Словил вирус Tencent QQPCMgr. [not-a-virus:HEUR:WebToolbar.Win32.Linkury.gen, not-a-virus:WebToolbar.Win64.Linkury.a ]

Printable View

18.05.2016, 11:18
Tony_Montana

Вложений: 1

Словил вирус Tencent QQPCMgr. [not-a-virus:HEUR:WebToolbar.Win32.Linkury.gen, not-a-virus:WebToolbar.Win64.Linkury.a ]

При распаковке архива установилась программа Tencent ,браузер какой то китайский ( и может быть еще много чего).Пробовал вычистить вручную, через диспетчер завершал процесс и удалял все файлы ,что установились в данный день и в данное время,но Tencent не дает завершить процесс и удалить папки, выйти из программы в интерфейсе тоже не получается. Антивирус стоит Comodo.Windows 8.1 . Работаю в программе AVZ впервые буду благодарен за такую же подробную инструкцию как в "инструкции по оформлению запроса о помощи..." .
18.05.2016, 11:19
Info_bot

Уважаемый(ая) [B]Tony_Montana[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
18.05.2016, 11:36
regist

[QUOTE][B][COLOR=Navy]Внимание !!![/COLOR][/B] База поcледний раз обновлялась 01.03.2016 [B]необходимо обновить базы[/B] при помощи автоматического обновления (Файл/Обновление баз). Протокол антивирусной утилиты AVZ версии 4.46.[/QUOTE]
Пожалуйста, обновите базы и сделайте новые логи.

- Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.

[URL='http://rgho.st/7FHHfsCWN']сделайте лог HiJackThis 2.0.6 Alfa 1.15[/URL]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

UCBrowser как понимаю тоже не ставили?

+ [LIST][*]Скачайте [B][URL="https://toolslib.net/downloads/finish/1/"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

+ не забудьте, что Комодо надо не просто выгрузить, а отключить его защиту.
18.05.2016, 15:41
Tony_Montana

Вложений: 2

Загрузил в карантин файл.
Лог HiJackThis 2.0.6 Alfa 1.15 сохраняется ,но в папке его не высвечивает, пришлось скопировать содержимое и создать новый документ .(прикрепил его тоже)
отчет AdwCleaner прикрепляю.
UCBrowser не ставил , установился вместе с tencent. Но его получилось удалить вручную,видимо что то осталось .но при запуске системы не открывается и в процессах его тоже нет . Еще удалял папку Badu.
18.05.2016, 15:56
regist

[quote="regist;1381990"]Пожалуйста, обновите базы и сделайте новые логи.

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.[/quote]
это не сделали, жду.

+ - сделайте лог [URL="http://dragokas.com/tools/CheckBrowsersLNK_test.zip"]Check Browsers' LNK by Dragokas & regist[/URL].

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

+ Программы/расширения от Mail.ru используете?
18.05.2016, 16:51
Tony_Montana

Вложений: 1

[url]http://virusinfo.info/virusdetector/report.php?md5=B8E6F56AE82FC073540355813E358872[/url] - Результаты проверки карантина онлайн-сервисом VirusDetector

Базы данных обновил сразу. Программа от Mail.ru только одна игра варфейс. Впринципи ничем от Mail.ru не пользуюсь давно,я бы удалил все от Mail.ru
18.05.2016, 18:02
regist

[quote="Tony_Montana;1382054"]Базы данных обновил сразу.[/quote]
а свежие логи с обновлёнными базами где?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

1) Закройте все программы, [url=http://virusinfo.info/showthread.php?t=130828][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
ClearQuarantine;
QuarantineFileF('C:\ProgramData\CloudPrinter\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFileF('C:\ProgramData\Ronzap\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFile('C:\Users\x\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk', '');
QuarantineFile('C:\Users\x\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk', '');
QuarantineFile('C:\Users\x\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer.lnk', '');
QuarantineFile('C:\Users\x\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Mozilla Firefox.lnk', '');
QuarantineFile('C:\Users\x\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Google Chrome.lnk', '');
QuarantineFile('C:\Users\x\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk', '');
QuarantineFile('C:\Users\x\Desktop\Google Chrome.lnk', '');
QuarantineFile('C:\Users\Public\Desktop\Mozilla Firefox.lnk', '');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox.lnk', '');
QuarantineFile('C:\Users\x\AppData\Roaming\MICROS~1\INTERN~1\QUICKL~1\UCB11A~1.LNK', '');
QuarantineFile('C:\Users\x\AppData\Roaming\MICROS~1\Windows\STARTM~1\Programs\UCB11A~1.LNK', '');
QuarantineFile('C:\PROGRA~3\MICROS~1\Windows\STARTM~1\Programs\UCAE07~1\UCB11A~1.LNK', '');
QuarantineFile('C:\PROGRA~3\MICROS~1\Windows\STARTM~1\Programs\UCAE07~1\UCE2D2~1.LNK', '');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
[/CODE]

Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

2) - Перетащите лог Check_Browsers_LNK.log на [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиту ClearLNK[/url]. Отчёт о работе прикрепите.

3) [LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR] (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]).[*]В меню [b]Настройки[/b] отметьте:
[list][*]Сброс политик IE[*]Сброс политик Chrome[/list][*]Нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]), а по окончанию сканирования нажмите кнопку [B]"Cleaning"[/B] ([B]"Очистка"[/B]) и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[C1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].

4) [url=http://virusinfo.info/showthread.php?t=121767][b]Сделайте полный образ автозапуска uVS[/b][/url], только программу скачайте [url=https://yadi.sk/d/6A65LkI1WEuqC]отсюда.[/url]
18.05.2016, 19:27
Tony_Montana

2) - Перетащите лог Check_Browsers_LNK.log на [URL="http://virusinfo.info/soft/tool.php?tool=ClearLNK"]утилиту ClearLNK[/URL]. Отчёт о работе прикрепите.

По выполнению операции Check_Browsers_LNK.exe->автоматически создавалась и открывалась папка LOG c файлом ->открывался блокнот с текстом-> сохраняю файл в блокноте и закрываю папку LOG->захожу заново в расположение папки LOG ,а ее там нет . Пробовал сохранять в другие папки ,но результат тот же (папка пуста).Причем когда я повторял операцию и сохранял повторно в ту же папку файл, открывалось окно с вопросом заменить ли файл, тк он уже существует хотя папка пуста. В итоге текстовые файлы что я вам отправлял я делал так:
жму правую кнопку мыши ->создать текстовый файл->открываю его->копирую все из текстового файла Check_Browsers_LNK->вставляю текст в мой созданный .
И вот вопрос будет ли такой же результат от моего Txt файла при перетаскивании его на [URL="http://virusinfo.info/soft/tool.php?tool=ClearLNK"]утилиту ClearLNK[/URL] ,как при файле который создает прога Check_Browsers_LNK.exe?
18.05.2016, 22:40
regist

Тогда так
- Исправьте с помощью [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиты ClearLNK[/url] следующие ярлыки, отчёт о работе прикрепите:
[CODE]C:\Users\x\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk
C:\Users\x\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk
C:\Users\x\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer.lnk
C:\Users\x\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Mozilla Firefox.lnk
C:\Users\x\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Google Chrome.lnk
C:\Users\x\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk
C:\Users\x\Desktop\Google Chrome.lnk
C:\Users\Public\Desktop\Mozilla Firefox.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox.lnk
C:\Users\x\AppData\Roaming\MICROS~1\INTERN~1\QUICKL~1\UCB11A~1.LNK
C:\Users\x\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\UC浏览器.lnk
C:\Users\x\AppData\Roaming\MICROS~1\Windows\STARTM~1\Programs\UCB11A~1.LNK
C:\Users\x\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\UC浏览器.lnk
C:\PROGRA~3\MICROS~1\Windows\STARTM~1\Programs\UCAE07~1\UCB11A~1.LNK
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\UC浏览器\UC浏览器.lnk
C:\PROGRA~3\MICROS~1\Windows\STARTM~1\Programs\UCAE07~1\UCE2D2~1.LNK
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\UC浏览器\卸载UC浏览器.lnk
[/CODE]

Но перед этим скрипт AVZ выполните и пришлите карантин.
19.05.2016, 00:08
Tony_Montana

Карантин закачан.жду одобрения для выполнения пунктов 2-4. Кстати систему перегружать после пункта 3 или 4 ?
19.05.2016, 00:15
regist

[quote="Tony_Montana;1382167"]Карантин закачан.жду одобрения для выполнения пунктов 2-4.[/quote]а отчёт об исправление где?
[quote="Tony_Montana;1382167"]Кстати систему перегружать после пункта 3 или 4 ?[/quote]нет.
19.05.2016, 15:40
Tony_Montana

