В браузерах установилась стартовая страница и поменялась поисковая система [not-a-virus:AdWare.Win32.Eorezo.chew ]

Printable View

20.11.2015, 14:07
pani4uk.denis

Вложений: 3

В браузерах установилась стартовая страница и поменялась поисковая система [not-a-virus:AdWare.Win32.Eorezo.chew ]

В браузерах гугл хром и эксплорер самопроизвольно поменялась стартовая страница и поисковая система. Самостоятельно загружаются и устанавливаются различные приложения. Гугл хром стал выключаться. Появилась куча рекламы. Появилась переадресация страниц в интернете. Нашел целую кучу непонятных программ типа GoHd. Удалил их программой Revo Uninstailer. Проблема непропала. При сканировании системы KVRT было найдено порядка 25 троянов, но их удаление не дало результата. Также постоянно устанавливается браузер хромиум.
20.11.2015, 14:08
Info_bot

Уважаемый(ая) [B]pani4uk.denis[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
20.11.2015, 14:24
Sandor

Здравствуйте!

[URL="http://virusinfo.info/showthread.php?t=130828"][b]Временно[/b] отключите защитное ПО[/URL], интернет не отключайте.
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]:

[CODE]begin
ExecuteAVUpdate;
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
TerminateProcessByName('c:\users\user\appdata\local\temp\is-sedas.tmp\gentlemjmp_irow.exe');
TerminateProcessByName('c:\users\user\appdata\local\temp\is-g6d4f.tmp\gentlemjmp_irow.tmp');
TerminateProcessByName('c:\users\user\appdata\roaming\aaf5f67b-1431792986-a347-badf-5c3eb3dbd424\hnse5265.tmp');
TerminateProcessByName('c:\program files (x86)\aaf5f67b-1446107628-a347-badf-5c3eb3dbd424\hnsq1eb.tmp');
TerminateProcessByName('c:\program files (x86)\aaf5f67b-1446107628-a347-badf-5c3eb3dbd424\jnsqe8d3.tmp');
TerminateProcessByName('c:\program files (x86)\aaf5f67b-1446107628-a347-badf-5c3eb3dbd424\knst57a9.tmp');
TerminateProcessByName('c:\users\user\appdata\local\temp\is-i2kg7.tmp\majmp_gentlerow.tmp');
TerminateProcessByName('c:\users\user\appdata\local\aaf5f67b-1447969451-a347-badf-5c3eb3dbd424\qnsu6b16.tmp');
StopService('fofinine');
StopService('hidekoqe');
StopService('penipoto');
StopService('wyroxowe');
QuarantineFile('c:\users\user\appdata\local\temp\is-sedas.tmp\gentlemjmp_irow.exe', '');
QuarantineFile('c:\users\user\appdata\local\temp\is-g6d4f.tmp\gentlemjmp_irow.tmp', '');
QuarantineFile('c:\users\user\appdata\roaming\aaf5f67b-1431792986-a347-badf-5c3eb3dbd424\hnse5265.tmp', '');
QuarantineFile('c:\program files (x86)\aaf5f67b-1446107628-a347-badf-5c3eb3dbd424\hnsq1eb.tmp', '');
QuarantineFile('c:\program files (x86)\aaf5f67b-1446107628-a347-badf-5c3eb3dbd424\jnsqe8d3.tmp', '');
QuarantineFile('c:\program files (x86)\aaf5f67b-1446107628-a347-badf-5c3eb3dbd424\knst57a9.tmp', '');
QuarantineFile('c:\users\user\appdata\local\temp\is-i2kg7.tmp\majmp_gentlerow.tmp', '');
QuarantineFile('c:\users\user\appdata\local\aaf5f67b-1447969451-a347-badf-5c3eb3dbd424\qnsu6b16.tmp', '');
QuarantineFile('C:\Users\User\AppData\Local\Temp\is-ABPJ2.tmp\w8white.cjstyles', '');
QuarantineFile('C:\Program Files (x86)\Microsoft Data\install_addons.exe', '');
QuarantineFile('C:\Users\User\AppData\Local\SystemDir\nethost.exe', '');
ExecuteFile('schtasks.exe', '/delete /TN "chrome5" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "chrome5_logon" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "nethost task" /F', 0, 15000, true);
DeleteFile('c:\users\user\appdata\local\temp\is-sedas.tmp\gentlemjmp_irow.exe', '32');
DeleteFile('c:\users\user\appdata\local\temp\is-g6d4f.tmp\gentlemjmp_irow.tmp', '32');
DeleteFile('c:\users\user\appdata\roaming\aaf5f67b-1431792986-a347-badf-5c3eb3dbd424\hnse5265.tmp', '32');
DeleteFile('c:\program files (x86)\aaf5f67b-1446107628-a347-badf-5c3eb3dbd424\hnsq1eb.tmp', '32');
DeleteFile('c:\program files (x86)\aaf5f67b-1446107628-a347-badf-5c3eb3dbd424\jnsqe8d3.tmp', '32');
DeleteFile('c:\program files (x86)\aaf5f67b-1446107628-a347-badf-5c3eb3dbd424\knst57a9.tmp', '32');
DeleteFile('c:\users\user\appdata\local\temp\is-i2kg7.tmp\majmp_gentlerow.tmp', '32');
DeleteFile('c:\users\user\appdata\local\aaf5f67b-1447969451-a347-badf-5c3eb3dbd424\qnsu6b16.tmp', '32');
DeleteFile('C:\Users\User\AppData\Local\Temp\is-ABPJ2.tmp\w8white.cjstyles', '32');
DeleteFile('C:\Program Files (x86)\Microsoft Data\install_addons.exe', '32');
DeleteFile('C:\Users\User\AppData\Local\SystemDir\nethost.exe', '32');
DeleteFileMask('C:\Users\User\AppData\Local\SystemDir', '*', true);
DeleteDirectory('C:\Users\User\AppData\Local\SystemDir');
DeleteService('fofinine');
DeleteService('hidekoqe');
DeleteService('penipoto');
DeleteService('wyroxowe');
ExecuteSysClean;
ExecuteRepair(4);
ExecuteRepair(21);
ExecuteWizard('SCU', 2, 3, true);
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.

