Произвольное открытие сайтов, сообщения из вк и уведомления об обновлении. [not-a-virus:HEUR:NetTool.Win32.NetFilter.gen, not-a-virus:WebToolbar.Win32.Neobar.p ]

Printable View

22.03.2016, 13:11
Антон Сивков

Вложений: 2

Произвольное открытие сайтов, сообщения из вк и уведомления об обновлении. [not-a-virus:HEUR:NetTool.Win32.NetFilter.gen, not-a-virus:WebToolbar.Win32.Neobar.p ]

Добрый день.
В результате заражения компьютера не получается открыть любой документ в MS Office (после запуска приложения не получается переключиться на документ, закрыть приложение возможно только из диспетчера задач). Также произвольно открывается IE и переходит на сайт с казино, появляются сообщения из вк о быстрых способах заработка. И постоянно под видом безопасного режима появляется сообщение о необходимости обновления различных приложений, будь то Проводник или антивирус или любое другое.
В общем система живет своей красочной жизнью.
PS. Проверка KVRT и KRD выявила в сумме 5 троянов и около 20 рекламных файлов. Однако это не до конца помогло.
22.03.2016, 13:12
Info_bot

Уважаемый(ая) [B]Антон Сивков[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
22.03.2016, 19:41
Vvvyg

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
TerminateProcessByName('c:\windows\temp\2339.tmp');
TerminateProcessByName('C:\Program Files\ContentProtector\ContentProtector.exe');
TerminateProcessByName('C:\Program Files\ContentProtector\ContentProtectorUpdate.exe');
TerminateProcessByName('c:\users\user.idea-pc\appdata\roaming\imagecropresize\imageed\imageed.exe');
TerminateProcessByName('c:\program files (x86)\4d501c63-1457941035-e311-8450-208984f5c5e6\knsl7a75.tmp');
TerminateProcessByName('c:\users\user.idea-pc\appdata\local\mail.ru\mailruupdater.exe');
TerminateProcessByName('c:\programdata\fwdmf\wdman.exe');
StopService('ContentProtector');
StopService('WdMan');
StopService('xefyrycuzbt');
StopService('ContentProtectorDrv');
QuarantineFile('c:\windows\temp\2339.tmp', '');
QuarantineFile('C:\Program Files\ContentProtector\ContentProtector.exe', '');
QuarantineFile('C:\Program Files\ContentProtector\ContentProtectorUpdate.exe', '');
QuarantineFile('c:\users\user.idea-pc\appdata\roaming\imagecropresize\imageed\imageed.exe', '');
QuarantineFile('c:\program files (x86)\4d501c63-1457941035-e311-8450-208984f5c5e6\knsl7a75.tmp', '');
QuarantineFile('c:\users\user.idea-pc\appdata\local\mail.ru\mailruupdater.exe', '');
QuarantineFile('c:\programdata\fwdmf\wdman.exe', '');
QuarantineFile('SSFK.sys', '');
QuarantineFile('C:\WINDOWS\system32\drivers\ContentProtectorDrv.sys', '');
QuarantineFile('C:\Program Files\SpaceSoundPro\SpaceSoundPro.exe', '');
QuarantineFile('C:\Program Files\SpaceSoundPro\idscservice.exe', '');
QuarantineFile('C:\Program Files (x86)\Max Driver Updater\maxdu.exe', '');
QuarantineFile('C:\Users\user.idea-PC\AppData\Roaming\istartpageing\UninstallManager.exe', '');
QuarantineFile('C:\Users\user.idea-PC\AppData\Roaming\yoursearching\UninstallManager.exe', '');
QuarantineFile('C:\Users\user.idea-PC\appdata\roaming\aspackage\uninstall.exe', '');
QuarantineFile('C:\Program Files\contentprotector\condefclean.exe', '');
QuarantineFile('C:\Program Files\contentprotector\condefupdateps.dll', '');
QuarantineFile('C:\Program Files\contentprotector\conprotsetup.exe', '');
QuarantineFile('C:\Program Files\contentprotector\contentprotectorconrol.exe', '');
QuarantineFile('C:\Program Files\contentprotector\import_root_cert.exe', '');
QuarantineFile('C:\Program Files\contentprotector\libeay32.dll', '');
QuarantineFile('C:\Program Files\contentprotector\nfregdrv.exe', '');
QuarantineFile('C:\Program Files\contentprotector\nss\certutil.exe', '');
QuarantineFile('C:\Program Files\contentprotector\nss\mozcrt19.dll', '');
QuarantineFile('C:\Program Files\contentprotector\nss\nspr4.dll', '');
QuarantineFile('C:\Program Files\contentprotector\nss\nss3.dll', '');
QuarantineFile('C:\Program Files\contentprotector\nss\plc4.dll', '');
QuarantineFile('C:\Program Files\contentprotector\nss\plds4.dll', '');
QuarantineFile('C:\Program Files\contentprotector\nss\smime3.dll', '');
QuarantineFile('C:\Program Files\contentprotector\nss\softokn3.dll', '');
QuarantineFile('C:\Program Files\contentprotector\ssleay32.dll', '');
DeleteFile('C:\WINDOWS\Tasks\MAXDriverUpdater_UPDATES.job', '64');
DeleteFile('c:\windows\temp\2339.tmp', '32');
