Периодически запускается неведомый инсталятор [not-a-virus:Downloader.Win32.InstallMonster.fpfh, not-a-virus:AdWare.Win32.Vopak.bznw ]

Printable View

16.10.2016, 18:17
TirasVM

Периодически запускается неведомый инсталятор [not-a-virus:Downloader.Win32.InstallMonster.fpfh, not-a-virus:AdWare.Win32.Vopak.bznw ]

OS - Windows 7; Service Pack 1; 64-разрядная
1. Регулярно автоматически запускается неведомый типа инсталятор. В заголовке 'Last Version for MS Security Client User Interface users' или '... for Google Chrome users'. Предлагает нажать кнопку 'Next'. Кнопку не нажимал, закрывал окно крестом.
2. В браузере (Google Chrome) периодически открываются рекламные страницы.
3. Антивирус MS Security Essentials периодически сообщает, что прибил очередной thread
16.10.2016, 18:18
Info_bot

Уважаемый(ая) [B]TirasVM[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
17.10.2016, 18:35
regist

Здравствуйте!

- Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
TerminateProcessByName('c:\windows\temp\5a70.tmp');
TerminateProcessByName('C:\Program Files\SpaceSoundPro\i_network.exe');
TerminateProcessByName('C:\Program Files (x86)\E8713860-1476549521-11E1-9BF7-C86000E0284D\knsEA83.tmp');
QuarantineFileF('c:\program files\spacesoundpro', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
QuarantineFileF('C:\Program Files (x86)\E8713860-1476549521-11E1-9BF7-C86000E0284D\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFile('c:\windows\temp\5a70.tmp', '');
QuarantineFile('C:\Program Files\SpaceSoundPro\i_network.exe', '');
QuarantineFile('C:\Program Files (x86)\E8713860-1476549521-11E1-9BF7-C86000E0284D\knsEA83.tmp', '');
QuarantineFile('C:\Program Files\SpaceSoundPro\SpaceSoundPro.exe', '');
QuarantineFileF('c:\program files (x86)\ghuwule\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFileF('d:\users\Владимир\appdata\roaming\hpsewil\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFile('C:\Program Files\spacesoundpro\uninstaller.exe', '');
QuarantineFileF('D:\Users\Владимир\appdata\roaming\mydesktop', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFile('c:\programdata\logic handler\set.exe', '');
QuarantineFileF('c:\programdata\networkpacketmanitor\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFileF('c:\program files (x86)\weatherchickn\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFile('c:\program files (x86)\acronis\acronisintel.exe', '');
QuarantineFileF('c:\program files (x86)\kuaizip\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
DeleteFile('c:\windows\temp\5a70.tmp', '32');
DeleteFile('c:\programdata\logic handler\set.exe');
DeleteFile('C:\Program Files\SpaceSoundPro\i_network.exe', '32');
DeleteFile('C:\Program Files (x86)\E8713860-1476549521-11E1-9BF7-C86000E0284D\knsEA83.tmp', '32');
DeleteFile('C:\Program Files\SpaceSoundPro\SpaceSoundPro.exe', '32');
DeleteFile('C:\Program Files\spacesoundpro\uninstaller.exe', '32');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Manager" /F', 0, 15000, true);
DeleteFileMask('D:\Users\Владимир\appdata\roaming\mydesktop', '*', true);
DeleteFileMask('c:\program files\spacesoundpro', '*', true);
DeleteFileMask('c:\program files (x86)\kuaizip\', '*', true);
DeleteDirectory('D:\Users\Владимир\appdata\roaming\mydesktop');
DeleteDirectory('c:\program files\spacesoundpro');
DeleteDirectory('c:\program files (x86)\kuaizip\');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'SpaceSoundPro');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\RunOnce', 'IDSCPRODUCT');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteRepair(13);
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

Программы/расширения от Mail.ru используете?

[LIST][*]Скачайте [B][URL="https://toolslib.net/downloads/finish/1/"]AdwCleaner[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
17.10.2016, 22:41
TirasVM

1. Процедуру выполнил. MD5 карантина: 8AAA8F95C0CB7735F90936EA3F5E37D4
2. Скрипт выполнил. quarantine.zip загрузил.
3. Повторные логи по правилам п.2,3 и AdwCleaner[S0].txt прилагаю

Программы/расширения от Mail.ru не использую.

