Здравствуйте!
Никак не могу побороть постоянную установку приложений типа Advanced PC Care, Universal Driver Updater и прочих на фоне.
Лечился ADWCleaner'ом и CureIt'ом, но через некоторое время указанные приложения вновь прилетают.
Помогите, пожалуйста.
Спасибо!
Уважаемый(ая) [B]The_Immortal[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
AVZ [URL="http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804"]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
DelBHO('{D30EFF4C-0EE2-4B54-8327-78DD712F13B6}');
StopService('AppVerifier');
StopService('tsnethlpx64');
StopService('WNEn Monitor');
DeleteService('AppVerifier');
DeleteService('tsnethlpx64');
DeleteService('WNEn Monitor');
QuarantineFile('C:\Program Files (x86)\mbot_ru_014010253\mbot_ru_014010253.exe','');
QuarantineFile('C:\Program Files (x86)\Tencent\QQPCMgr\11.3.17201.218\QQPCTray.exe','');
QuarantineFile('C:\Program Files (x86)\Tencent\QQPCMgr\11.3.17201.218\TsNetHlpX64.sys','');
QuarantineFile('C:\Program Files (x86)\TNT2\2.0.0.2030\IEToolbar.dll','');
QuarantineFile('C:\Program Files (x86)\Universal Driver Updater\UniversalDriverUpdater.exe','');
QuarantineFile('C:\Program Files\Advanced PC Care\advancedpccare.exe','');
QuarantineFile('C:\Program Files\WNEn\1ebd419bd2d2d2a6e4a6953e6d8edd8e.exe','');
QuarantineFile('C:\ProgramData\Appverifier\AppVerifierService.exe','');
QuarantineFile('C:\Users\Admin\appdata\roaming\aspackage\aspackage.exe','');
QuarantineFile('C:\Users\Admin\appdata\roaming\aspackage\uninstall.exe','');
QuarantineFile('C:\Users\Admin\appdata\roaming\freevpn\freevpn.exe','');
DeleteFile('C:\Program Files (x86)\mbot_ru_014010253\mbot_ru_014010253.exe','32');
DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\11.3.17201.218\QQPCTray.exe','32');
DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\11.3.17201.218\TsNetHlpX64.sys','32');
DeleteFile('C:\Program Files (x86)\TNT2\2.0.0.2030\IEToolbar.dll','32');
DeleteFile('C:\Program Files\Advanced PC Care\advancedpccare.exe','32');
DeleteFile('c:\program files\WNEn\1ebd419bd2d2d2a6e4a6953e6d8edd8e.exe','32');
DeleteFile('C:\ProgramData\Appverifier\AppVerifierService.exe','32');
DeleteFile('C:\Users\Admin\appdata\roaming\aspackage\aspackage.exe','32');
DeleteFile('C:\Users\Admin\appdata\roaming\aspackage\uninstall.exe','32');
DeleteFile('C:\Users\Admin\AppData\Roaming\FreeVPN\FreeVPN.exe','32');
DeleteFile('C:\WINDOWS\system32\Tasks\Microsoft\Windows\SystemRestore\FreeVPN','64');
DeleteFile('C:\WINDOWS\system32\Tasks\Universal\Universal Driver Updater\Start Universal Driver Updater оn logon','64');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','mbot_ru_014010253');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','QQPCTray');
BC_ImportALL;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.
[/CODE]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR=#FF0000]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.
- Подготовьте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner[/URL] и приложите его в теме.
[b]SQ[/b], сделано. Жду дальнейших указаний.
P.S. UniversalDriverUpdater вновь запустился после перезагрузки, хотя вроде в скрипте его исполняемый файл прибивается и задания по его запуску чистятся... :?
[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.
[b]SQ[/b], сделал. Проблема вроде как ушла, по крайней мере пока.
Спасибо Вам огромнейшее!!!
- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[b]SQ[/b], сделал.
Hosts мне не нравится...
Какие из расширений Вам известны:
[CODE]
FF Extension: friGate - unlock sites - C:\Users\Admin\AppData\Roaming\Mozilla\Firefox\Profiles\per09e1p.default\extensions\[email protected] [2015-12-28]
FF Extension: anonymoX - C:\Users\Admin\AppData\Roaming\Mozilla\Firefox\Profiles\per09e1p.default\Extensions\[email protected] [2016-03-06]
FF Extension: MEGA - C:\Users\Admin\AppData\Roaming\Mozilla\Firefox\Profiles\per09e1p.default\Extensions\[email protected] [2016-03-15]
[/CODE]
Знакомы Вам файлы?
