Tencent QQ и только удаленный доступ

Printable View

22.01.2016, 15:23
2jocke2

Вложений: 3

Tencent QQ и только удаленный доступ

Добрый день.
На компе отца стоял регулярно обновляемый касперский. Папу угораздило словить некий "китайский антивирус Tencent". Методом проб и ошибок удалось научится выключать этот "Tencent" так, чтобы он позволял AVZ работать, но он упорно сопротивляется попыткам его вычистить.

К счастью сделать логи удалось.

Ситуация осложняется тем, что к сожалению сам отец в компах не силен, а я сейчас вообще в другой стране. Отец умеет выполнять четкие команды по скайпу (скайп на телефоне, т.е. если что смогу ему сказать куда нажать, даже когда комп не в сети) и запускать teamviewer.

Помогите пожалуйста победить заразу в таких вот непростых условиях.
22.01.2016, 15:26
Info_bot

Уважаемый(ая) [B]2jocke2[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
22.01.2016, 22:01
Vvvyg

Программы от Mail.ru, надеюсь, не нужны?

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\documents and settings\root\local settings\application data\mail.ru\mailruupdater.exe');
TerminateProcessByName('c:\program files\mail.ru\mailruupdater\mailruupdater.exe');
TerminateProcessByName('c:\documents and settings\root\local settings\application data\mail.ru\mrkeeper.exe');
TerminateProcessByName('c:\program files\tencent\qqpcmgr\11.2.17058.221\qqpcrtp.exe');
StopService('QQPCRTP');
StopService('Updater.Mail.Ru');
StopService('QMIEProtect');
StopService('QMUdisk');
StopService('QQSysMon');
StopService('softaal');
StopService('TFsFlt');
StopService('TsFltMgr');
StopService('TSKSP');
DeleteFile('c:\documents and settings\root\local settings\application data\mail.ru\mailruupdater.exe', '32');
DeleteFile('c:\program files\mail.ru\mailruupdater\mailruupdater.exe', '32');
DeleteFile('c:\documents and settings\root\local settings\application data\mail.ru\mrkeeper.exe', '32');
DeleteFile('c:\program files\tencent\qqpcmgr\11.2.17058.221\qqpcrtp.exe', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\QMGCShellExt.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\exnscan.dll', '32');
DeleteFile('C:\Documents and Settings\All Users\Application Data\Tencent\TSVulFw\TSVulFW.DAT', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\QMIEsafeDll.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\QMBrowserSafe.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\QMIpc.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\plugins\FileSmash\QMSoftExt.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\QMContextUninstall.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\QMContextScan.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\QMCommon.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\RefuseInject.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\dr.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\QMAntiInject.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\ptrate.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\sqlite.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\QMTrayPlugin\QMPerfCtrl\QMPerf.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\QMNetworkMgr.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\scc.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\TSSysKitProxy.dll', '32');
DeleteFile('c:\program files\tencent\qqpcmgr\11.2.17058.221\qmsysrepprov.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\QQFileFlt.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\QMExt.dll', '32');
DeleteFile('c:\program files\tencent\qqpcmgr\11.2.17058.221\qmscripthost.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\TAVEng.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\plugins\QMHipsEngine.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\QMHIPSHeart.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\QMHIPSService.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\QMEmMat.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\QMHIPSPolicyEng.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\TAVUpload.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\plugins\QMBDScanner.dat', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\QMAssocScan.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\plugins\sysspeeduprtpplugin\SysSpeedupRtpPlugin.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\TAVCache.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\plugins\qmiemalrtpplugin\qmiemalrtpplugin.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\oDayProtect.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\SoftMgr\processlogdll.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\QMFileMon.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\QMRtpCheck.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\communic.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\QQPCFIXATDLL.DLL', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\QMInfoEng.DLL', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\QMUl.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\plugins\QMRepairPlugin.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\QMDns.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\QMRtpDLL.dll', '32');
