Вирус Neshta и вечный gosearch [Virus.Win32.Neshta.a ]

Здравствуйте! Прошу помочь мне с моей проблемой. Не давно обнаружил у себя вирус neshta тело которого, судя по всему, находится в неубиваемом файле "svchost.com". Точнее убиваемом, но мгновенно восстанавливаемом. Советы в интернете, про прописыванию пути в реестре, а затем лечение при помощи cure it, результатов не дали. Также в гуглхром прописался gosearch от знаменитой мэил. Правда хром я снёс в надежде решить проблему, но попытки переустановить почему-то не увенчиваются успехом. Надеюсь, всё не безнадежно, спасибо)

Уважаемый(ая) [B]Eztekto[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

UPD
Смог установить chrome, но мэиловская зараза никуда не делась. svchost.com, тоже периодически вредит. Cure it лечит поврежденные им файлы, но от самого вируса избавиться не может, только бессмысленно перемещает.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

app

Здравствуйте !!!

Создайте контрольную точку восстановления Windows.

Выполните скрипт в AVZ:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Windows\svchost.com','');
QuarantineFile('C:\Users\Медиа\AppData\Local\FilterStart\FilterStart.exe','');
QuarantineFile('C:\Program Files (x86)\ScreenUp\future_helper.exe','');
QuarantineFile('C:\Users\Медиа\AppData\LocalLow\SearchGo\searchgo.dll','');
DeleteFile('C:\Users\Медиа\AppData\LocalLow\SearchGo\searchgo.dll','32');
DeleteFile('C:\Program Files (x86)\ScreenUp\future_helper.exe','32');
DeleteFile('C:\windows\system32\Tasks\Manifest Private Mgr','64');
DeleteFile('C:\Users\Медиа\AppData\Local\FilterStart\FilterStart.exe','32');
DeleteFile('C:\windows\system32\Tasks\Private Root Helper','64');
DeleteFile('C:\Windows\svchost.com','32');
DelBHO('{8E8F97CD-60B5-456F-A201-73065652D099}');
DelBHO('{2BC46CFA-4B00-4193-A7BD-6AD1D0BCB5BC}');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(1);
RebootWindows(true);
end.[/CODE]

После перезагрузки выполните скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Загрузите quarantine.zip из папки AVZ по красной ссылке [B]вверху[/B] темы [COLOR="Red"]Прислать запрошенный карантин[/COLOR]

Далее, [URL="http://virusinfo.info/showthread.php?t=15927"][B]Как лечить файловый вирус[/B][/URL] вариант с Live CD предпочтительнее. После лечения таким образом подготовьте комплект новых логов AVZ и HijackThis.

[QUOTE=mrak74;1406719]Здравствуйте !!!

Создайте контрольную точку восстановления Windows.
[/QUOTE]

Попробовал создать, но почему-то отсутствует вкладка защита системы. Без создания точки не опасно делать дальнейшие действия? Также у меня отстутствует дисковод (ультрабук), есть ли иные способы лечения? :/
upd
Нашёл, Dr. Web Live USB.

[quote="Eztekto;1406753"]Без создания точки не опасно делать дальнейшие действия?[/quote]
Подстраховываюсь. Не делайте тогда.

[quote="Eztekto;1406753"]Нашёл, Dr. Web Live USB[/quote]
Применяйте, потом сразу же выкладывайте новые логи AVZ и HijackThis.

Сделал скан с помощью Dr web Live usb. Эта гадость никуда не девается :/

Dr. Web Live USB - создавали на "чистом", не зараженном компьютере ? Записанную флешку в компьютер во время работы ОС вставляли ?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[url]http://www.avg.com/ru-ru/remove-win32-neshta.tpl-stdfull[/url] - попробуйте пролечить этой утилитой.