Вложений: 2

+++

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Вроде бы все
19.05.2016, 20:23
regist

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url]
[CODE];uVS v3.87.2 [http://dsrt.dyndns.org]
;Target OS: NTv6.3
v385c
BREG
delall %SystemDrive%\PROGRAM FILES (X86)\TENCENT\QQPCMGR\11.5.17499.219\QMCONTEXTSCAN64.DLL
delall %SystemDrive%\PROGRAM FILES (X86)\TENCENT\QQPCMGR\11.5.17499.219\QMCONTEXTUNINSTALL64.DLL
delall %SystemDrive%\PROGRAM FILES (X86)\TENCENT\QQPCMGR\11.5.17499.219\QMGCSHELLEXT64.DLL
delall %SystemDrive%\PROGRAM FILES (X86)\TENCENT\QQPCMGR\11.5.17499.219\PLUGINS\FILESMASH\QMSOFTEXT64.DLL
delall %SystemDrive%\PROGRAM FILES (X86)\TENCENT\QQPCMGR\11.5.17499.219\QQPCTRAY.EXE
delall %SystemDrive%\PROGRAM FILES (X86)\TENCENT\QQPCMGR\QQREPAIR7A4
delall %SystemDrive%\PROGRAM FILES (X86)\TENCENT\QQPCMGR\SREPAIRDRV
delall %SystemDrive%\PROGRAM FILES (X86)\TENCENT\QQPCMGR\11.5.17499.219\TSDEFENSEBT64.SYS
delall %SystemDrive%\PROGRAM FILES (X86)\TENCENT\QQPCMGR\11.5.17499.219\TSWEBMON64.DAT
zoo %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\UC浏览器\UC浏览器.LNK
bl A6F139F0F57594D97BF805D15F45304B 1555
delall %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\UC浏览器\UC浏览器.LNK
zoo %SystemDrive%\USERS\X\APPDATA\ROAMING\MICROSOFT\INTERNET EXPLORER\QUICK LAUNCH\UC浏览器.LNK
bl 725B8BF88D80F4426DF2682C169D7965 1561
delall %SystemDrive%\USERS\X\APPDATA\ROAMING\MICROSOFT\INTERNET EXPLORER\QUICK LAUNCH\UC浏览器.LNK
zoo %SystemDrive%\USERS\X\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\UC浏览器.LNK
bl 1D11D8608D407C25489366AFD16316EC 1567
delall %SystemDrive%\USERS\X\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\UC浏览器.LNK
zoo %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\UC浏览器\卸载UC浏览器.LNK
bl 1A40C207E1A38D496FC76A0AFDC3A8A4 1790
delall %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\UC浏览器\卸载UC浏览器.LNK
delref %SystemDrive%\USERS\X\APPDATA\LOCAL\MAIL.RU\GAMECENTER\[email protected]
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.24.15\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.21.123\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.24.7\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.23.9\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.11\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.1\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.21.165\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.27.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.22.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.15\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.1\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.22.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.26.9\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.24.15\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.24.7\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.23.9\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.11\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.1\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.27.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.15\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.1\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.26.9\PSMACHINE_64.DLL
czoo
restart[/CODE]

сделайте новый образ автозапуска.

+ что с проблемой?
20.05.2016, 18:11
Tony_Montana

Вложений: 1

В процессах чисто, папка Tencent в програм файлс была, но я ее в ручную удалил спокойно. Единственное когда комп не знает программу с помощью которой открывать файл он открывает список предлогаемый им и там есть значек UCBrowser.
20.05.2016, 20:06
regist

Сделайте свежий лог AdwCleaner-а.
20.05.2016, 20:16
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]18[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\programdata\cloudprinter\cloudprinter.exe - [B]not-a-virus:HEUR:WebToolbar.Win32.Linkury.gen[/B] ( AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\programdata\ronzap\ronzap.exe - [B]not-a-virus:HEUR:WebToolbar.Win32.Linkury.gen[/B] ( AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\programdata\ronzap\sao-tex.exe - [B]not-a-virus:HEUR:WebToolbar.Win32.Linkury.gen[/B][*] c:\programdata\ronzap\voyastring.exe - [B]not-a-virus:WebToolbar.Win64.Linkury.a[/B][/LIST][/LIST]