Требуется долечивание после китайских вирусов

Пользователь подхватила на ПК китайский вирус (или группу вирусов). Установилось порядка 20 программ (в т.ч. почему-то браузер Амиго) и ряд плагинов к браузеру, возникли новые процессы в диспетчере, заменились стартовые странички (и появились автоматические перебрасывания), возникли куча файлов и папок в системных (в основном китайских или с абракадаброй в названии), стал сильно глючить интернет. В общем весь набор.
Основную массу проблем удалось побороть, пролечив компьютер Avastом и AVZ. Плагины и программы (почти все) удалил потом стандартными способами. В автозагрузке вредоносов отключил. Но Интернет по-прежнему тупит. То выдает ошибки в DNS, то просто не загружает страничку (приходится несколько раз перезагружать, пока загрузит). К тому же Avast выдает то и дело сообщение о заражении (прилагаю).

Собрать информацию по схеме не получилось - в процессе проверки AVZ выбрасывает. Текст ошибки прилагаю. Лог hijackthis.log также.

Прошу помочь.

Уважаемый(ая) [B]Алексей Дёменко[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте,

HiJackThis [URL=http://virusinfo.info/showthread.php?t=4491&p=64376&viewfull=1#post64376]профиксить[/URL]
[CODE]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,SearchAssistant = http://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIP4NYe17aVLWucbjwj6mzzJCvFvjDx7vdelZiTlYHgN7zbyq50WPoBlCzu_wk8m00vo4Obx-SHOufi9l_Z3sCALcKxUCilke9-_JaGwsLaQkviGYYjSknNX3Y1cL49E-ZLp23A8pucBw--C9JV9YUt8reRgoZ4J8rduzQZ0aSFk73EZXrg,,&q={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,Default_Search_URL = http://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIP4NYe17aVLWucbjwj6mzzJCvFvjDx7vdelZiTlYHgN7zbyq50WPoBlCzu_wk8m00vo4Obx-SHOufi9l_Z3sCALcKxUCilke9-_JaGwsLaQkviGYYjSknNX3Y1cL49E-ZLp23A8pucBw--C9JV9YUt8reRgoZ4J8rduzQZ0aSFk73EZXrg,,&q={searchTerms}
O2 - BHO: MRSearchPlugin - {8E8F97CD-60B5-456F-A201-73065652D099} - (no file)
O4 - HKCU\..\Run: [apphide2] C:\Program Files (x86)\badu\uc.exe
O4 - HKCU\..\Run: [osmsg] C:\ProgramData\WindowsMsg\osmsg.exe /AUTORUN
O20 - AppInit_DLLs: C:\ProgramData\Ronzap\Lotflex.dll
O23 - Service: Renew Single Click (dowidoly) - Unknown owner - C:\Program.exe (file missing)
O23 - Service: Fecledylar - Unknown owner - C:\Users\Ксения Косарева\AppData\Roaming\Wawuaguji\Wawuaguji.exe (file missing)
O23 - Service: Page Layout Cyber Cafe (lonofyhezbt) - Unknown owner - C:\Program.exe (file missing)
O23 - Service: Bio Dubkix (iroductuolaounaoadua) - Unknown owner - C:\Users\Ксения Косарева\AppData\Local\Sailfase.exe (file missing)
O23 - Service: Reservation Plastic (rijufoze) - Unknown owner - C:\Program.exe (file missing)
[/CODE]

- Подготовьте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner[/URL] и приложите его в теме.

Выполнил. Прилагаю логи AdwCleaner[S1] и, на всякий случай, hijackthis2.

Забыл еще в прошлый раз указать, что при запуске Хрома выскакивает окно с ошибкой (прилагаю) и в придачу к ранее открытым вкладкам обычно добавляется еще одна - navsmart. info

[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

- Сделайте лог [URL="http://dragokas.com/tools/CheckBrowsersLNK_test.zip"]Check Browsers' LNK by Dragokas & regist[/URL].