Кроме того, обнаружил:
1. Панель управления -> Защитник Windows - "Эта программа отключена". Включить не удалось
2. В Chrome установлены расширения 'PageLiner 1.2.2' и 'Zen 1.0.6'. Удалить не удается. Пишет "Установлено в соответствии с корпоративным правилом."
18.10.2016, 08:56
regist

Содержимое папок
[CODE]d:\bmp\
d:\distr1\
d:\uole13381f++
d:\Пароли[/CODE]
Вам знакомо? В частности
[CODE]d:\bmp\bmppaltvr.exe
d:\distr1\distrПочта.exe
d:\uole13381f++\Петроэлектросбытьuolef.exe
d:\Пароли\ПаролиИгры.exe[/CODE]

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
TerminateProcessByName('c:\program files (x86)\e8713860-1476549521-11e1-9bf7-c86000e0284d\knse79b.tmp');
TerminateProcessByName('c:\program files (x86)\zaxar\zaxarloader.exe');
StopService('xecudoty');
QuarantineFileF('D:\Users\Владимир\appdata\local\apps\2.0', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFileF('c:\program files (x86)\zaxar', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
QuarantineFile('c:\program files (x86)\e8713860-1476549521-11e1-9bf7-c86000e0284d\knse79b.tmp', '');
QuarantineFile('c:\program files (x86)\zaxar\zaxarloader.exe', '');
QuarantineFile('d:\bmp\bmppaltvr.exe', '');
QuarantineFile('d:\distr1\distrПочта.exe', '');
QuarantineFile('d:\uole13381f++\Петроэлектросбытьuolef.exe', '');
QuarantineFile('d:\Пароли\ПаролиИгры.exe', '');
QuarantineFile('D:\Users\Владимир\appdata\roaming\adobe\manager.exe', '');
QuarantineFileF('D:\Users\Владимир\appdata\roaming\mydesktop\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFile('c:\program files (x86)\acronis\acronisintel.exe', '');
QuarantineFileF('C:\Program Files (x86)\IconRunner\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFileF('C:\Program Files\spacesoundpro\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFile('c:\program files (x86)\traystatus\traystatusutorrent.exe', '');
QuarantineFileF('C:\Program Files\3494b33ceb010c647fc889a04a1a8b72\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFile('C:\Program Files\3494b33ceb010c647fc889a04a1a8b72\ca9c1a05406ef7ea5fef1481b52cfffc.exe', '');
QuarantineFileF('c:\program files (x86)\traystatus\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFile('c:\program files (x86)\adobe\inteladobe.exe', '');
QuarantineFile('c:\program files (x86)\google\googlemicrosoftvisualstudio.exe', '');
QuarantineFileF('D:\Users\Владимир\AppData\Roaming\Adobe\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFile('C:\Windows\system32\drivers\03aa87b55e8981c7f0809bf360ba74f9.sys', '');
QuarantineFileF('c:\program files (x86)\sunshine\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFileF('c:\program files (x86)\ghuwule\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFileF('c:\programdata\networkpacketmanitor\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFileF('d:\users\Владимир\appdata\roaming\hpsewil', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
DeleteFile('c:\program files (x86)\e8713860-1476549521-11e1-9bf7-c86000e0284d\knse79b.tmp', '32');
DeleteFile('c:\program files (x86)\zaxar\zaxarloader.exe', '32');
DeleteFile('D:\Users\Владимир\appdata\roaming\adobe\manager.exe');
DeleteFile('c:\program files (x86)\traystatus\traystatusutorrent.exe');
DeleteFile('c:\program files (x86)\acronis\acronisintel.exe');
DeleteFile('c:\program files (x86)\adobe\inteladobe.exe');
DeleteFile('c:\program files (x86)\google\googlemicrosoftvisualstudio.exe');
DeleteService('xecudoty');
DeleteFileMask('c:\program files (x86)\zaxar', '*', true);
DeleteFileMask('D:\Users\Владимир\appdata\roaming\mydesktop\', '*', true);
DeleteFileMask('C:\Program Files (x86)\IconRunner\', '*', true);
DeleteFileMask('C:\Program Files\spacesoundpro\', '*', true);
DeleteFileMask('C:\Program Files\3494b33ceb010c647fc889a04a1a8b72\', '*', true);
DeleteDirectory('D:\Users\Владимир\appdata\roaming\mydesktop\');
DeleteDirectory('C:\Program Files (x86)\IconRunner\');
DeleteDirectory('C:\Program Files\spacesoundpro\');
DeleteDirectory('C:\Program Files\3494b33ceb010c647fc889a04a1a8b72\');
DeleteDirectory('c:\program files (x86)\zaxar');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'IconRunner');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner[/B][/COLOR] (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]).[*]В меню [b]Tools[/b] ->[b]Options [/b] ([b]Инструменты[/b] ->[b]Настройки[/b]) отметьте:
[list][*]Сброс политик IE[*]Сброс политик Chrome[/list][*]Нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]), а по окончанию сканирования нажмите кнопку [B]"Cleaning"[/B] ([B]"Очистка"[/B]) и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[C0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].

