3a8fe911bab0-6.exe','32');
DeleteFile('C:\Windows\Tasks\851c41b7-2424-469b-a553-3a8fe911bab0-6.job','32');
DeleteFile('C:\Windows\Tasks\851c41b7-2424-469b-a553-3a8fe911bab0-5_user.job','32');
DeleteFile('C:\Windows\Tasks\851c41b7-2424-469b-a553-3a8fe911bab0-11.job','32');
DeleteFile('C:\Program Files\Sense\Sense-codedownloader.exe','32');
DeleteFile('C:\Program Files\Sense\a9dfa1be-1a70-4855-a003-7143eb21ad20-5.exe','32');
DeleteFile('C:\Program Files\Sense\a9dfa1be-1a70-4855-a003-7143eb21ad20-6.exe','32');
DeleteFile('C:\Program Files\Sense\a9dfa1be-1a70-4855-a003-7143eb21ad20-7.exe','32');
DeleteFile('C:\Windows\Tasks\a9dfa1be-1a70-4855-a003-7143eb21ad20-7.job','32');
DeleteFile('C:\Windows\Tasks\a9dfa1be-1a70-4855-a003-7143eb21ad20-6.job','32');
DeleteFile('C:\Windows\Tasks\a9dfa1be-1a70-4855-a003-7143eb21ad20-5_user.job','32');
DeleteFile('C:\Windows\Tasks\a9dfa1be-1a70-4855-a003-7143eb21ad20-5.job','32');
DeleteFile('C:\Windows\Tasks\a9dfa1be-1a70-4855-a003-7143eb21ad20-1.job','32');
DeleteFile('C:\Users\ADMIN\AppData\Roaming\JGSRF.exe','32');
DeleteFile('C:\Users\ADMIN\AppData\Roaming\PRHSC.exe','32');
DeleteFile('C:\Windows\Tasks\PRHSC.job','32');
DeleteFile('C:\Windows\Tasks\JGSRF.job','32');
DeleteFile('C:\Windows\system32\Tasks\01a862f1-b62c-4220-8f89-f739e243cac3-1-6','32');
DeleteFile('C:\Windows\Tasks\temp_2962972e-f58e-4d16-b7d1-1cc8baf861f3-1-6.job','32');
DeleteFile('C:\Windows\system32\Tasks\01a862f1-b62c-4220-8f89-f739e243cac3-1-7','32');
DeleteFile('C:\Windows\system32\Tasks\01a862f1-b62c-4220-8f89-f739e243cac3-11','32');
DeleteFile('C:\Windows\system32\Tasks\01a862f1-b62c-4220-8f89-f739e243cac3-5','32');
DeleteFile('C:\Windows\system32\Tasks\2962972e-f58e-4d16-b7d1-1cc8baf861f3-1-6','32');
DeleteFile('C:\Windows\system32\Tasks\2962972e-f58e-4d16-b7d1-1cc8baf861f3-1-7','32');
DeleteFile('C:\Windows\system32\Tasks\2962972e-f58e-4d16-b7d1-1cc8baf861f3-11','32');
DeleteFile('C:\Users\ADMIN\AppData\Local\Hostinstaller\1781501126_monster.exe','32');
DeleteFile('C:\Windows\system32\Tasks\Soft installer','32');
DeleteFile('C:\ProgramData\ShopperPro\spbihe.js','32');
DeleteFile('C:\Windows\system32\Tasks\SPBIW_UpdateTask_Time_343033323433323838322d3437415a556c2a3223346c41','32');
DeleteFile('C:\Windows\system32\Tasks\temp_2962972e-f58e-4d16-b7d1-1cc8baf861f3-1-6','32');
DeleteFile('C:\Windows\system32\Tasks\YTDownloader','32');
DeleteFile('C:\Users\ADMIN\appdata\roaming\aspackage\aspackage.exe','32');
DeleteFile('C:\Users\ADMIN\appdata\roaming\jgsrf.exe','32');
DeleteFile('C:\Program Files\globalupdate\update\1.3.25.0\globalupdatebroker.exe','32');
DeleteFile('C:\Program Files\globalupdate\update\1.3.25.0\globalupdateondemand.exe','32');
DeleteFile('C:\Program Files\globalupdate\update\1.3.25.0\goopdate.dll','32');
DeleteFile('C:\Program Files\globalupdate\update\1.3.25.0\goopdateres_en.dll','32');
DeleteFile('C:\Program Files\globalupdate\update\1.3.25.0\npglobalupdateupdate4.dll','32');
DeleteFile('C:\Program Files\globalupdate\update\1.3.25.0\psmachine.dll','32');
DeleteFile('C:\Program Files\globalupdate\update\1.3.25.0\psuser.dll','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] в Вашей теме.

