Поймал трояна [not-a-virus:AdWare.Win32.Agent.jtgp ]

Теперь браузер подгружает всякие "интересные" страницы, которые я не запрашивал, странице на localhost то обновляются, то нет.
Все утилиты прогнал, пока проблема осталась

Уважаемый(ая) [B]Михаил_Б[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте,


AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
StopService('HSystem');
DeleteService('HSystem');
QuarantineFile('C:\Program Files (x86)\Defsoft\kPpWuA.exe','');
QuarantineFile('C:\Program Files (x86)\KC Softwares\VideoInspector\VideoInspector.exe','');
QuarantineFile('C:\ProgramData\BdKfoElnrI\ReltwBq0.bat','');
QuarantineFile('C:\ProgramData\bROeFHUUq\YtxpGUHzb5.bat','');
QuarantineFile('C:\Users\user_mike2\AppData\Local\EydKzlNSr\nLlKGbbH1.bat','');
DeleteFile('C:\Program Files (x86)\Defsoft\kPpWuA.exe','32');
DeleteFile('C:\ProgramData\BdKfoElnrI\ReltwBq0.bat','32');
DeleteFile('C:\ProgramData\bROeFHUUq\YtxpGUHzb5.bat','32');
DeleteFile('C:\Users\user_mike2\AppData\Local\EydKzlNSr\nLlKGbbH1.bat','32');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
Код:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.


- Подготовьте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner[/URL] и приложите его в теме.

- Сделайте лог [URL=http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk]Check Browsers' LNK[/URL] и приложите его в теме.

Второй лог слишком большой получился, не дает залить на форум, расшарил с гугл драйва:

[url]https://drive.google.com/file/d/0B0O1VY5ARIXDakl2XzBaQk5RQ0U/view?usp=sharing[/url]

Удалите следующие ярлыки:
[CODE]"C:\Users\user_mike2\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Mozilla Firefox.lnk"
"C:\Users\user_mike2\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Opera.lnk"
"C:\Users\Public\Desktop\Google Chrome.lnk"
"C:\Users\Public\Desktop\Mozilla Firefox.lnk"
"C:\Users\Public\Desktop\Opera.lnk"
"C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome.lnk"
"C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox.lnk"
"C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Opera.lnk"
"C:\Users\user_mike2\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer.lnk"
"C:\Users\user_mike2\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk"
"C:\Users\user_mike2\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Yandex\Yandex.lnk"
"C:\Users\user_mike2\Desktop\Yandex.lnk[/CODE]

- Сделайте новый лог [URL="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]Check Browsers' LNK[/URL] и приложите его в теме.

[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

в приложении и ссылка:

[url]https://drive.google.com/file/d/0B0O1VY5ARIXDdlBiNmYzTkVyd3c/view?usp=sharing[/url]

Вам нужно будет вручную пересоздать ярлыки на рабочем столе для браузеров Google Chrome, Mozilla Firefox, Opera и т.п..

- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]