DeleteFile('c:\program files\tencent\qqpcmgr\11.2.17058.221\qmrtpcontroller.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\QMAVProxy.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\QMSafeBoxHelperDll.dll', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\QMIEProtect.sys', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\QMUdisk.sys', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\QQSysMon.sys', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\softaal.sys', '32');
DeleteFile('C:\WINDOWS\system32\Drivers\TFsFlt.sys', '32');
DeleteFile('C:\WINDOWS\system32\drivers\TsFltMgr.sys', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\TSKsp.sys', '32');
DeleteFile('C:\WINDOWS\system32\tssk.sys', '32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\QQPCTray.exe', '32');
DeleteFile('C:\Documents and Settings\root\Local Settings\Application Data\Amigo\Application\amigo.exe', '32');
DeleteFile('C:\Program Files\IObit\IObit Uninstaller\UninstallMenuRight32.dll', '32');
DeleteFile('C:\Documents and Settings\root\Local Settings\Application Data\Amigo\Application\vk.exe', '32');
DeleteFile('C:\Documents and Settings\root\Local Settings\Application Data\Amigo\Application\ok.exe', '32');
DeleteFile('C:\Program Files\IObit\IObit Uninstaller\UninstallExplorer32.dll', '32');
DeleteFile('C:\Documents and Settings\root\Local Settings\Application Data\Hostinstaller\3764770235_installcube.exe', '32');
DeleteFile('C:\Documents and Settings\root\Application Data\WindowsUpdater\Updater.exe', '32');
DeleteFile('\??\C:\Program Files\Tencent\QQPCMgr\11.2.17058.221\TSKsp.sys', '32');
DeleteService('QQPCRTP');
DeleteService('Updater.Mail.Ru');
DeleteService('QMIEProtect');
DeleteService('QMUdisk');
DeleteService('QQSysMon');
DeleteService('softaal');
DeleteService('TFsFlt');
DeleteService('TsFltMgr');
DeleteService('TSKSP');
DeleteService('TSSK');
DeleteFileMask('c:\documents and settings\root\local settings\application data\mail.ru', '*', true);
DeleteFileMask('c:\program files\mail.ru', '*', true);
DeleteFileMask('c:\program files\tencent', '*', true);
DeleteFileMask('C:\Documents and Settings\All Users\Application Data\Tencent', '*', true);
DeleteFileMask('C:\Documents and Settings\root\Local Settings\Application Data\Amigo', '*', true);
DeleteFileMask('C:\Program Files\IObit', '*', true);
DeleteFileMask('C:\Documents and Settings\root\Local Settings\Application Data\Hostinstaller', '*', true);
DeleteFileMask('C:\Documents and Settings\root\Application Data\WindowsUpdater', '*', true);
DeleteFileMask('\??\C:\Program Files\Tencent', '*', true);
DeleteDirectory('c:\documents and settings\root\local settings\application data\mail.ru');
DeleteDirectory('c:\program files\mail.ru');
DeleteDirectory('c:\program files\tencent');
DeleteDirectory('C:\Documents and Settings\All Users\Application Data\Tencent');
DeleteDirectory('C:\Documents and Settings\root\Local Settings\Application Data\Amigo');
DeleteDirectory('C:\Program Files\IObit');
DeleteDirectory('C:\Documents and Settings\root\Local Settings\Application Data\Hostinstaller');
DeleteDirectory('C:\Documents and Settings\root\Application Data\WindowsUpdater');
DeleteDirectory('\??\C:\Program Files\Tencent');
DelBHO('{10921475-03CE-4E04-90CE-E2E7EF20C814}');
DelBHO('{92780B25-18CC-41C8-B9BE-3C9C571A8263}');
ExecuteFile('schtasks.exe', '/delete /TN "Soft installer" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "WindowsUpdater" /F', 0, 15000, true);
DelCLSID('{B19ED566-D419-470b-B111-3C89040BC027}');
DelCLSID('{63332668-8CE1-445D-A5EE-25929176714E}');
DelCLSID('{CBDECEF7-7A29-4cbf-A009-2673D82C7BF9}');
DelCLSID('{754DF2CE-51E8-4895-B53C-6381418B84AE}');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', ' QQPCTray');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'MailRuUpdater');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'amigo');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved', '{B19ED566-D419-470b-B111-3C89040BC027}');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved', '{63332668-8CE1-445D-A5EE-25929176714E}');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved', '{CBDECEF7-7A29-4cbf-A009-2673D82C7BF9}');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved', '{754DF2CE-51E8-4895-B53C-6381418B84AE}');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('QMIEProtect');
BC_DeleteSvc('QMUdisk');
BC_DeleteSvc('QQSysMon');
BC_DeleteSvc('softaal');
BC_DeleteSvc('TAOAccelerator');
BC_DeleteSvc('TAOKernelDriver');
BC_DeleteSvc('TFsFlt');
BC_DeleteSvc('TsFltMgr');
BC_DeleteSvc('TSKSP');
ExecuteRepair(13);
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

