Ноут лагает, зависает, неконтролируемо скачивает и устанавливает программы, вылезает реклама и банеры [not-a-virus:NetTool.Win64.NetFilter.o, Trojan.BAT.Starter.gy ]

Printable View

10.02.2016, 16:15
NE154KIT

Ноут лагает, зависает, неконтролируемо скачивает и устанавливает программы, вылезает реклама и банеры [not-a-virus:NetTool.Win64.NetFilter.o, Trojan.BAT.Starter.gy ]

После скачивания драйверов с подозрительного сайта и последующей их установки ноутбук словил троян (друг скачивал те же самые драйверы с того же сайта, но у него все нормально, антивирус вроде стоит только штатный). Сначала начали неконтролируемо скачиваться и устанавливаться программы. Потом начала влезать реклама. Я отключился от интернета, прежде скачав RevoUnistaller (могу ошибаться с названием), с его помощью и "установки и удаления программ" удалил все свежие подозрительные программ. почистил браузер Chrome ( история, cookie , и тд). Перезагрузил комп. После включения и подключения к интернету ноут проработал нормально всего несколько минут, потом все началось по новой. Но на этот раз слетели настройки браузеров: изменились поисковые машины, домашние страницы и тд. изменение настроек ничего не дает, все возвращается на свои места. Я пробовал сносить и заново устанавливать Chrome, но естественно бесполезно. В итоге удалил хром скайп и еще несколько программ. Хотел переустанавливать Windows. Антивируса у меня нет, только стандартный защитник Windows, который проблему не решил, а позже перестал работать, при запуске вылезает окно "Это приложение выключено групповой политикой". У меня стоит Windows 8 и 64-разрядная система. Наткнулся на ваш сайт и начал чистить комп по инструкции, использовал сразу две утилиты( и Касперского и drweb), НО! Обе утилиты то не запускались, то вылетали, то зависали то не закрывались. По сути все в итоге сделал только Касперским, правда пришлось несколько раз повторить процедуру, ибо он находит всю гадость, вроде как ее лечит, но после повторной диагностики снова находит ее часть. К тому же завершать диагностику пришлось в обычном режиме, а не в безопасном, так как Касперский требует перезагрузки, но в безопасном режиме после нее не продолжает работать. В итоге Касперский вроде вылечил комп от троянов и вирусов, но штук 10 рекламных программ остались. Ноут работает нормально, в том числе и с подключением к интернету. Продолжил диагностику с помощью утилит AVZ и HiJackThis, но так как у меня 64-разрядная система, то в диагностике я начал сразу со второго пункта, как и требовалось, видимо поэтому AVZ мне выдал только один LOG virusinfo_syscheck.zip. virusinfo_syscure.zip он мне не выдал. Думаю ничего страшного. И да, защитник Windows по-прежнему не работает. Заранее спасибо! Надеюсь на вас!
10.02.2016, 16:19
Info_bot

Уважаемый(ая) [B]NE154KIT[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
12.02.2016, 15:15
Vvvyg

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
TerminateProcessByName('c:\programdata\airtop\airtop.exe');
TerminateProcessByName('c:\programdata\applicationhosting\applicationhosting.exe');
TerminateProcessByName('c:\program files (x86)\9e1ee623-1449521450-11e4-a818-28d244de5fda\jnsh855c.tmp');
TerminateProcessByName('c:\program files (x86)\9e1ee623-1449521450-11e4-a818-28d244de5fda\knsj84e7.tmp');
TerminateProcessByName('c:\program files (x86)\sfk\ssfk.exe');
StopService('Airtop');
StopService('ApplicationHosting');
StopService('gimiqixi');
StopService('roqenufe');
StopService('SSFK');
StopService('ginoquci');
StopService('bsdriver');
QuarantineFile('C:\WINDOWS\system32\Coiabp.dll', '');
QuarantineFile('c:\programdata\airtop\airtop.exe', '');
QuarantineFile('c:\programdata\applicationhosting\applicationhosting.exe', '');
QuarantineFile('c:\program files (x86)\9e1ee623-1449521450-11e4-a818-28d244de5fda\jnsh855c.tmp', '');
QuarantineFile('c:\program files (x86)\9e1ee623-1449521450-11e4-a818-28d244de5fda\knsj84e7.tmp', '');
QuarantineFile('c:\program files (x86)\sfk\ssfk.exe', '');
QuarantineFile('C:\Users\TSH\AppData\Local\Temp\nsn54BB.tmp', '');
QuarantineFile('C:\Program Files (x86)\9E1EE623-1449521450-11E4-A818-28D244DE5FDA\hnsoA28B.tmp', '');
QuarantineFile('C:\WINDOWS\system32\drivers\bsdriver.sys', '');
QuarantineFile('C:\ProgramData\Tmp0x0x\P', '');
QuarantineFile('C:\ProgramData\BeYDJnUad\myPpytbAwNJ5.bat', '');
QuarantineFile('C:\PROGRA~1\GROOVE~1\Eromqo.bat', '');
QuarantineFile('C:\Program Files (x86)\SwiftSearch_1.10.0.25\Update\SwiftSearchAutoUpdateClient.exe', '');
QuarantineFile('C:\Users\TSH\AppData\Roaming\yoursearching\UninstallManager.exe', '');
DeleteFile('c:\programdata\airtop\airtop.exe', '32');
DeleteFile('c:\programdata\applicationhosting\applicationhosting.exe', '32');
DeleteFile('c:\program files (x86)\9e1ee623-1449521450-11e4-a818-28d244de5fda\jnsh855c.tmp', '32');
DeleteFile('c:\program files (x86)\9e1ee623-1449521450-11e4-a818-28d244de5fda\knsj84e7.tmp', '32');
DeleteFile('c:\program files (x86)\sfk\ssfk.exe', '32');
DeleteFile('C:\Users\TSH\AppData\Local\Temp\nsn54BB.tmp', '32');
DeleteFile('C:\Program Files (x86)\9E1EE623-1449521450-11E4-A818-28D244DE5FDA\hnsoA28B.tmp', '32');
DeleteFile('C:\WINDOWS\system32\drivers\bsdriver.sys', '32');
DeleteFile('C:\ProgramData\Tmp0x0x\P', '32');
DeleteFile('C:\ProgramData\BeYDJnUad\myPpytbAwNJ5.bat', '32');
DeleteFile('C:\PROGRA~1\GROOVE~1\Eromqo.bat', '32');
DeleteFile('C:\Program Files (x86)\SwiftSearch_1.10.0.25\Update\SwiftSearchAutoUpdateClient.exe', '32');
DeleteFile('C:\Users\TSH\AppData\Roaming\yoursearching\UninstallManager.exe', '32');
DeleteService('Airtop');
DeleteService('ApplicationHosting');
DeleteService('gimiqixi');
DeleteService('roqenufe');
DeleteService('SSFK');
DeleteService('ginoquci');
DeleteService('nyneryxo');
DeleteService('bsdriver');
DeleteFileMask('c:\programdata\airtop', '*', true);
DeleteFileMask('c:\programdata\applicationhosting', '*', true);
DeleteFileMask('c:\program files (x86)\sfk', '*', true);
DeleteFileMask('C:\ProgramData\Tmp0x0x', '*', true);
DeleteFileMask('C:\Program Files (x86)\SwiftSearch_1.10.0.25', '*', true);
DeleteFileMask('C:\Users\TSH\AppData\Roaming\yoursearching', '*', true);
DeleteDirectory('c:\programdata\airtop');
DeleteDirectory('c:\programdata\applicationhosting');
DeleteDirectory('c:\program files (x86)\sfk');
DeleteDirectory('C:\ProgramData\Tmp0x0x');
DeleteDirectory('C:\Program Files (x86)\SwiftSearch_1.10.0.25');
DeleteDirectory('C:\Users\TSH\AppData\Roaming\yoursearching');
DelSPIByFileName('C:\WINDOWS\system32\Coiabp.dll', true);
DelSPIByFileName('C:\WINDOWS\system32\Coiabp.dll', false);
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Hopsynp" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "SwiftSearch Auto Updater 1.10.0" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "{75FF1C32-3A5B-4A7E-B5FB-4EC5C92D108B}" /F', 0, 15000, true);
ExecuteSysClean;
ExecuteRepair(6);
ExecuteRepair(4);
ExecuteRepair(3);
ExecuteRepair(21);
ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.

