Printable View
Здравствуйте.
При попытке скачать торрент были установлены сторонние программы. Стали появляться баннеры в браузерах и открываться нежелательные страницы. Понизилась производительность системы.
Пытался лечить разными программами, большинство зловредов вроде убраны.
Но есть подозрение, что что-то осталось.
Уважаемый(ая) [B]roven[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files\Common Files\Adobe\OOBA\PDApp\PPAPI\DF71893D-3E04-44F3-9AF2-8E48BB027DD0.exe', '');
DeleteFile('C:\Program Files\Common Files\Adobe\OOBA\PDApp\PPAPI\DF71893D-3E04-44F3-9AF2-8E48BB027DD0.exe', '32');
DeleteFileMask('c:\program files\common files\adobe\ooba\pdapp\ppapi', '*', true);
DeleteDirectory('c:\program files\common files\adobe\ooba\pdapp\ppapi');
ExecuteFile('schtasks.exe', '/delete /TN "AAF494D1B-13D1-4AB8-8921-057675881285" /F', 0, 15000, true);
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', 'AF494D1B-13D1-4AB8-8921-057675881285');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\zmuioqdjol', 'command');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).
Карантин отправил.
Логи прикрепил.
Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]CreateRestorePoint:
FF DefaultSearchEngine: Поиск@Mail.Ru
FF SelectedSearchEngine: Поиск@Mail.Ru
FF Keyword.URL: hxxp://go.mail.ru/distib/ep/?product_id=%7B24055DBF-19C0-47F4-ADF3-6B1AD2669139%7D&gp=811014
FF Extension: Домашняя страница Mail.Ru - C:\Users\Марковы\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2016-05-10]
FF Extension: Поиск@Mail.Ru - C:\Users\Марковы\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2016-05-10]
EmptyTemp:
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
Fixlog.txt
Что с баннерами?
Визуально чисто.
Можно доверять этим позициям?
U3 ajrito9l; C:\Windows\system32\Drivers\ajrito9l.sys [0 ] (Microsoft Corporation) <==== ATTENTION (zero byte File/Folder)
S3 VGPU; System32\drivers\rdvgkmd.sys [X]
Драйвер VGPU - нормально, а предыдущий - действительно, что-то странное.
Скачайте и запустите TDSSKiller: [url]http://support.kaspersky.ru/viruses/disinfection/5350[/url].
Файл C:\TDSSKiller.***_log.txt приложите в теме.
(где *** - версия программы, дата и время запуска.)
TDSSKiller.
Кстати, после перезагрузки имя файла меняется.
Похоже, какой-то глюк FRST.
Если глюк, то похоже в остальном всё в порядке.
Спасибо!
В ESS должно быть включено сканирование потенциально опасного и потенциально нежелательного ПО, подробнее здесь: [URL="http://www.esetnod32.ru/support/knowledge_base/solution/?IBLOCK_ID=53&SECTION_ID=1786&ELEMENT_ID=852923"]Включение сканирования на наличие потенциально нежелательных и опасных приложений[/URL].
Удалите папку C:\FRST со всем содержимым.
Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files\common files\adobe\ooba\pdapp\ppapi\df71893d-3e04-44f3-9af2-8e48bb027dd0.exe - [B]not-a-virus:Downloader.NSIS.Agent.afp[/B][/LIST][/LIST]