Добрый день.
На компьютере стали происходить странные вещи:
- периодически меняется настройки браузера по умолчанию;
- периодически касперский пишет о сетевых атаках;
- появляются странные сообщения на экране.
При полной проверке компьютера при помощи касперского, было обнаружено активное заражение. Было произведено лечение с перезагрузкой компьютера. После выключения и повторного включения все повторяется снова.
Помогите вылечить комп.
За ранее Спасибо.
С уважением Андрей
Уважаемый(ая) [B]Андрей_Иваненко[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Логи переделать версией 4.46, предварительно обновив ее базы
Добрый день.
Высылаю новые логи. Программы скачал с сайта только что и обновил базы.
Надеюсь сделал все правильно.
С уважением Андрей.
[URL="http://virusinfo.info/showthread.php?t=130828"]отключите антивирусную программу [/URL]
[URL="http://virusinfo.info/showthread.php?t=7239"][B]Выполните скрипт в AVZ[/B]:[/URL](в Windows Vista/7/8/10 программу необходимо запускать через правую кнопку мыши Запуск от имени администратора)):
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\Users\Andrey\AppData\Roaming\FreeVPN\FreeVPN.exe','');
QuarantineFile('C:\ProgramData\UpService\UpService.exe','');
QuarantineFile('C:\Program Files (x86)\Clerack\rezagh.exe','');
DeleteFile('C:\ProgramData\UpService\UpService.exe','32');
DeleteFile('C:\WINDOWS\system32\Tasks\Microsoft\Windows\Apps\UpService','64');
DeleteFile('C:\Users\Andrey\AppData\Roaming\FreeVPN\FreeVPN.exe','32');
DeleteFile('C:\WINDOWS\system32\Tasks\Microsoft\Windows\SystemRestore\FreeVPN','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки выполните скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Загрузите quarantine.zip из папки AVZ по красной ссылке [B]вверху[/B] темы [COLOR="Red"]Прислать запрошенный карантин[/COLOR]
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )
Добрый день.
Высылаю запрошенные логи.
С уважением Андрей.
- Подготовьте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner[/URL] и приложите его в теме.
[QUOTE=mrak74;1409542]- Подготовьте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner[/URL] и приложите его в теме.[/QUOTE]
Высылаю
С уважением Андрей
- [url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.
Добрый вечер.
Посколку названия файлов, которые записаны в логе, мне незнакомы то можно сделать вывод что я ими не пользуюсь.
Высылаю исправленный лог.
С уважением Андрей.
Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в [b]один архив[/b]) и прикрепите к сообщению.
Высылаю запрошенный файл.
С уважением Андрей
[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
HKLM-x32\...\Run: [] => [X]
HKU\S-1-5-21-3094200642-2307593578-64882717-1000\...\Policies\Explorer: []
HKU\S-1-5-21-3094200642-2307593578-64882717-1000\...\Policies\Explorer: [FolderWSext] A139034B26A6A
HKU\S-1-5-21-3094200642-2307593578-64882717-1000\...\Policies\Explorer: [insWStime] 1430028635
HKU\S-1-5-21-3094200642-2307593578-64882717-1000\...\Policies\Explorer: [uniWSid] 1430028635323
HKU\S-1-5-21-3094200642-2307593578-64882717-1000\...\Policies\Explorer: [FolderWSinst] 7C4B5A0065B69917B5
GroupPolicy: Restriction <======= ATTENTION
GroupPolicy\User: Restriction <======= ATTENTION
SearchScopes: HKU\S-1-5-21-3094200642-2307593578-64882717-1000 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={SearchTerms}&product_id=%7BCA6FCECA-AE90-4F2E-84F5-782FA724D616%7D&gp=812258
CHR HomePage: Profile 6 -> mail.ru/cnt/11956636?rciguc__PARAM__
CHR StartupUrls: Profile 6 -> "hxxp://mail.ru/cnt/7993/","hxxp://www.google.com.ua/","hxxp://www.google.com/ig/redirectdomain?brand=LENN&bmod=LENN","hxxp://www1.delta-search.com/?babsrc=HP_ss&mntrId=3C2B10BF48BAEB1C&affID=120665&tsp=4954","hxxp://www.google.com/"
CHR DefaultSearchURL: Profile 6 -> hxxps://inline.go.mail.ru/search?inline_comp=dse&q={searchTerms}&fr=chxtn12.0.11
CHR DefaultSearchKeyword: Profile 6 -> mail.ru
CHR DefaultSuggestURL: Profile 6 -> hxxp://suggests.go.mail.ru/chrome?q={searchTerms}
CHR Profile: C:\Users\Andrey\AppData\Local\Google\Chrome\User Data\ChromeDefaultData [2016-10-18] <==== ATTENTION
CHR Extension: (EditThisCookie) - C:\Users\Andrey\AppData\Local\Google\Chrome\User Data\ChromeDefaultData\Extensions\fngmhnnpilhplaeedifhccceomclgfbg [2016-02-25]
CHR Extension: (Оповещения Jobisjob) - C:\Users\Andrey\AppData\Local\Google\Chrome\User Data\Profile 4\Extensions\plmlpbcjkpppncefeoongifnpinjmegf [2016-10-18]
