Помогите избавиться от вирусов [Trojan-Downloader.Win32.Agent.hgsy, not-a-virus:HEUR:NetTool.Win64.NetFilter.gen]

Добрый день.
Ноутбук используется больше как офисный. Скачали случайно файл и после этого стала реклама в Firefox постоянно вылетать.

Рекомендованными утилитами полечил в безопасном режиме, нашли несколько троянов. Но проблема не ушла.
Диагностика AVZ по скрипту №3 вылетает на 30 секунде. Сразу подвисает, потом программа закрывается. Поэтому только 2 лога.
Стоит XP sp3. Помогите вылечить.
Спасибо

Уважаемый(ая) [B]Zhgutik[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Program Files\contentprotector\nss\certutil.exe','');
QuarantineFile('C:\Program Files\contentprotector\import_root_cert.exe','');
QuarantineFile('C:\Program Files\contentprotector\contentprotectordrv.sys','');
QuarantineFile('C:\Program Files\contentprotector\contentprotectorconrol.exe','');
QuarantineFile('C:\Program Files\contentprotector\conprotsetup.exe','');
QuarantineFile('C:\Program Files\contentprotector\condefclean.exe','');
QuarantineFile('C:\Documents and Settings\Танечка\Local Settings\Application Data\UpdateAdmin\UpdateAdmin.exe','');
QuarantineFile('C:\Documents and Settings\Танечка\Local Settings\Application Data\SearchGo\searchgo.exe','');
QuarantineFile('C:\Documents and Settings\Танечка\Local Settings\Application Data\ScriptWriter\ScriptWriter.exe','');
QuarantineFile('C:\Documents and Settings\Танечка\Local Settings\Application Data\fupdate\fupdate.exe','');
DelBHO('{598AEFC6-DD3C-4A63-9AC3-53FCF6155931}');
DelBHO('{2BC46CFA-4B00-4193-A7BD-6AD1D0BCB5BC}');
QuarantineFile('C:\Documents and Settings\Танечка\Local Settings\Application Data\SearchGo\searchgo.dll','');
QuarantineFile('C:\Documents and Settings\Танечка\Главное меню\Программы\Автозагрузка\AdobeARMHelper.vbs','');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','ucbvmdgyqf');
DeleteFile('C:\Documents and Settings\Танечка\Local Settings\Application Data\Amigo\Application\amigo.exe','32');
DeleteFile('C:\Documents and Settings\Танечка\Local Settings\Application Data\SearchGo\searchgo.dll','32');
DeleteFile('C:\Documents and Settings\Танечка\Local Settings\Application Data\fupdate\fupdate.exe','32');
DeleteFile('C:\WINDOWS\Tasks\fupdate.job','32');
DeleteFile('C:\WINDOWS\Tasks\MailRuUpdater.job','32');
DeleteFile('C:\WINDOWS\Tasks\ScriptWriter.job','32');
DeleteFile('C:\Documents and Settings\Танечка\Local Settings\Application Data\ScriptWriter\ScriptWriter.exe','32');
DeleteFile('C:\WINDOWS\Tasks\SearchGo Task.job','32');
DeleteFile('C:\Documents and Settings\Танечка\Local Settings\Application Data\SearchGo\searchgo.exe','32');
DeleteFile('C:\Documents and Settings\Танечка\Local Settings\Application Data\UpdateAdmin\UpdateAdmin.exe','32');
DeleteFile('C:\WINDOWS\Tasks\UpdateAdmin.job','32');
DeleteFile('C:\Program Files\contentprotector\condefclean.exe','32');
DeleteFile('C:\Program Files\contentprotector\conprotsetup.exe','32');
DeleteFile('C:\Program Files\contentprotector\contentprotectorconrol.exe','32');
DeleteFile('C:\Program Files\contentprotector\contentprotectordrv.sys','32');
DeleteFile('C:\Program Files\contentprotector\import_root_cert.exe','32');
DeleteFile('C:\Program Files\contentprotector\nss\certutil.exe','32');
DeleteFile('C:\Program Files\contentprotector\nss\mozcrt19.dll','32');
DeleteFile('C:\Program Files\contentprotector\nss\nspr4.dll','32');
DeleteFile('C:\Program Files\contentprotector\nss\nss3.dll','32');
DeleteFile('C:\Program Files\contentprotector\nss\plc4.dll','32');
DeleteFile('C:\Program Files\contentprotector\nss\plds4.dll','32');
DeleteFile('C:\Program Files\contentprotector\nss\smime3.dll','32');
DeleteFile('C:\Program Files\contentprotector\nss\softokn3.dll','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] темы.

