Вирус Tensent (QQPCRTP.exe ) [not-a-virus:Monitor.Win32.KeyLogger.vwd, Trojan.Win32.Delf.dhlv ]

Здравствуйте. Скачивал Антивирус по халатности не с оффициального сайта и подхватил вирус Tensent. При загрузке компьютера загружается Китайская программа. Находится в папке Program Files папка Tencent. Не удаляется, требует прав админа. При удалении через панель управления тоже пишет что у вас нет прав. В диспетчере задач есть несколько QQPCRTP.exe (несколько от имени юзера, и так же от имени системы) . Тоже не удаляется. Пишет ''у вас нет доступа''. Так же присутствует в службах. Пробовал чистить через реестр QQPCRTP.exe, чистил-чистил, и потом все ровно при удалении очередного QQPCRTP написало ''не удается удалить все выделенные параметры''. Логи прилагаю

Уважаемый(ая) [B]malchik_And[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте!

Radmin и DriverToolkit сами ставили?
DriverToolkit - советую деинсталировать.

- Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFileF('c:\users\мари\appdata\local\hostinstaller', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
QuarantineFile('C:\Program Files\25869C7D-1456726774-E011-9D8D-1C7508BF5F77\knsa2DD2.tmpfs', '');
QuarantineFile('C:\Users\Мари\AppData\Local\Hostinstaller\1512653764_monster.exe', '');
DeleteFile('C:\Program Files\25869C7D-1456726774-E011-9D8D-1C7508BF5F77\knsa2DD2.tmpfs', '32');
DeleteFile('C:\Users\Мари\AppData\Local\Hostinstaller\1512653764_monster.exe', '32');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Soft installer" /F', 0, 15000, true);
DeleteService('rezyzupozbt');
DeleteFileMask('c:\users\мари\appdata\local\hostinstaller', '*', true);
DeleteDirectory('c:\users\мари\appdata\local\hostinstaller');
ExecuteRepair(13);
BC_ImportALL;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

[LIST][*]Скачайте [B][URL="https://toolslib.net/downloads/viewdownload/1-adwcleaner/"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Здравствуйте, Радмина у меня нету. Есть Remote Manipulative System, это мой.
Выполнил скрипт, компьютер перезагрузился, но эта китайская программа осталась. Когда после перезагрузки я зашел в AVZ выполнить второй скрипт, после выполнения скрипта эта китайская штука удалила avz.exe, пришлось отключать эту китайскую прогу и заново распаковывать avz с архива. Программу можно отключить в трее, но из автозагрузки и диспетчера она не удаляется. Загрузил файл quarantine.zip, вот что мне выдало:
Файл сохранён как 160229_222044_quarantine_56d49a0c22975.zip
Размер файла 119973
MD5 d538d670601da929af60003e271c5d7e


Ссылка на карантин архива virusinfo_auto_МАРИ-ПК.zip [url]http://virusinfo.info/showthread.php?t=197678[/url]

Программы от Mail.ru используете?
Загрузитесь в безопасный режим и
- [url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё кроме папок от mail.ru - если программами от mail.ru не пользуетесь, то их тоже удалите. Отчет после удаления прикрепите.

Спасибо большое, помогло. Несмотря на то, что в безопасном режиме вирус точно так же загрузился. Я его отключил в трее, потом просканил через Adwcleaner и почистил все папки которые были отмечены галочками. Перезагрузил комп, и вирус пропал.

Сделайте повторный лог AdwCleaner-а, если что найдёт снова удалите. Отчёт о работе прикрепите.

+ [url=http://virusinfo.info/showthread.php?t=121767][b]Сделайте полный образ автозапуска uVS[/b][/url], только программу скачайте [url=https://yadi.sk/d/6A65LkI1WEuqC]отсюда.[/url]

Программа попыталась опять установиться сейчас, и её убил аваст. Из процессов тоже спокойно удалил. Остатки удалил опять через Adwcleaner. Хочется добавить что ужасно стал работать ПК. Зашел в диспетчер задач, а там 12 процессов svchost.exe, от SYSTEM, от LOCAL, и от NETWORK. Зашел в Гугл хром один раз, а у меня висит 6 процессов гугл хром. Много процессов повторяется. Логи прилагаю.