Сделайте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner (by Xplode)[/URL].

Сделайте лог [URL="http://dragokas.com/tools/CheckBrowsersLNK.zip"]Check Browsers' Lnk 2[/URL].
16.02.2016, 18:06
NE154KIT

Выполнил дальнейшие указания

Когда выполнил первый скрипт в AVZ , с большим кодом, который вы мне прислали, компьютер начал перезагрузку, но не смог включиться из-за ошибки в системе. Ноут предложил все просканировать, а далее восстановить систему без потер файлов. Я ее провел. Компьютер сделал все необходимые операции и включился. Самовольно установил кучу программ от Lenovo, какой-то антивирус и другие программы, на вид не вызывающие подозрения. Я их снес за ненадобностью, хоть они и не доставляли никаких проблем. Система начала работать более ровно, стала меньше лагать, ЗАРАБОТАЛ ЗАЩИТНИК WINDOWS! Дальше все доделал по инструкции. Комп по ощущениям уже ожил!)
16.02.2016, 20:57
Vvvyg

Перетащите лог Check_Browsers_LNK.log на [url=http://dragokas.com/tools/ClearLNK.zip]утилиту ClearLNK[/url]. Отчёт о работе прикрепите.

[url="http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864"]Удалите всё найденное в [B]AdwCleaner[/B][/URL], дождитесь окончания удаления и перезагрузите систему по требованию программы. Перед тем, как нажать "Очистка", установите в пункте меню "Настройки" (Settings) галочку "[B]Сброс политик Chrome[/B]"
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C1].txt, прикрепите к своему следующему сообщению.

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочками также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).
17.02.2016, 00:33
NE154KIT

Готово!

Сделано
17.02.2016, 11:45
Vvvyg

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]CreateRestorePoint:
2016-02-16 18:16 - 2016-02-16 18:16 - 00000000 ____D C:\Users\Public\Pokki
2016-02-17 01:21 - 2014-08-30 07:22 - 00000000 ____D C:\ProgramData\McAfee
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\mcpltsvc => ""=""
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\mcpltsvc => ""=""
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\VDWFP => ""="Driver"
EmptyTemp:
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Сообщите, что с проблемой.
17.02.2016, 19:14
NE154KIT

Сделано

Проблема, которая была в начале, ушла. Видимых других проблем на данный момент не вижу.
17.02.2016, 19:51
Vvvyg

Удалите папку C:\FRST со всем содержимым.

Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].
17.02.2016, 21:57
NE154KIT

Спасибо за помощь!
17.02.2016, 22:07
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]8[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files (x86)\9e1ee623-1449521450-11e4-a818-28d244de5fda\jnsh855c.tmp - [B]not-a-virus:AdWare.Win32.ConvertAd.bke[/B] ( AVAST4: Win32:Dropper-gen [Drp] )[*] c:\programdata\beydjnuad\myppytbawnj5.bat - [B]Trojan.BAT.Starter.gy[/B][*] c:\windows\system32\drivers\bsdriver.sys - [B]not-a-virus:NetTool.Win64.NetFilter.o[/B][/LIST][/LIST]