На ПК самостоятельно устанавливаются/загружаются приложения. [not-a-virus:AdWare.Win32.Agent.jnev ]

Printable View

24.11.2015, 20:04
manifest

На ПК самостоятельно устанавливаются/загружаются приложения. [not-a-virus:AdWare.Win32.Agent.jnev ]

Доброго дня! На ПК самостоятельно грузятся и устанавливаются приложения, появляются ссылки в браузере и спам видео. Удаление не помогает, через некоторое время эти программы появляются вновь.
Помогите решить эту проблему!
24.11.2015, 20:06
Info_bot

Уважаемый(ая) [B]manifest[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
25.11.2015, 16:10
regist

Здравствуйте!

- Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
TerminateProcessByName('c:\program files (x86)\4e435451-1447852549-3049-4832-10bf4863b0a4\knsw5dfe.tmp');
TerminateProcessByName('c:\users\2ba0~1\appdata\local\temp\nss1f4b.tmp');
TerminateProcessByName('c:\programdata\5wminipro5\wminipro.exe');
SetServiceStart('WdsManPro', 4);
StopService('muciceji');
StopService('WdsManPro');
QuarantineFile('c:\program files (x86)\4e435451-1447852549-3049-4832-10bf4863b0a4\knsw5dfe.tmp', '');
QuarantineFile('c:\users\2ba0~1\appdata\local\temp\nss1f4b.tmp', '');
QuarantineFile('C:\Program Files (x86)\SFK\SSFK.exe', '');
QuarantineFileF('C:\Program Files (x86)\SFK\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0, 0);
QuarantineFile('C:\ProgramData\Bamcof\Bamcof.exe', '');
QuarantineFile('C:\Users\Максим\appdata\local\microsoft\start menu\вoйти в интeрнeт.exe', '');
QuarantineFileF('C:\Users\Максим\appdata\roaming\windowsupdater\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0, 0);
QuarantineFile('C:\Windows\system32\vsprotectproxy.dll', '');
QuarantineFile('C:\Users\Максим\AppData\Roaming\WindowsUpdater\Updater.exe', '');
QuarantineFile('C:\Users\Максим\AppData\Local\7812\Updater.exe', '');
QuarantineFile('C:\Program Files\SpaceSoundPro\SpaceSoundPro.exe', '');
QuarantineFile('C:\Program Files (x86)\gmsd_ru_005010155\gmsd_ru_005010155.exe', '');
QuarantineFile('C:\ProgramData\TimeTasks\timetasks.exe', '');
QuarantineFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe', '');
QuarantineFile('C:\Program Files (x86)\Zaxar\ZaxarGameBrowser.exe', '');
QuarantineFile('C:\ProgramData\5WMiniPro5\WMiniPro.exe', '');
QuarantineFileF('C:\ProgramData\5WMiniPro5', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0, 0);
QuarantineFileF('C:\Program Files (x86)\Zaxar\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0, 0);
QuarantineFileF('C:\ProgramData\TimeTasks\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0, 0);
DeleteFile('c:\program files (x86)\4e435451-1447852549-3049-4832-10bf4863b0a4\knsw5dfe.tmp', '32');
DeleteFile('c:\users\2ba0~1\appdata\local\temp\nss1f4b.tmp', '32');
DeleteFile('C:\Program Files (x86)\Zaxar\ZaxarGameBrowser.exe', '32');
DeleteFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe', '32');
DeleteFile('C:\ProgramData\TimeTasks\timetasks.exe', '32');
DeleteFile('C:\Program Files (x86)\gmsd_ru_005010155\gmsd_ru_005010155.exe', '32');
DeleteFile('C:\Users\Максим\AppData\Local\7812\Updater.exe', '32');
DeleteFile('C:\Windows\Tasks\AmiUpdXp.job', '32');
DeleteFile('C:\Windows\system32\Tasks\AmiUpdXp', '64');
DeleteFile('C:\Windows\system32\Tasks\WindowsUpdater', '64');
DeleteFile('c:\programdata\5wminipro5\wminipro.exe', '32');
DeleteFile('C:\Users\Максим\appdata\local\microsoft\start menu\вoйти в интeрнeт.exe', '32');
DeleteFile('C:\Users\Максим\appdata\roaming\windowsupdater\updater.exe', '32');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
DeleteService('muciceji');
DeleteService('WdsManPro');
DeleteFileMask('C:\Program Files (x86)\SFK\', '*', true);
DeleteFileMask('C:\Users\Максим\appdata\roaming\windowsupdater\', '*', true);
DeleteFileMask('C:\ProgramData\5WMiniPro5', '*', true);
DeleteFileMask('C:\Program Files (x86)\Zaxar\', '*', true);
DeleteFileMask('C:\ProgramData\TimeTasks\', '*', true);
DeleteDirectory('C:\Program Files (x86)\SFK\');
DeleteDirectory('C:\Users\Максим\appdata\roaming\windowsupdater\');
DeleteDirectory('C:\ProgramData\5WMiniPro5');
DeleteDirectory('C:\Program Files (x86)\Zaxar\');
DeleteDirectory('C:\ProgramData\TimeTasks\');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'gmsd_ru_005010155');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'schqwrenhm');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteRepair(3);
ExecuteRepair(4);
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

[LIST][*]Скачайте [B][URL="https://toolslib.net/downloads/viewdownload/1-adwcleaner/"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
26.11.2015, 07:07
manifest

[url]http://virusinfo.info/virusdetector/report.php?md5=1E9978CEF3AC826997652648A1710675[/url]
Ссылка на анализ карантина

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

повторный лог раздела Диагностика
Запрошенный карантин выслан.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

отчет AdwCleaner
26.11.2015, 11:45
regist

- [url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё кроме папок от mail.ru - если программами от mail.ru не пользуетесь, то их тоже удалите. Отчет после удаления прикрепите.