[url=http://virusinfo.info/showthread.php?t=121767][b]Сделайте полный образ автозапуска uVS[/b][/url], только программу скачайте [url=https://yadi.sk/d/6A65LkI1WEuqC]отсюда.[/url]
18.10.2016, 20:09
TirasVM

1. Карантин загрузил
2. Логи по Правилам ... и AdwCleaner прилагаю
3. PC_2016-10-18_19-27-23.7z (622Kb) - Результат работы uVS загрузить не удалось. Сообщение при попытке прикрепить файл: PC_2016-10-18_19-27-23.7z 310.2 Кб превысил предел на форуме
4. Названные вами в предыдущем сообщении файлы мне не знакомы. Удалить не удается.
18.10.2016, 21:26
regist

[quote="TirasVM;1408528"]Результат работы uVS загрузить не удалось. Сообщение при попытке прикрепить файл: PC_2016-10-18_19-27-23.7z 310.2 Кб превысил предел на форуме[/quote]
закачайте архив на любой файлообменник, не требующий ввода капчи (например: [url=http://www.zippyshare.com/]Zippyshare[/url], [url=http://my-files.ru/]My-Files.RU[/url]) и пришлите ссылку на скачивание

[quote="TirasVM;1408528"]4. Названные вами в предыдущем сообщении файлы мне не знакомы.[/quote]
Не знакомы только файлы или папки целиком не знакомы?
19.10.2016, 12:24
TirasVM

1. Ссылка на zippyshare - [url]http://www109.zippyshare.com/v/EEPGCzYK/file.html[/url]
2. Папки знакомы. Но могу подумать о их необходимости, если их наличие мешает лечению.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

1. Типа исталятор (с которого началось мое обращение) стал вылезать чаще; закрывать его стало сожнее
2. Essentials обнаружил угрозу
[QUOTE]
Potentially Unwanted Software
Items:
containerfile:d:\Users\Владимир\AppData\Local\Temp\setup_759.exe
file:d:\Users\Владимир\AppData\Local\Temp\setup_759.exe->(nsis-6-$(PLUGINSDIR)\GakmeVho.dll)[/QUOTE]
но обезвредить не может
19.10.2016, 22:34
regist

1) [url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url] и пришлите карантин