Программы/расширения браузеров от Mail.ru ставили используете?

HDefsoft - вам знакомо?
TextEditor - аналогично знакомо? Если, то деинсталируйте.

Skype Click to Call - советую деинсталировать.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url]
[CODE];uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
BREG
zoo %SystemRoot%\RUN.VBS
bl A0CC725A2D9346021D8AC458E4F2C73F 1058
delall %SystemRoot%\RUN.VBS
regt 12
delref %SystemDrive%\USERS\МАРИ\APPDATA\LOCAL\MAIL.RU\MAILRUUPDATER.EXE
delref %SystemDrive%\USERS\МАРИ\APPDATA\LOCAL\TEMP\RAR$EXA0.130\LOGGER.EXE
czoo
restart[/CODE]

сделайте свежий образ автозапуска.

Ничего из этого не знакомо. Программы от маил.ру тоже не ставил. Лог сделаю, отпишусь.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Выкладываю новый лог uvs. В Диспетчере появилось куча копий процессов, по 13 штук svchost, запускаю оперу - сразу 6 процессов оперы висит, хотя открыто всего 2 вкладки. В Хроме открыто тоже 2 вкладки, а висит 6 процессов. Так быть не должно. Точно так же со всеми программами. Компьютер очень сильно тормозит, невозможно работать. Создаются по несколько копий процессов. Мне кажется вирус загрузил какие то службы под видом настоящих процессов и насилует комп. Как бы эти службы найти и отключить... + сделал на всякий случай новые логи AVZ. Буду рад помощи.

[quote="malchik_And;1363107"]запускаю оперу - сразу 6 процессов оперы висит, хотя открыто всего 2 вкладки. В Хроме открыто тоже 2 вкладки, а висит 6 процессов.[/quote]
Для Хрома это нормально. Opera Stable 35.0.2066.82 - это тоже Хромоногая Опера - следовательно для неё тоже нормально. Если установите нормальную Оперу (а не Хромую), то есть до версии 12.18 включительно, то такого не будет.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[quote="regist;1363092"]Skype Click to Call - советую деинсталировать.[/quote]
Не сделали.

ContentProtector - также деинсталируйте.

[CODE]C:\Windows\System32\MPK\MPK.exe[/CODE]
это же ваше?

Выполните скрипт uVS
[CODE];uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
BREG
delall HTTP://WWW.MAIL.RU/MRA?LANG=RU
delref %SystemDrive%\PROGRAM FILES\IOBIT\IOBIT UNINSTALLER\IOBITUNINSTALER.EXE
zoo %SystemDrive%\USERS\МАРИ\APPDATA\LOCAL\TEMP\MAILRUUPDATER.EXE
bl 9452B170320F7CF6C7B56432022E2B5D 6118672
delall %SystemDrive%\USERS\МАРИ\APPDATA\LOCAL\TEMP\MAILRUUPDATER.EXE
delall %SystemDrive%\PROGRAM FILES\MAIL.RU\MAILRUUPDATER\MAILRUUPDATER.EXE
delref %SystemDrive%\PROGRAM FILES\IOBIT\IOBIT UNINSTALLER\UNINSTALLMENURIGHT32.DLL
delall %SystemDrive%\USERS\МАРИ\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\LBJJFIIHGFEGNIOLCKPHPNFAOKDKBMDM\6.0.1_0\ДОМАШНЯЯ СТРАНИЦА MAIL.RU
delall %SystemDrive%\USERS\МАРИ\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\OELPKEPJLGMEHAJEHFEICFBJDIOBDKFJ\6.0.2_0\МЕНЕДЖЕР ВИЗУАЛЬНЫХ ЗАКЛАДОК MAIL.RU
delall %SystemDrive%\USERS\МАРИ\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\BGCIFLJFAPBHGIEHKJLCKFJMGEOJIJCB\6.0.1_0\ПОИСК MAIL.RU
delall %SystemDrive%\PROGRAM FILES\CONTENTPROTECTOR\CONTENTPROTECTOR.EXE
delref %SystemDrive%\PROGRAM FILES\IOBIT\ADVANCED SYSTEMCARE 8\ASCEXTMENU.DLL
delref %SystemDrive%\PROGRAM FILES\IOBIT\LIVEUPDATE\LIVEUPDATE.EXE
delall %SystemDrive%\PROGRAM FILES\DRIVERTOOLKIT\DRIVERTOOLKIT.EXE
czoo
restart[/CODE]

Что с проблемой?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

+ - Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.