- Попробуйте собрать новый лог AVZ в привилегированном режиме (Run as Administrator).

Выполнено. Логи прикрепляю.

Запуск Хрома теперь проходит без ошибки, но Avast продолжает выдавать сообщение о заражении.

AVZ запустился, правда базы обновить не может. Возможно антивирус не дает.

AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
StopService('BaiduService.exe');
StopService('Fecledylar');
StopService('iroductuolaounaoadua');
StopService('MagetytofishclnGhefocktotoge.exe');
StopService('odtclientsrv');
StopService('Saafgh');
DeleteService('BaiduService.exe');
DeleteService('Fecledylar');
DeleteService('iroductuolaounaoadua');
DeleteService('MagetytofishclnGhefocktotoge.exe');
DeleteService('odtclientsrv');
DeleteService('Saafgh');
QuarantineFile('C:\Program Files (x86)\Ghostery Storage Server\ghstore.exe','');
QuarantineFile('C:\Program Files (x86)\Hostify\uninstaller.exe','');
QuarantineFile('C:\Program Files (x86)\mpck\uninstaller.exe','');
QuarantineFile('C:\Program Files (x86)\Odtheratezotain\odtclientsrv.html5 {79740E79-A383-47A7-B513-3DF6563D007F} {8C4CE252-7DB2-4F8E-8E76-BAD0E5826A83}','');
QuarantineFile('C:\Program Files (x86)\Thiphlverther\MagetytofishclnFerkilesawaward.exe','');
QuarantineFile('C:\Program Files (x86)\Thiphlverther\MagetytofishclnGhefocktotoge.exe','');
QuarantineFile('C:\Program Files (x86)\UCBrowser\Application\UUC0789.exe','');
QuarantineFile('C:\Program Files\BitTorrent\BitTorrent.exe','');
QuarantineFile('C:\Program Files\Sound+\uninstaller.exe','');
QuarantineFile('C:\Users\Ксения Косарева\AppData\Local\Baidu\BaiduClient\2.5.0.2084\BaiduService.exe','');
QuarantineFile('C:\Users\Ксения Косарева\AppData\Local\MzIzNTM0Mzc=\s_inst.exe','');
QuarantineFile('C:\Users\Ксения Косарева\AppData\Local\Sailfase.exe','');
QuarantineFile('C:\Users\Ксения Косарева\AppData\Roaming\ProShopper\ProShopper.exe','');
QuarantineFile('C:\Users\Ксения Косарева\AppData\Roaming\TolloKikod\Gylwak.exe','');
QuarantineFile('C:\Users\Ксения Косарева\AppData\Roaming\UrlControl_\url_opener.exe','');
QuarantineFile('C:\Users\Ксения Косарева\AppData\Roaming\Wawuaguji\Wawuaguji.exe','');
QuarantineFile('C:\Windows\SYSTEM32\DNSAPI.dll','');
DeleteFile('C:\Program Files (x86)\Hostify\uninstaller.exe','32');
DeleteFile('C:\Program Files (x86)\Odtheratezotain\odtclientsrv.html5 {79740E79-A383-47A7-B513-3DF6563D007F} {8C4CE252-7DB2-4F8E-8E76-BAD0E5826A83}','32');
DeleteFile('C:\Program Files (x86)\Thiphlverther\MagetytofishclnFerkilesawaward.exe','32');
DeleteFile('C:\Program Files (x86)\Thiphlverther\MagetytofishclnGhefocktotoge.exe','32');
DeleteFile('C:\Program Files (x86)\UCBrowser\Application\UUC0789.exe','32');
DeleteFile('C:\Program Files\Sound+\uninstaller.exe','32');
DeleteFile('C:\Users\Ксения Косарева\AppData\Local\Baidu\BaiduClient\2.5.0.2084\Baidu.exe','32');
DeleteFile('C:\Users\Ксения Косарева\AppData\Local\Baidu\BaiduClient\2.5.0.2084\BaiduService.exe','32');
DeleteFile('C:\Users\Ксения Косарева\AppData\Local\MzIzNTM0Mzc=\s_inst.exe','32');
DeleteFile('C:\Users\Ксения Косарева\AppData\Local\Sailfase.exe','32');
DeleteFile('C:\Users\Ксения Косарева\AppData\Roaming\ProShopper\ProShopper.exe','32');
DeleteFile('C:\Users\Ксения Косарева\AppData\Roaming\TolloKikod\Gylwak.exe','32');
DeleteFile('C:\Users\Ксения Косарева\AppData\Roaming\UrlControl_\url_opener.exe','32');
DeleteFile('C:\Users\Ксения Косарева\AppData\Roaming\Wawuaguji\Wawuaguji.exe','32');
DeleteFile('C:\Users\5976~1\AppData\Roaming\MICROS~1\INTERN~1\QUICKL~1\USERPI~1\STARTM~1\UCB11A~1.LNK','32');
DeleteFile('C:\Windows\system32\Tasks\Magetytofish Client','64');
DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\Multimedia\ProShopper','64');
DeleteFile('C:\Windows\system32\Tasks\MzIzNTM0Mzc=','64');
DeleteFile('C:\Windows\system32\Tasks\UrlControl','64');
DeleteFile('C:\Windows\system32\Tasks\{0E03B64A-9C62-4FC4-85C0-75A90C8C5B5C}','64');
DeleteFile('C:\Windows\system32\Tasks\{274EECE4-B2F9-4E0C-B86E-58814DA84F7D}','64');
DeleteFile('C:\Windows\Tasks\MzIzNTM0Mzc=.job','32');
DeleteFile('C:\Windows\Tasks\UrlControl.job','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','BaiduClient');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','svchost0');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.