Сделайте лог [url="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]Check Browsers' LNK[/url]

[B][COLOR="Red"]Выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи[/COLOR][/B]

Вот
Mail.ru осталась стартовой страницей, хотя поставил Google.by

Удалите расширения от Mail.Ru.

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Кроме уже установленных, отметьте галочками также "90 Days Files".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).

Несколько раз удалял с помощью Adwcleaner - снова появляется Mail.ru элементы при последующих проверках

Удалите программу Weatherbar.

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]CreateRestorePoint:
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
HKU\S-1-5-21-583907252-515967899-1417001333-1004\Software\Microsoft\Internet Explorer\Main, = hxxp://samlab.ws
SearchScopes: HKU\S-1-5-21-583907252-515967899-1417001333-1004 -> {327F1737-4BA5-41D8-B621-6D5B0052ACB7} URL = hxxp://search.yahoo.com/search?p={searchTerms}&fr=tightropetb&type=11431
BHO: No Name -> {E7E6F031-17CE-4C07-BC86-EABFE594F69C} -> No File
FF DefaultSearchEngine: РџРѕРёСЃРє@Mail.Ru
FF SelectedSearchEngine: РџРѕРёСЃРє@Mail.Ru
FF Homepage: hxxps://mail.ru/cnt/11956636?fr=ffhp1.0.2&gp=821268
FF Keyword.URL: hxxp://go.mail.ru/distib/ep/?product_id=%7BEF5CFC7E-0164-4125-9527-E4D1ADE07D1D%7D&gp=811010
FF Extension: Визуальные закладки @Mail.Ru - C:\Documents and Settings\Танечка\Application Data\Mozilla\Firefox\Profiles\cx9dt08r.default\extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2016-08-05]
FF Extension: Info Enhancer for Firefox - C:\Documents and Settings\Танечка\Application Data\Mozilla\Firefox\Profiles\cx9dt08r.default\Extensions\[email protected] [2014-07-25] [not signed]
FF Extension: Домашняя страница Mail.Ru - C:\Documents and Settings\Танечка\Application Data\Mozilla\Firefox\Profiles\cx9dt08r.default\Extensions\[email protected] [2016-08-05]
FF Extension: Поиск@Mail.Ru - C:\Documents and Settings\Танечка\Application Data\Mozilla\Firefox\Profiles\cx9dt08r.default\Extensions\[email protected] [2016-08-05]
FF Extension: Kaspersky URL Advisor - C:\Program Files\Mozilla Firefox\extensions\[email protected] [2016-08-03] [not signed]
FF HKLM\...\Firefox\Extensions: [[email protected]] - C:\Program Files\Java\jre6\lib\deploy\jqs\ff => not found
S2 JavaQuickStarterService; "C:\Program Files\Java\jre6\bin\jqs.exe" -service -config "C:\Program Files\Java\jre6\lib\deploy\jqs\jqs.conf"
S3 esgiguard; \??\C:\Program Files\Enigma Software Group\SpyHunter\esgiguard.sys [X]
2016-05-18 12:10 - 2016-05-18 12:10 - 00000000 ____D C:\Documents and Settings\Танечка\Application Data\MailProducts
Task: C:\WINDOWS\Tasks\MailRuUpdater.job => C:\Documents and Settings\Танечка\Local Settings\Application Data\Mail.Ru\MailRuUpdater.exe <==== ATTENTION
Task: C:\WINDOWS\Tasks\MailRuUpdateTask.job => C:\Documents and Settings\Танечка\Local Settings\Application Data\Mail.Ru\MailRuUpdater.exe/scheduler C:\Documents and Settings\Танечка\Local Settings\Application Data\Mail.Ru
C:\Documents and Settings\Танечка\Application Data\Microsoft\Internet Explorer\Quick Launch\Mail.Ru.lnk
C:\Documents and Settings\Танечка\Application Data\Microsoft\Internet Explorer\Quick Launch\Вoйти в Интeрнет.lnk
C:\Documents and Settings\Танечка\Application Data\Microsoft\Internet Explorer\Quick Launch\Поиcк в Интeрнете.lnk
Reg: reg delete "HKU\S-1-5-21-583907252-515967899-1417001333-1004\Software\Microsoft\Windows\CurrentVersion\Uninstall\MailRuUpdater" /f
EmptyTemp:
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Java 8 обновите до [URL="http://www.java.com/ru/download/"]Java 8 Update 101[/URL].

