Непонятные файлы в процессах, закрывается редактор реестра [Trojan-Clicker.Win32.VB.ipy, Trojan.MSIL.Agent.foar ]

Прошу помощи разобраться с непонятными процессами, которые загружаются при каждом запуске компьютера. Также нет возможности открыть реестр, закрывается сразу после запуска.

Уважаемый(ая) [B]Lexxander[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте!

- Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
TerminateProcessByName('c:\users\lexxan~1\appdata\local\temp\lhb48.exe');
StopService('ginoquci');
QuarantineFileF('c:\program files\gmsd_ru_005010181', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
QuarantineFileF('c:\program files\spacesoundpro', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
QuarantineFileF('c:\programdata\tmp0x0x', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
QuarantineFile('c:\users\lexxan~1\appdata\local\temp\lhb48.exe', '');
QuarantineFile('C:\Program Files\ADA18298-1450562078-11D5-9C34-3B375B0DDF94\knsq81A.tmp', '');
QuarantineFile('C:\Users\LEXXAN~1\AppData\Local\Temp\nsb72DD.tmp', '');
QuarantineFile('C:\Program Files\gmsd_ru_005010181\gmsd_ru_005010181.exe', '');
QuarantineFileF('C:\Users\Lexxander\appdata\local\coprofit\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFile('C:\Users\Lexxander\AppData\Roaming\netprotocol.exe', '');
QuarantineFile('C:\Program Files\adobe update\keepup_svc.exe', '');
QuarantineFile('C:\Users\Lexxander\AppData\Roaming\WindowsUpdate\Live.exe', '');
QuarantineFile('C:\Users\Lexxander\AppData\Roaming\Windows Live\vdmvfyhdis.exe', '');
QuarantineFile('C:\Users\Lexxander\AppData\Roaming\WindowsUpdate\Updater.exe', '');
QuarantineFile('C:\Program Files\SpaceSoundPro\SpaceSoundPro.exe', '');
QuarantineFile('C:\ProgramData\Tmp0x0x\P', '');
QuarantineFileF('C:\Users\Lexxander\AppData\Roaming\WindowsUpdate\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFileF('C:\Users\Lexxander\appdata\roaming\update\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFileF('C:\Program Files\manager\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
DeleteFile('C:\Users\Lexxander\AppData\Roaming\Windows Live\vdmvfyhdis.exe', '32');
DeleteFile('c:\users\lexxan~1\appdata\local\temp\lhb48.exe', '32');
DeleteFile('C:\Program Files\ADA18298-1450562078-11D5-9C34-3B375B0DDF94\knsq81A.tmp', '32');
DeleteFile('C:\Users\LEXXAN~1\AppData\Local\Temp\nsb72DD.tmp', '32');
DeleteFile('C:\Program Files\gmsd_ru_005010181\gmsd_ru_005010181.exe', '32');
DeleteFile('C:\Users\Lexxander\AppData\Roaming\netprotocol.exe', '32');
DeleteFile('C:\Program Files\SpaceSoundPro\SpaceSoundPro.exe', '32');
DeleteFile('C:\ProgramData\Tmp0x0x\P', '32');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
DeleteService('fizynume');
DeleteService('ginoquci');
DeleteFileMask('C:\Users\Lexxander\appdata\local\coprofit\', '*', true);
DeleteFileMask('c:\program files\gmsd_ru_005010181', '*', true);
DeleteFileMask('c:\program files\spacesoundpro', '*', true);
DeleteFileMask('c:\programdata\tmp0x0x', '*', true);
DeleteDirectory('C:\Users\Lexxander\appdata\local\coprofit\');
DeleteDirectory('c:\program files\gmsd_ru_005010181');
DeleteDirectory('c:\program files\spacesoundpro');
DeleteDirectory('c:\programdata\tmp0x0x');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ZaxarLoader', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Windows Live', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\gmsd_ru_005010181', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Netprotocol', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SpaceSoundPro', 'command');
BC_ImportALL;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

Manager - деинсталируйте.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

- сделайте лог [URL="http://dragokas.com/tools/CheckBrowsersLNK.zip"]Check Browsers' LNK by Dragokas & regist[/URL].

Результаты анализа - [url]http://virusinfo.info/virusdetector/report.php?md5=379780F753F2CD057C6CCA5AB4CAED9D[/url]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Новые логи

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

еще

Здравствуйте!

Baidu сами ставили?