Приложите новый лог AVZ.

Выполнено.

AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
QuarantineFile('C:\Program Files (x86)\mpck\uninstaller.exe','');
DeleteFile('C:\Program Files (x86)\mpck\uninstaller.exe','32');
DeleteFile('C:\Windows\system32\Tasks\{9B4EA97E-385E-4E50-87A3-88F82E06F7BF}','64');
DeleteFileMask('C:\Program Files (x86)\Hostify', '*', true, ' ');
DeleteFileMask('C:\Program Files (x86)\Odtheratezotain', '*', true, ' ');
DeleteFileMask('C:\Program Files (x86)\Thiphlverther', '*', true, ' ');
DeleteFileMask('C:\Program Files (x86)\UCBrowser', '*', true, ' ');
DeleteFileMask('C:\Program Files\Sound+', '*', true, ' ');
DeleteFileMask('C:\Users\Ксения Косарева\AppData\Local\Baidu', '*', true, ' ');
DeleteFileMask('C:\Users\Ксения Косарева\AppData\Roaming\ProShopper', '*', true, ' ');
DeleteFileMask('C:\Users\Ксения Косарева\AppData\Roaming\TolloKikod', '*', true, ' ');
DeleteFileMask('C:\Users\Ксения Косарева\AppData\Roaming\UrlControl_', '*', true, ' ');
DeleteFileMask('C:\Users\Ксения Косарева\AppData\Roaming\Wawuaguji', '*', true, ' ');
DeleteDirectory('C:\Program Files (x86)\Hostify');
DeleteDirectory('C:\Program Files (x86)\Odtheratezotain');
DeleteDirectory('C:\Program Files (x86)\Thiphlverther');
DeleteDirectory('C:\Program Files (x86)\UCBrowser');
DeleteDirectory('C:\Program Files\Sound+');
DeleteDirectory('C:\Users\Ксения Косарева\AppData\Local\Baidu');
DeleteDirectory('C:\Users\Ксения Косарева\AppData\Roaming\ProShopper');
DeleteDirectory('C:\Users\Ксения Косарева\AppData\Roaming\TolloKikod');
DeleteDirectory('C:\Users\Ксения Косарева\AppData\Roaming\UrlControl_');
DeleteDirectory('C:\Users\Ксения Косарева\AppData\Roaming\Wawuaguji');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.

- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]

[QUOTE]Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.[/QUOTE]

Не получилось, пишет, что такой файл уже был загружен.
[QUOTE]
После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.[/QUOTE]

Сделано.

Сами ставили?
[CODE]S2 BitTorrent; "C:\Program Files\BitTorrent\BitTorrent.exe" /s iid=7644063 did=APSnapdoAMRev sid=3 ref=48b63aff-bc04-b6b7-b32d-f79b5d974c9f-PolicyMac id=f59bc333715ff8be2595101d82c0f4345d9f968ec9405194be7d6cc5a8ff5096 [X][/CODE]

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
HKLM-x32\...\Run: [sun21] => [X]
ShellExecuteHooks: - {6710C780-E20E-4C49-A87D-321850ED3D7C} - C:\Users\Ксения Косарева\AppData\Local\Microsoft\Windows\INetCookies\gherkecult.dll [387584 2016-06-29] ()
CHR StartupUrls: todipycoudusanifertion -> "hxxp://mail.ru/cnt/10445?gp=789182","hxxp://www.trotux.com/?z=9b39c82e63d9b926e4aaf9bg7z3q0m9c1b3ofg7w7c&from=qca&uid=WDCXWD10EZEX-21M2NA0_WCC3F3JEDCV3F3JEDCV3&type=hp"
Folder: C:\Users\Ксения Косарева\AppData\Roaming\FastStone
Folder: C:\Windows\system32\ane
2016-07-01 17:10 - 2016-07-01 17:11 - 00000000 ____D C:\Users\Все пользователи\Baidu
2016-07-01 17:10 - 2016-07-01 17:11 - 00000000 ____D C:\ProgramData\Baidu
2015-06-05 05:25 - 2015-06-05 05:25 - 0000000 ____H () C:\ProgramData\DP45977C.lfl
CustomCLSID: HKU\S-1-5-21-688054549-1006262046-319902169-1001_Classes\CLSID\{E36606FE-036A-4dd0-ABA9-A58F409803F0}\InprocServer32 -> no filepath
Task: {03FA24D7-417F-470F-BA1A-AF2DD3A284EB} - \Magetytofish Client -> No File <==== ATTENTION
Task: {3751BCF1-0DB8-49DF-964A-D83BA238EA2C} - \{9B4EA97E-385E-4E50-87A3-88F82E06F7BF} -> No File <==== ATTENTION
Task: {7119F29A-935E-4983-A702-5B26479257BD} - \{0E03B64A-9C62-4FC4-85C0-75A90C8C5B5C} -> No File <==== ATTENTION
Task: {7561F1B9-ABEA-44B7-AEDD-DE1C115503F7} - \{274EECE4-B2F9-4E0C-B86E-58814DA84F7D} -> No File <==== ATTENTION
Task: {7D64F613-35C6-4374-8CCE-F8B9D1478AEC} - \Microsoft\Windows\Multimedia\ProShopper -> No File <==== ATTENTION
Reg: reg delete "HKU\S-1-5-21-688054549-1006262046-319902169-1001\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run\apphide2" /f
Reg: reg delete "HKU\S-1-5-21-688054549-1006262046-319902169-1001\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run\svchost0" /f
Reg: reg delete "HKU\S-1-5-21-688054549-1006262046-319902169-1001\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run\BaiduClient" /f
CMD: sfc /scannow
EmptyTemp:
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]

[QUOTE]Сами ставили?[/QUOTE]

Я не исключаю... Но думаю, что этому там не место.

