Printable View
Здравствуйте,
на рабочем компьютере один сотрудник установил этот псевдо-антивирусник, теперь его не удалить никак, реестр с файлами и папками Cezurity не зачищается.
Также не удаётся запустить MalwareBytes. Прошу помощи с удалением Cezurity и устранением проблем с запуском MalwareBytes.
Уважаемый(ая) [B]webdesigner[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
А через "Установку и удаление программ" пробовали?
Запустите HijackThis из папки Autologger и [url="http://virusinfo.info/showthread.php?t=4491"]пофиксите[/url] в HijackThis (в [B]Windows Vista/7/8/10[/B] необходимо запускать через правую кнопку мыши [B]Запуск от имени администратора)[/B]):[code]O4 - MSConfig\startupreg: [AdobeBridge] (2015/03/10) (no file)
O4 - MSConfig\startupreg: [Timestasks] (2015/11/06) (no file)
O4 - MSConfig\startupreg: [eTranslator Update] (2015/11/06) (no file)[/code]
Скачайте, распакуйте и запустите [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиту ClearLNK[/url]. Скопируйте текст ниже в окно утилиты и нажмите "[B]Лечить[/B]".[CODE]>>> [script][MASK] "C:\Documents and Settings\All Users\Start Menu\Programs\Google Chrome\Gооglе Сhrоmе.lnk" -> ["C:\Program Files (x86)\Google\Chrome\chrome.bat"] -> start "" /I /B /D "c:\PROGRA~2\google\chrome\APPLIC~1\" "c:\PROGRA~2\google\chrome\APPLIC~1\chrome.exe" (cp: 20127) (MD5:2BEBC2145A45DBFABD3A37A1A6C4A199)
>>> [MASK] "C:\Documents and Settings\Administrator\Start Menu\Programs\Accessories\System Tools\Intеrnеt Ехрlоrеr (Nо Аdd-оns).lnk" -> ["C:\Program Files (x86)\Internet Explorer\iexplore.bat"]
>>> "C:\Documents and Settings\All Users\Start Menu\Programs\Accessories\System Tools\Miсrоsоft Uрdаtе.lnk" -> ["C:\Program Files (x86)\Internet Explorer\iexplore.bat"]
>>> "C:\Documents and Settings\Administrator\Desktop\2015.lnk" -> ["C:\2015.xls"]
>>> "C:\Documents and Settings\All Users\Start Menu\Programs\ABBYY FineReader 6.0 Sprint\User's Guide.lnk" -> ["C:\Program Files (x86)\ABBYY FineReader 6.0 Sprint\Sprint0.chm"]
>>> "C:\Documents and Settings\Administrator\Application Data\IObit\Uninstall Programs.lnk" -> ["C:\Program Files (x86)\IObit\IObit Uninstaller\Uninstaler_SkipUac.exe"][/CODE]
Отчёт о работе прикрепите.
[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('C:\Program Files\Cezurity\Antivirus\CzAvSvc.exe');
TerminateProcessByName('CzAvSvc.exe');
SetServiceStart('CezurityAntivirusService', 4);
DeleteService('CezurityAntivirusService');
DeleteFileMask('C:\Program Files\Cezurity', '*', true);
DeleteFileMask('C:\Documents and Settings\Administrator\Application Data\Cezurity', '*', true);
DeleteDirectory('C:\Program Files\Cezurity');
DeleteDirectory('C:\Documents and Settings\Administrator\Application Data\Cezurity');
BC_ImportDeletedList;
ExecuteWizard('TSW', 3, 3, true);
BC_Activate;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).
[QUOTE=Vvvyg;1432225]А через "Установку и удаление программ" пробовали?
[/QUOTE]
В "Установке и удаление программ" её нет
[QUOTE=Vvvyg;1432225]
Запустите HijackThis из папки Autologger и [url="http://virusinfo.info/showthread.php?t=4491"]пофиксите[/url] в HijackThis (в [B]Windows Vista/7/8/10[/B] необходимо запускать через правую кнопку мыши [B]Запуск от имени администратора)[/B]):[code]O4 - MSConfig\startupreg: [AdobeBridge] (2015/03/10) (no file)
O4 - MSConfig\startupreg: [Timestasks] (2015/11/06) (no file)
O4 - MSConfig\startupreg: [eTranslator Update] (2015/11/06) (no file)[/code]
[/QUOTE]
Сделал.