+ [URL='http://www86.zippyshare.com/v/PAYdNJPb/file.htm']сделайте лог HiJackThis 2.0.6 Alfa 1.5[/URL] l

Выполнил скрипт. При запуске Хрома, начинают опять устанавливаться расширения mail.ru. Вылетали предупреждения, я везде нажал ''Удалить'' . Компьютер работает медленно, сильно глючит, все ровно что то мешает. Один из множества процессов Svchost ест аж 517 000 кб. Skype Click To Call не могу понять где находится, искал и через поиск и через панель управления, ничего не нашло.
MPK.exe это не моё, вчера я увидел в автозагрузке mpck_en_005030255, удалил его от туда. Потом через ADWcleaner нашло или MPCK или MPK, тоже удалил. Запрошенные логи прилагаю:
[url]http://virusinfo.info/showthread.php?t=197787[/url]

[quote="malchik_And;1363397"]MPK.exe это не моё[/quote]
Mipko кейлогер сами не устанавливали?

1) [CODE]C:\WINDOWS\SYSTEM32\MPK\LSYNCHOST.EXE
C:\WINDOWS\SYSTEM32\MPK\MPK.DLL
C:\Windows\System32\MPK\MPK.exe
C:\Program Files\Common Files\Adobe\OOBE\PDApp\UWA\UpdaterStartupUtility.exe[/CODE]

Заархивируйте в zip архив с паролем [COLOR="Red"]virus[/COLOR] и загрузите по ссылке [b][color=Red]Прислать запрошенный карантин[/color][/b] вверху темы.

2) [url=http://virusinfo.info/showthread.php?t=4491]Профиксите[/url] в HijackThis
[CODE]O1 - Hosts: 127.0.0.1 123.sogou.com
O1 - Hosts: 127.0.0.1 down.baidu2016.com
O1 - Hosts: 127.0.0.1 www.czzsyzgm.com
O1 - Hosts: 127.0.0.1 www.czzsyzxl.com
O4 - MSConfig..HKLM: 2016/02/12 [susrevt] C:\Windows\reder.exe (no file)
O4 - MSConfig..HKLM: 2016/02/12 [wertr] (no file)
O4 - MSConfig..HKLM: 2016/02/12 [wertr] (no file)
O4 - MSConfig..HKLM: 2016/02/26 [GoCoupons] "C:\Users\Мари\AppData\Local\GoCoupons\stub.exe" /run "C:\Users\Мари\AppData\Local\GoCoupons\config.json" (no file)
O4 - MSConfig..HKLM: 2016/02/27 [vbs] (no file)
O4 - MSConfig..HKLM: 2016/03/02 [ QQPCTray] "C:\Program Files\Tencent\QQPCMgr\11.1.16923.222\QQPCTray.exe" /regrun (no file)
O4 - MSConfig..HKLM: 2016/03/02 [mpck_en_005030255] "C:\Program Files\mpck_en_005030255\mpck_en_005030255.exe" (no file)
O9 - Extra button: Skype Click to Call settings - {898EA8C8-E7FF-479B-8935-AEC46303B9E5} - C:\Program Files\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
[/CODE]

Сделайте свежий лог HiJackThis

+ свежий образ автозапуска uVS

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[quote="malchik_And;1363397"]Skype Click To Call не могу понять где находится, искал и через поиск и через панель управления, ничего не нашло.[/quote]
в числе установленных программ у вас числиться. Но раз не нашли, то попробуйте с командной строки выполнить
[CODE]MsiExec.exe /X{6D1221A9-17BF-4EC0-81F2-27D30EC30701}[/CODE]

Mipko кейлоггер устанавливал где то неделю назад, но удалил его. Получается не удалился полностью. Не знал что он подписан MPK. Пошел делать логи.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Click to call получилось удалить из cmd. Логи сделал.

