Доброго времени суток. На моем ноутбуке были обнаружены подозрительные программы Star Conflict, War Thunder, Forge of Empires и Black Desert. Скорее всего, шпионское ПО. Антивирус Nod32 не видит ничего подозрительного. Логи прилагаю. Заранее спасибо!
Уважаемый(ая) [B]Денис Сивцев[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
По названиям больше похоже на игры. Стандартным способом не удаляются?
[B]Обновите базы AVZ[/B] ("Файл" -> "Обновление баз").
[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
ExecuteAVUpdate;
TerminateProcessByName('c:\program files (x86)\mail.ru\mailruupdater\mailruupdater.exe');
TerminateProcessByName('c:\program files (x86)\mail.ru\update service\mrupdsrv.exe');
StopService('mrupdsrv');
StopService('Updater.Mail.Ru');
QuarantineFile('c:\program files (x86)\mail.ru\mailruupdater\mailruupdater.exe', '');
QuarantineFile('c:\program files (x86)\mail.ru\update service\mrupdsrv.exe', '');
QuarantineFile('C:\Program Files (x86)\Common Files\Adobe\OOBA\PDApp\PPAPI\D484764A-3B6E-4C6A-9976-1E2FB5272ED5.exe', '');
QuarantineFile('C:\Users\DENIS\AppData\Local\Microsoft\EED38619A0258D8CC2127B6A6B8B7274\6130572AD99EB10B8DF4CCE40CA1F92F.exe', '');
QuarantineFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe', '');
QuarantineFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe', '');
DeleteFile('c:\program files (x86)\mail.ru\mailruupdater\mailruupdater.exe', '32');
DeleteFile('c:\program files (x86)\mail.ru\update service\mrupdsrv.exe', '32');
DeleteFile('C:\Program Files (x86)\Common Files\Adobe\OOBA\PDApp\PPAPI\D484764A-3B6E-4C6A-9976-1E2FB5272ED5.exe', '32');
DeleteFile('C:\Users\DENIS\AppData\Local\Microsoft\EED38619A0258D8CC2127B6A6B8B7274\6130572AD99EB10B8DF4CCE40CA1F92F.exe', '32');
DeleteFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe', '32');
DeleteFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe', '32');
DeleteService('mrupdsrv');
DeleteService('Updater.Mail.Ru');
DeleteFileMask('c:\program files (x86)\mail.ru', '*', true);
DeleteFileMask('c:\program files (x86)\common files\adobe\ooba', '*', true);
DeleteFileMask('c:\users\denis\appdata\local\microsoft\eed38619a0258d8cc2127b6a6b8b7274', '*', true);
DeleteFileMask('c:\programdata\krb updater utility', '*', true);
DeleteFileMask('c:\program files (x86)\kinoroom browser', '*', true);
DeleteDirectory('c:\program files (x86)\mail.ru');
DeleteDirectory('c:\program files (x86)\common files\adobe\ooba');
DeleteDirectory('c:\users\denis\appdata\local\microsoft\eed38619a0258d8cc2127b6a6b8b7274');
DeleteDirectory('c:\programdata\krb updater utility');
DeleteDirectory('c:\program files (x86)\kinoroom browser');
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\A1F92FC04ECC4FD8B01BE99DA2613057" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\A1F92FC04ECC4FD8B01BE99DA2613057SB" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\KRBUUS\KRB Updater Utility Service" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\KRBUUS\KRBLNKRUN" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\A0E504678-A0A1-4A72-84BC-40A7BE90FABF" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\A1F92FC04ECC4FD8B01BE99DA2613057" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\A1F92FC04ECC4FD8B01BE99DA2613057SB" /F', 0, 15000, true);
ExecuteFile('ipconfig.exe', '/flushdns', 0, 15000, true);
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', '0E504678-A0A1-4A72-84BC-40A7BE90FABF');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', 'A1F92FC04ECC4FD8B01BE99DA2613057SB');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteRepair(3);
ExecuteRepair(21);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Кроме уже установленных, отметьте галочками также "90 Days Files".
Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).
Спасибо, сделал всё ка вы сказали. Выполнил скрипт, добавил в карантин файл. Также высылаю два лог файла
[CODE][B]VK OK AdBlock [/B](HKLM-x32\...\VK OK AdBlock) (Version: 2.0.0.9 - Company Inc.)
[/CODE]
Деинсталируйте.