DeleteFile('C:\Program Files\ContentProtector\ContentProtector.exe', '32');
DeleteFile('C:\Program Files\ContentProtector\ContentProtectorUpdate.exe', '32');
DeleteFile('c:\users\user.idea-pc\appdata\roaming\imagecropresize\imageed\imageed.exe', '32');
DeleteFile('c:\program files (x86)\4d501c63-1457941035-e311-8450-208984f5c5e6\knsl7a75.tmp', '32');
DeleteFile('c:\users\user.idea-pc\appdata\local\mail.ru\mailruupdater.exe', '32');
DeleteFile('c:\programdata\fwdmf\wdman.exe', '32');
DeleteFile('SSFK.sys', '32');
DeleteFile('C:\WINDOWS\system32\drivers\ContentProtectorDrv.sys', '32');
DeleteFile('C:\Program Files\SpaceSoundPro\SpaceSoundPro.exe', '32');
DeleteFile('C:\Program Files\SpaceSoundPro\idscservice.exe', '32');
DeleteFile('C:\Program Files (x86)\Max Driver Updater\maxdu.exe', '32');
DeleteFile('C:\Users\user.idea-PC\AppData\Roaming\istartpageing\UninstallManager.exe', '32');
DeleteFile('C:\Users\user.idea-PC\AppData\Roaming\yoursearching\UninstallManager.exe', '32');
DeleteFile('C:\Users\user.idea-PC\appdata\roaming\aspackage\uninstall.exe', '32');
DeleteFile('C:\Program Files\contentprotector\condefclean.exe', '32');
DeleteFile('C:\Program Files\contentprotector\condefupdateps.dll', '32');
DeleteFile('C:\Program Files\contentprotector\conprotsetup.exe', '32');
DeleteFile('C:\Program Files\contentprotector\contentprotectorconrol.exe', '32');
DeleteFile('C:\Program Files\contentprotector\import_root_cert.exe', '32');
DeleteFile('C:\Program Files\contentprotector\libeay32.dll', '32');
DeleteFile('C:\Program Files\contentprotector\nfregdrv.exe', '32');
DeleteFile('C:\Program Files\contentprotector\nss\certutil.exe', '32');
DeleteFile('C:\Program Files\contentprotector\nss\mozcrt19.dll', '32');
DeleteFile('C:\Program Files\contentprotector\nss\nspr4.dll', '32');
DeleteFile('C:\Program Files\contentprotector\nss\nss3.dll', '32');
DeleteFile('C:\Program Files\contentprotector\nss\plc4.dll', '32');
DeleteFile('C:\Program Files\contentprotector\nss\plds4.dll', '32');
DeleteFile('C:\Program Files\contentprotector\nss\smime3.dll', '32');
DeleteFile('C:\Program Files\contentprotector\nss\softokn3.dll', '32');
DeleteFile('C:\Program Files\contentprotector\ssleay32.dll', '32');
DeleteService('ContentProtector');
DeleteService('WdMan');
DeleteService('xefyrycuzbt');
DeleteService('SSFK');
DeleteService('ContentProtectorDrv');
DeleteFileMask('c:\program files\contentprotector', '*', true);
DeleteFileMask('c:\users\user.idea-pc\appdata\roaming\imagecropresize', '*', true);
DeleteFileMask('c:\users\user.idea-pc\appdata\local\mail.ru', '*', true);
DeleteFileMask('c:\programdata\fwdmf', '*', true);
DeleteFileMask('c:\program files\spacesoundpro', '*', true);
DeleteFileMask('c:\program files (x86)\max driver updater', '*', true);
DeleteFileMask('c:\users\user.idea-pc\appdata\roaming\istartpageing', '*', true);
DeleteFileMask('c:\users\user.idea-pc\appdata\roaming\yoursearching', '*', true);
DeleteFileMask('c:\users\user.idea-pc\appdata\roaming\aspackage', '*', true);
DeleteDirectory('c:\program files\contentprotector');
DeleteDirectory('c:\users\user.idea-pc\appdata\roaming\imagecropresize');
DeleteDirectory('c:\users\user.idea-pc\appdata\local\mail.ru');
DeleteDirectory('c:\programdata\fwdmf');
DeleteDirectory('c:\program files\spacesoundpro');
DeleteDirectory('c:\program files (x86)\max driver updater');
DeleteDirectory('c:\users\user.idea-pc\appdata\roaming\istartpageing');
DeleteDirectory('c:\users\user.idea-pc\appdata\roaming\yoursearching');
DeleteDirectory('c:\users\user.idea-pc\appdata\roaming\aspackage');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "MailRuUpdater" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "MAXDriverUpdaterRunAtStartup" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "MAXDriverUpdater_UPDATES" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "{1A86EFCA-A172-49F7-B39F-7BEA921CB32E}" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "{CEA4447E-C2ED-4F4F-9722-B795B35B4CC5}" /F', 0, 15000, true);
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'MailRuUpdater');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'ImageEd');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'SpaceSoundPro');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'IDSCPRODUCT');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
ExecuteSysClean;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.

