Самоустанавливающиеся приложения. Подскачивший пинг в играх.

Printable View

16.10.2016, 19:44
SteadFast

Самоустанавливающиеся приложения. Подскачивший пинг в играх.

Касперский раз в 2-3 дня начинает ругаться на рекламные приложения. Удаляет что-то. После этого ставятся рандомно что-то из этого: яндекс браузер, меил, какой то игровой браузер. Либо, во время игры, всё может свернуться и появится окошко с установкой якобы ДЛЦ для этой игры.

С появлением этих симптомов в играх подскочил пинг. При каждом сканировании касперским, он находит какие то проблемы, устраняет их, через несколько дней всё возвращается.
16.10.2016, 19:46
Info_bot

Уважаемый(ая) [B]SteadFast[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
16.10.2016, 19:55
SteadFast

Вложений: 2

Прикладываю логи.
18.10.2016, 07:15
Vvvyg

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
QuarantineFile('C:\Program Files (x86)\F1D47500-1473615328-11D9-98DD-10BF48E375C5\kns60E8.tmp', '');
QuarantineFile('C:\Program Files (x86)\Thekather\guzesstosergecachegrf.exe', '');
QuarantineFile('C:\Users\SteadFast\AppData\Roaming\Ideazon\ISSCH\issch.exe', '');
QuarantineFile('C:\Users\SteadFast\ReportSender\ReportSender.exe', '');
QuarantineFile('C:\Users\SteadFast\AppData\Roaming\FreeVPN\FreeVPN.exe', '');
QuarantineFile('C:\Users\SteadFast\AppData\Local\GeoLocator\perfchecker.exe', '');
DeleteFile('C:\Program Files (x86)\F1D47500-1473615328-11D9-98DD-10BF48E375C5\kns60E8.tmp', '32');
DeleteFile('C:\Program Files (x86)\Thekather\guzesstosergecachegrf.exe', '32');
DeleteFile('C:\Users\SteadFast\AppData\Roaming\Ideazon\ISSCH\issch.exe', '32');
DeleteFile('C:\Users\SteadFast\ReportSender\ReportSender.exe', '32');
DeleteFile('C:\Users\SteadFast\AppData\Roaming\FreeVPN\FreeVPN.exe', '32');
DeleteFile('C:\Users\SteadFast\AppData\Local\GeoLocator\perfchecker.exe', '32');
DeleteService('tinoroko');
DeleteFileMask('c:\users\steadfast\appdata\roaming\ideazon\issch', '*', true);
DeleteFileMask('c:\users\steadfast\reportsender', '*', true);
DeleteFileMask('c:\users\steadfast\appdata\roaming\freevpn', '*', true);
DeleteDirectory('c:\users\steadfast\appdata\roaming\ideazon\issch');
DeleteDirectory('c:\users\steadfast\reportsender');
DeleteDirectory('c:\users\steadfast\appdata\roaming\freevpn');
ExecuteFile('schtasks.exe', '/delete /TN "Guzesstoserge Cache" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "InstallShield Update Service" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\Multimedia\ReportSender" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\SystemRestore\FreeVPN" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\Wininet\PerfChecker" /F', 0, 15000, true);
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).
18.10.2016, 09:48
SteadFast