[/CODE]

Компьютер [U]перезагрузится[/U].

Файл [B]quarantine.zip[/B] из папки AVZ загрузите по ссылке "[B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.

Cделайте лог [URL="http://dragokas.com/tools/CheckBrowsersLNK_dbg.zip"]Check Browsers' LNK by Dragokas & regist[/URL]. Заархивируйте его и прикрепите к сообщению.

Подготовьте лог сканирования [url=http://virusinfo.info/showthread.php?t=146192]AdwCleaner[/url].
20.11.2015, 17:13
pani4uk.denis

Вложений: 2

Установил гугл хром. Стали проситься надстройки. Поудалял их.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

После установки хрома стали устанавливаться ранее удаленные программы. При попытке их удаления нагло устанавливаются обратно.
20.11.2015, 23:10
Sandor

Не спешите, мы только в начале лечения.

1. Перетащите лог Check_Browsers_LNK.log на [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиту ClearLNK[/url]. Отчет о её работе прикрепите к следующему сообщению.

2.[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR] (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]).[*]Нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]). [*]По окончании сканирования в меню [b]Настройки[/b] отметьте дополнительно:
[list][*]Сброс политик IE[*]Сброс политик Chrome[/list][*]Нажмите кнопку [B]"Cleaning"[/B] ([B]"Очистка"[/B]) и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[C1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].

Очистите средствами AdwCleaner всё, кроме папок от [b]mail.ru[/b]. Если программами от mail.ru не пользуетесь, то их тоже очистите.

3. Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочками также "Shortcut.txt".

Нажмите кнопку [B]Scan[/B].
После окончания сканирования будут созданы отчеты [B]FRST.txt[/B], [B]Addition.txt[/B], [B]Shortcut.txt[/B] в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
21.11.2015, 14:27
pani4uk.denis