+ [url=http://virusinfo.info/showthread.php?t=121767][b]Сделайте полный образ автозапуска uVS[/b][/url], только программу скачайте [url=https://yadi.sk/d/6A65LkI1WEuqC]отсюда[/url]

+ \IconRunner\MoneyBot.exe - эта программа вам знакома?
26.11.2015, 12:39
manifest

Сделал оба пункта. Эта программа мне неизвестна.
26.11.2015, 16:00
regist

IconRunner version 1.0, Buzz Extension, istartpageing uninstall - деинсталируйте.

Supernova, Bing Bar - сами ставили? Если нет также деинсталируйте.

+ - сделайте лог [URL="http://dragokas.com/tools/CheckBrowsersLNK_dbg.zip"]Check Browsers' LNK by Dragokas & regist[/URL]. Заархивируйте его и прикрепите к сообщению.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

+ [url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url] и пришлите карантин

[CODE];uVS v3.86.7 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
BREG
dirzooex %SystemDrive%\USERS\МАКСИМ\APPDATA\LOCAL\BUZZ EXTENSION\ZBIN
dirzooex %SystemDrive%\PROGRAMDATA\BAMCOF
zoo %SystemDrive%\PROGRAMDATA\BAMCOF\BAMCOF.EXE
bl 46AF237500CE319979563708012D27DD 450560
delall %SystemDrive%\PROGRAMDATA\BAMCOF\BAMCOF.EXE
zoo %SystemDrive%\USERS\МАКСИМ\DOWNLOADS\WOTSPEAK MODPACK 0.9.10 VER.0.EXE
delref %SystemDrive%\USERS\МАКСИМ\APPDATA\LOCAL\TEMP\RAR$EXA0.824\RAKES.EXE
dirzooex %SystemRoot%\SYS
czoo
restart[/CODE]

затем свежий образ автозапуска.

+ свежий лог AdwCleaner-а сделайте.
26.11.2015, 19:16
manifest

Вложений: 2

лог LNK

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

образ автозапуска сделал, но не могу загрузить, т.к. нехватает места в менеджере вложений. непонятно как удалить старые файлы.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

лог Adw

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

карантин отправлен
26.11.2015, 20:02
regist

выполняйте остальное

+ - Исправьте с помощью [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиты ClearLNK[/url] следующие ярлыки, отчёт о работе прикрепите:

[CODE]C:\Users\Default\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk
C:\Users\Максим\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Overwolf\Оvеrwоlf.lnk
C:\Users\Public\Desktop\Оverwolf.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\World of Tanks\Wоrld оf Tаnks.lnk
C:\Users\Максим\Desktop\Continue ExtraFeatures Installation.lnk
C:\Users\Максим\Desktop\ВОТ\Wasteland 2.lnk
C:\Users\Public\Desktop\ASUS\'Развлечения\Game Park Console.lnk
C:\Users\Public\Desktop\ASUS\'Текстовый процессор\Adobe Reader X.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Adobe Bridge CS3.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Adobe Device Central CS3.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Adobe Photoshop CS3.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Adobe Stock Photos CS3.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\World of Tanks\Uninstall World of Tanks.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\World of Tanks\World of Tanks.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\World of Tanks\Деинсталлировать World of Tanks.lnk
C:\Users\Максим\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk
C:\Users\Максим\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk
C:\Users\Максим\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Мozilla Firefох.lnk
C:\Users\Максим\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Intеrnet Ехрlоrеr.lnk
C:\Users\Максим\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Wоrld of Таnks Launcher (2).lnk
C:\Users\Максим\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Wоrld of Таnks Launcher.lnk
C:\Users\Максим\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk
C:\Users\Максим\Favorites\Links\Интернет.url

[/CODE]
27.11.2015, 06:12
manifest

Вложений: 1

отчет исправления.
Сделал все кроме образа автозапуска.
27.11.2015, 10:49
regist

[quote="manifest;1335976"]образ автозапуска сделал, но не могу загрузить, т.к. нехватает места в менеджере вложений.[/quote]
можете загрузите сюда [url]http://rghost.ru/[/url] и оставить ссылку

[quote="manifest;1335976"]непонятно как удалить старые файлы.[/quote]
есть в FAQ, ссылка на оглавление у меня в подписи.
27.11.2015, 14:49
manifest

[url]http://rghost.ru/8Ls8MQVZ2[/url]
cсылка на автозапуск
27.11.2015, 16:07
regist

Лог uVS пожалуйста сделайте свежий.
27.11.2015, 18:11
manifest

лог uVS
27.11.2015, 18:41
regist

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url]

[CODE];uVS v3.86.7 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
BREG
zoo %SystemRoot%\SYS\SVCHOST.EXE
bl 9315B6504384B9FD4BF4D41EA4D90A58 331264
delall %SystemRoot%\SYS\SVCHOST.EXE
regt 28
regt 29
czoo
restart[/CODE]

сделайте свежий образ автозапуска. И что с проблемой?
27.11.2015, 19:23
manifest

Вложений: 1

Образ автозапуска.
Больше такой проблемы не было замечено.
27.11.2015, 21:18
regist

Выполните скрипт в AVZ при наличии доступа в интернет:

[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]
28.11.2015, 06:27
manifest

Выполнил, найдено две уязвимости. загрузил.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Выполнил рекомендации. Надеюсь, больше не поймаю ничего подобного!
Спасибо большое за профессиональную помощь!
28.11.2015, 06:37
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \buzzextension.dll.bak._e1c967f85b80b2f8019e6558a4aa28c46b645755 - [B]not-a-virus:AdWare.Win32.Agent.jnev[/B][/LIST][/LIST]