Пофиксить пофиксю, но отмечу, что после прошлого раза после перезагрузки система потеряла desktop со всеми настройками. Видимо при выполнении скриптов что-то было задето...

[QUOTE=Алексей Дёменко;1392289]
Пофиксить пофиксю, но отмечу, что после прошлого раза после перезагрузки система потеряла desktop со всеми настройками. Видимо при выполнении скриптов что-то было задето...[/QUOTE]
Уточните пожалуйста, что за desktop потеряла? Имеется ввиду рабочий стол?

При загрузке появился черный экран - все ярлыки и файлы с рабочего стола исчезли. В Пуске тоже полный бедлам, много пустых папок. В трее нет практически ничего. Программы открывались через раз или не открывались вовсе, а каждый раз при попытке открыть проводник или нажать на Рабочий стол выскакивало сообщение, что система не может найти desktop. Судя по всему была проблема с системными файлами или реестром.
Погуглил, нашел список нужных команд для cmd и поочередно ввел. Перезагрузился - все ок.

[QUOTE=Алексей Дёменко;1392349]
Погуглил, нашел список нужных команд для cmd и поочередно ввел. Перезагрузился - все ок.[/QUOTE]
Видимо сбой после лечения от вредоносного ПО, рад, что все получилось, пожалуйста продолжайте выполнять инструкции.

Сделал, докладываю подробно.

Сегодня с утра компьютер вновь загрузился с черным экраном и сообщением, что "С:\windows\system32\config\systemprofile\desktop ссылается на недоступное расположение". Погуглил и нашел на форуме Майкрософта ссылку на [URL="http://www.youtube.com/watch?v=OWbcKWoZey0"]Ютьюбовский ролик с инструкцией[/URL]. Выполнил, перезагрузил - заработало.

Пытался обновить AVZ - снова не вышло, выдало ошибку и тут же среагировал антивирус, скрин прилагаю.

[QUOTE]C:\Program Files\BitTorrent\BitTorrent.exe[/QUOTE]

Пользователь отпирается, на компьютере файла также не обнаружено (возможно я его потер раньше, когда чистил от вирусов).

[QUOTE]Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении[/QUOTE]!

Сделано, прикрепляю.

По поводу скрина, я в фиксе задал восстановление системных файлов "sfc /scannow", так как еще в начале лога заметил, что Ваш файл dnsapi.dll был пропачен unlocker-ом.

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
S2 BitTorrent; "C:\Program Files\BitTorrent\BitTorrent.exe" /s iid=7644063 did=APSnapdoAMRev sid=3 ref=48b63aff-bc04-b6b7-b32d-f79b5d974c9f-PolicyMac id=f59bc333715ff8be2595101d82c0f4345d9f968ec9405194be7d6cc5a8ff5096 [X]
C:\Windows\system32\ane
EmptyTemp:
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]

- Приложите новый лог FRST.

P.S. По поводу профиля не совсем понятно, почему он переходит на временный профиль (С:\windows\system32\config\systemprofile).

[QUOTE]По поводу профиля не совсем понятно, почему он переходит на временный профиль (С:\windows\system32\config\systemprofile)[/QUOTE]

Не знаю, но похоже, что произошло это после выполнения инструкции от 12.07.2016, 20:47. А после последнего раза пользователь жалуется на то, что пропали все сохраненные в браузере логины и пароли.

[QUOTE=Алексей Дёменко;1392591]А после последнего раза пользователь жалуется на то, что пропали все сохраненные в браузере логины и пароли.[/QUOTE]

Возможно связанно с чистой cookies и файлов из временных каталогов, это выполняется для того чтобы избежать повторного заражения вредоносным ПО.

Скорее всего. Но об удалении личных данных пользователя было бы хорошо предупреждать ДО выдачи инструкции. Если планировалась чистка кукисов, значит было заранее известно, что они будут удалены без возможности восстановления. И если бы было предупреждение касательно них, то можно было бы предварительно сохранить нужные...