Сделайте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner (by Xplode)[/URL].
23.01.2016, 18:35
2jocke2

Вложений: 1

Спасибо за помощь!
[QUOTE=Vvvyg;1351904]Программы от Mail.ru, надеюсь, не нужны?[/QUOTE]ни в коем случае! :)

[QUOTE=Vvvyg;1351904][URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL][/QUOTE] Выполнил, после перезагрузки гад по-прежнему на месте. :(

[QUOTE=Vvvyg;1351904]Сделайте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner (by Xplode)[/URL].[/QUOTE] Этот лог удалось сделать не выгружая зловреда из памяти. Прилагаю.
23.01.2016, 21:55
Vvvyg

[url="http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864"]Удалите всё найденное в [B]AdwCleaner[/B][/URL], дождитесь окончания удаления и перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C1].txt, прикрепите к своему следующему сообщению.

Скачайте программу [URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url].
24.01.2016, 10:12
2jocke2

Вложений: 2

Сделал. Похоже, AdwCleaner отлично справился, присутствия дряни больше не заметно. Спасибо!
24.01.2016, 12:14
Vvvyg

Адвклинером снесли punto Switcher, переустановите.

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url][code];uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v385c
delref %SystemDrive%\DOCUMENTS AND SETTINGS\ROOT\APPLICATION DATA\MOZILLA\FIREFOX\PROFILES\A01H8MPV.DEFAULT\SEARCHPLUGINS\MAILRU.XML
delref %SystemDrive%\PROGRAM FILES\COMMON FILES\TENCENT\QQPHONEMANAGER\2.0.201.3192\NPQQPHONEMANAGEREXT.DLL
del %SystemDrive%\DOCUMENTS AND SETTINGS\ROOT\APPLICATION DATA\MICROSOFT\INTERNET EXPLORER\QUICK LAUNCH\MAIL.RU.LNK
delref HTTP://GO.MAIL.RU/DISTIB/EP/?PRODUCT_ID=%7B3C000FB3-753A-4316-92FB-026CBBB68799%7D&GP=820331
uidel "C:\Documents and Settings\root\Local Settings\Application Data\Amigo\Application\44.4.2403.3\Installer\setup.exe" --uninstall
deltmp
delref %SystemDrive%\PROGRAM FILES\TENCENT\QQPCMGR\11.2.17058.221\QQPCTRAY.EXE
delref %SystemDrive%\DOCUMENTS AND SETTINGS\ROOT\LOCAL SETTINGS\APPLICATION DATA\AMIGO\APPLICATION\44.4.2403.3\DELEGATE_EXECUTE.EXE
delref %SystemDrive%\PROGRAM FILES\TENCENT\QQPCMGR\11.2.17058.221\NPQMEXTENSIONSIE.DLL
delref %SystemDrive%\PROGRAM FILES\TENCENT\QQPCMGR\11.2.17058.221\QMCONTEXTUNINSTALL.DLL
delref %SystemDrive%\PROGRAM FILES\TENCENT\QQPCMGR\11.2.17058.221\QMCONTEXTSCAN.DLL
delref %SystemDrive%\DOCUMENTS AND SETTINGS\ROOT\LOCAL SETTINGS\APPLICATION DATA\AMIGO\APPLICATION\AMIGO.EXE
delref %SystemDrive%\PROGRAM FILES\TENCENT\QQPCMGR\11.2.17058.221\QQPCSOFTMGR.EXE
restart[/code]Компьютер перезагрузится.

В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.
24.01.2016, 17:26
2jocke2

Вложений: 1

[QUOTE=Vvvyg;1352320]Адвклинером снесли punto Switcher, переустановите.[/QUOTE]Без проблем.

[QUOTE=Vvvyg;1352320]В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.[/QUOTE]Готово.

А про "Неизвестный загрузчик" это оно серьезно? Я там вроде ничего такого не ставил, должен быть стандартный виндовый.
24.01.2016, 19:12
Vvvyg

Там нет базы проверенных, так что не обращайте внимания.

Запустите AdwCleaner и нажмите [B]Деинсталлировать (Uninstall)[/B].

Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].
24.01.2016, 19:54
2jocke2

Сделал, спасибо огромное за помощь!
24.01.2016, 20:04
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]