Вложений: 5

высылаю отчеты
21.11.2015, 22:20
Sandor

Создайте текстовый файл [B]fixlist.txt[/B] в папке с Farbar Recovery Scan Tool, скопируйте в него текст из окна "код" ниже и сохраните.
[code]start
CreateRestorePoint:
() C:\Users\User\AppData\Local\Temp\nsjB045.tmp
C:\Users\User\AppData\Local\Temp\nsjB045.tmp
GroupPolicy-x32: Restriction - Chrome <======= ATTENTION
CHR HKU\S-1-5-21-2948797635-1216418840-2691928761-1002\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
OPR Extension: (SuperMegaBest.com) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\aonedlchkbicmhepimiahfalheedjgbh [2015-05-21]
OPR Extension: (Quick Searcher) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\djhgiahomjkabjdodlemhnhbnbfcomam [2015-07-19]
OPR Extension: (Edu App) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\egbbkgfcadlapbbofghpgheommkldfie [2015-05-20]
OPR Extension: (nopeodilnmhhlfageeohjojginlgeljk) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\nopeodilnmhhlfageeohjojginlgeljk [2015-11-16]
S1 BAPIDRV; system32\DRIVERS\BAPIDRV64.sys [X]
2015-11-02 11:10 - 2015-11-15 21:43 - 00000000 ____D C:\Users\User\AppData\Roaming\MailProducts
2015-10-31 11:41 - 2015-10-31 11:41 - 00002251 _____ C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Амиго.lnk
2015-10-31 11:12 - 2015-10-31 11:12 - 00004278 _____ C:\WINDOWS\System32\Tasks\CDB4D4E5-BC3C-4911-9499-10D67E37EF4A
2015-10-31 10:02 - 2015-11-21 10:18 - 00000098 _____ C:\Users\Все пользователи\{262E20B8-6E20-4CEF-B1FD-D022AB1085F5}.dat
2015-10-31 10:02 - 2015-11-21 10:18 - 00000098 _____ C:\ProgramData\{262E20B8-6E20-4CEF-B1FD-D022AB1085F5}.dat
2015-10-31 09:58 - 2015-10-31 09:58 - 00004278 _____ C:\WINDOWS\System32\Tasks\1EA5F034-86FC-4C21-95A9-7623B863DC7A
2015-10-30 17:58 - 2015-10-30 17:58 - 00004206 _____ C:\WINDOWS\System32\Tasks\8AC2285C-B6C2-4E79-8666-D5C5EF55133
2015-10-30 12:14 - 2015-10-30 12:14 - 00000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\MyBrowser
2015-10-29 16:39 - 2015-10-29 16:39 - 00000000 ____D C:\Users\Все пользователи\Bamcofs
2015-10-29 16:39 - 2015-10-29 16:39 - 00000000 ____D C:\ProgramData\Bamcofs
2015-10-29 16:38 - 2015-11-18 12:09 - 00000000 ____D C:\Users\Все пользователи\Bamcof
2015-10-29 16:38 - 2015-11-18 12:09 - 00000000 ____D C:\ProgramData\Bamcof
2015-10-29 16:38 - 2015-10-29 16:38 - 05447611 _____ C:\Program Files\Common Files\mlcezo1u.exe
2015-10-29 16:37 - 2015-10-29 16:37 - 00000000 ____D C:\Program Files\Common Files\pu54t243
2015-10-29 16:23 - 2015-10-29 16:23 - 00628688 _____ (CMI Limited) C:\Users\User\AppData\Local\nsuDE93.tmp
C:\Users\User\AppData\Local\Temp\avg1F39.exe
C:\Users\User\AppData\Local\Temp\fsdB05D.exe
C:\Users\User\AppData\Local\Temp\fsdEA70.exe
C:\Users\User\AppData\Local\Temp\i4jdel0.exe
C:\Users\User\AppData\Local\Temp\tmp400F.tmp.exe
globalupdate Helper (x32 Version: 1.3.25.0 - globalupdate Inc.) Hidden <==== ATTENTION
Task: {893D9458-DE69-454A-BA54-F6E7CFFFE43B} - System32\Tasks\Uninstaller_SkipUac_User => C:\Program Files (x86)\IObit\IObit Uninstaller\IObitUninstaler.exe
Task: {C2D5379F-BB17-4C68-90DE-E85A328FEF24} - System32\Tasks\1EA5F034-86FC-4C21-95A9-7623B863DC7A => C:\Users\User\AppData\Local\1EA5F034-86FC-4C21-95A9-7623B863DC7A\1EA5F034-86FC-4C21-95A9-7623B863DC7A.exe <==== ATTENTION
Task: {CE9AF4EA-C962-4F59-9D25-5A87A8E8BE7E} - System32\Tasks\8AC2285C-B6C2-4E79-8666-D5C5EF55133 => C:\Users\User\AppData\Local\8AC2285C-B6C2-4E79-8666-D5C5EF55133\8AC2285C-B6C2-4E79-8666-D5C5EF55133.exe <==== ATTENTION
Task: C:\WINDOWS\Tasks\Uninstaller_SkipUac_User.job => C:\Program Files (x86)\IObit\IObit Uninstaller\IObitUninstaler.exe
2015-11-21 10:18 - 2015-11-21 10:18 - 00222208 _____ () C:\Users\User\AppData\Local\Temp\nsjB045.tmp
FirewallRules: [{00C59A77-07E2-43EB-B117-EAE94473DEF5}] => (Allow) C:\Program Files (x86)\MyBrowser\MyBrowser\Application\mybrowser.exe
FirewallRules: [{D1D3E8D4-7BF8-4A76-A147-62515B3837D4}] => (Allow) C:\Users\User\AppData\Local\Amigo\Application\amigo.exe
Reboot:
end[/code]
Отключите до перезагрузки антивирус, запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

В перечне установленных программ появится
[QUOTE]globalupdate Helper[/QUOTE]удалите.

