Заблокирован опасный веб-адрес (Kaspersky Anti-Virus) [not-a-virus:Downloader.NSIS.Agent.afp ]

Printable View

12.05.2016, 19:47
almost

Вложений: 2

Заблокирован опасный веб-адрес (Kaspersky Anti-Virus) [not-a-virus:Downloader.NSIS.Agent.afp ]

Доброго времени суток. На прошлой неделей "поймал" рекламный вирус, Касперский, вроде как с ним справился после полной проверки компьютера, однако, при использовании браузера Mozilla Firefox у меня появляется уведомление от антивируса "Заблокирован опасный веб-адрес http://cdnstr.bget.ru/7388429532138783765797589013147618/esetup.data". Таких уведомлений появляется всего 6 за время пользования браузером и так с каждой перезагрузкой системы.
Как указывает антивирус, источником является "C:\Users\admin\AppData\Local\Temp\nsj3A47.tmp\7ED4D842-EE7D-4493-BCAB-D3FF1A874FA9.exe", там таких папок несколько.
Прошу помочь мне в данной ситуации. Заранее спасибо.
12.05.2016, 19:50
Info_bot

Уважаемый(ая) [B]almost[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
13.05.2016, 13:44
SQ

Здравствуйте,

HiJackThis [URL=http://virusinfo.info/showthread.php?t=4491&p=64376&viewfull=1#post64376]профиксить[/URL]
[CODE]
O2 - BHO: (no name) - {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} - (no file)
[/CODE]

AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
QuarantineFile('C:\Program Files\Rockstar Games\Social Club\uninstallRGSCRedistributable.exe','');
QuarantineFile('C:\Users\admin\AppData\Roaming\Adobe\NativePlugin\OOBA\PPAPI\3C68E7E0-A21E-4EE5-8D06-2AA5E50869B5\922AD925-8B39-4089-9DB1-88889EEB3D4C.exe','');
QuarantineFile('C:\Windows\system32\eed_ec.dll','');
DeleteFile('C:\WINDOWS\system32\Tasks\Microsoft\Windows\A3C68E7E0-A21E-4EE5-8D06-2AA5E50869B5','64');
DeleteFile('C:\Users\admin\AppData\Roaming\Adobe\NativePlugin\OOBA\PPAPI\3C68E7E0-A21E-4EE5-8D06-2AA5E50869B5\922AD925-8B39-4089-9DB1-88889EEB3D4C.exe','32');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.

- Подготовьте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner[/URL] и приложите его в теме.

- Сделайте лог [URL=http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk]Check Browsers' LNK[/URL] и приложите его в теме.
13.05.2016, 21:25
almost

Вложений: 2

Все необходимые действия я выполнил успешно. Логи прикреплены к данному сообщению, карантин прислал.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Скажите, пожалуйста, что значит "Downloader.NSIS.Agent.afp" в названии темы? Можно считать, что лечение прошло успешно?
13.05.2016, 21:27
SQ

[list][*]Скачайте [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]ClearLNK[/url] и сохраните архив с утилитой на рабочем столе.[*]Распакуйте архив с утилитой в отдельную папку.[*]Перенесите [B]Check_Browsers_LNK.log[/B] на ClearLNK как показано на рисунке

[img]http://dragokas.com/tools/move.gif[/img]
[*]Отчет о работе [b]ClearLNK-<Дата>.log[/b] будет сохранен в папке [b]LOG[/b].[*]Прикрепите этот отчет к своему следующему сообщению.[/list]

[QUOTE=almost;1381000]
Скажите, пожалуйста, что значит "Downloader.NSIS.Agent.afp" в названии темы? Можно считать, что лечение прошло успешно?[/QUOTE]

То что попадает вредоносное в карантин добавляется к названию темы.
13.05.2016, 21:31
almost

Вложений: 1

Готово.
14.05.2016, 18:52
SQ

- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
14.05.2016, 21:47
almost

Вложений: 2

Сделано.
15.05.2016, 02:10
SQ

Вам знакома следующая настройка в FF:
[CODE]FF NetworkProxy: "autoconfig_url", "http://unblock.ga/files/unblock.pac"
FF NetworkProxy: "type", 2[/CODE]

Используете еще антивирус 360?
[CODE]2016-05-04 14:44 - 2016-05-10 09:59 - 00000000 __SHD C:\$360Section
2016-05-04 14:42 - 2016-05-10 09:59 - 00000000 ____D C:\Users\Все пользователи\360Quarant
2016-05-04 14:42 - 2016-05-10 09:59 - 00000000 ____D C:\ProgramData\360Quarant
2016-05-04 14:42 - 2016-05-04 14:42 - 00000000 ____D C:\WINDOWS\Tasks\360Disabled
2016-05-04 14:41 - 2016-04-25 04:59 - 00077904 _____ (360.cn) C:\WINDOWS\SysWOW64\Drivers\360AvFlt.sys
2016-05-04 14:40 - 2016-05-10 10:31 - 00000000 ____D C:\Program Files (x86)\360[/CODE]