Устанавливал на другом компе. Флешка могла прочитаться, только после захода в систему, если вставлял её перед запуском она не читалась. Ноут её увидел, только на моменте входа в учётную запись (где пароль надо вводить). Надеюсь от этого она не могла заразиться, иначе тогда не знаю как её чистить :/

Флешка сама является загрузочной, на ней подгружается ОС Live и уже из под нее стартует лечащая утилита. В BIOS возможно параметр загрузки с USB выставить надо было.

После АДВ svchost вроде всё-таки помер. Либо перепрятался, но выскакивать перестал. А вот GoSearch от мэил оказался немного живучей. Парвильно говорят, что рекламные вирусы, как тараканы :/ Прикладываю повторный скан системы.

Выполните скрипт в AVZ:
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Program Files (x86)\CDisplayEx\CDisplayEx.exe','');
QuarantineFile('C:\Users\Медиа\AppData\Local\rightchose\regCheck.vbs','');
QuarantineFile('C:\Users\Медиа\AppData\Local\DateOption\regCheck.vbs','');
QuarantineFile('C:\Program Files\SRS Labs\SRS Control Panel\SRS_Premium_Sound_PS3D.zip','');
QuarantineFile('C:\ProgramData\Microsoft Help\Rgstrtn.lck','');
QuarantineFile('C:\Users\Медиа\AppData\Local\ValidateLife\regCheck.vbs','');
QuarantineFile('C:\Users\Медиа\AppData\Local\LastNews\regCheck.vbs','');
QuarantineFile('C:\Users\Медиа\AppData\Local\FilterOptions\regCheck.vbs','');
QuarantineFile('C:\Users\Медиа\AppData\Local\FileSystemOptions\regCheck.vbs','');
QuarantineFile('C:\Users\Медиа\AppData\Local\ImmediateHelp\regCheck.vbs','');
QuarantineFile('C:\Users\Медиа\AppData\Local\TestMenu\regCheck.vbs','');
QuarantineFile('C:\Users\Медиа\AppData\Local\Request Private Mgr.exe','');
DeleteFile('C:\Users\Медиа\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\regCheck.lnk');
DeleteFile('C:\Users\Медиа\AppData\Local\Request Private Mgr.exe');
DeleteFile('C:\windows\system32\Tasks\Request Private Mgr','64');
DeleteFile('C:\Users\Медиа\AppData\Local\TestMenu\regCheck.vbs','32');
DeleteFile('C:\Users\Медиа\AppData\Local\ImmediateHelp\regCheck.vbs','32');
DeleteFile('C:\Users\Медиа\AppData\Local\FileSystemOptions\regCheck.vbs','32');
DeleteFile('C:\Users\Медиа\AppData\Local\FilterOptions\regCheck.vbs','32');
DeleteFile('C:\Users\Медиа\AppData\Local\LastNews\regCheck.vbs','32');
DeleteFile('C:\Users\Медиа\AppData\Local\ValidateLife\regCheck.vbs','32');
DeleteFile('C:\ProgramData\Microsoft Help\Rgstrtn.lck','32');
DeleteFile('C:\Users\Медиа\AppData\Local\DateOption\regCheck.vbs','32');
DeleteFile('C:\Users\Медиа\AppData\Local\rightchose\regCheck.vbs','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','TestMenu');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','ImmediateHelp');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','FileSystemOptions');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','FilterOptions');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','LastNews');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','ValidateLife');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce','{90120000-001A-0419-0000-0000000FF1CE}');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce','{90120000-006E-0419-0000-0000000FF1CE}');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\RunOnce','{90120000-0012-0000-0000-0000000FF1CE}');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\RunOnce','{90120000-001A-0419-0000-0000000FF1CE}');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\RunOnce','{90120000-006E-0419-0000-0000000FF1CE}');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','DateOption');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки выполните скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Загрузите quarantine.zip из папки AVZ по красной ссылке [B]вверху[/B] темы [COLOR="Red"]Прислать запрошенный карантин[/COLOR]
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )

+ [LIST][*]Скачайте [B][URL="https://toolslib.net/downloads/finish/1/"]AdwCleaner[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

ProxyServer = 107.23.180.148:8080 - сами прописывали в настройках браузера?