Сделайте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner (by Xplode)[/URL].
23.03.2016, 07:45
Антон Сивков

Вложений: 2

Пока что ничего не изменилось((.
23.03.2016, 07:59
Vvvyg

А мы только начали.

Запустите повторно [B]AdwCleaner (by Xplode) [/B](в [B]Windows Vista/7/8[/B] необходимо запускать через правую кнопку мыши [B]от имени администратора)[/B]), нажмите кнопку [B]Сканировать[/B] (Scan), по окончании сканирования, [B]только если используете программы от этого портала[/B], уберите галочки на вкладках [B]Папки[/B] (Folders) и [B]Реестр[/B] (Registry) со всех пунктов, где упоминается Mail.Ru.

Установите в пункте меню "Настройки" (Settings) дополнительно к установленным по умолчанию галочку "[B]Сброс политик Chrome[/B]".
Затем нажмите [B]Очистка[/B] ([B]Cleaning[/B]) и по окончании удаления перезагрузите систему по требованию программы.

После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C1].txt, прикрепите к своему следующему сообщению.

[URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кэш и cookies-файлы браузеров[/URL] и сообщите, что с проблемами.
23.03.2016, 08:32
Антон Сивков

После снятия галочек в AdwCleaner (Также снял галочки где упоминалось про MailruUpdater) и перезагрузки, в операционной системе не появляется интерфейс. Просто темный экран, курсор мыши и сообщение "Не удается найти файл сценария C:\Windows\run.vbs в заголовке которого Windows Script Host. Меню вызываемое по Ctrl+Ald+Del работает. Перезагрузка не помогла.
23.03.2016, 08:41
Vvvyg

Сейчас починим.
Через диспетчер задач Файл -> Запустить новую задачу введите [B]explorer.exe[/B] и Ok - рабочий стол появится.

[url="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/url] в HijackThis (в [B]Windows Vista/7/8[/B] необходимо запускать через правую кнопку мыши [B]Запуск от имени администратора)[/B]):[code]F2 - REG:system.ini: UserInit=wscript C:\WINDOWS\run.vbs,[/code]
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).
23.03.2016, 09:28
Антон Сивков

Вложений: 3

После выполнения скрипта в HiJack интерфейс в ОС по прежнему не появляется. Сообщение то же появляется.
Также больше не появляются различные баннеры и браузеры работают как и должны.
Однако MS Word работает как и в начале проблемы.
23.03.2016, 13:01
Vvvyg

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]CreateRestorePoint:
HKLM\...\Winlogon: [Userinit] wscript C:\WINDOWS\run.vbs,
CHR HKLM-x32\...\Chrome\Extension: [lbjjfiihgfegniolckphpnfaokdkbmdm] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [mdeldjolamfbcgnndjmjjiinnhbnbnla] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [oelpkepjlgmehajehfeicfbjdiobdkfj] - hxxps://clients2.google.com/service/update2/crx
2016-03-18 09:54 - 2016-03-18 09:55 - 00000000 ____D C:\ProgramData\iLPQuon
2016-03-18 08:02 - 2016-03-18 16:41 - 00000000 ____D C:\ProgramData\TbseMHvRUK
2016-03-18 08:00 - 2016-03-18 08:01 - 00000000 ____D C:\ProgramData\WALOqYT
2016-03-17 10:26 - 2016-03-18 05:28 - 00000000 __SHD C:\ProgramData\360Quarant
2016-03-17 10:26 - 2016-03-18 05:28 - 00000000 __SHD C:\$360Section
2016-03-17 10:10 - 2016-03-18 16:16 - 00000000 ____D C:\Users\user.idea-PC\AppData\Local\BGYwxlhE
2016-03-17 10:10 - 2016-03-17 10:10 - 00000000 ____D C:\Users\Все пользователи\hkOezsGHIK
2016-03-17 10:12 - 2016-03-18 14:15 - 00000000 ____D C:\Program Files (x86)\360
2016-03-17 10:12 - 2016-03-17 10:12 - 00000000 _____ C:\WINDOWS\SysWOW64\Number of results
2016-03-17 10:11 - 2016-03-17 10:11 - 00000000 ____D C:\Users\Все пользователи\qGQeJYayjT
2016-03-14 11:36 - 2016-03-14 11:36 - 00000000 ____D C:\ProgramData\{BE2ACE5C-32B7-4777-9BDF-ECF87CDAB705}
Hosts:
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\ContentProtector" /f
Reg: reg delete "HKU\S-1-5-21-2993095797-322622531-1346806083-1001\Software\Microsoft\Windows\CurrentVersion\Uninstall\ImageCropResize" /f
EmptyTemp:
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Сообщите, что с проблемой.