[QUOTE=Vvvyg;1432225]
Скачайте, распакуйте и запустите [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиту ClearLNK[/url]. Скопируйте текст ниже в окно утилиты и нажмите "[B]Лечить[/B]".[CODE]>>> [script][MASK] "C:\Documents and Settings\All Users\Start Menu\Programs\Google Chrome\Gооglе Сhrоmе.lnk" -> ["C:\Program Files (x86)\Google\Chrome\chrome.bat"] -> start "" /I /B /D "c:\PROGRA~2\google\chrome\APPLIC~1\" "c:\PROGRA~2\google\chrome\APPLIC~1\chrome.exe" (cp: 20127) (MD5:2BEBC2145A45DBFABD3A37A1A6C4A199)
>>> [MASK] "C:\Documents and Settings\Administrator\Start Menu\Programs\Accessories\System Tools\Intеrnеt Ехрlоrеr (Nо Аdd-оns).lnk" -> ["C:\Program Files (x86)\Internet Explorer\iexplore.bat"]
>>> "C:\Documents and Settings\All Users\Start Menu\Programs\Accessories\System Tools\Miсrоsоft Uрdаtе.lnk" -> ["C:\Program Files (x86)\Internet Explorer\iexplore.bat"]
>>> "C:\Documents and Settings\Administrator\Desktop\2015.lnk" -> ["C:\2015.xls"]
>>> "C:\Documents and Settings\All Users\Start Menu\Programs\ABBYY FineReader 6.0 Sprint\User's Guide.lnk" -> ["C:\Program Files (x86)\ABBYY FineReader 6.0 Sprint\Sprint0.chm"]
>>> "C:\Documents and Settings\Administrator\Application Data\IObit\Uninstall Programs.lnk" -> ["C:\Program Files (x86)\IObit\IObit Uninstaller\Uninstaler_SkipUac.exe"][/CODE]
Отчёт о работе прикрепите.
[/QUOTE]
Сделал. Прикрепил.
[QUOTE=Vvvyg;1432225]
[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('C:\Program Files\Cezurity\Antivirus\CzAvSvc.exe');
TerminateProcessByName('CzAvSvc.exe');
SetServiceStart('CezurityAntivirusService', 4);
DeleteService('CezurityAntivirusService');
DeleteFileMask('C:\Program Files\Cezurity', '*', true);
DeleteFileMask('C:\Documents and Settings\Administrator\Application Data\Cezurity', '*', true);
DeleteDirectory('C:\Program Files\Cezurity');
DeleteDirectory('C:\Documents and Settings\Administrator\Application Data\Cezurity');
BC_ImportDeletedList;
ExecuteWizard('TSW', 3, 3, true);
BC_Activate;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
[/QUOTE]
Выдало ошибку:
[ATTACH=CONFIG]654766[/ATTACH]
[QUOTE=Vvvyg;1432225]
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).[/QUOTE]
Выполнил. Прикрепил.
Точку после end в скрипте тоже надо копировать.
После выполнения скрипта в AVZ - новые логи FRST сделайте.
Выполнил скрипт в AVZ. Логи прилагаю. Кстати, папка C:\Program Files\Cezurity так и не удалилась и вручную не удаляется.
Проделайте рекомендации ниже в безопасном режиме системы.
Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]CreateRestorePoint:
Closeprocesses:
R2 CezurityAntivirusService; C:\Program Files\Cezurity\Antivirus\CzAvSvc.exe [7829240 2016-09-21] (Cezurity)
R0 cz_antvr; C:\WINDOWS\System32\Drivers\cz_antvr.sys [3296368 2016-09-21] (Cezurity)
R1 cz_ddall; C:\WINDOWS\system32\Drivers\cz_ddall.sys [2215024 2016-09-21] (Cezurity)
2017-02-07 13:38 - 2017-02-07 13:38 - 00000000 ____D C:\WINDOWS\Minidump\Cezurity
Task: C:\WINDOWS\Tasks\Запуск Cezurity Antivirus Scanner во время простоя компьютера.job => C:\Program Files\Cezurity\Antivirus\Cezurity_Antivirus.exe
2017-02-03 15:58 - 2017-02-03 15:58 - 00000016 _____ C:\Documents and Settings\All Users\Application Data\mntemp
2017-02-03 15:58 - 2017-02-03 15:58 - 00000000 ____D C:\Program Files\Cezurity
2017-02-03 15:58 - 2017-02-03 15:58 - 00000000 ____D C:\Documents and Settings\Default User\Application Data\Cezurity
2017-02-03 15:58 - 2017-02-03 15:58 - 00000000 ____D C:\Documents and Settings\All Users\Application Data\Cezurity
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\MBAMService => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\MBAMService => ""="Service"
IE trusted site: HKU\S-1-5-21-3729766785-710988955-3115345369-500\...\cezurity.com -> hxxps://vk-local-server.cezurity.com
MSCONFIG\startupreg: ISUSScheduler => "C:\Program Files (x86)\Common Files\InstallShield\UpdateService\issch.exe" -start
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
Здравствуйте!
Выполнил задание. Лог прикрепляю. Кстати, значка Cezurity уже не стало в углу справа и папка application data удалилась без проблем. Спасибо за помощь!
Удалите папку C:\FRST со всем содержимым.
Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].