После установки Хамачи с НЕ официального сайта, установился яндекс браузер, мэил агент и сменилась стартовая страница в браузере. Это всё было числа 19. После того как я всё удалил, больше ничего не устанавливалось, сегодня же снова, просто играл в игру и началась установка разного ПО: китайские браузеры, разная фигня для ускорения компьютера, после их удаления устанавливались другие программы, сейчас проблема вновь пропала.
Уважаемый(ая) [B]SadHaze[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
QuarantineFile('C:\Users\Администратор\AppData\Local\Hostinstaller\1880827387_monster.exe','');
QuarantineFile('C:\Users\836D~1\AppData\Local\Temp\supermegabest\run_setup.bat','');
QuarantineFile('C:\Program Files (x86)\UCBrowser\Application\UUC0789.exe','');
QuarantineFile('C:\Users\Администратор\AppData\Roaming\ASPackage\ASPackage.exe','');
QuarantineFile('C:\Windows\system32\drivers\ContentProtectorDrv.sys','');
SetServiceStart('ContentProtectorDrv', 4);
DeleteService('ContentProtectorDrv');
DeleteService('ContentProtectorUpdate');
QuarantineFile('C:\Program Files\ContentProtector\ContentProtectorUpdate.exe','');
DeleteFile('C:\Program Files\ContentProtector\ContentProtectorUpdate.exe','32');
DeleteFile('C:\Windows\system32\drivers\ContentProtectorDrv.sys','32');
DeleteFile('C:\Program Files (x86)\badu\uc.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','apphide');
DeleteFile('C:\Users\Администратор\AppData\Roaming\ASPackage\ASPackage.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','Update');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','amigo');
DeleteFile('C:\Program Files (x86)\UCBrowser\Application\UUC0789.exe','32');
DeleteFile('C:\Users\836D~1\AppData\Local\Temp\supermegabest\run_setup.bat','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','supermegabest');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','apphide');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','svchost0');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','mailruhomesearch');
DeleteFile('C:\Users\Администратор\AppData\Local\Hostinstaller\1880827387_monster.exe','32');
DeleteFile('C:\Windows\system32\Tasks\Soft installer','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.
Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] в Вашей теме.
[B][COLOR="Red"]Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи[/COLOR][/B]
Всё прикрепил нужное. Сейчас обнаружил, что при включении компьютера открывается окно ввода и что то прогружает (cmd.exe). Не стал проверять что оно сделает, сразу закрыл.
[URL="http://virusinfo.info/showthread.php?t=7239"][B]Выполните скрипт в AVZ[/B]:[/URL](в Windows Vista/7/8/10 программу необходимо запускать через правую кнопку мыши Запуск от имени администратора)):
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Users\Администратор\AppData\Local\Amigo\Application\ok.exe','');
QuarantineFile('C:\Users\Администратор\AppData\Local\Amigo\Application\amigo.exe','');
QuarantineFile('C:\Users\Администратор\AppData\Local\Amigo\Application\vk.exe','');
QuarantineFile('C:\Windows\system32\drivers\evldnvkr.sys','');
QuarantineFile('C:\Program Files (x86)\41414346-1461494459-3938-3135-3036FFFFFFFF\knsk2D08.tmpfs','');
DeleteFile('C:\Users\Администратор\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Вконтакте.lnk');
DeleteFile('C:\Users\Администратор\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Интернет.lnk');
DeleteFile('C:\Users\Администратор\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Одноклассники.');
DeleteFile('C:\Program Files (x86)\41414346-1461494459-3938-3135-3036FFFFFFFF\knsk2D08.tmpfs','32');
DeleteFile('C:\Users\Администратор\AppData\Local\Amigo\Application\vk.exe','32');
DeleteFile('C:\Users\Администратор\AppData\Local\Amigo\Application\amigo.exe','32');
DeleteFile('C:\Users\Администратор\AppData\Local\Amigo\Application\ok.exe','32');
DeleteService('wudihihyzbt');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки выполните скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Загрузите quarantine.zip из папки AVZ по красной ссылке [B]вверху[/B] темы [COLOR="Red"]Прислать запрошенный карантин[/COLOR]
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )
[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven/10[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].