Кстати, MailRuUpdater, он же "Служба автоматического обновления программ" совершенно не нужен, ни одной программы от Mail.Ru нет и обновлять нечего.
24.03.2016, 07:24
Антон Сивков

Вложений: 1

интерфейс стал загружаться самостоятельно, спасибо.
проблема с MS Office, возможно решится если я его переустановлю.
24.03.2016, 09:04
Vvvyg

Запустите AdwCleaner и нажмите [B]Деинсталлировать (Uninstall)[/B].

Удалите папку C:\FRST со всем содержимым.

Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].
24.03.2016, 09:14
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]29[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files\contentprotector\condefclean.exe - [B]not-a-virus:HEUR:NetTool.Win32.NetFilter.gen[/B][*] c:\program files\contentprotector\condefupdateps.dll - [B]not-a-virus:HEUR:NetTool.Win32.NetFilter.gen[/B][*] c:\program files\contentprotector\conprotsetup.exe - [B]not-a-virus:HEUR:NetTool.Win32.NetFilter.gen[/B][*] c:\program files\contentprotector\contentprotectorconrol.exe - [B]not-a-virus:HEUR:NetTool.Win32.NetFilter.gen[/B][*] c:\program files\contentprotector\contentprotector.exe - [B]not-a-virus:HEUR:NetTool.Win32.NetFilter.gen[/B][*] c:\program files\contentprotector\contentprotectorupdate.exe - [B]not-a-virus:HEUR:NetTool.Win32.NetFilter.gen[/B][*] c:\program files\contentprotector\import_root_cert.exe - [B]not-a-virus:HEUR:NetTool.Win32.NetFilter.gen[/B][*] c:\program files\contentprotector\libeay32.dll - [B]not-a-virus:HEUR:NetTool.Win32.NetFilter.gen[/B][*] c:\program files\contentprotector\nfregdrv.exe - [B]not-a-virus:AdWare.Win64.Agent.iqi[/B][*] c:\program files\contentprotector\nss\certutil.exe - [B]not-a-virus:HEUR:NetTool.Win32.NetFilter.gen[/B][*] c:\program files\contentprotector\nss\mozcrt19.dll - [B]not-a-virus:HEUR:NetTool.Win32.NetFilter.gen[/B][*] c:\program files\contentprotector\nss\nspr4.dll - [B]not-a-virus:HEUR:NetTool.Win32.NetFilter.gen[/B][*] c:\program files\contentprotector\nss\nss3.dll - [B]not-a-virus:HEUR:NetTool.Win32.NetFilter.gen[/B][*] c:\program files\contentprotector\nss\plc4.dll - [B]not-a-virus:HEUR:NetTool.Win32.NetFilter.gen[/B][*] c:\program files\contentprotector\nss\plds4.dll - [B]not-a-virus:HEUR:NetTool.Win32.NetFilter.gen[/B][*] c:\program files\contentprotector\nss\smime3.dll - [B]not-a-virus:HEUR:NetTool.Win32.NetFilter.gen[/B][*] c:\program files\contentprotector\nss\softokn3.dll - [B]not-a-virus:HEUR:NetTool.Win32.NetFilter.gen[/B][*] c:\program files\contentprotector\ssleay32.dll - [B]not-a-virus:HEUR:NetTool.Win32.NetFilter.gen[/B][*] c:\programdata\fwdmf\wdman.exe - [B]not-a-virus:AdWare.Win32.ELEX.me[/B][*] c:\users\user.idea-pc\appdata\roaming\istartpageing\uninstallmanager.exe - [B]not-a-virus:HEUR:AdWare.Win32.ELEX.gen[/B][*] c:\windows\system32\drivers\contentprotectordrv.sys - [B]not-a-virus:NetTool.Win32.NetFilter.v[/B][*] c:\windows\temp\2339.tmp - [B]not-a-virus:AdWare.Win32.ConvertAd.avgr[/B][/LIST][/LIST]