СПАСИБО
Вроде, все прошло!

[QUOTE]Fix result of Farbar Recovery Tool (FRST written by Farbar) (x86) Version: 09-05-2015[/QUOTE]

Притом логи делали свежей версией Farbar Recovery Scan Tool:
[QUOTE]Scan result of Farbar Recovery Scan Tool (FRST) (x86) Version: 11-08-2016 01[/QUOTE]

Где же Вы такую древность нашли, и куда новый потеряли? Переделывать не нужно.

Загрузите, распакуйте на Рабочий стол и запустите [URL="https://yadi.sk/d/xIUtpEqJq4wru"]SecurityCheck by glax24 & Severnyj[/URL].
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши [B]Запуск от имени администратора[/B] (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например [I]C:\SecurityCheck\SecurityCheck.txt[/I].

Приложите этот файл к своему следующему сообщению.

Видимо на компе старая версия сидела, не обратил внимание))))
Этот mailruupdater постоянно висит в диспетчере

Сделайте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner (by Xplode)[/URL].

Вот

[url="http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864"]Удалите всё найденное в [B]AdwCleaner[/B][/URL], дождитесь окончания удаления и перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C5].txt, прикрепите к своему следующему сообщению.

Вот

Проблема решена?

Удалите программу Weatherbar v.1.3.3.

[QUOTE]Adobe Acrobat 5.0 v.5.0 [color=red][b]Данная программа больше не поддерживается разработчиком.[/b][/color] Рекомендуется деинсталлировать ее, скачать и установить [b][url=https://acrobat.adobe.com/ru/ru/free-trial-download.html]Adobe Acrobat DC[/url][/b].
Adobe Flash Player 17 ActiveX v.17.0.0.169 [color=red][b]Внимание! [url=http://download.macromedia.com/pub/flashplayer/latest/help/install_flash_player_ax.exe]Скачать обновления[/url][/b][/color]
Adobe Flash Player 17 NPAPI v.17.0.0.169 [color=red][b]Внимание! [url=http://download.macromedia.com/pub/flashplayer/latest/help/install_flash_player.exe]Скачать обновления[/url][/b][/color][/QUOTE]

Устаревшие продукты Adobe содержат множество критических уязвимостей. Так что, обновляйте, либо удалите вовсе.

Спасибо, все вылечили

папку C:\FRST удалите.

[LIST][*]Пожалуйста, запустите adwcleaner.exe[*]Нажмите File ([B]Файл[/B]) [B]Uninstall[/B] ([B]Деинсталлировать[/B]).[*]Подтвердите удаление нажав кнопку: Да.[/LIST]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]35[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\documents and settings\танечка\local settings\application data\fupdate\fupdate.exe - [B]Trojan-Downloader.Win32.Agent.hgsy[/B][*] c:\documents and settings\танечка\local settings\application data\searchgo\searchgo.dll - [B]not-a-virus:WebToolbar.Win32.Searchbar.k[/B] ( BitDefender: Trojan.GenericKD.3158757, AVAST4: Win32:Malware-gen )[*] c:\documents and settings\танечка\local settings\application data\searchgo\searchgo.exe - [B]not-a-virus:AdWare.Win32.Searchgo.a[/B] ( BitDefender: Trojan.GenericKD.3141570, AVAST4: Win32:Adware-gen [Adw] )[*] c:\program files\contentprotector\condefclean.exe - [B]not-a-virus:NetTool.Win64.NetFilter.jd[/B][*] c:\program files\contentprotector\conprotsetup.exe - [B]not-a-virus:HEUR:AdWare.Win32.Mewishid.gen[/B][*] c:\program files\contentprotector\contentprotectorconrol.exe - [B]not-a-virus:NetTool.Win64.NetFilter.jd[/B][*] c:\program files\contentprotector\contentprotectordrv.sys - [B]not-a-virus:HEUR:NetTool.Win64.NetFilter.gen[/B][*] c:\program files\contentprotector\import_root_cert.exe - [B]not-a-virus:NetTool.Win64.NetFilter.jd[/B][*] c:\program files\contentprotector\nss\certutil.exe - [B]not-a-virus:NetTool.Win64.NetFilter.jd[/B][/LIST][/LIST]