[CODE]
C:\Users\Admin\acpixtract.exe
C:\Users\Admin\dsdt.dat
C:\Users\Admin\facp.dat
C:\Users\Admin\iasl.exe
[/CODE]
[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
HKLM-x32\...\Run: [mbot_ru_014010259] => [X]
HKLM-x32\...\Run: [rec_ru_217] => [X]
ShellIconOverlayIdentifiers: [.QMDeskTopGCIcon] -> {B7667919-3765-4815-A66D-98A09BE662D6} => No File
GroupPolicy: Restriction - Chrome <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
SearchScopes: HKU\S-1-5-21-2889426381-3911443840-78545312-1004 -> {8066FF15-6B1B-44BC-B145-710A915E1BB6} URL = hxxp://search.yahoo.com/search?p={searchTerms}&fr=tightropetb&type=11467
Toolbar: HKLM - eShield - {D30EFF4C-0EE2-4B54-8327-78DD712F13B6} - C:\Program Files (x86)\TNT2\2.0.0.2030\IEToolbar64.dll No File
Filter: application/x-mfe-ipt - {3EF5086B-5478-4598-A054-786C45D75692} - No File
FF Plugin: @mcafee.com/MSC,version=10 -> c:\PROGRA~1\mcafee\msc\NPMCSN~1.DLL [No File]
FF Plugin-x32: @mcafee.com/MSC,version=10 -> c:\PROGRA~2\mcafee\msc\NPMCSN~1.DLL [No File]
FF Plugin HKU\S-1-5-21-2889426381-3911443840-78545312-1004: @mail.ru/GameCenter -> C:\Users\Admin\AppData\Local\Mail.Ru\GameCenter\NPDetector.dll [No File]
2016-03-06 19:16 - 2016-03-06 19:16 - 00000000 ____D C:\Users\Все пользователи\PCVARK
2016-03-06 19:16 - 2016-03-06 19:16 - 00000000 ____D C:\ProgramData\PCVARK
Folder: C:\Users\Admin\AppData\Roaming\talimama
2016-02-27 18:01 - 2016-02-27 18:01 - 00000000 ____D C:\Users\Все пользователи\wijRxmx
2016-02-27 18:01 - 2016-02-27 18:01 - 00000000 ____D C:\Users\Все пользователи\MNOsAQChac
2016-02-27 18:01 - 2016-02-27 18:01 - 00000000 ____D C:\Users\Все пользователи\hixQRRSf
2016-02-27 18:01 - 2016-02-27 18:01 - 00000000 ____D C:\ProgramData\wijRxmx
2016-02-27 18:01 - 2016-02-27 18:01 - 00000000 ____D C:\ProgramData\MNOsAQChac
2016-02-27 18:01 - 2016-02-27 18:01 - 00000000 ____D C:\ProgramData\hixQRRSf
2016-02-27 18:01 - 2016-02-27 18:01 - 00000000 ____D C:\Program Files (x86)\HDefsoft
2016-02-27 17:50 - 2016-03-01 21:31 - 00000000 ____D C:\Program Files (x86)\Bonjoiur Host Controller
Folder: C:\ProgramData\Validity
2015-11-29 18:20 - 2015-11-29 18:20 - 0000000 ____H () C:\ProgramData\DP45977C.lfl
CustomCLSID: HKU\S-1-5-21-2889426381-3911443840-78545312-1004_Classes\CLSID\{D30EFF4C-0EE2-4B54-8327-78DD712F13B6}\InprocServer32 -> C:\Program Files (x86)\TNT2\2.0.0.2030\IEToolbar64.dll => No File
Task: {14D67076-0770-4588-84A6-0CF655F62447} - \Microsoft\Windows\SystemRestore\FreeVPN -> No File <==== ATTENTION
Task: {24F5A563-B895-431C-856D-F7FAFB984A9A} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> No File <==== ATTENTION
Task: {25AE1F54-B3A3-43C2-9BBA-4400C106D2E8} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> No File <==== ATTENTION
Task: {342E1F49-C0B7-449E-94D5-1BE16514C113} - \WPD\SqmUpload_S-1-5-21-2889426381-3911443840-78545312-1002 -> No File <==== ATTENTION
Task: {4BC6C7F9-885B-46F5-8BAA-A38C8EBDDEE7} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> No File <==== ATTENTION
Task: {60BC59C0-4569-43EB-9BB4-EB1383CEDB49} - \Microsoft\Windows\Setup\GWXTriggers\Telemetry-4xd -> No File <==== ATTENTION
Task: {6EDBD76E-5C3D-49DF-BD88-19CB811824D4} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> No File <==== ATTENTION
Task: {7937CAE9-BB3C-4E3F-8CBE-CB7A6123A1C4} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> No File <==== ATTENTION
Task: {9C2CBF0E-E139-4201-A153-278B9D261149} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> No File <==== ATTENTION
Task: {A0CA334F-64A0-49DC-9C02-F27A19BF0C37} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> No File <==== ATTENTION
Task: {A812CB1B-D187-483E-A4FB-8557D29F2392} - \Optimize Start Menu Cache Files-S-1-5-21-2889426381-3911443840-78545312-1002 -> No File <==== ATTENTION
Task: {CDB6FEE6-E76E-48F0-9AF6-519D7EF83E2E} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> No File <==== ATTENTION
Task: {E0963151-3D6D-4881-87E2-2D91B72AE7C1} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> No File <==== ATTENTION
Task: {F09E22D5-94E2-463B-88E8-1C1F693D64DC} - \WPD\SqmUpload_S-1-5-21-2889426381-3911443840-78545312-1003 -> No File <==== ATTENTION
Task: {F80CD703-77E9-4120-B602-13F3F0FB2242} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> No File <==== ATTENTION
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run32\QQPCTray]
Hosts:
EmptyTemp:
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
[b]SQ[/b], все указанные Вами расширения и файлы мне известны - они безвредны.
Сообщите, что с проблемой?
[b]SQ[/b], проблема пока не проявлялась.
Благодарю Вас!!!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files\advanced pc care\advancedpccare.exe - [B]not-a-virus:RiskTool.Win32.AdvancedPcCare.a[/B] ( DrWEB: Program.Unwanted.965 )[*] c:\programdata\appverifier\appverifierservice.exe - [B]not-a-virus:AdWare.MSIL.Eorezo.bm[/B][*] c:\users\admin\appdata\roaming\aspackage\aspackage.exe - [B]not-a-virus:AdWare.Win32.AdSvc.ahy[/B][/LIST][/LIST]