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
SetServiceStart('KeepUpSvc', 4);
StopService('KeepUpSvc');
QuarantineFile('C:\Users\Lexxander\appdata\roaming\update\explorer.exe', '');
QuarantineFile('C:\Users\Lexxander\appdata\roaming\c731200', '');
QuarantineFile('C:\Users\Lexxander\AppData\Roaming\Adobe Flash Player\Adobe.exe', '');
QuarantineFile('C:\Users\Lexxander\AppData\Roaming\Windows Live\vdmvfyhdis.exe', '');
QuarantineFile('C:\Users\Lexxander\AppData\Roaming\WindowsUpdate\Live.exe', '');
QuarantineFile('C:\Users\Lexxander\AppData\Roaming\WindowsUpdate\Updater.exe', '');
QuarantineFile('C:\Program Files\Adobe Update\keepup_svc.exe', '');
QuarantineFileF('C:\Program Files\adobe update\k', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFileF('C:\Users\Lexxander\appdata\roaming\update\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFileF('C:\Users\Lexxander\appdata\roaming\windowsupdate\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFileF('C:\Users\Lexxander\appdata\roaming\adobe flash player\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
DeleteFile('C:\Users\Lexxander\AppData\Roaming\Windows Live\vdmvfyhdis.exe', '32');
DeleteFile('C:\Users\Lexxander\appdata\roaming\adobe flash player\adobe.exe', '32');
DeleteFile('C:\Users\Lexxander\appdata\roaming\c731200', '32');
DeleteFile('C:\Users\Lexxander\appdata\roaming\update\explorer.exe', '32');
DeleteFile('C:\Users\Lexxander\appdata\roaming\windowsupdate\live.exe', '32');
DeleteFile('C:\Users\Lexxander\appdata\roaming\windowsupdate\updater.exe', '32');
DeleteFile('C:\Program Files\adobe update\keepup_svc.exe', '32');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Hewlett-Packard\hp deskjet 940c series v4.3\Интерактивная справка.lnk', '');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Hewlett-Packard\hp deskjet 940c series v4.3\Помощник печати.lnk', '');
QuarantineFile('C:\ProgramData\ntei\HrtLZsorIds1.bat', '');
QuarantineFileF('C:\ProgramData\ntei', '*', true, '', 0, 0);
DeleteFile('C:\ProgramData\ntei\HrtLZsorIds1.bat', '');
DeleteFileMask('C:\ProgramData\ntei', '*', true);
DeleteDirectory('C:\ProgramData\ntei');
DeleteService('KeepUpSvc');
DelBHO('{10921475-03CE-4E04-90CE-E2E7EF20C814}');
DelCLSID('{B19ED566-D419-470b-B111-3C89040BC027}');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Windows Update Installer');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Windows Live Installer');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Windows Live');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Adobe Flash Player SU', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\sCloudStatusCheck', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Schedule', 'command');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(3);
ExecuteRepair(4);
BC_Activate;
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Исправьте с помощью [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиты ClearLNK[/url] следующие ярлыки, отчёт о работе прикрепите:
[CODE]C:\Users\Lexxander\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Mail.Ru.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mail.Ru\Портал Mail.Ru.lnk
C:\Users\Lexxander\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Вконтакте.lnk
C:\Users\Lexxander\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Одноклассники.lnk
C:\Users\Lexxander\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Вконтакте.lnk
C:\Users\Lexxander\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Одноклассники.lnk
C:\Users\Lexxander\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Амиго.lnk
C:\Users\Lexxander\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Амиго.lnk
C:\Users\Lexxander\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Zaxar Games Browser\Zaxar Games Browser.lnk
C:\Users\Lexxander\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Zaxar Games Browser\Zaxar Update.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Hewlett-Packard\hp deskjet 940c series v4.3\Интерактивная справка.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Hewlett-Packard\hp deskjet 940c series v4.3\Помощник печати.lnk
C:\Users\Lexxander\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\coprofit\coprofit.lnk
C:\Users\Lexxander\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\coprofit\Uninstall.lnk
C:\Users\Lexxander\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\NCsoft\Aion.lnk
C:\Users\Lexxander\Desktop\Домашняя\ЖУРНАЛИСТ\Плюсы уходящего года....lnk
C:\Users\Lexxander\Desktop\Домашняя\ЖУРНАЛИСТ\таблетки.lnk
C:\Users\Lexxander\Desktop\ЦМК\УМКД\Новые РПУДЫ\НОВЫе РПДЫ Пушной2\БЖ Газонефть.lnk
C:\Users\Lexxander\Desktop\ЦМК\УМКД\РАБОТА2\БЖД Зочка.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\GAMESDESKTOP\GamesDesktop.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Hamachi\Uninstall.lnk
[/CODE]

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

[LIST][*]Скачайте [B][URL="https://toolslib.net/downloads/viewdownload/1-adwcleaner/"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Хром как понимаю у вас штатно установлен?

