Подцепил вирус через скаченный непроверенный торент

Здравствуйте, я подцепил вирусы, когда скачивал торрент футбола с сайта (точно не помню его название), появились откуда-то скаченные на рабочий стол ярлыки (хотя в программе удаления ничего установленным не значится)следующих программ Aliexpress, Black Desert, Star Conflict, War thunder, Новости, Booking.com, Forge of Empires, какой-то браузер (я полагаю, удалился антивирусом, но не полностью, как-то Kaboom), появился торрент от Google Chrome с кучей закладок, которые я не создавал. В avz появился файл [B]virusinfo_autoquarantine.zip[/B] и папка [B]Quarantine. [/B]Все необходимые файлы прилагаю. У меня Windows 7 64-разрядная.

Уважаемый(ая) [B]Nigma89[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте,

Логи сделаны версией 4.43. Скачайте [URL="http://z-oleg.com/avz4.zip"]актуальную версию AVZ: 4.46[/URL]

Файлы прилагаются:

Здравствуйте,

AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
StopService('BAPIDRV');
DeleteService('BAPIDRV');
QuarantineFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe','');
QuarantineFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe','');
QuarantineFile('C:\Users\USER\AppData\Local\Microsoft\EF088BBC9C5BFB28FFA2B0D45425D0A5\BD8415C76280654C899D57E9FEC436F8.exe','');
QuarantineFile('C:\Users\USER\AppData\Roaming\Adobe\NativePlugin\OOBA\PPAPI\7015D9AA-392F-4EF3-9516-CAF9DCD7BFF6\3FAAC020-6D1B-404E-AFFB-7DF8B794B275.exe','');
QuarantineFile('C:\Windows\system32\DRIVERS\BAPIDRV64.sys','');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','7015D9AA-392F-4EF3-9516-CAF9DCD7BFF6');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','C436F8EF9E75D998C45608267CBD8415SB');
DeleteFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe','32');
DeleteFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe','32');
DeleteFile('C:\Users\USER\AppData\Local\Microsoft\EF088BBC9C5BFB28FFA2B0D45425D0A5\BD8415C76280654C899D57E9FEC436F8.exe','32');
DeleteFile('C:\Users\USER\AppData\Roaming\Adobe\NativePlugin\OOBA\PPAPI\7015D9AA-392F-4EF3-9516-CAF9DCD7BFF6\3FAAC020-6D1B-404E-AFFB-7DF8B794B275.exe','32');
DeleteFile('C:\Windows\system32\DRIVERS\BAPIDRV64.sys','32');
DeleteFile('C:\Windows\system32\Tasks\Kinoroom Browser','64');
DeleteFile('C:\Windows\system32\Tasks\Microsoft\C436F8EF9E75D998C45608267CBD8415','64');
DeleteFile('C:\Windows\system32\Tasks\Microsoft\C436F8EF9E75D998C45608267CBD8415SB','64');
DeleteFile('C:\Windows\system32\Tasks\Microsoft\KRBUUS\KRB Updater Utility Service','64');
DeleteFile('C:\Windows\system32\Tasks\Microsoft\KRBUUS\KRBLNKRUN','64');
DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\A7015D9AA-392F-4EF3-9516-CAF9DCD7BFF6','64');
DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\C436F8EF9E75D998C45608267CBD8415','64');
DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\C436F8EF9E75D998C45608267CBD8415SB','64');
RegKeyIntParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Control', 'WaitToKillServiceTimeout', 20000);
RegKeyStrParamWrite('HKCU', 'Control Panel\Desktop', 'WaitToKillAppTimeout', '20000');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.


AVZ -> Файл -> Мастер поиска и устранения проблем -> Системные проблемы -> Пуск -> Отметьте пункт указанный выше -> Исправить отмеченные проблемы.
[CODE] >> Таймаут завершения процессов находится за пределами допустимых значений
>> Таймаут завершения служб находится за пределами допустимых значений
>> Таймаут, по истечению которого принимается решение о том, что процесс не отвечает, находится за пределами допустимых значений[/CODE]

- Подготовьте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner[/URL] и приложите его в теме.

Все ярлыки пока остаются (Aliexpress, War Thunder, Forge of Empires и др.) их как-то трогать?

Лог AdwCleaner:

[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

[QUOTE=Nigma89;1393749]Все ярлыки пока остаются (Aliexpress, War Thunder, Forge of Empires и др.) их как-то трогать? [/QUOTE]
Зачищать будет утилитой FRST, но все в свое время.

Спасибо, высылаю отчет:

- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]

Высылаю отчеты:

Сами настраивали?
[CODE]FF NetworkProxy: "user_pref("extensions.browsec.backup.network.proxy.autoconfig_url", "");
FF NetworkProxy: "user_pref("extensions.browsec.backup.network.proxy.ftp", "");
FF NetworkProxy: "user_pref("extensions.browsec.backup.network.proxy.ftp_port", 0);
FF NetworkProxy: "user_pref("extensions.browsec.backup.network.proxy.http", "");
FF NetworkProxy: "user_pref("extensions.browsec.backup.network.proxy.http_port", 0);
FF NetworkProxy: "user_pref("extensions.browsec.backup.network.proxy.no_proxies_on", "localhost, 127.0.0.1, stealthy.co");
FF NetworkProxy: "user_pref("extensions.browsec.backup.network.proxy.share_proxy_settings", false);
FF NetworkProxy: "user_pref("extensions.browsec.backup.network.proxy.ssl", "");
FF NetworkProxy: "user_pref("extensions.browsec.backup.network.proxy.ssl_port", 0);
FF NetworkProxy: "user_pref("extensions.browsec.backup.network.proxy.type", 0);
FF NetworkProxy: "gopher", ""
FF NetworkProxy: "gopher_port", 0
FF NetworkProxy: "no_proxies_on", "localhost, 127.0.0.1, stealthy.co"
FF NetworkProxy: "type", 0[/CODE]