Пока проводил все эти деяния снова установился браузер от яндекс. Загрузка cmd.exe уже не появляется. Файл карантина не могу отправить, пишет что такой файл уже существует,да и внутри архива пусто. Остальное сделал.
[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.
Надеюсь я прикрепил нужные отчёты. И ещё вопрос, как удалить файлы во вкладке "вложения"? Скоро там закончится свободное место.
Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Полученные в пп. 4 и 5 логи заархивируйте (в [b]один архив[/b]) и прикрепите к сообщению.
Прикрепил
[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]CreateRestorePoint:
CloseProcesses:
HKLM-x32\...\Run: [mpck_en_005030307] => [X]
HKLM\...\Policies\Explorer: [NoInternetOpenWith] 1
HKU\S-1-5-21-3578206852-269338464-2511613517-500\...\Policies\Explorer: [NoSaveSettings] 0
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://all-best.pro
SearchScopes: HKU\S-1-5-21-3578206852-269338464-2511613517-500 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={SearchTerms}&product_id=%7BC751DD69-9A7F-4059-8C4B-5D1083CAEA57%7D&gp=820483
CHR DefaultSearchURL: Default -> hxxp://go.mail.ru/search?q={searchTerms}&fr=chxtn9.0.1__PARAM__
CHR DefaultSuggestURL: Default -> hxxp://suggests.go.mail.ru/chrome?q={searchTerms}
2016-04-17 14:44 - 2016-04-17 14:44 - 00000000 ____D C:\Users\Администратор\AppData\Roaming\ProductData
2016-04-17 14:42 - 2016-04-25 23:00 - 00000000 ____D C:\Users\Все пользователи\ProductData
2016-04-17 14:42 - 2016-04-25 23:00 - 00000000 ____D C:\ProgramData\ProductData
FirewallRules: [TCP Query User{E88CBCA0-71AC-4FA9-8858-320EC84D7F7D}C:\users\администратор\appdata\local\mediaget2\mediaget.exe] => (Block) C:\users\администратор\appdata\local\mediaget2\mediaget.exe
FirewallRules: [UDP Query User{CFA2DBBD-B5BC-4E35-B1D1-7DDE32F5CAB0}C:\users\администратор\appdata\local\mediaget2\mediaget.exe] => (Block) C:\users\администратор\appdata\local\mediaget2\mediaget.exe
FirewallRules: [TCP Query User{4DD1A67C-E959-4284-981D-4CEFA3ABAC3A}C:\users\администратор\appdata\roaming\exjava\jvm\bin\java.exe] => (Allow) C:\users\администратор\appdata\roaming\exjava\jvm\bin\java.exe
FirewallRules: [UDP Query User{E118C15B-0CF1-4C58-8F4C-06E6F25BAFA9}C:\users\администратор\appdata\roaming\exjava\jvm\bin\java.exe] => (Allow) C:\users\администратор\appdata\roaming\exjava\jvm\bin\java.exe
FirewallRules: [{8252138B-16CF-4D3A-94D0-5DF5C5692F7A}] => (Allow) C:\Users\Администратор\AppData\Local\MediaGet2\mediaget.exe
FirewallRules: [{CD06D25C-6BD5-4794-881E-CF7A738B9E13}] => (Allow) C:\Users\Администратор\AppData\Local\MediaGet2\mediaget.exe
EmptyTemp:
Reboot:[/CODE][*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]
Всё сделал по инструкции, как только перезагрузился компьютер в гугл хром сразу начали устанавливаться расширения от мэйл и другие, могу скриншот сделать если нужно.
[URL="http://virusinfo.info/showthread.php?t=121767"][B]Сделайте полный образ автозапуска uVS[/B][/URL]
Пришлось удалить старые вложения, надеюсь это никак не повлияет на вашу работу.