В приложении

Удалите Defsoft через установку программ в панели управления

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
HKLM-x32\...\Run: [] => [X]
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
Toolbar: HKU\.DEFAULT -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} - No File
Toolbar: HKU\S-1-5-21-2189233567-868248018-511280851-1001 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} - No File
FF Extension: No Name - C:\Users\user_mike2\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\extensions\[email protected] [not found]
FF Extension: No Name - C:\Users\user_mike2\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\extensions\[email protected] [not found]
FF Extension: No Name - C:\Users\user_mike2\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\extensions\[email protected] [not found]
FF Extension: No Name - C:\Users\user_mike2\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\extensions\{d720d64d-c71a-4316-b59e-8a41b860178f} [not found]
FF Extension: Video DownloadHelper - C:\Users\user_mike2\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{b9db16a4-6edc-47ec-a1f4-b86292ed211d}.xpi [2016-01-08]
CHR Extension: (Quick Searcher) - C:\Users\user_mike2\AppData\Local\Google\Chrome\User Data\Default\Extensions\dighmiipfpfdfbfmpodcmfdgkkcakbco [2016-02-05]
2016-02-12 09:50 - 2016-02-12 09:50 - 00000000 ____D C:\Users\Все пользователи\fXWbpdkZ
2016-02-12 09:50 - 2016-02-12 09:50 - 00000000 ____D C:\ProgramData\fXWbpdkZ
2016-02-05 19:31 - 2016-02-12 13:44 - 00000000 ____D C:\Users\Все пользователи\bROeFHUUq
2016-02-05 19:31 - 2016-02-12 13:44 - 00000000 ____D C:\Users\Все пользователи\BdKfoElnrI
2016-02-05 19:31 - 2016-02-12 13:44 - 00000000 ____D C:\Users\user_mike2\AppData\Local\EydKzlNSr
2016-02-05 19:31 - 2016-02-12 13:44 - 00000000 ____D C:\ProgramData\bROeFHUUq
2016-02-05 19:31 - 2016-02-12 13:44 - 00000000 ____D C:\ProgramData\BdKfoElnrI
2016-02-05 19:31 - 2016-02-09 18:45 - 00000000 ____D C:\Users\Все пользователи\ylwZJJ
2016-02-05 19:31 - 2016-02-09 18:45 - 00000000 ____D C:\Users\Все пользователи\bLOYfRoMlh
2016-02-05 19:31 - 2016-02-09 18:45 - 00000000 ____D C:\ProgramData\ylwZJJ
2016-02-05 19:31 - 2016-02-09 18:45 - 00000000 ____D C:\ProgramData\bLOYfRoMlh
EmptyTemp:
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]

прикладываю лог

что с проблемой?

Вроде ушли симптомы.

Иногда еще ругается программа 360 total security, которая поставилась примерно в одно время с трояном, не доглядел где-то наверно, галку не снял. Пытался ее удалить - не вышло. Что посоветуете - бороться с ней до победного, не обращать внимания, или наоборот прислушаться и оставить?

И второй вопрос, связанный с этим. Последнее время все работает медленнее, как ускорить систему? Проситься убрать "лишний" антивирус (год без 360 TS в общем был нормальный, первая серьезная проблема вот сейчас возникла и может с ее участием).

И может быть есть утилита, которая мониторит загрузку памяти и процессора за сутки, и выдает статистику, какая прога отъедает больше ресурсов - чтобы можно было решить, может оно того не стоит и удалить.

Уточните пожалуйста, антивирус 360 не сами ставили?

Во всяком случае, таких планов не было. Возможно, при установке какого-то ПО, антивирус этот шел как опция, и я не снял соотв. галочку.

Для помощи в удаление приложите новые логи AVZ. Если не планируете удалять то прикладывать логи не нужно.

да, пожалуйста, хотелось бы удалить. Прикладываю логи

Сами ставили:

[CODE]c:\users\user_mike2\appdata\roaming\utorrent\updates\3.4.5_41712\utorrentie.exe[/CODE]

AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
StopService('360AntiHacker');
StopService('BAPIDRV');
DeleteService('360AntiHacker');
DeleteService('BAPIDRV');
QuarantineFile('C:\Program Files (x86)\360\Total Security\ipc\appd.dll','');
QuarantineFile('C:\Program Files (x86)\360\Total Security\safemon\CleanPlusCache.tpi','');
QuarantineFile('C:\Windows\System32\Drivers\360AntiHacker64.sys','');
QuarantineFile('C:\Windows\system32\DRIVERS\BAPIDRV64.sys','');
DeleteFile('C:\Program Files (x86)\360\Total Security\ipc\appd.dll','32');
DeleteFile('C:\Program Files (x86)\360\Total Security\safemon\CleanPlusCache.tpi','32');
DeleteFile('C:\Windows\System32\Drivers\360AntiHacker64.sys','32');
DeleteFile('C:\Windows\system32\DRIVERS\BAPIDRV64.sys','32');
DeleteFileMask('C:\Program Files (x86)\360', '*', true, ' ');
DeleteDirectory('C:\Program Files (x86)\360');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
Код:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.

- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]

Пока не удалился, жив курилка.
Немного ошибся, в начале запустил первый скрипт не от администратора, потом запустил повторно. Может быть это повлияло.

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
(QIHU 360 SOFTWARE CO. LIMITED) C:\Program Files (x86)\360\Total Security\safemon\QHActiveDefense.exe
HKLM-x32\...\Run: [] => [X]
Folder: C:\Program Files (x86)\360
EmptyTemp:
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]

Приложите новый лог AVZ.

сделано