[CODE];uVS v3.87.5 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v388c
BREG
zoo D:\DISTR1\DISTRПОЧТА.EXE
bl 9507F1F75DF7A7C72A6BA3FB70017A4B 228352
delall D:\DISTR1\DISTRПОЧТА.EXE
zoo %SystemDrive%\PROGRAM FILES (X86)\ACRONIS\ACRONISINTEL.EXE
delall %SystemDrive%\PROGRAM FILES (X86)\ACRONIS\ACRONISINTEL.EXE
zoo D:\ПАРОЛИ\ПАРОЛИИГРЫ.EXE
delall D:\ПАРОЛИ\ПАРОЛИИГРЫ.EXE
zoo D:\UOLE13381F++\ПЕТРОЭЛЕКТРОСБЫТЬUOLEF.EXE
delall D:\UOLE13381F++\ПЕТРОЭЛЕКТРОСБЫТЬUOLEF.EXE
zoo %SystemDrive%\PROGRAM FILES (X86)\TRAYSTATUS\TRAYSTATUSUTORRENT.EXE
delall %SystemDrive%\PROGRAM FILES (X86)\TRAYSTATUS\TRAYSTATUSUTORRENT.EXE
deldir %SystemDrive%\PROGRAM FILES (X86)\GHUWULE
zoo %SystemDrive%\PROGRAM FILES (X86)\ADOBE\INTELADOBE.EXE
delall %SystemDrive%\PROGRAM FILES (X86)\ADOBE\INTELADOBE.EXE
dirzooex D:\USERS\ВЛАДИМИР\APPDATA\ROAMING\ADOBE
zoo D:\USERS\ВЛАДИМИР\APPDATA\ROAMING\ADOBE\MANAGER.EXE
bl FADE2E115C7407EAF2C28653A89A3530 72192
delall D:\USERS\ВЛАДИМИР\APPDATA\ROAMING\ADOBE\MANAGER.EXE
dirzooex %SystemDrive%\PROGRAM FILES (X86)\ICONRUNNER
deldir %SystemDrive%\PROGRAM FILES (X86)\ICONRUNNER
zoo D:\USERS\ВЛАДИМИР\APPDATA\LOCAL\MAILRUSETUP\MAILRUSETUP.EXE
bl A26D466C73C790C00B7A50222D6B8F1F 90112
delall D:\USERS\ВЛАДИМИР\APPDATA\LOCAL\MAILRUSETUP\MAILRUSETUP.EXE
delall %SystemDrive%\PROGRAMDATA\APPDATA\ROAMING\HPSEWIL\SEWILSTARTER2.EXE
zoo %SystemDrive%\PROGRAM FILES (X86)\ACRONIS\TRUEIMAGEHOME\TRUEIMAGELAUNCHER.BAT
delall HTTP://54.148.148.252/ICON/TDS.PHP
zoo %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\CHROME.BAT
bl 2BEBC2145A45DBFABD3A37A1A6C4A199 104
delall %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\CHROME.BAT
zoo %SystemDrive%\XPACK1014_RU.1476456862.EXE
bl 541F3183A6E5CDB4EBE7B0707C47D9E7 162015
delall %SystemDrive%\XPACK1014_RU.1476456862.EXE
zoo %SystemDrive%\PROGRAM FILES\3494B33CEB010C647FC889A04A1A8B72\2CEF2056C5411CF127EA3D35924191BA.EXE
bl EC28C4D1D720343B1A32923DE5D2FD3A 1830251
delall %SystemDrive%\PROGRAM FILES\3494B33CEB010C647FC889A04A1A8B72\2CEF2056C5411CF127EA3D35924191BA.EXE
zoo D:\BMP\BMPPALTVR.EXE
delall D:\BMP\BMPPALTVR.EXE
zoo %SystemDrive%\PROGRAM FILES\3494B33CEB010C647FC889A04A1A8B72\CA9C1A05406EF7EA5FEF1481B52CFFFC.EXE
zoo %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\GOOGLEMICROSOFTVISUALSTUDIO.EXE
delall %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\GOOGLEMICROSOFTVISUALSTUDIO.EXE
dirzooex %SystemDrive%\PROGRAMDATA\HDTASK
zoo %SystemDrive%\PROGRAMDATA\HDTASK\HDTASK.EXE
bl EDC7EB442A17FAEB8BC02A7C16551BF1 180224
delall %SystemDrive%\PROGRAMDATA\HDTASK\HDTASK.EXE
zoo D:\T32SF\BIN\FF32.BAT
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.24.15\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.22.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.13\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.24.7\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.23.9\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.11\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.30.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.1\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.15\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.27.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.21.165\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.22.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.1\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.26.9\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.24.15\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.13\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.24.7\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.23.9\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.11\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.30.3\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.1\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.15\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.27.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.1\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.26.9\PSMACHINE_64.DLL
delall %SystemDrive%\PROGRAM FILES (X86)\KUAIZIP\X64\KZIPSHELL.DLL
delall %SystemDrive%\PROGRAM FILES\SPACESOUNDPRO\SPACESOUNDPRO.DLL
delall KUAIZIP SHELL EXTENSION\[CLSID]
; Zaxar Games Browser 4
exec C:\Program Files (x86)\Zaxar\unins000.exe
; Java(TM) 6 Update 25
exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216025FF} /quiet
czoo
restart[/CODE]

2) Zaxar Games Browser 4 - деинсталируйте.

Social2Search - если сами не ставили, то тоже.

3) Сделайте свежий образ автозапуска uVS.
20.10.2016, 22:22
TirasVM

1. Карантин от uVs загрузил
2. Образ от uVS: [url]http://www6.zippyshare.com/v/Am9eWxd7/file.html[/url]
3. Названные программы деинсталировал.
Малая проблема: Social2Search из 'Пуск -> Программы' ушел, но остался в 'Панель управления -> Программы и компоненты'. Оттуда удаляться не хочет

На Рабочем столе появился ярлык 'Continue Last version Installation'; ссылается на 'D:\Users\Владимир\AppData\Local\Temp\ICReinstall_1B33.tmp.exe /chnl=lv_nochpc "/productTitle=Last version" /RR'
Удалять пока не пробовал - не ваше ли это.