CHR Extension: (Оповещения Jobisjob) - C:\Users\Andrey\AppData\Local\Google\Chrome\User Data\Profile 6\Extensions\plmlpbcjkpppncefeoongifnpinjmegf [2016-10-18]
CHR Extension: (Визуальные Закладки Mail.Ru) - C:\Users\Andrey\AppData\Local\Google\Chrome\User Data\Profile 4\Extensions\oelpkepjlgmehajehfeicfbjdiobdkfj [2016-10-18]
CHR Extension: (Mail.Ru) - C:\Users\Andrey\AppData\Local\Google\Chrome\User Data\Profile 4\Extensions\ojlcebdkbpjdpiligkdbbkdkfjmchbfd [2016-10-18]
CHR HKLM-x32\...\Chrome\Extension: [pgaidlfgjkmeendhknafahppllbniejm] - hxxps://clients2.google.com/service/update2/crx
OPR Extension: (The Safe Surfing) - C:\Users\Andrey\AppData\Roaming\Opera Software\Opera Stable\Extensions\kcknbenjnkkjknphmnidanjifbgphjke [2015-12-22]
2016-10-05 20:16 - 2016-07-15 17:12 - 00000000 ____D C:\ProgramData\Microsoft\Task: {00E17E66-18ED-4FC5-A2B7-337590B7D737} - \OfficeSoftwareProtectionPlatform\SvcRestartTask -> No File <==== ATTENTION
Task: {1F2CE4B0-AF5F-4259-A1A8-A87FF76213D2} - \Microsoft\Windows\Setup\xtgt\refreshxtgtconfig -> No File <==== ATTENTION
Task: {4E791D62-10C2-40F3-B0BA-E086CDFB386D} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> No File <==== ATTENTION
Task: {6A456A21-6280-4F8F-9FD6-DB44B4D52FB5} - \Microsoft\Windows\Apps\UpService -> No File <==== ATTENTION
Task: {6F3DF64A-D4F4-44E2-A011-E1F83EE07707} - \Microsoft\Windows\SystemRestore\FreeVPN -> No File <==== ATTENTION
Task: {84FF8669-4CF7-4A3F-8F83-A168010C9A97} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> No File <==== ATTENTION
Task: {95BF9E14-78B5-4853-AF6F-B12FD901B3FD} - \Microsoft\Windows\Setup\GWXTriggers\Telemetry-4xd -> No File <==== ATTENTION
Task: {99E2E37D-A888-434B-AF71-CF0D8406B5FE} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> No File <==== ATTENTION
Task: {A3257833-96F5-43E2-B2D3-2E41AA6A7A7B} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> No File <==== ATTENTION
Task: {C08725E9-638F-4004-ADA5-BD0DA2D536F3} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> No File <==== ATTENTION
Task: {C65B5247-7CB5-4EC2-8CCC-3536DC8BE8D5} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> No File <==== ATTENTION
Task: {C7EBD90D-62CE-4017-B818-F24C3DEE216D} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> No File <==== ATTENTION
Task: {CA5C846A-8FD8-4B67-99BB-7BD6FFB32BB5} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> No File <==== ATTENTION
Task: {CE8B39D0-C926-4C77-A9F3-1B92FC5278FC} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> No File <==== ATTENTION
Task: {D1E107AA-3D6A-4D6C-AF9D-7542430BE9B5} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> No File <==== ATTENTION
AlternateDataStreams: C:\ProgramData\TEMP:1CE11B51 [163]
AlternateDataStreams: C:\ProgramData\TEMP:A2D2FD4A [290]
AlternateDataStreams: C:\ProgramData\TEMP:CAD522C4 [302]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:1CE11B51 [163]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:A2D2FD4A [290]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:CAD522C4 [302]
HKLM\...\StartupApproved\Run32: => "Timestasks"
HKLM\...\StartupApproved\Run32: => "ZaxarGameBrowser"
HKLM\...\StartupApproved\Run32: => "ZaxarLoader"
EmptyTemp:
Reboot:[/CODE]
[*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]
Высылаю архив после перезагрузки компьютера.
С уважением Андрей.
Что с изначальными проблемами на компьютере, решены или что-то осталось ?
[QUOTE=mrak74;1409763]Что с изначальными проблемами на компьютере, решены или что-то осталось ?[/QUOTE]
[SIZE=3][FONT=arial]Добрый вечер.
Проверил работу после обработки Вашими скриптами.
Касперский пока не выдает сообщений о сетевых атаках. Похоже эту проблему победили.
[COLOR=#333333]Mail.ru выскакивает и пытается установить [/COLOR][/FONT][FONT=arial][COLOR=#333333]расширения в [/COLOR]Google Chrome.[COLOR=#333333]
[/COLOR]Сам хром по прежнему притормаживает.
Посторонние сообщения пока не появлялись.[/FONT][FONT=arial]
С уважением Андрей.
[/FONT][/SIZE]
Сделайте новые логи Farbar Recovery Scan Tool.
[QUOTE=mrak74;1409921]Сделайте новые логи Farbar Recovery Scan Tool.[/QUOTE]
У меня не получается прикрепить файлы. Идет сообщение о переполнении.
Подскажите, как можно удалить старые вложения.
С уважением Андрей
Почистил вложения, попробуйте еще раз.
[QUOTE=mrak74;1409936]Почистил вложения, попробуйте еще раз.[/QUOTE]
Высылаю.
С уважением Андрей