[CODE]M:\ADOBE PHOTOSHOP CS6 13.0\ADOBE CS6\SET-UP.EXE[/CODE]
этот файл вам знаком? [url]https://www.virustotal.com/ru/file/ad8b19573036f5962ae353b3e2e30801567d0055034542173d08c38502e2c81d/analysis/[/url]

На всякий случай сделайте точку восстановления системы.

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url] и пришлите карантин
[CODE];uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
BREG
delall %SystemDrive%\USERS\МАРИ\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\OELPKEPJLGMEHAJEHFEICFBJDIOBDKFJ\6.0.2_0\МЕНЕДЖЕР ВИЗУАЛЬНЫХ ЗАКЛАДОК MAIL.RU
delall %SystemDrive%\USERS\МАРИ\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\BGCIFLJFAPBHGIEHKJLCKFJMGEOJIJCB\6.0.1_0\ПОИСК MAIL.RU
delall %SystemDrive%\USERS\МАРИ\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\LBJJFIIHGFEGNIOLCKPHPNFAOKDKBMDM\6.0.1_0\ДОМАШНЯЯ СТРАНИЦА MAIL.RU
delall HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DBGCIFLJFAPBHGIEHKJLCKFJMGEOJIJCB%26INSTALLSOURCE%3DONDEMAND%26UC
delall HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DLBJJFIIHGFEGNIOLCKPHPNFAOKDKBMDM%26INSTALLSOURCE%3DONDEMAND%26UC
delall HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DOELPKEPJLGMEHAJEHFEICFBJDIOBDKFJ%26INSTALLSOURCE%3DONDEMAND%26UC
dirzooex %Sys32%\MPK
deldir %Sys32%\MPK
zoo M:\ADOBE PHOTOSHOP CS6 13.0\ADOBE CS6\SET-UP.EXE
czoo
restart[/CODE]

что с проблемой?

Файл SET-UP.EXE не знаком, но Фотошоп я устанавливал давно еще. Недели 2-3 назад. Проблема осталась, по прежнему висят svchost которые едят оперативу, и из за них на пк практически ничего не сделаешь. Любая программа начинает зависать. Карантин выслал.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Хочу добавить, что я завершил один из процессов svchost который ел 518 000 КБ. И комп стал летать. Через минуты 3 этот процесс возобновился и стал набирать обороты. Было 250 000 КБ, и цифры постоянно растут прям на глазах. Уже 474 000 КБ ест.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Удалось решить проблему. Зашел в службы, клацал по каждой службе правой кнопкой и переходил к процессу. В итоге нашел службу которую представлял тот самый svchost который больше всего ел памяти. Это оказалась Служба Обновлений Windows. Отключил её, и компьютер нормально заработал.

Установите обновление системы: [URL="https://support.microsoft.com/en-us/kb/3102810"]Installing and searching for updates is slow and high CPU usage occurs in Windows 7 and Windows Server 2008 R2[/URL] - должно и с запущенной службой обновлений полегчать. И лучше установить все доступные обновления - проблема рассосётся по опыту.

[quote="malchik_And;1363537"]Это оказалась Служба Обновлений Windows. Отключил её, и компьютер нормально заработал.[/quote]
вместо того чтобы её отключать надо установить обновления windows. Тогда и проблема уйдёт и вы не будете подвергать свою систему дополнительной угрозе из-за уязвимостей которые закрыли в обновлениях.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[quote="malchik_And;1363537"]Файл SET-UP.EXE не знаком, но Фотошоп я устанавливал давно еще. Недели 2-3 назад.[/quote]
внутри этого файла запаковано "Remote Manipulator System - Server" которое запускается через VBS скрипт. Так что если вам этот файл не знаком, то лучше его удалить.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]26[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\мари\appdata\local\hostinstaller\1512653764_monster.exe - [B]not-a-virus:HEUR:Downloader.Win32.AdLoad.gen[/B][*] \mpk.exe._d2ab88007161be1bb278554903b706bd39dd38e0 - [B]not-a-virus:Monitor.Win32.KeyLogger.vwd[/B][*] \set-up.exe._f18b4e9a4c87a36014b0401bcd9a261619b34937 - [B]Trojan.Win32.Delf.dhlv[/B] ( DrWEB: archive: )[/LIST][/LIST]