Сообщите что с проблемой.
22.11.2015, 00:59
pani4uk.denis

Вложений: 1

Браузеры вроде как успокоились. Программы не устанавливаются самостоятельно. Спасибо большое за помощь.:)
22.11.2015, 16:13
Sandor

В завершение:
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL] при наличии доступа в интернет:

[CODE]var
LogPath : string;
ScriptPath : string;
begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

[URL="http://virusinfo.info/showthread.php?t=121902"][b]Советы и рекомендации после лечения компьютера.[/b][/URL]
23.11.2015, 12:35
pani4uk.denis

Появилась еще одна проблема После действий, указанных вами в сообщении №7, перестала работать программа для доступа в интернет. После ее переустановки перестали работать USB порты. На следующий день проблема пропала сама по себе. Вот я подумал может завелась еще какая то гадость... Все ошибки связаны с драйверами. Ошибка 52.
23.11.2015, 12:50
Sandor

Сделайте повторные логи по [URL="http://virusinfo.info/pravila.html"]правилам[/URL] п.2 и 3 раздела Диагностика.([COLOR="RoyalBlue"]virusinfo_syscheck.zip;hijackthis.log[/COLOR])
24.11.2015, 12:46
pani4uk.denis

Вложений: 2

Сделал
24.11.2015, 13:30
Sandor

[URL="http://virusinfo.info/showthread.php?t=130828"][b]Временно[/b] отключите защитное ПО[/URL].
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]:

[CODE]begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
StopService('ginoquci');
QuarantineFile('C:\Users\User\AppData\Local\Amigo\Application\amigo.exe','');
QuarantineFile('C:\Users\User\AppData\Roaming\askme\minecraft-goldmods.ru.url','');
QuarantineFile('C:\Program Files (x86)\AskPartnerNetwork\Toolbar\Updater\TBNotifier.exe','');
QuarantineFile('C:\Program Files (x86)\MyBrowser\MyBrowser\Application\mybrowser.exe','');
QuarantineFile('C:\Users\User\AppData\Local\Temp\nsjB045.tmp', '');
DeleteFile('C:\Program Files (x86)\MyBrowser\MyBrowser\Application\mybrowser.exe','32');
DeleteFile('C:\Program Files (x86)\AskPartnerNetwork\Toolbar\Updater\TBNotifier.exe','32');
DeleteFile('C:\Users\User\AppData\Roaming\askme\minecraft-goldmods.ru.url','32');
DeleteFile('C:\Users\User\AppData\Local\Amigo\Application\amigo.exe','32');
DeleteFile('C:\Users\User\AppData\Local\Temp\nsjB045.tmp', '32');
DeleteService('ginoquci');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','GoogleChromeAutoLaunch_47F7BC3F04EDDBBFA5AF8F7989DF3AE0');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','ApnTBMon');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','minecraft-gold');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.

[/CODE]

Компьютер [U]перезагрузится[/U].

Файл [B]quarantine.zip[/B] из папки AVZ загрузите по ссылке "[B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.

Сделайте еще раз повторные логи по [URL="http://virusinfo.info/pravila.html"]правилам[/URL] п.2 и 3 раздела Диагностика.([COLOR="RoyalBlue"]virusinfo_syscheck.zip;hijackthis.log[/COLOR])
25.11.2015, 13:21
pani4uk.denis

Вложений: 2

Карантин не выгружается. Пишет что данный файл уже загружен, хотя на папке карантина стоит сегоднешняя дата.
25.11.2015, 13:48
Sandor

В логах чисто, что с проблемой?
26.11.2015, 11:57
pani4uk.denis

ВСЕ УСПОКОИЛОСЬ. СПАСИБО ЗА ПОМОЩЬ.
26.11.2015, 12:09
Sandor

Если еще не делали, [url=http://virusinfo.info/showthread.php?t=193105&p=1334575&viewfull=1#post1334575]выполните эти рекомендации[/url].
26.11.2015, 12:19
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\user\appdata\local\temp\is-sedas.tmp\gentlemjmp_irow.exe - [B]not-a-virus:AdWare.Win32.Eorezo.chew[/B][/LIST][/LIST]