Printable View
Был очень насыщенный букет всякой гадости: майнеры, трояны и рекламный плагин CoronaBorealis. Почистил CureIt и Каспером, но до конца они проблему не решили. Осталась какая-то мерзость, периодически запускающая процессы, подкачивая ПО и меняя настройки браузера на поисковик yoursites, а так же самостоятельно прописывая к нему путь в ярлыках браузера. Самостоятельно вывести не получается, поэтому прошу у Вас помощи.
Уважаемый(ая) [B]DeiloS[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
TerminateProcessByName('c:\users\deilos\appdata\roaming\tsv\tsvr.exe');
TerminateProcessByName('c:\programdata\2wdm2\wdman.exe');
StopService('IhPul');
QuarantineFileF('c:\programdata\2wdm2', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
QuarantineFileF('c:\programdata\tmp0x0x', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
QuarantineFileF('c:\users\deilos\appdata\local\hostinstaller', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
QuarantineFile('c:\users\deilos\appdata\roaming\tsv\tsvr.exe', '');
QuarantineFile('c:\programdata\2wdm2\wdman.exe', '');
QuarantineFile('C:\Windows\system32\drivers\cherimoya.sys', '');
QuarantineFile('C:\ProgramData\Tmp0x0x\P', '');
QuarantineFile('C:\ProgramData\nAGFFgwfgGm\cVDHyokiRTNboi0.bat', '');
QuarantineFile('C:\Users\DeiloS\AppData\Local\XKmRZDwhypjhfQi\dpEdvser0.bat', '');
QuarantineFile('C:\Users\DeiloS\AppData\Roaming\98ANCI5Dta2F5ksS39.exe', '');
QuarantineFile('C:\Users\DeiloS\AppData\Local\Hostinstaller\709968565_installcube.exe', '');
QuarantineFile('c:\windows\bcore.exe', '');
QuarantineFile('C:\PROGRA~1\GROOVE~1\Cibme.bat', '');
DeleteFile('C:\Windows\Tasks\98ANCI5Dta2F5ksS39.job', '64');
DeleteFile('c:\users\deilos\appdata\roaming\tsv\tsvr.exe', '32');
DeleteFile('c:\programdata\2wdm2\wdman.exe', '32');
DeleteFile('C:\Windows\system32\drivers\cherimoya.sys', '32');
DeleteFile('C:\ProgramData\Tmp0x0x\P', '32');
DeleteFile('C:\ProgramData\nAGFFgwfgGm\cVDHyokiRTNboi0.bat', '32');
DeleteFile('C:\Users\DeiloS\AppData\Local\XKmRZDwhypjhfQi\dpEdvser0.bat', '32');
DeleteFile('C:\Users\DeiloS\AppData\Roaming\98ANCI5Dta2F5ksS39.exe', '32');
DeleteFile('C:\Users\DeiloS\AppData\Local\Hostinstaller\709968565_installcube.exe', '32');
DeleteFile('c:\windows\bcore.exe', '32');
DeleteFile('C:\PROGRA~1\GROOVE~1\Cibme.bat', '32');
DeleteService('IhPul');
DeleteService('cherimoya');
DeleteFileMask('c:\users\deilos\appdata\roaming\tsv', '*', true);
DeleteFileMask('c:\programdata\2wdm2', '*', true);
DeleteFileMask('c:\programdata\tmp0x0x', '*', true);
DeleteFileMask('c:\users\deilos\appdata\local\hostinstaller', '*', true);
DeleteFileMask('c:\progra~1\groove~1', '*', true);
DeleteDirectory('c:\users\deilos\appdata\roaming\tsv');
DeleteDirectory('c:\programdata\2wdm2');
DeleteDirectory('c:\programdata\tmp0x0x');
DeleteDirectory('c:\users\deilos\appdata\local\hostinstaller');
DeleteDirectory('c:\progra~1\groove~1');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Soft installer" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "UpnCH" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Vijjej" /F', 0, 15000, true);
ExecuteSysClean;
ExecuteRepair(4);
ExecuteRepair(3);
ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
Выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.
Сделайте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner (by Xplode)[/URL].
Сделайте лог [URL="http://dragokas.com/tools/CheckBrowsersLNK.zip"]Check Browsers' LNK by Dragokas & regist[/URL].
Сделано.
Карантин:
Файл сохранён как: 160320_140229_quarantine_56ee8345dde0b.zip
Размер файла: 2803056
MD5: 018bf4c56b278a48072ecef85e4eead5
Перетащите лог Check_Browsers_LNK.log на [url=http://dragokas.com/tools/ClearLNK.zip]утилиту ClearLNK[/url]. Отчёт о работе прикрепите.
[url="http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864"]Удалите всё найденное в [B]AdwCleaner[/B][/URL], дождитесь окончания удаления и перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C1].txt, прикрепите к своему следующему сообщению.
[URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кэш и cookies-файлы браузеров[/URL] и сообщите, что с проблемами.
Сделано.
На данный момент проблема решена. Но проблема исчезала на 1-2 недели и после чистки Кьюритом и Каспером, но затем проявлялась вновь.