Выполните скрипт в uVS [URL="http://virusinfo.info/showthread.php?t=121769"]Как выполнить скрипт в uVS[/URL]
[CODE];uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
delref %SystemDrive%\USERS\DEFAULT\APPDATA\LOCAL\YANDEX\YANDEXBROWSER\APPLICATION\BROWSER.EXE
delref %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\LOCAL\THORN\THORN.EXE
delref %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\NECFMKPLPMINFJAGBLFABGGOMDPAAKAN\1.2.9.3_0\ПОИСК ЯНДЕКСA
delref %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\AHKMPJNMNHJKPKACDHKLIIPNNCOBGKHK\9.0.1_0\ПОИСК MAIL.RU
delref %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\BGCIFLJFAPBHGIEHKJLCKFJMGEOJIJCB\7.0.2_0\ПОИСК MAIL.RU
delref %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\OELPKEPJLGMEHAJEHFEICFBJDIOBDKFJ\7.0.3_0\ВИЗУАЛЬНЫЕ ЗАКЛАДКИ MAIL.RU
delref %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\LBJJFIIHGFEGNIOLCKPHPNFAOKDKBMDM\7.0.1_0\ДОМАШНЯЯ СТРАНИЦА MAIL.RU
delref %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\FBKDLIBJHNBLCBJJECNLPKLDHBKEDFHJ\6.0.12_0\ДОМАШНЯЯ СТРАНИЦА MAIL.RU
delref %SystemDrive%\PROGRAM FILES\AMD\CIM\\BIN64\INSTALLMANAGERAPP.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\IOBIT\IOBIT UNINSTALLER\IOBITUNINSTALER.EXE
delref HTTP:\\WWW.MAIL.RU\CNT\20775012?GP=820463
delref %SystemDrive%\PROGRAM FILES\CONTENTPROTECTOR\CONTENTPROTECTORUPDATE.EXE
regt 14
deltmp
delnfr
restart[/CODE]
Проверьте проблему. Отпишитесь.
Программы на компьютер не устанавливаются пока что, а вот расширения так и лезут в браузер , я заметил что они устанавливаются каждый раз при заходе в браузер после перезагрузки компьютера. Я пробовал удалять все файлы браузера хром, из реестра тоже, не помогло, после выполнения скрипта проблема осталась.
Сейчас переустановил браузер подчистую после перезагрузки компьютера. Встал браузер, начали вставать и расширения.
И каждый раз устанавливаются одни и те же расширения.
[quote="SadHaze;1378478"]И каждый раз устанавливаются одни и те же расширения.[/quote]
Возможно расширения о которых Вы пишете не являются вредоносными, попробуйте их перечислить.
В личном кабинете [url]https://www.google.com/dashboard/[/url] синхронизация данных включена ?
При переустановке браузера, папку %LOCALAPPDATA%\Google удаляли ?
Удалял всё напрочь.
Расширения не вредоносные, меня не устраивает тот факт что они устанавливаются без моего ведома (сам браузер писал что обнаружил то что они сами по себе устанавливаются). прикрепил скрин со всеми расширениями.
Синхронизация вроде включена, но все эти штуки начинают устанавливаться до того как я зайду в свой профиль гугл.
Отключите синхронизацию.
Удалите Google Chrome еще раз.
Удалите папки:
%LOCALAPPDATA%\Google
%USERPROFILE%\AppData\Local\Google
%USERPROFILE%\AppData\Roaming\Google
%PROGRAMDATA%\Google
Перезагрузите компьютер. Почистите компьютер Ccleaner-ом, не забыв почистить раздел Раздел - Реестр - поиск проблем. Перезагрузите компьютер еще раз. Установите Google Chrome заново, не забудьте, синхронизация должна быть отключена. В одном из логов если мне не изменяет память, все эти абсолютно безобидные расширения задваивались, такое ощущение что используется сразу 2 профиля.
Зашёл в настройки браузера, увидел что там в профиле написано что то типа "пользователь 1", нажал удалить, пропали все расширения, и сразу же на месте первого пользователя пишется "пользователь 2" и устанавливаются по новой всё, я удалял и удалял, они просто менялись с 1 на 2 пользователя и каждый раз удалялись расширения и снова ставились, хотя я опять таки не логинился ещё, синхронизацию я выключил.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
В интернете погуглил про 2-х пользователей, у кого то была такая же проблема.
Как только удаляю нового, то появляется второй, я уже 2 раза переустанавливал браузер и всё в пустую, какой то скрипт на создание пользователей с последующей закачкой фигни забил в системе, уже сил нет что либо делать, поудалял всё что только можно. надеюсь вы сможете помочь, т.к. проблема более менее понятной стала.