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
SearchScopes: HKLM-x32 -> {4C6B651F-421C-45F7-ADBC-CF25ACB4CBA2} URL = hxxp://www.amazon.co.uk/s/ref=azs_osd_ieauk?ie=UTF-8&tag=hp-uk3-vsb-21&link%5Fcode=qs&index=aps&field-keywords={searchTerms}
BHO: No Name -> {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} -> No File
Toolbar: HKU\S-1-5-21-3806997138-4097669058-3501533015-1002 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} - No File
Folder: C:\WINDOWS\System32\Tasks\YCMServiceAgent
Folder: C:\Users\Все пользователи\install_clap
Folder: C:\ProgramData\install_clap
Task: {130580C2-0992-4EB8-980C-1D6CD170FD57} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> No File <==== ATTENTION
Task: {2F5C4E36-F9DB-4DF1-B8C5-FCCE858AE52A} - \Microsoft\Windows\A3C68E7E0-A21E-4EE5-8D06-2AA5E50869B5 -> No File <==== ATTENTION
Task: {53B33AAE-D53C-4F6A-B6CB-5D9D165708AA} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> No File <==== ATTENTION
Task: {5DD5D150-BB98-47FD-9E42-201C1C69B34C} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> No File <==== ATTENTION
Task: {7723F1F2-F429-4EF7-8DDB-7F3FA71B7841} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> No File <==== ATTENTION
Task: {8B55D25D-64B4-40DC-B588-E328E6116E54} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> No File <==== ATTENTION
Task: {956251A5-3635-46FD-8718-F581F6507C7F} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> No File <==== ATTENTION
Task: {996CF489-F09C-4B39-8E71-2E0EE4C54324} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> No File <==== ATTENTION
Task: {B4ED29E8-FE56-4EC7-B9A5-0C568B23EB63} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> No File <==== ATTENTION
Task: {BF35B83F-66FE-4C7E-BD30-27CDFE09C94E} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> No File <==== ATTENTION
Task: {D6283F70-C626-4DDA-9CF4-2C5E7187F0BD} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> No File <==== ATTENTION
Task: {FC27471B-4527-412B-A42F-7157130D782E} - \Microsoft\Windows\Setup\GWXTriggers\Telemetry-4xd -> No File <==== ATTENTION
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run32\Kinoroom Browser]
EmptyTemp:
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
15.05.2016, 09:12
almost

Вложений: 1

Настройка в FF - это обход блокировки торрент-трекера "rutracker" (unblock.ga). А вот вторая строка "type" так же к этому относится? Если нет, то понятия не имею.

Антивирус 360 не использую, пытался удалить его остатки (папка 360 в Program Files (x86)), однако это невозможно, так как какой-то там файл еще используется, хотя процесс удаления я проводил через панель управления с помощью "Удаление программы". Вот хотелось бы у вас уточнить, что необходимо сделать, чтобы его полностью деинсталлировать?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Кстати, Касперский еще с 13 мая перестал блокировать тот самый опасный веб-адрес, когда мы с вами были там на каком-то этапе. Так что в этом плане все хорошо, я надеюсь. Однако я буду ждать ваших дальнейших рекомендаций для устранения ошибок, которые у меня по видимому присутствуют. Большое спасибо. :)
15.05.2016, 17:43
SQ

[QUOTE=almost;1381309] Вот хотелось бы у вас уточнить, что необходимо сделать, чтобы его полностью деинсталлировать?
[/QUOTE]

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
2016-05-04 14:44 - 2016-05-10 09:59 - 00000000 __SHD C:\$360Section
2016-05-04 14:42 - 2016-05-10 09:59 - 00000000 ____D C:\Users\Все пользователи\360Quarant
2016-05-04 14:42 - 2016-05-10 09:59 - 00000000 ____D C:\ProgramData\360Quarant
2016-05-04 14:42 - 2016-05-04 14:42 - 00000000 ____D C:\WINDOWS\Tasks\360Disabled
2016-05-04 14:41 - 2016-04-25 04:59 - 00077904 _____ (360.cn) C:\WINDOWS\SysWOW64\Drivers\360AvFlt.sys
2016-05-04 14:40 - 2016-05-10 10:31 - 00000000 ____D C:\Program Files (x86)\360
EmptyTemp:
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
15.05.2016, 21:07
almost

Вложений: 1

Готово.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

На втором ноутбуке у меня скорее всего остались такие же файлы после удаления 360, скажите, пожалуйста, могу ли я самостоятельно их удалить, чтобы не привлекать вас? :)
16.05.2016, 08:35
SQ

[QUOTE=almost;1381444]Готово.[/QUOTE]

Приложите новый лог утилиты FRST.

[QUOTE=almost;1381444]
На втором ноутбуке у меня скорее всего остались такие же файлы после удаления 360, скажите, пожалуйста, могу ли я самостоятельно их удалить, чтобы не привлекать вас? :)[/QUOTE]
Не рекомендую заниматься самолечением, если не разбираетесь, лучше создайте по новому ПК новую тему и опишите в теме, что Вас беспокоит.
16.05.2016, 21:31
almost

[QUOTE=SQ;1381504]Приложите новый лог утилиты FRST.

Не рекомендую заниматься самолечением, если не разбираетесь, лучше создайте по новому ПК новую тему и опишите в теме, что Вас беспокоит.[/QUOTE]
Извините, я не понял, мне еще раз какую-то процедуру необходимо сделать?
На счет самолечения все понятно.
17.05.2016, 10:39
SQ

[QUOTE=almost;1381726]Извините, я не понял, мне еще раз какую-то процедуру необходимо сделать?
[/QUOTE]
Предоставьте новый лог утилиты FRST, как делали ранее:

- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
17.05.2016, 10:49
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\admin\appdata\roaming\adobe\nativeplugin\ooba\ppapi\3c68e7e0-a21e-4ee5-8d06-2aa5e50869b5\922ad925-8b39-4089-9db1-88889eeb3d4c.exe - [B]not-a-virus:Downloader.NSIS.Agent.afp[/B][/LIST][/LIST]