Вирус - ненужные спам программы, реклама в соц сетях и ютубе

Printable View

07.02.2016, 00:10
Gigo

Вложений: 3

Вирус - ненужные спам программы, реклама в соц сетях и ютубе

После установки нехорошей программки начали устанавливаться куча ненужных прог, такие как поиск мэил, амиго, "интернет", одноклассники и прочая чушь. В новостной ленте вк все забито рекламой типа "Путин в Пекине ШОК!!!" так же на ютубе заменяются слайды с видео на рекламу типа Путина. В расширениях хрома автоматически ставятся расширения от мэила "визуальные закладки и т.п." так же появилось одно расширение которое я не ставил - Anti-obscene, которое так просто не удалишь (установлено в соответствии с корпоративным правилом). вроде всё
07.02.2016, 00:11
Info_bot

Уважаемый(ая) [B]Gigo[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
07.02.2016, 10:29
regist

Здравствуйте!

- Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFileF('c:\users\дмитрий\appdata\local\hostinstaller', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
QuarantineFile('C:\Program Files\D9993940-1454259498-11E0-AF2C-BCAEC5B8547E\knskE83E.tmpfs', '');
QuarantineFile('C:\Program Files\D9993940-1454259498-11E0-AF2C-BCAEC5B8547E\hnsp2D41.tmp', '');
QuarantineFile('C:\Windows\system32\GroupPolicy\Machine\Registry.pol', '');
QuarantineFile('C:\Users\Дмитрий\AppData\Roaming\Microsoft\Egnmnq.exe', '');
QuarantineFileF('C:\Users\Дмитрий\AppData\Local\SystemMonitor2016\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFile('C:\Users\Дмитрий\AppData\Roaming\ScreenSaverPro.scr', '');
QuarantineFile('C:\Users\Дмитрий\AppData\Local\Hostinstaller\2821182674_monster.exe', '');
QuarantineFile('C:\Users\Дмитрий\appdata\roaming\daemon2.exe', '');
QuarantineFileF('C:\Program Files\Mobogenie\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFileF('C:\Users\Дмитрий\appdata\roaming\aspackage\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
DeleteFile('C:\Program Files\D9993940-1454259498-11E0-AF2C-BCAEC5B8547E\knskE83E.tmpfs', '32');
DeleteFile('C:\Program Files\D9993940-1454259498-11E0-AF2C-BCAEC5B8547E\hnsp2D41.tmp', '32');
DeleteFile('C:\Windows\system32\GroupPolicy\Machine\Registry.pol', '32');
DeleteFile('C:\Users\Дмитрий\AppData\Roaming\Microsoft\Egnmnq.exe', '32');
DeleteFile('C:\Users\Дмитрий\AppData\Roaming\ScreenSaverPro.scr', '32');
DeleteFile('C:\Users\Дмитрий\AppData\Local\Hostinstaller\2821182674_monster.exe', '32');
DeleteFile('C:\Users\Дмитрий\appdata\roaming\daemon2.exe', '32');
ExecuteFile('schtasks.exe', '/delete /TN "Soft installer" /F', 0, 15000, true);
DeleteService('pupyjuxezbt');
DeleteService('wucotusy');
DeleteFileMask('c:\users\дмитрий\appdata\local\hostinstaller', '*', true);
DeleteDirectory('c:\users\дмитрий\appdata\local\hostinstaller');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'C');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Egnmnq', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Screen Saver Pro 3.1', 'command');
BC_ImportALL;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

aspackage - деинсталируйте.

SystemMonitor2016 - вам знакомо?

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

[LIST][*]Скачайте [B][URL="https://toolslib.net/downloads/viewdownload/1-adwcleaner/"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
07.02.2016, 14:53
Gigo

Вложений: 3

"virusinfo_auto_имя_вашего_ПК.zip" загружаю свой файл и бесконечная загрузка
SystemMonitor2016 - не знакомо
07.02.2016, 15:22
regist

[quote="Gigo;1356577"]"virusinfo_auto_имя_вашего_ПК.zip" загружаю свой файл и бесконечная загрузка[/quote]
закачайте архив на любой файлообменник, не требующий ввода капчи (например: [url=http://rghost.ru/]RGhost[/url], [url=http://www.zippyshare.com/]Zippyshare[/url], [url=http://my-files.ru/]My-Files.RU[/url] или [url=http://webfile.ru/]WebFile[/url]) ссылку на скачивание пришлите в ЛС.

