Китайский вирус повредил загрузочные файлы

Здравствуйте.
Суть проблемы: Принесли ноутбук, на нем китайский вирус маскирующийся под антивирус, был в автозагрузке. Все меню на иероглифах, после попытки его деинсталлировать ноутбук завис, на нажатия кнопок не реагировал. После отключения питания и последующего включения ноутбук перестал загружать ОС (Win 8.1), предлагает сделать восстановление системы (нужен загрузочный образ). Подключал SSD, на котором установлена ОС внешним к другому ноуту, просканировал через cure it, вирусов не нашел. Такое ощущение что вирус ввел изменения в реестр загрузки либо повредил загрузочные файлы. Еще заразил мне Google Chrome на ноутбуке, к которому я подключил SSD, пришлось его переустанавливать. Раз не могу загрузиться с этого SSD, то не могу выполнить стандартные логи. Но могу просканировать SSD через [COLOR=#555555][FONT=Arial]AVZ [/FONT][/COLOR]подключив к другому ноуту, если это что-то даст вообще. Есть ли вариант с восстановлением загрузки ОС без потери файлов на SSD ? Уж очень не хочется копировать файлы и снова переустанавливать систему.

Уважаемый(ая) [B]webdesigner[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте,

При загрузке ОС есть выбор загрузочного меню (безопасного режима или последней удачной загрузки) при нажатие клавиши F8?

Нет. Безопасный режим или последнюю удачную загрузку выбрать не дает. Максимум что дает - это восстановление из образа, но в таком случае будут потеряны программы, которые были установлены после установки ОС. Кстати, узнал название того китайского вируса, называется Tencent.

Тут скорее всего Вам следует восстановить меню загрузки, для этого понадобиться установочный диск.

Удалось восстановить загрузку с помощью EasyBCD. Но у вируса остаются скрытые файлы, в частности папка C:\ProgrammData\Tencent содержит файлы бэкапа с расширением regtans-ms, которые не удаляются. Можете написать скрипт для AVZ для удаления этой папки ?
Кстати, выполнил сканирование в malwarebytes, нашел 6 вирусных файлов (удалил). Лог из него + логи стандартных скриптов прикрепляю.

[QUOTE=webdesigner;1386594]Удалось восстановить загрузку с помощью EasyBCD. Но у вируса остаются скрытые файлы, в частности папка C:\ProgrammData\Tencent содержит файлы бэкапа с расширением regtans-ms, которые не удаляются. Можете написать скрипт для AVZ для удаления этой папки ?[/QUOTE]

Да, только в том случае, если прочитаете правила и приложите все необходимые логи согласно правилам.

Так все ж приложено. Или что-то еще не хватает ?

AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
DelBHO('{50F4150A-48B2-417A-BE4C-C83F580FB904}');
StopService('softaal');
StopService('SRepairDrv');
DeleteService('softaal');
DeleteService('SRepairDrv');
QuarantineFile('C:\Users\admin\AppData\Local\Temp\R-DriveImage\DrvSnSht64.sys','');
QuarantineFile('softaal.sys','');
QuarantineFile('SRepairDrv.sys','');
DeleteFile('softaal.sys','32');
DeleteFile('SRepairDrv.sys','32');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.



Удалите в MBAM:
[CODE]
PUP.Optional.TSearch, HKU\S-1-5-21-2283466356-1961089393-674740813-1001\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXT\SETTINGS\{6E727987-C8EA-44DA-8749-310C0FBE3C3E}, , [d10838c40f8a21151c154a3da55d58a8],
PUP.Optional.TSearch, HKU\S-1-5-21-2283466356-1961089393-674740813-1001\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXT\STATS\{6E727987-C8EA-44DA-8749-310C0FBE3C3E}, , [d10838c40f8a21151c154a3da55d58a8],
PUP.Optional.TorrentSearch, HKLM\SOFTWARE\MICROSOFT\INTERNET EXPLORER\EXTENSIONS\{03AE1B7B-A9E7-4D5A-9D34-89999C31B659}, , [6c6d44b8bbdee94dbc137c0da35fda26],
PUP.Optional.TorrentSearch, HKLM\SOFTWARE\WOW6432NODE\MICROSOFT\INTERNET EXPLORER\EXTENSIONS\{03AE1B7B-A9E7-4D5A-9D34-89999C31B659}, , [6c6d44b8bbdee94dbc137c0da35fda26],
PUP.Optional.TorrentSearch, HKLM\SOFTWARE\WOW6432NODE\MICROSOFT\INTERNET EXPLORER\LOW RIGHTS\ELEVATIONPOLICY\{DCFCC2EC-3F33-45A8-8ADF-A6C81F11232F}, , [0ecb5ca0efaae2541cb4acddcd35f40c],

PUP.Optional.TorrentSearch, C:\Users\admin\AppData\LocalLow\TSearch, , [aa2f0cf0d8c1e254b3dccb2655aea25e],

PUP.Optional.TorrentSearch, C:\Users\admin\AppData\LocalLow\TSearch\Storage.db, , [aa2f0cf0d8c1e254b3dccb2655aea25e], [/CODE]

- Подготовьте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner[/URL] и приложите его в теме.