Значит, снова запускали установщик адвари. Вспоминайте, что запускали перед этим.
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).
Это очень сложный вопрос. Со 100% уверенностью это хром, стим, пара репаков игрушек, но они стояли еще до появления проблемы.
Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]CreateRestorePoint:
HKLM-x32\...\Run: [rec_en_77] => [X]
FF Plugin HKU\S-1-5-21-4259430016-2109247338-1062395084-1000: @tools.google.com/Google Update;version=3 -> C:\Users\DeiloS\AppData\Local\Google\Update\1.3.24.15\npGoogleUpdate3.dll [No File]
FF Plugin HKU\S-1-5-21-4259430016-2109247338-1062395084-1000: @tools.google.com/Google Update;version=9 -> C:\Users\DeiloS\AppData\Local\Google\Update\1.3.24.15\npGoogleUpdate3.dll [No File]
FF HKLM\...\Firefox\Extensions: [{EFA735EF-B14C-445D-89C5-ED48D24847A5}] - C:\Program Files\groover131220151512\Firefox\{EFA735EF-B14C-445D-89C5-ED48D24847A5}.xpi => not found
FF HKLM-x32\...\Firefox\Extensions: [{EFA735EF-B14C-445D-89C5-ED48D24847A5}] - C:\Program Files\groover131220151512\Firefox\{EFA735EF-B14C-445D-89C5-ED48D24847A5}.xpi => not found
CHR HomePage: Default -> mail.ru/cnt/11956636?gp=anvir5
CHR HKLM-x32\...\Chrome\Extension: [bgbgnhmfbcifpkjofoojfplmfkmaiadn] - hxxps://clients2.google.com/service/update2/crx
EmptyTemp:
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
[URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кэш и cookies-файлы браузеров[/URL] и сообщите, что с проблемой.
Готово.
Пока все нормально.
Отключите временно антивирус.
Загрузите, распакуйте на Рабочий стол и запустите [URL="https://yadi.sk/d/xIUtpEqJq4wru"]SecurityCheck by glax24[/URL].
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши [B]Запуск от имени администратора[/B] (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например [I]C:\SecurityCheck\SecurityCheck.txt[/I].
Приложите этот файл к своему следующему сообщению.
Готово
[QUOTE]Service Pack не установлен [color=red][b]Внимание! [url=http://www.microsoft.com/ru-ru/download/details.aspx?id=5842]Скачать обновления[/url][/b][/color]
[color=blue][b]^Возможно потребуется повторная активация Windows^[/b][/color]
Internet Explorer 8.0.7600.16385 [color=red][b]Внимание! [url=http://windows.microsoft.com/ru-ru/internet-explorer/ie-11-worldwide-languages]Скачать обновления[/url][/b][/color]
[color=blue][b]^Онлайн установка. Последняя версия доступна при включенном обновлении Windows через интернет.^[/b][/color][/QUOTE]
Если не пиратка - обновить обязательно. Хотя Windows 7 Ultimate - мало у кого лицензионная...
[QUOTE]Java 7 Update 67 v.7.0.670 [color=red][b]Внимание! [url=http://www.oracle.com/technetwork/java/javase/downloads/1880261]Скачать обновления[/url][/b][/color] [color=red][b]Внимание! Данная версия содержит уязвимость нулевого дня![/b][/color] Рекомендуется деинсталлировать Java версий 6 и 7, скачать и установить [b][url=http://www.oracle.com/technetwork/java/javase/downloads/jre8-downloads-2133155.html]Java 8[/url][/b]
[color=blue][b]^Если Ваша система не поддерживает Java 8, удалите старую версию и скачайте по ссылке выше (jre-7u80-windows-i586.exe). Желательно отключить Java-плагин в браузере!!!^[/b][/color]
Adobe Flash Player 21 NPAPI v.21.0.0.182 [color=red][b]Внимание! [url=http://download.macromedia.com/pub/flashplayer/latest/help/install_flash_player.exe]Скачать обновления[/url][/b][/color]
Adobe Flash Player 21 PPAPI v.21.0.0.182 [color=red][b]Внимание! [url=http://download.macromedia.com/pub/flashplayer/latest/help/install_flash_player_ppapi.exe]Скачать обновления[/url][/b][/color]
Adobe Reader XI (11.0.14) - Russian v.11.0.14 [color=red][b]Внимание! [url=http://get.adobe.com/reader/]Скачать обновления[/url][/b][/color]
[color=blue][b]^Проверьте обновления через меню Справка - Проверить обновления!^[/b][/color][/QUOTE]
Это всё обязательно обновлять. И впредь - автоматически.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\programdata\tmp0x0x\update\update.exe - [B]not-a-virus:Downloader.Win32.AdLoad.ufqg[/B][*] c:\users\deilos\appdata\roaming\tsv\tsvr.exe - [B]not-a-virus:AdWare.Win32.ELEX.gk[/B] ( DrWEB: Adware.Mutabaha.779 )[/LIST][/LIST]