Нет, прокси я не прописывал никакие сам. Вроде удалил адв удалил кучу мэиловского, но остался госерч. Может поможет деталь. Когда ввожу поиск сначала появляется как положено по настройкам гугл, а затем ссылка меняется на сайт типа searche-engine, а потом уже становится go.mail

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).

Высылаю.

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]CreateRestorePoint:
HKLM\...\Run: [] => [X]
BootExecute: autocheck autochk * 娍䘍耀ὤ皉
GroupPolicy: Restriction <======= ATTENTION
GroupPolicy\User: Restriction <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
ProxyServer: [S-1-5-21-1433716604-1986671685-601660990-1000] => 107.23.180.148:8080
FF DefaultSearchEngine: Mozilla\Firefox\Profiles\wx7uoud6.default-1431117758683 -> Поиск@Mail.Ru
FF SelectedSearchEngine: Mozilla\Firefox\Profiles\wx7uoud6.default-1431117758683 -> Поиск@Mail.Ru
FF Homepage: Mozilla\Firefox\Profiles\wx7uoud6.default-1431117758683 -> hxxp://mail.ru/cnt/10445?gp=811013
FF Keyword.URL: Mozilla\Firefox\Profiles\wx7uoud6.default-1431117758683 -> hxxp://go.mail.ru/distib/ep/?product_id=%7BD1B6F9A3-5472-4D36-AE35-8FB06B17213F%7D&gp=811014
FF Extension: (Домашняя страница Mail.Ru) - C:\Users\Медиа\AppData\Roaming\Mozilla\Firefox\Profiles\wx7uoud6.default-1431117758683\Extensions\[email protected] [2016-10-04]
FF Extension: (Поиск@Mail.Ru) - C:\Users\Медиа\AppData\Roaming\Mozilla\Firefox\Profiles\wx7uoud6.default-1431117758683\Extensions\[email protected] [2016-10-04]
FF Extension: (Визуальные закладки @Mail.Ru) - C:\Users\Медиа\AppData\Roaming\Mozilla\Firefox\Profiles\wx7uoud6.default-1431117758683\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2016-10-04]
FF Extension: (No Name) - C:\Users\Медиа\AppData\Roaming\Mozilla\Firefox\Profiles\wx7uoud6.default-1431117758683\extensions\{d720d64d-c71a-4316-b59e-8a41b860178f} [not found]
FF SearchPlugin: C:\Users\Медиа\AppData\Roaming\Mozilla\Firefox\Profiles\wx7uoud6.default-1431117758683\searchplugins\mailru.xml [2016-10-04]
CHR HKLM-x32\...\Chrome\Extension: [aeembeejekghkopiabadonpmfpigojok] - hxxps://clients2.google.com/service/update2/crx
S3 a2acc; \??\C:\PROGRAM FILES (X86)\EMSISOFT ANTI-MALWARE\a2accx64.sys [X]
S1 adgnetworktdi; system32\drivers\adgnetworktdi.sys [X]
S3 GPU-Z; \??\C:\Users\DFC6~1\AppData\Local\Temp\GPU-Z.sys [X]
S3 MBAMSwissArmy; \??\C:\windows\system32\drivers\MBAMSwissArmy.sys [X]
S1 ServiceMgr; system32\drivers\ServiceMgr.sys [X]
S3 zte_ecm_enum_filter; system32\DRIVERS\zte_ecm_enum_filter.sys [X]
2016-10-04 12:55 - 2016-10-04 13:23 - 00000000 ____D C:\Program Files (x86)\Emsisoft Anti-Malware
2016-10-04 12:26 - 2016-10-04 12:26 - 00000000 ____D C:\Users\Медиа\AppData\Local\Поиcк в Интeрнете
2016-10-04 12:26 - 2016-10-04 12:26 - 00000000 ____D C:\Users\Медиа\AppData\Local\Вoйти в Интeрнет