Почтовик Mozilla Thunderbird запускается, но принимать/отправлять почту не хочет. При запуске пишет:
[QUOTE]live.mozillamessaging.com использует недействительный сертификат безопасности. К сертификату нет доверия, так как сертификат его издателя неизвестен. Сервер мог не отправить соответствующие промежуточные сертификаты. Может понадобиться импортировать дополнительный корневой сертификат. Код ошибки: <a id="errorCode" title="SEC_ERROR_UNKNOWN_ISSUER">SEC_ERROR_UNKNOWN_ISSUER</a>

Это может быть проблемой с конфигурацией сервера или же кто-то пытается подменить нужный вам сервер другим.
Если в прошлом вы успешно соединялись с этим сервером, то, возможно, эта ошибка является временной. Попробуйте зайти позже.

Или же вы можете добавить исключение…[/QUOTE]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

В 'Пуск -> Программы' обнаружилась папка 'Social2S Browser Enhancer'. В ней 'Settings', 'SignIn with Twitter', 'Social2Search Website'. Это тоже не мое.
20.10.2016, 22:56
regist

1) WeatherChickn, Body Text Feathering, InterHop, groover, IconRunner version 1.0, Caster, hd task - вам эти эти программы знакомы? Если нет, то деинсталируйте (если получится).
2) Java 7 Update 55, Java 8 Update 91 (64-bit), Java 8 Update 92, Java(TM) 6 Update 25 и т.д. - удалите старые версии Java. Если она вам нужна, то скачайте и установите свежую.