[CODE][B]Unity Web Player[/B] (HKU\S-1-5-21-1388386486-3429955119-188758658-1000\...\UnityWebPlayer) (Version: 5.3.5f1 - Unity Technologies ApS)
[/CODE]Если сами не ставили, то тоже.
Программы/расширения от Mail.ru используете? В том числе браузер Amigo.
Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:
[code]start
CreateRestorePoint:
GroupPolicy: Restriction - Chrome <======= ATTENTION
BHO: VK OK AdBlock -> {FF20459C-DA6E-41A7-80BC-8F4FEFD9C575} -> C:\Program Files (x86)\VK OK AdBlock\IEEF\2M_yPWR9oK.dll => No File
CHR Extension: (News Tab) - C:\Users\DENIS\AppData\Local\Google\Chrome\User Data\Default\Extensions\aaebjepcfidgkojljbgoilgkgklehldj [2016-08-09]
CHR Extension: (Google Docs) - C:\Users\DENIS\AppData\Local\Google\Chrome\User Data\Default\Extensions\hcmdpeobfoppdkhcneogcflfmfceenlf [2016-08-09]
CHR Extension: (marketquick) - C:\Users\DENIS\AppData\Local\Google\Chrome\User Data\Default\Extensions\ihmgiclibbndffejedjimfjmfoabpcke [2016-08-09]
OPR Extension: (marketquick) - C:\Users\DENIS\AppData\Roaming\Opera Software\Opera Stable\Extensions\ihmgiclibbndffejedjimfjmfoabpcke [2016-08-09]
2016-08-09 08:47 - 2016-08-09 08:47 - 00001176 ____N C:\Users\Public\Desktop\Новости.lnk
2016-08-09 08:47 - 2016-08-09 08:47 - 00001176 ____N C:\Users\Public\Desktop\War Thunder.lnk
2016-08-09 08:47 - 2016-08-09 08:47 - 00001176 ____N C:\Users\Public\Desktop\Star Conflict.lnk
2016-08-09 08:47 - 2016-08-09 08:47 - 00001176 ____N C:\Users\Public\Desktop\Forge of Empires.lnk
2016-08-09 08:47 - 2016-08-09 08:47 - 00001176 ____N C:\Users\Public\Desktop\Booking.com.lnk
2016-08-09 08:47 - 2016-08-09 08:47 - 00001176 ____N C:\Users\Public\Desktop\Black Desert.lnk
2016-08-09 08:47 - 2016-08-09 08:47 - 00001176 ____N C:\Users\Public\Desktop\Aliexpress.lnk
2016-08-09 08:47 - 2016-08-09 08:47 - 00001176 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Новости.lnk
2016-08-09 08:47 - 2016-08-09 08:47 - 00001176 _____ C:\ProgramData\Microsoft\Windows\Start Menu\War Thunder.lnk
2016-08-09 08:47 - 2016-08-09 08:47 - 00001176 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Star Conflict.lnk
2016-08-09 08:47 - 2016-08-09 08:47 - 00001176 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Forge of Empires.lnk
2016-08-09 08:47 - 2016-08-09 08:47 - 00001176 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Booking.com.lnk
2016-08-09 08:47 - 2016-08-09 08:47 - 00001176 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Black Desert.lnk
2016-08-09 08:47 - 2016-08-09 08:47 - 00001176 _____ C:\ProgramData\Microsoft\Windows\Start Menu\Aliexpress.lnk
2016-08-04 20:04 - 2016-08-04 20:04 - 00000000 ____D C:\Users\DENIS\AppData\Local\Вoйти в Интeрнет
2016-08-04 20:02 - 2016-08-04 21:38 - 00000000 ____D C:\Users\DENIS\AppData\Local\fupdate
2016-08-04 19:58 - 2016-08-04 19:58 - 00000000 ____D C:\Users\DENIS\AppData\Local\Поиcк в Интeрнете
EmptyTemp:
Reboot:
end[/code]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. [U]При сохранении выберите кодировку [B]Юникод[/B]![/U]
Отключите до перезагрузки антивирус, запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
- сделайте лог [URL="http://dragokas.com/tools/CheckBrowsersLNK_test.zip"]Check Browsers' LNK by Dragokas & regist[/URL].
[LIST][*]Скачайте [B][URL="https://toolslib.net/downloads/finish/1/"]AdwCleaner[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\denis\appdata\local\microsoft\eed38619a0258d8cc2127b6a6b8b7274\6130572ad99eb10b8df4cce40ca1f92f.exe - [B]not-a-virus:AdWare.Win32.ExtBro.g[/B][/LIST][/LIST]