2016-10-04 12:25 - 2016-10-04 23:45 - 00000000 ____D C:\Program Files (x86)\ScreenUp
2016-10-04 12:25 - 2016-10-04 17:39 - 00000000 ____D C:\Users\Медиа\AppData\Local\FilterStart
2016-10-04 12:25 - 2016-10-04 12:25 - 00000312 _____ C:\Users\Медиа\AppData\Local\expand.ini
2016-10-06 12:40 - 2016-10-06 12:40 - 0000000 __RSH () C:\Program Files\360
2014-04-29 23:39 - 2014-04-29 23:39 - 0000006 _____ () C:\Users\Медиа\AppData\Roaming\smw_inst
C:\Users\Медиа\AppData\Local\Temp\coi1634.exe
C:\Users\Медиа\AppData\Local\Temp\msQ9fpVV7E1K.exe
C:\Users\Медиа\AppData\Local\Temp\tb6EXF3JR9j8.exe
C:\Users\Медиа\AppData\Local\Temp\X8Aep02tSR7O.exe
C:\Users\Медиа\AppData\Local\Temp\xihaXDODpOIl.exe
C:\Users\Медиа\AppData\Local\Temp\ZHVjjzJv9hLS.exe
Task: {0A1106A8-D27D-4D95-B442-04599C819252} - \Private Root Helper -> No File <==== ATTENTION
Task: {0F4F7171-63CB-4E8D-8A97-982F4FBE34C0} - System32\Tasks\{03B8F657-0641-4F02-B5FE-5CEA18296CDF} => D:\setup.exe
Task: {1693F621-DBA0-4F88-B878-3472CDBA5CB2} - \Request Private Mgr -> No File <==== ATTENTION
Task: {3BCC7146-489C-4FD1-98D3-1E5B42F01F62} - System32\Tasks\{C79E7BCF-4117-4A60-B7EA-25F3ABDBBE2C} => pcalua.exe -a C:\Users\Медиа\AppData\Local\Temp\ТОШИБА.temp\TVAP\Setup.exe -d C:\Users\DFC6~1\AppData\Local\Temp\BADF~1.TEM\TVAP <==== ATTENTION
Task: {52128736-5C93-4A76-B82B-851AAA556FB0} - \Manifest Private Mgr -> No File <==== ATTENTION
Task: {D0AACB1F-171E-4C77-A87E-1110F3E9BCE2} - \{7CD87FEE-30E7-4D5D-B3DB-A9A0FB225922} -> No File <==== ATTENTION
Task: {F15C36DA-ADDB-44CD-8EDF-67B0369D5F45} - System32\Tasks\{211E6D40-F34E-442D-AB64-E0AAB9E2496C} => C:\Users\Медиа\Downloads\LeagueofLegends.exe
C:\Users\Медиа\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk
AlternateDataStreams: C:\ProgramData\TEMP:41ADDB8A [151]
AlternateDataStreams: C:\ProgramData\TEMP:A064CECC [274]
FirewallRules: [{8C8A71E1-A476-44C5-B637-62B63C4D82FD}] => (Allow) C:\Program Files\UBar\ubar.exe
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. [U]При сохранении выберите кодировку [B]Юникод[/B]![/U]
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

[URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кэш и cookies-файлы браузеров[/URL] и сообщите, что с проблемой.

Сделал по инструкции, но проблема осталась. Так же не уточнял, что помимо поисковика периодически вылезает реклама. Думаю это всё от одного идёт.

Отключите все расширения в Chrome, если пропадёт реклама - подключайте по одному, проверяйте эффект. Возможно, одно из расширений шалит, какое именно - понять по логам сложно.
Сообщите результат.

Как ни странно оказался заражён AdBlock) Переустановил и проблема исчезла. Спасибо большое за труд, очень помогли!)

Значит, подменили, официальный не спамит.

Запустите AdwCleaner и нажмите [B]Деинсталлировать (Uninstall)[/B].

Удалите папку C:\FRST со всем содержимым.

Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].