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFileF('C:\Users\Дмитрий\AppData\Local\SystemMonitor2016\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
ExecuteFile('schtasks.exe', '/delete /TN "SystemMonitor2016" /F', 0, 15000, true);
DeleteFileMask('C:\Users\Дмитрий\AppData\Local\SystemMonitor2016\', '*', true);
DeleteDirectory('C:\Users\Дмитрий\AppData\Local\SystemMonitor2016\');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\mobilegeni daemon', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\NextLive', 'command');
ClearHostsFile;
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- [url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё кроме папок от mail.ru - если программами от mail.ru не пользуетесь, то их тоже удалите. Отчет после удаления прикрепите.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
07.02.2016, 16:23
Gigo

Вложений: 4

насчет двух файлов AdwCleaner - S2 создан ДО перезагрузки, С1 после
07.02.2016, 17:08
regist

[LIST][*]Пожалуйста, запустите adwcleaner.exe[*]Нажмите [B]Uninstall[/B] ([B]Деинсталлировать[/B]).[*]Подтвердите удаление нажав кнопку: Да.[/LIST]

что с проблемой?
07.02.2016, 17:36
Gigo

Вложений: 3

амиго и его друзья пока не показывались
остались проблемы в браузере (реклама в новостной ленте вк, замена слайдов в ютубе, левое расширение)
добавил скрины вирусов
07.02.2016, 18:34
regist

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку [B]Scan[/B].
После окончания сканирования будут созданы отчеты [B]FRST.txt[/B], [B]Addition.txt[/B], [B]Shortcut.txt[/B] в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
07.02.2016, 23:52
Gigo

Вложений: 3

вот
08.02.2016, 10:13
regist

Java 7 Update 60 - деинсталируйте.
Skype Click to Call - также рекомендую деинсталировать.

Закройте все программы, [url=http://virusinfo.info/showthread.php?t=130828][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
ClearQuarantine;
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Opera.lnk', '');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StarCraft II\StarCraft II.lnk', '');
QuarantineFile('C:\Users\Public\Desktop\StarCraft II.lnk', '');
QuarantineFile('C:\ProgramData\vPmQrxOO\jZUoxl2.bat', '');
QuarantineFile('C:\ProgramData\IqZMVoPPeo\oaarilzU3.bat', '');
QuarantineFileF('C:\ProgramData\vPmQrxOO', '*', true, '', 0, 0);
QuarantineFileF('C:\ProgramData\IqZMVoPPeo', '*', true, '', 0, 0);
DeleteFile('C:\ProgramData\vPmQrxOO\jZUoxl2.bat', '');
DeleteFile('C:\ProgramData\IqZMVoPPeo\oaarilzU3.bat', '');
DeleteFileMask('C:\ProgramData\vPmQrxOO', '*', true);
DeleteFileMask('C:\ProgramData\IqZMVoPPeo', '*', true);
DeleteDirectory('C:\ProgramData\vPmQrxOO');
DeleteDirectory('C:\ProgramData\IqZMVoPPeo');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
[/CODE]

Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Исправьте с помощью [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиты ClearLNK[/url] следующие ярлыки, отчёт о работе прикрепите:
[CODE]C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Opera.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StarCraft II\StarCraft II.lnk
C:\Users\Public\Desktop\StarCraft II.lnk
[/CODE]

Программы от Iobit используете?
Если нет, то:

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:
[code]start
CreateRestorePoint:
HKU\S-1-5-21-3508318417-3259659139-2140720452-1000\...\MountPoints2: {37b577fa-7ae0-11e4-8afe-c8d3a383e281} - G:\AutoRun.exe
HKU\S-1-5-21-3508318417-3259659139-2140720452-1000\...\MountPoints2: {7209652a-ceba-11e3-aef7-bca4b8a6674e} - G:\AutoRun.exe
HKU\S-1-5-21-3508318417-3259659139-2140720452-1000\...\MountPoints2: {d119ed8e-8ad2-11e4-987b-c8d3a383e281} - H:\LGAutoRun.exe
HKU\S-1-5-21-3508318417-3259659139-2140720452-1000\...\MountPoints2: {f357443b-afa2-11e3-b52e-a0f72545fa45} - G:\setup.exe
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
CHR HKU\S-1-5-21-3508318417-3259659139-2140720452-1000\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
URLSearchHook: HKU\S-1-5-21-3508318417-3259659139-2140720452-1000 - (No Name) - {0633EE93-D776-472f-A0FF-E1416B8B2E3D} - No File
SearchScopes: HKU\S-1-5-21-3508318417-3259659139-2140720452-1000 -> DefaultScope {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={SearchTerms}&product_id=%7B64AF9D95-334C-42E4-BF61-F9F1E3EA0728%7D&gp=820483
2016-01-31 21:06 - 2016-01-31 21:06 - 00000000 ____D C:\Users\Дмитрий\AppData\LocalLow\IObit
2016-01-31 21:05 - 2016-01-31 21:07 - 00000000 ____D C:\Users\Все пользователи\IObit
2016-01-31 21:05 - 2016-01-31 21:07 - 00000000 ____D C:\ProgramData\IObit
2016-01-31 21:05 - 2016-01-31 21:05 - 00000000 ____D C:\Windows\Tasks\ImCleanDisabled
2016-01-31 21:05 - 2016-01-31 21:05 - 00000000 ____D C:\Users\Все пользователи\ProductData
2016-01-31 21:05 - 2016-01-31 21:05 - 00000000 ____D C:\Users\Все пользователи\{BAF091CA-86C4-4627-ADA1-897E2621C1B0}
2016-01-31 21:05 - 2016-01-31 21:05 - 00000000 ____D C:\ProgramData\ProductData
2016-01-31 21:05 - 2016-01-31 21:05 - 00000000 ____D C:\ProgramData\{BAF091CA-86C4-4627-ADA1-897E2621C1B0}
2016-01-31 21:05 - 2016-01-31 21:05 - 00000000 ____D C:\Program Files\Common Files\IObit
2016-01-31 20:54 - 2016-01-31 20:54 - 00000000 ____D C:\Users\Все пользователи\vPmQrxOO
2016-01-31 20:54 - 2016-01-31 20:54 - 00000000 ____D C:\ProgramData\vPmQrxOO
2016-01-31 20:53 - 2016-01-31 20:53 - 00000000 ____D C:\Users\Все пользователи\Lyrvsj
2016-01-31 20:53 - 2016-01-31 20:53 - 00000000 ____D C:\Users\Все пользователи\IqZMVoPPeo
2016-01-31 20:53 - 2016-01-31 20:53 - 00000000 ____D C:\Users\Все пользователи\bZHqjPElaG
2016-01-31 20:53 - 2016-01-31 20:53 - 00000000 ____D C:\ProgramData\Lyrvsj
2016-01-31 20:53 - 2016-01-31 20:53 - 00000000 ____D C:\ProgramData\IqZMVoPPeo
2016-01-31 20:53 - 2016-01-31 20:53 - 00000000 ____D C:\ProgramData\bZHqjPElaG
EmptyTemp:
Reboot:
end[/code]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. [U]При сохранении выберите кодировку [B]Юникод[/B]![/U]
Отключите до перезагрузки антивирус, запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
09.02.2016, 00:43
Gigo

Вложений: 4

Iobit - появился вместе с вирусом, сделал всё как посоветовали
p.s 1) в вк реклама исчезла только слева, в новостной ленте по прежнему есть.
2)расширение anti-obscene по прежнему стоит в браузере и нельзя удалить
3) в ютубе по прежнему реклама (какая именно указывал выше)
09.02.2016, 10:41
regist

Скачайте свежую версию AdwCleaner и сделайте лог.

+ свежие логи FRST.
09.02.2016, 19:22
Gigo

Вложений: 1

свежачок
09.02.2016, 19:50
regist

где остальное?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[quote="Gigo;1356978"]2)расширение anti-obscene по прежнему стоит в браузере и нельзя удалить[/quote]ID расширения там около него не указано?
09.02.2016, 20:02
Gigo

Вложений: 1

что еще должно быть по FRST?

вот ID: npdpaabpkcahccgoakgkgjfgalcpfhlb
скрин прикрепил для подтверждения
09.02.2016, 22:54
regist

[quote="Gigo;1357163"]что еще должно быть по FRST?[/quote]
по FRST вообще-то должно быть ещё два лога, но помимо FRST я у вас просил

[quote="regist;1357022"][B]Скачайте свежую версию AdwCleaner и сделайте лог.[/B][/quote]
10.02.2016, 00:30
Gigo

Вложений: 1

:hmm:
10.02.2016, 10:26
regist

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:
[code]start
CreateRestorePoint:
CHR Extension: (Anti-obscene) - C:\Users\Дмитрий\AppData\Local\Google\Chrome\User Data\Profile 2\Extensions\npdpaabpkcahccgoakgkgjfgalcpfhlb [2016-01-31]
EmptyTemp:
Reboot:
end[/code]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. [U]При сохранении выберите кодировку [B]Юникод[/B]![/U]
Отключите до перезагрузки антивирус, запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

проверьте проблему.