Вложений: 1

Результаты Farbar Recovery Scan Tool.
Карантин прислал.
18.10.2016, 21:41
Vvvyg

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]CreateRestorePoint:
HKLM-x32\...\Run: [] => [X]
GroupPolicy: Restriction <======= ATTENTION
GroupPolicy\User: Restriction <======= ATTENTION
FF DefaultSearchEngine: Profiles\7rwiq4pj.default -> Поиск@Mail.Ru
FF SelectedSearchEngine: Profiles\7rwiq4pj.default -> Поиск@Mail.Ru
FF Homepage: Profiles\7rwiq4pj.default -> hxxp://mail.ru/cnt/10445?gp=812257
FF Keyword.URL: Profiles\7rwiq4pj.default -> hxxp://go.mail.ru/distib/ep/?product_id=%7BEDB6A13D-BF68-4039-A713-3D1536C37392%7D&gp=812258
FF Extension: (GsearchFinder) - C:\Users\SteadFast\AppData\Roaming\Profiles\7rwiq4pj.default\Extensions\@90B817C8-8A5C-413B-9DDD-B2C61ED6E79A.xpi [2016-07-15]
FF Extension: (Домашняя страница Mail.Ru) - C:\Users\SteadFast\AppData\Roaming\Profiles\7rwiq4pj.default\Extensions\[email protected] [2016-07-15]
FF Extension: (Поиск@Mail.Ru) - C:\Users\SteadFast\AppData\Roaming\Profiles\7rwiq4pj.default\Extensions\[email protected] [2016-07-15]
FF Extension: (Визуальные закладки @Mail.Ru) - C:\Users\SteadFast\AppData\Roaming\Profiles\7rwiq4pj.default\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2016-07-15]
FF SearchPlugin: C:\Users\SteadFast\AppData\Roaming\Profiles\7rwiq4pj.default\searchplugins\m6dzv9sy.xml [2016-07-15]
FF SearchPlugin: C:\Users\SteadFast\AppData\Roaming\Profiles\7rwiq4pj.default\searchplugins\mailru.xml [2016-07-15]
FF DefaultSearchEngine: Profiles\9vflgd4j.default -> Поиск@Mail.Ru
FF SelectedSearchEngine: Profiles\9vflgd4j.default -> Поиск@Mail.Ru
FF Homepage: Profiles\9vflgd4j.default -> hxxp://mail.ru/cnt/10445?gp=812257
FF Keyword.URL: Profiles\9vflgd4j.default -> hxxp://go.mail.ru/distib/ep/?product_id=%7BEDB6A13D-BF68-4039-A713-3D1536C37392%7D&gp=812258
FF Extension: (GsearchFinder) - C:\Users\SteadFast\AppData\Roaming\Profiles\9vflgd4j.default\Extensions\@90B817C8-8A5C-413B-9DDD-B2C61ED6E79A.xpi [2016-07-21]
FF Extension: (Домашняя страница Mail.Ru) - C:\Users\SteadFast\AppData\Roaming\Profiles\9vflgd4j.default\Extensions\[email protected] [2016-09-11]
FF Extension: (Поиск@Mail.Ru) - C:\Users\SteadFast\AppData\Roaming\Profiles\9vflgd4j.default\Extensions\[email protected] [2016-09-11]
FF Extension: (Визуальные закладки @Mail.Ru) - C:\Users\SteadFast\AppData\Roaming\Profiles\9vflgd4j.default\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2016-09-11]
FF SearchPlugin: C:\Users\SteadFast\AppData\Roaming\Profiles\9vflgd4j.default\searchplugins\2bdvfu8q.xml [2016-07-21]
FF SearchPlugin: C:\Users\SteadFast\AppData\Roaming\Profiles\9vflgd4j.default\searchplugins\m6dzv9sy.xml [2016-07-15]
FF SearchPlugin: C:\Users\SteadFast\AppData\Roaming\Profiles\9vflgd4j.default\searchplugins\mailru.xml [2016-09-11]
CHR HomePage: nabokprewerckthataph -> mail.ru/cnt/11956636?rciguc__PARAM__
CHR StartupUrls: nabokprewerckthataph -> "hxxp://www.google.com/","hxxp://mail.ru/cnt/10445?gp=820474","hxxp://www.trotux.com/?z=d9522cdd83be08de0a61442gazaq1bcq0g1z3mbtfo&from=fss&uid=SamsungXSSDX850XPROX256GB_S1SUNSAFB02928F&type=hp","hxxp://www.trotux.com/?z=e54c0b8410aa92f9f84bc8agazbq6t4g6cbcag3t7q&from=fss&uid=SamsungXSSDX850XPROX256GB_S1SUNSAFB02928F&type=hp","hxxp://mail.ru/cnt/10445?gp=812253"
CHR Profile: C:\Users\SteadFast\AppData\Local\Google\Chrome\User Data\nabokprewerckthataph [2016-10-18] <==== ATTENTION
CHR HKLM\...\Chrome\Extension: [eahebamiopdhefndnmappcihfajigkka] - hxxps://chrome.google.com/webstore/detail/eahebamiopdhefndnmappcihfajigkka
CHR HKU\S-1-5-21-897788785-344354713-1668471005-1003\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [bgcifljfapbhgiehkjlckfjmgeojijcb] - hxxps://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-897788785-344354713-1668471005-1003\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [lbjjfiihgfegniolckphpnfaokdkbmdm] - hxxps://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-897788785-344354713-1668471005-1003\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [lmjegmlicamnimmfhcmpkclmigmmcbeh] - hxxps://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-897788785-344354713-1668471005-1003\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [oelpkepjlgmehajehfeicfbjdiobdkfj] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [aeembeejekghkopiabadonpmfpigojok] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [bhbldcgbjblipegbeclmcnnddnopnhjm] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [ccfifbojenkenpkmnbnndeadpfdiffof] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [eahebamiopdhefndnmappcihfajigkka] - hxxps://chrome.google.com/webstore/detail/eahebamiopdhefndnmappcihfajigkka
CHR HKLM-x32\...\Chrome\Extension: [oelpkepjlgmehajehfeicfbjdiobdkfj] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [ojlcebdkbpjdpiligkdbbkdkfjmchbfd] - hxxps://clients2.google.com/service/update2/crx
C:\Users\SteadFast\AppData\Local\Temp\3214.tmp.exe
C:\Users\SteadFast\AppData\Local\Temp\Browser_V5.6.14087.902_f_4730_(Build1608021049).exe
C:\Users\SteadFast\AppData\Local\Temp\nvSCPAPI.dll
C:\Users\SteadFast\AppData\Local\Temp\nvSCPAPI64.dll
C:\Users\SteadFast\AppData\Local\Temp\nvStInst.exe
C:\Users\SteadFast\AppData\Local\Temp\setup.exe
C:\Users\SteadFast\AppData\Local\Temp\SkypeSetup.exe
C:\Users\SteadFast\AppData\Local\Temp\The Turing Test RUSv1_1.exe
C:\Users\SteadFast\AppData\Local\Temp\The Turing Test-RUSv1_1.exe
Task: {A33246D5-ADBB-4318-BBDB-3F5DC3CDFFEB} - \SystemMonitor2016 -> No File <==== ATTENTION
ShortcutWithArgument: C:\Users\SteadFast\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) -> --disable-quic
C:\Users\SteadFast\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Mail.Ru.lnk
ShortcutWithArgument: C:\Users\SteadFast\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\ImplicitAppShortcuts\cf68c5a319200781\Google Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) -> --profile-directory=nabokprewerckthataph --disable-quic
ShortcutWithArgument: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome.lnk -> C:\Program Files (x86)\Google\Chrome\Application\chrome.exe (Google Inc.) -> --disable-quic
HKLM\...\StartupApproved\Run32: => "app"
HKU\S-1-5-21-897788785-344354713-1668471005-1003\...\StartupApproved\Run: => "svchost0"
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Сообщите, что с проблемами.
20.10.2016, 21:34
SteadFast