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
HKU\S-1-5-21-1874938677-916278626-4112806029-1001\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
FF Plugin: @microsoft.com/GENUINE -> disabled [No File]
FF Plugin-x32: @microsoft.com/GENUINE -> disabled [No File]
FF HKLM\...\Thunderbird\Extensions: [[email protected]] - C:\Program Files\ESET\ESET Smart Security\Mozilla Thunderbird => not found
FF HKLM-x32\...\Firefox\Extensions: [{4FAF5AAB-8C36-7E19-9ED6-242182D2746C}] - C:\Users\USER\AppData\Roaming\Mozilla\Firefox\Profiles\odn2h7po.default\extensions\[email protected] => not found
FF HKLM-x32\...\Thunderbird\Extensions: [[email protected]] - C:\Program Files\ESET\ESET Smart Security\Mozilla Thunderbird => not found
CHR HKU\S-1-5-21-1874938677-916278626-4112806029-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [dhdgffkkebhmkfjojejmpbldmpobfkfo] - hxxp://clients2.google.com/service/update2/crx
2016-07-20 16:22 - 2016-07-20 16:22 - 00001174 ____N C:\Users\Public\Desktop\Новости.lnk
2016-07-20 16:22 - 2016-07-20 16:22 - 00001174 ____N C:\Users\Public\Desktop\War Thunder.lnk
2016-07-20 16:22 - 2016-07-20 16:22 - 00001174 ____N C:\Users\Public\Desktop\Star Conflict.lnk
2016-07-20 16:22 - 2016-07-20 16:22 - 00001174 ____N C:\Users\Public\Desktop\Forge of Empires.lnk
2016-07-20 16:22 - 2016-07-20 16:22 - 00001174 ____N C:\Users\Public\Desktop\Black Desert.lnk
2016-07-20 16:22 - 2016-07-20 16:22 - 00001174 ____N C:\Users\Public\Desktop\Aliexpress.lnk
2016-07-20 16:22 - 2016-07-20 16:22 - 00001174 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Новости.lnk
2016-07-20 16:22 - 2016-07-20 16:22 - 00001174 _____ C:\ProgramData\Microsoft\Windows\Start Menu\War Thunder.lnk
2016-07-20 16:22 - 2016-07-20 16:22 - 00001174 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Star Conflict.lnk
2016-07-20 16:22 - 2016-07-20 16:22 - 00001174 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Forge of Empires.lnk
2016-07-20 16:22 - 2016-07-20 16:22 - 00001174 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Black Desert.lnk
2016-07-20 16:22 - 2016-07-20 16:22 - 00001174 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Aliexpress.lnk
Folder: C:\Users\USER\AppData\Local\Yandex
Task: {553A6B04-9E41-4420-9400-F78564734D8F} - \Microsoft\C436F8EF9E75D998C45608267CBD8415SB -> No File <==== ATTENTION
Task: {711842F3-0F9C-43F9-8FA7-318CC4AF3530} - \Microsoft\Windows\A7015D9AA-392F-4EF3-9516-CAF9DCD7BFF6 -> No File <==== ATTENTION
Task: {9CE867DA-4379-4593-82EB-BE1830666FDF} - \Microsoft\Windows\C436F8EF9E75D998C45608267CBD8415 -> No File <==== ATTENTION
Task: {9D2708CE-5F1E-48FD-8271-EC01DF0234B9} - \Microsoft\Windows\C436F8EF9E75D998C45608267CBD8415SB -> No File <==== ATTENTION
Task: {DE96AE01-A693-4310-9566-072693C5A9B1} - \Microsoft\C436F8EF9E75D998C45608267CBD8415 -> No File <==== ATTENTION
AlternateDataStreams: C:\ProgramData\TEMP:07BF512B [140]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:07BF512B [140]
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]

1. Это скаченное мной самим расширение на google chrome, которое называется [B]Browsec[/B] для обхода на защищенные по законодательству сайты, все нормально.
2. Прилагаю лог-файл:

Сообщите, что с проблемой?

Вроде как все игры и приложение удалились. В браузерах тоже были проблемы: появились новые вкладки с рекламой - их я удалил, но не знаю полностью ли? Вроде как проблема решена, еще какой-то программкой может стоит проверить?

Сделайте лог [URL="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/URL]

Была ошибка (вирус) какой-то в mbam, что-то вроде Out... не помню точно, было во всплывающем окне и ушло потом.
Как потом удалить все программы? Они же не нужны будут больше? Антивирус стоит eset.
Высылаю лог:

AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
QuarantineFile('C:\Windows\SysWOW64\DL.exe','');
BC_ImportQuarantineList;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.

Удалите в MBAM:
[CODE]Trojan.Agent.DAD, C:\Windows\SysWOW64\DL.exe, , [c14bdb4c52484fe730529c20d62ae61a], [/CODE]

Удалите MBAM через установку программ в панели управления.

Блиииин...я по ошибке сначала в mbam выбрал удалить файл, а первое, связанное с K-lite codeck pack оставил, дальше имеет смысл делать приведенное выше...я извиняюсь, поспешил...

[QUOTE=Nigma89;1393991]Блиииин...я по ошибке сначала в mbam выбрал удалить файл, а первое, связанное с K-lite codeck pack оставил, дальше имеет смысл делать приведенное выше...я извиняюсь, поспешил...[/QUOTE]

Нет. Сообщите, что с проблемой?

Все вроде решилось, а удалять программы типа avz4, FRST64, AdwDWCleaner можно просто так? Uninstall tool можно использовать при удалении mbam или лучше через uninstall?