+ скачайте отсюда [URL="http://dragokas.com/tools/CheckBrowsersLNK_dbg.zip"]Check Browsers' LNK by Dragokas & regist[/URL]. Заархивируйте его и прикрепите к сообщению.

Baidu не сам ставил.
Хром устанавливал сам.

Насчет заархивировать Check Browsers LNK. Я так понял, требуется вытащить его из архива по ссылке, самому сделать архив и направить сюда? Если так, то прикладываю.

[quote="Lexxander;1360455"]Насчет заархивировать Check Browsers LNK. Я так понял, требуется вытащить его из архива по ссылке, самому сделать архив и направить сюда?[/quote]
Нет. Надо скачать его, разархивировать и запустить. Дождаться сохранения лога. Полученный лог заархивировать (иначе он скорее всего не поместится во вложения) и прикрепить.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
+

- [url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё кроме папок от mail.ru - если программами от mail.ru не пользуетесь, то их тоже удалите. Отчет после удаления прикрепите.


[url=http://virusinfo.info/showthread.php?t=121767][b]Сделайте полный образ автозапуска uVS[/b][/url], только программу скачайте [url=https://yadi.sk/d/6A65LkI1WEuqC]отсюда.[/url]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]75[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files\adobe update\keepup_svc.exe - [B]Trojan.MSIL.Agent.foar[/B][*] c:\program files\manager\manager.exe - [B]not-a-virus:AdWare.Win32.Amonetize.bzmk[/B] ( DrWEB: Trojan.Amonetize.10301, AVAST4: Other:Malware-gen [Trj] )[*] c:\programdata\ntei\hrtlzsorids1.bat - [B]Trojan.BAT.StartPage.os[/B][*] c:\users\lexxander\appdata\local\coprofit\chromium\fkbmjpofpcpmmokgmkehcpbofjombfoe\content.js - [B]not-a-virus:AdWare.JS.Agent.el[/B] ( DrWEB: Adware.Shopper.1216 )[*] c:\users\lexxander\appdata\local\coprofit\chromium\fkbmjpofpcpmmokgmkehcpbofjombfoe\start_content.js - [B]not-a-virus:AdWare.JS.Agent.em[/B] ( DrWEB: Adware.Shopper.1216 )[*] c:\users\lexxander\appdata\local\coprofit\coprofit_stb.exe - [B]not-a-virus:RiskTool.NSIS.Agent.kc[/B] ( DrWEB: Adware.Shopper.1216 )[*] c:\users\lexxander\appdata\local\coprofit\launcher.js - [B]Trojan.JS.Starter.d[/B] ( DrWEB: Adware.Shopper.1270 )[*] c:\users\lexxander\appdata\roaming\adobe flash player\adobe.exe - [B]Trojan-Clicker.Win32.VB.ipy[/B] ( BitDefender: Trojan.Generic.9325529 )[*] c:\users\lexxander\appdata\roaming\c731200 - [B]Worm.Win32.Ngrbot.azal[/B][*] c:\users\lexxander\appdata\roaming\update\explorer.exe - [B]Worm.Win32.Ngrbot.azal[/B][*] c:\users\lexxander\appdata\roaming\update\explorer.exe - [B]Worm.Win32.Ngrbot.azam[/B][*] c:\users\lexxander\appdata\roaming\update\update.exe - [B]Worm.Win32.Ngrbot.azal[/B][*] c:\users\lexxander\appdata\roaming\update\update.exe - [B]Worm.Win32.Ngrbot.azam[/B][*] c:\users\lexxander\appdata\roaming\windows live\vdmvfyhdis.exe - [B]Trojan.Win32.Bublik.efhi[/B][*] c:\users\lexxander\appdata\roaming\windows live\vdmvfyhdis.exe - [B]Trojan.Win32.Bublik.efht[/B][*] c:\users\lexxander\appdata\roaming\windowsupdate\live.exe - [B]Trojan.Win32.Bublik.efht[/B][*] c:\users\lexxander\appdata\roaming\windowsupdate\updater.exe - [B]Worm.Win32.Ngrbot.azal[/B][/LIST][/LIST]