3) Выполните скрипт в uVS и пришлите карантин

[CODE];uVS v3.87.5 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v388c
BREG
dirzooex D:\USERS\ВЛАДИМИР\APPDATA\ROAMING\HEMKAJDOA
zoo D:\USERS\ВЛАДИМИР\APPDATA\ROAMING\HEMKAJDOA\SEJHEB.DLL
bl 5007882C085704C841EEF1358ED3DFD3 258560
delall D:\USERS\ВЛАДИМИР\APPDATA\ROAMING\HEMKAJDOA\SEJHEB.DLL
zoo D:\USERS\ВЛАДИМИР\APPDATA\ROAMING\HEMKAJDOA\SEJHEB.EXE
bl 67D41C7FD0D61B89163F9F6241712FF5 112128
delall D:\USERS\ВЛАДИМИР\APPDATA\ROAMING\HEMKAJDOA\SEJHEB.EXE
dirzooex D:\USERS\ВЛАДИМИР\APPDATA\ROAMING\AZIGCWIG
zoo D:\USERS\ВЛАДИМИР\APPDATA\ROAMING\AZIGCWIG\TUAKYA.DIN
bl 39EBD75355A091D6ABD8B966224E3D9F 218112
delall D:\USERS\ВЛАДИМИР\APPDATA\ROAMING\AZIGCWIG\TUAKYA.DIN
zoo %SystemDrive%\PROGRAM FILES (X86)\WEATHERCHICKN\WEATHERCHICKN.EXE
bl 27E270E6DFCEB7304B26B6781EABA149 235520
delall %SystemDrive%\PROGRAM FILES (X86)\WEATHERCHICKN\WEATHERCHICKN.EXE
zoo D:\USERS\ВЛАДИМИР\APPDATA\ROAMING\HEMKAJDOA\HEMKAJDOA.EXE
bl EBD866E616DCFA6488D785F22EBF812D 170496
delall D:\USERS\ВЛАДИМИР\APPDATA\ROAMING\HEMKAJDOA\HEMKAJDOA.EXE
zoo %Sys32%\DRIVERS\BSDPF64.SYS
bl 823BB84699249EA5571454F36458A723 27456
delall %Sys32%\DRIVERS\BSDPF64.SYS
zoo %Sys32%\DRIVERS\BSDPR64.SYS
bl D68500910C485EE87A26C064DA7AC4CE 26944
delall %Sys32%\DRIVERS\BSDPR64.SYS
zoo D:\USERS\ВЛАДИМИР\APPDATA\ROAMING\AZIGCWIG\GEESWU.EXE
bl 91599698948DA7064E292340B102C3A0 121344
delall D:\USERS\ВЛАДИМИР\APPDATA\ROAMING\AZIGCWIG\GEESWU.EXE
dirzooex D:\USERS\ВЛАДИМИР\APPDATA\ROAMING\VDI\SHARED\PRODUCT UPDATER
zoo D:\USERS\ВЛАДИМИР\APPDATA\ROAMING\VDI\SHARED\PRODUCT UPDATER\MONHOST.EXE
bl A1D608D25A58A5C7F5382F8AB9C68683 506368
delall D:\USERS\ВЛАДИМИР\APPDATA\ROAMING\VDI\SHARED\PRODUCT UPDATER\MONHOST.EXE
dirzooex %SystemDrive%\PROGRAM FILES (X86)\E8713860-1476808763-11E1-9BF7-C86000E0284D
zoo %SystemDrive%\PROGRAM FILES (X86)\E8713860-1476808763-11E1-9BF7-C86000E0284D\KNS990A.TMP
bl 56F95F475668C525B061654D6FC11D75 668672
delall %SystemDrive%\PROGRAM FILES (X86)\E8713860-1476808763-11E1-9BF7-C86000E0284D\KNS990A.TMP
uidel C:\Windows\2cef2056c5411cf127ea3d35924191ba.exe
zoo D:\USERS\ВЛАДИМИР\APPDATA\LOCAL\TEMP\ICREINSTALL_1B33.TMP.EXE
bl E988190940B7C63E20814B462C693370 935102
delall D:\USERS\ВЛАДИМИР\APPDATA\LOCAL\TEMP\ICREINSTALL_1B33.TMP.EXE
dirzooex %SystemDrive%\PROGRAM FILES (X86)\INTERHOP
zoo %SystemDrive%\PROGRAM FILES (X86)\INTERHOP\INTERHOP.EXE
bl A3F2784F191A2AB08209E32C9C8A92CC 159232
delall %SystemDrive%\PROGRAM FILES (X86)\INTERHOP\INTERHOP.EXE
dirzooex %SystemDrive%\PROGRAM FILES\SPACESOUNDPRO
zoo %SystemDrive%\PROGRAM FILES\SPACESOUNDPRO\I_NETWORK.EXE
bl A097EC71382B946A2DD7C86A18682B17 257536
delall %SystemDrive%\PROGRAM FILES\SPACESOUNDPRO\I_NETWORK.EXE
delall %SystemDrive%\PROGRAM FILES\SPACESOUNDPRO\SPACESOUNDPRO.EXE
zoo D:\USERS\ВЛАДИМИР\APPDATA\ROAMING\VDI\SHARED\PRODUCT UPDATER\PRODUPD.EXE
bl C0EB28DDE9E68A1B29D0168B56E0F87B 599040
delall D:\USERS\ВЛАДИМИР\APPDATA\ROAMING\VDI\SHARED\PRODUCT UPDATER\PRODUPD.EXE
zoo %Sys32%\DRIVERS\03AA87B55E8981C7F0809BF360BA74F9.SYS
bl 2B14F4F150CB30D58AACEF5F75158753 57424
delall %Sys32%\DRIVERS\03AA87B55E8981C7F0809BF360BA74F9.SYS
zoo %SystemDrive%\PROGRAM FILES (X86)\CLERACK_\GRSHLP.DLL
; Java(TM) 6 Update 25
exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216025FF} /quiet
czoo
restart[/CODE]

4) - сделайте лог [URL="http://dragokas.com/tools/CheckBrowsersLNK_test.zip"]Check Browsers' LNK by Dragokas & regist[/URL].

5) Сделайте свежий лог uVS.
21.10.2016, 21:32
TirasVM

1. Карантин от uVs загрузил
2. Образ от uVS: [url]http://www4.zippyshare.com/v/Ifs9gVeE/file.html[/url]
3. Лог 'Check Browsers' LNK by Dragokas & regist' прилагаю
4. [QUOTE=regist;1408943]1) WeatherChickn, Body Text Feathering, InterHop, groover, IconRunner version 1.0, Caster, hd task - вам эти эти программы знакомы? Если нет, то деинсталируйте (если получится).[/QUOTE]
[LIST][*]Body Text Feathering - успешно[*]InterHop - при деинсталяции Windows предлагает выполнить C:\Windows\Installer\1c546dd.msi; выполнять не стал - больно имя подозрительное[*]Остальные - Windows сказала, что удалять нечего, и просто удалила из списка установленных программ (в Панели управления)[/LIST]
5. Названные Java удалил.
21.10.2016, 22:00
regist

- Исправьте с помощью [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиты ClearLNK[/url] следующие ярлыки, отчёт о работе прикрепите:

[CODE]D:\Users\Владимир\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\ImplicitAppShortcuts\360c22b137d62ce9\Google Chrome.lnk
D:\Users\Владимир\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Моzilla Firеfoх (2).lnk
D:\Users\Владимир\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Моzilla Firеfoх.lnk
D:\Users\Владимир\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Яндекс\Яндекс.Бар\oнлайн помoщь по яндекс.бару для firefоx.lnk
D:\Users\Владимир\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Амиго.lnk
D:\Users\Владимир\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\!Играть в Спарту.lnk
D:\Users\Владимир\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\MoneyBot.exe.lnk
D:\Users\Владимир\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\!Играть в War Thunder.lnk
D:\Users\Владимир\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\ImplicitAppShortcuts\790a9b09c70e855d\Google Chrome.lnk
D:\Users\Владимир\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk
D:\Users\Владимир\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Яндекс\Яндекс.Бар\онлайн помощь по яндекс.бару для firefox.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Social2S Browser Enhancer\Social2Search Website.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Social2S Browser Enhancer\Settings.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Social2S Browser Enhancer\SignIn with Twitter.lnk
[/CODE]

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url]

[CODE];uVS v3.87.7 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v388c
BREG
zoo %SystemDrive%\PROGRAM FILES (X86)\E8713860-1476808763-11E1-9BF7-C86000E0284D\KNS60E1.TMP
bl 52069D78FA8F1E91EBAC2922145B12EE 696320
delall %SystemDrive%\PROGRAM FILES (X86)\E8713860-1476808763-11E1-9BF7-C86000E0284D\KNS60E1.TMP
delref %Sys32%\DRIVERS\03AA87B55E8981C7F0809BF360BA74F9.SYS
del %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\SOCIAL2S BROWSER ENHANCER\SOCIAL2SEARCH WEBSITE.LNK
deldir %SystemDrive%\PROGRAM FILES (X86)\E8713860-1476808763-11E1-9BF7-C86000E0284D\
deldir %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\SOCIAL2S BROWSER ENHANCER\
deldir %SystemDrive%\PROGRAM FILES (X86)\INTERHOP\
czoo
restart[/CODE]

- Сделайте лог [url=http://virusinfo.info/showpost.php?p=457118&postcount=1]полного сканирования MBAM.[/url]
22.10.2016, 12:01
TirasVM

1. Карантин от uVS загрузил (MD5: f3ced9ce6957c6a2b14b1d1a0a4d150e)
2. Логи прилагаю
22.10.2016, 12:14
regist

Удалите в MBAM всё найденное.

Что с проблемой?
23.10.2016, 14:07
TirasVM

Все отлично! Огромное Спасибо!
23.10.2016, 17:03
regist

MBAM деинсталируйте.

Выполните скрипт в AVZ при наличии доступа в интернет:

[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.
24.10.2016, 22:35
TirasVM