Вложений: 1

Прямо сейчас ситуация повторилась. Пинг в игре поднялся до 140 (норма 40-50, была вчера). Касперский в этот момент ругается на adware. Ничего не полезло устанавливаться. По крайней мере визуально не было видно окон с установками.
20.10.2016, 22:15
Vvvyg

Пинг больше от загруженности каналов интернета зависит.

Сделайте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner (by Xplode)[/URL].
20.10.2016, 23:32
SteadFast

Вложений: 1

Прикладываю лог. "Очистить" пока что не нажимал.
20.10.2016, 23:51
Vvvyg

[url="http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864"]Удалите всё найденное в [B]AdwCleaner[/B][/URL], дождитесь окончания удаления и перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C0].txt, прикрепите к своему следующему сообщению.
[URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кэш и cookies-файлы браузеров[/URL] и сообщите, что с проблемами.
22.10.2016, 17:07
SteadFast

Вложений: 1

Пока что проблемы не повторялись, касперский молчит. Логи приложены.
23.10.2016, 02:45
mrak74

- Откройте файл [URL="http://df.ru/~kad/ScanVuln.txt"][B]ScanVuln.txt[/B][/URL]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

Проблема решена ?
23.10.2016, 13:50
SteadFast

После выполнения скрипта, AVZ выдал "Часто используемые уязвимости не обнаружены".
avz_log.txt не создан.

Проблемы не появляются 4 дня. Но бывало, что они проявлялись раз в месяц.
23.10.2016, 18:13
Vvvyg

Вирусы сами не пробираются в компьютер, в 99,9% случаев, по крайней мере. Скачали и запустили кряк/патч/репак - получили результат.

Запустите AdwCleaner и нажмите [B]Деинсталлировать (Uninstall)[/B].

Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].
23.10.2016, 18:23
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]