[B][COLOR="Red"]Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи[/COLOR][/B]
08.11.2015, 13:14
sWan

Вложений: 3

новые логи
08.11.2015, 14:05
thyrex

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]
08.11.2015, 16:16
sWan

Вложений: 1

лог MBAM
10.11.2015, 17:03
thyrex

Удалите в МВАМ все, [B]кроме[/B]
[CODE]RiskWare.Tool.CK, D:\Gothic III\Gothic3.exe, , [abe80b70aedda393251f1a2f659b9a66], [/CODE]
15.11.2015, 09:32
sWan

Пока что все стало в порядке) Спасибо большое за помощь!)
21.11.2015, 00:01
thyrex

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, и его тоже прикрепите в следующем сообщении.
21.11.2015, 00:11
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]100[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files\cinemaplus-3.2cv03.04\2962972e-f58e-4d16-b7d1-1cc8baf861f3-10.exe - [B]not-a-virus:HEUR:WebToolbar.Win32.CrossRider.heur[/B][*] c:\program files\cinemaplus-3.2cv03.04\2962972e-f58e-4d16-b7d1-1cc8baf861f3-11.exe - [B]not-a-virus:WebToolbar.Win32.CrossRider.yrw[/B] ( BitDefender: Gen:Application.Heur.Xv0@kec3sQiO, AVAST4: Win32:Malware-gen )[*] c:\program files\cinemaplus-3.2cv03.04\2962972e-f58e-4d16-b7d1-1cc8baf861f3-1-6.exe - [B]not-a-virus:WebToolbar.Win32.CroRi.fhz[/B] ( DrWEB: Trojan.Crossrider1.16093, BitDefender: Gen:Application.Heur.vz0@kCS3m0fi )[*] c:\program files\cinemaplus-3.2cv03.04\2962972e-f58e-4d16-b7d1-1cc8baf861f3-1-7.exe - [B]not-a-virus:AdWare.Win32.Agent.hsfh[/B] ( BitDefender: Gen:Application.Heur.bv0@k0feMOmO, AVAST4: Win32:Malware-gen )[*] c:\program files\globalupdate\update\1.3.25.0\globalupdatebroker.exe - [B]not-a-virus:AdWare.Win32.Goopdate.a[/B] ( DrWEB: Adware.Boxore.2 )[*] c:\program files\globalupdate\update\1.3.25.0\globalupdateondemand.exe - [B]not-a-virus:AdWare.Win32.Goopdate.b[/B] ( DrWEB: Adware.Boxore.2 )[*] c:\program files\globalupdate\update\1.3.25.0\goopdate.dll - [B]not-a-virus:RiskTool.Win32.GlobalUpdate.dw[/B][*] c:\program files\globalupdate\update\1.3.25.0\npglobalupdateupdate4.dll - [B]not-a-virus:AdWare.Win32.Goopdate.e[/B][*] c:\program files\gohd\01a862f1-b62c-4220-8f89-f739e243cac3-1-6.exe - [B]not-a-virus:HEUR:WebToolbar.Win32.CrossRider.heur[/B] ( BitDefender: Gen:Application.Heur.Az1@kujgpRgi )[*] c:\program files\sfk\ssfk.exe - [B]not-a-virus:AdWare.Win32.ELEX.ek[/B][*] c:\program files\03000200-1446729522-0500-0006-000700080009\jnsc2099.tmp - [B]not-a-virus:AdWare.Win32.ConvertAd.aalc[/B] ( AVAST4: Win32:Adware-gen [Adw] )[*] c:\programdata\gwminiprog\wminipro.exe - [B]not-a-virus:AdWare.Win32.WProtManager.ce[/B][*] c:\users\admin\appdata\local\download kingdom\xbin\downloadkingdom.dll - [B]not-a-virus:AdWare.Win32.Agent.jluh[/B][*] c:\users\admin\appdata\local\kit car\xbin\kitcar.dll - [B]not-a-virus:AdWare.Win32.Agent.jluh[/B][*] c:\users\admin\appdata\local\03000200-1446981263-0500-0006-000700080009\qnsm25da.tmp - [B]not-a-virus:AdWare.Win32.ConvertAd.bai[/B][*] c:\users\admin\appdata\roaming\aspackage\aspackage.exe - [B]not-a-virus:HEUR:AdWare.Win32.ConvertAd.heur[/B] ( BitDefender: Gen:Variant.Symmi.42587, AVAST4: Win32:Dropper-gen [Drp] )[*] c:\users\admin\appdata\roaming\jgsrf.exe - [B]not-a-virus:WebToolbar.Win32.CrossRider.yrw[/B] ( BitDefender: Gen:Application.Heur.Xv0@kec3sQiO, AVAST4: Win32:Malware-gen )[/LIST][/LIST]