Сделано.
24.10.2016, 22:45
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]5[/B][*]Обработано файлов: [B]119[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \acronisintel.exe._ebd4f1c94005c55271c28fbdfa2c7e309e48277e - [B]Trojan.Win32.Agentb.btcf[/B][*] \bmppaltvr.exe._ebd4f1c94005c55271c28fbdfa2c7e309e48277e - [B]Trojan.Win32.Agentb.btcf[/B][*] \ca9c1a05406ef7ea5fef1481b52cfffc.exe._d817ee06837f254e49efdf205283387964ae86fd - [B]not-a-virus:AdWare.Win64.Agent.lue[/B][*] c:\program files (x86)\acronis\acronisintel.exe - [B]Trojan.Win32.Agentb.btcf[/B][*] c:\program files (x86)\e8713860-1476549521-11e1-9bf7-c86000e0284d\uninstall.exe - [B]not-a-virus:AdWare.Win32.Vopak.bypa[/B][*] c:\program files (x86)\e8713860-1476549521-11e1-9bf7-c86000e0284d\vnskb7bd.tmp - [B]not-a-virus:AdWare.Win32.Vopak.byop[/B][*] c:\program files (x86)\ghuwule\chrome_elf.dll - [B]Trojan.Win32.Agentb.btfp[/B][*] c:\program files (x86)\kuaizip\x64\kuaizipdrive.sys - [B]not-a-virus:NetTool.Win64.NetFilter.qw[/B][*] c:\program files (x86)\weatherchickn\weatherchickn.exe - [B]not-a-virus:AdWare.Win32.ConvertAd.bllf[/B][*] c:\program files\spacesoundpro\uninstaller.exe - [B]HEUR:Trojan.Win32.Generic[/B][*] c:\programdata\networkpacketmanitor\nettrans.exe - [B]not-a-virus:NetTool.Win32.Agent.or[/B][*] \distrпочта.exe._ebd4f1c94005c55271c28fbdfa2c7e309e48277e - [B]Trojan.Win32.Agentb.btcf[/B][*] d:\users\владимир\appdata\roaming\hpsewil\hpsewilsrv2.exe - [B]not-a-virus:HEUR:AdWare.Win32.Hpdefender.gen[/B][*] d:\users\владимир\appdata\roaming\hpsewil\sewilstarter2.exe - [B]not-a-virus:HEUR:AdWare.Win32.Hpdefender.gen[/B][*] d:\users\владимир\appdata\roaming\hpsewil\uninstaller.exe - [B]not-a-virus:AdWare.Win32.AdAgent.afa[/B][*] d:\users\владимир\appdata\roaming\mydesktop\linkme.exe - [B]not-a-virus:AdWare.Win32.Agent.jleq[/B][*] \googlemicrosoftvisualstudio.exe._ebd4f1c94005c55271c28fbdfa2c7e309e48277e - [B]Trojan.Win32.Agentb.btcf[/B][*] \hdtask.exe._1e3a5e1d8aa50ec3c2dcde9635f932f1ebf484be - [B]not-a-virus:AdWare.Win32.Agent.xxcxzt[/B] ( AVAST4: Win32:Malware-gen )[*] \icreinstall_1b33.tmp.exe._d72b6122d40d7b8042e03a8599291bfaae69ec81 - [B]not-a-virus:Downloader.Win32.InstallMonster.fpfh[/B][*] \inteladobe.exe._ebd4f1c94005c55271c28fbdfa2c7e309e48277e - [B]Trojan.Win32.Agentb.btcf[/B][*] \interhop.exe._1eed1dc09b71b9d342ef64b5e92ad087103d6bc0 - [B]not-a-virus:AdWare.Win32.ELEX.aan[/B][*] \manager.exe._576c043c04701c81f0410019dbeb371df2f323c3 - [B]not-a-virus:AdWare.Win32.Agent.kbtm[/B][*] \moneybot.exe._aebc2b48cd08d93ffa46cec618f530c5833e0e2b - [B]not-a-virus:AdWare.Win32.Vitruvian.w[/B][*] \monhost.exe._8791b288662480d3872840bfa9d8dab700f3e491 - [B]HEUR:Trojan.Win32.Generic[/B][*] \sejheb.exe._d9b362a826f7372c79b8ed3ccb1fa19b819a2939 - [B]Trojan.Win32.Agent.ijsk[/B] ( BitDefender: Gen:Trojan.Heur.JP.gCW@aGSDvPbi )[*] \traystatusutorrent.exe._ebd4f1c94005c55271c28fbdfa2c7e309e48277e - [B]Trojan.Win32.Agentb.btcf[/B][*] \uninstall.exe._572dfa1d0820c23e83025e6ec6569a34c9d2a77c - [B]not-a-virus:AdWare.Win32.Vopak.bzpi[/B][*] \vnsn1c4a.tmp._8fac5967079d65ff5972d02989ae2ac6550189bf - [B]not-a-virus:AdWare.Win32.Vopak.bznw[/B][*] \weatherchickn.exe._815e6d0b4affdc8531df3e3e71085c3f1a16e843 - [B]not-a-virus:AdWare.Win32.ConvertAd.bllf[/B][*] \xpack1014_ru.1476456862.exe._3a1f5562d2dba102f9d232cb0312ae55ede3f04e - [B]HEUR:Trojan-Downloader.Win32.Generic[/B][*] \паролиигры.exe._ebd4f1c94005c55271c28fbdfa2c7e309e48277e - [B]Trojan.Win32.Agentb.btcf[/B][*] \петроэлектросбытьuolef.exe._ebd4f1c94005c55271c28fbdfa2c7e309e48277e - [B]Trojan.Win32.Agentb.btcf[/B][*] \03aa87b55e8981c7f0809bf360ba74f9.sys._3f1acc315406cd89e4cecd753bfac5b50b69d47f - [B]Trojan.Win64.Autorun.a[/B][*] \2cef2056c5411cf127ea3d35924191ba.exe._1e9e92433485407d14358d202e711789559c44e8 - [B]not-a-virus:AdWare.NSIS.Agent.iv[/B][/LIST][/LIST]