Катастрофически исчезает свободное пространство

Printable View

25.02.2017, 02:20
kravia

Вложений: 1

Катастрофически исчезает свободное пространство

Около двух недель назад, после отключения «касперского» начали открываться рекламные окна с такой скоростью, что остановка работы компа была возможна только выдергиванием вилки из розетки. После включения системы «касперский» обнаружил несколько уязвимостей и вредоносных программ. Они были удалены. Но за эти десять дней свободное пространство на диске SYS(С: ) практически все пропало. От бывших свободными почти 60 гигобайт на момент обращения осталось около 3-х и они тают на глазах… Не знаю, что делать?
25.02.2017, 02:21
Info_bot

Уважаемый(ая) [B]kravia[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
25.02.2017, 02:42
kravia

Не могу понять, какой карантин необходимо прислать.
26.02.2017, 13:02
Vvvyg

Пока не указали - никакой.

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
StopService('iThemes5');
QuarantineFileF('c:\program files (x86)\gerfuphqitather configuration', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', false, '', 0 , 0);
QuarantineFileF('c:\users\user\appdata\roaming\forceupdatevof', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', false, '', 0 , 0);
QuarantineFile('C:\Program Files (x86)\Common Files\Services\iThemes.dll', '');
QuarantineFile('C:\Program Files (x86)\Thoruingstpory\SyfDebuger.dll', '');
QuarantineFile('C:\Users\User\AppData\Roaming\WinSnare\WinSnare.dll', '');
QuarantineFile('C:\Users\User\AppData\Roaming\vofer\ml.py', '');
QuarantineFile('C:\Users\User\AppData\Roaming\vofer\python\pythonw.exe', '');
QuarantineFile('C:\Program Files (x86)\Gerfuphqitather Configuration\local64spl.dll', '');
QuarantineFile('C:\Program Files (x86)\IObit\IObit Uninstaller\IObitUninstaler.exe', '');
QuarantineFile('C:\Program Files (x86)\BikaQRssReader\BikaQ.exe', '');
QuarantineFile('C:\Users\User\AppData\Roaming\ForceUpdateVOF\updater.py', '');
QuarantineFile('C:\Users\User\AppData\Roaming\ForceUpdateVOF\python\pythonw.exe', '');
QuarantineFile('C:\Program Files (x86)\Thoruingstpory\pipele.exe', '');
QuarantineFile('"C:\Program Files (x86)\MIO\MIO.exe" -bindurl http://api.mhttxtv.com/samsungxhd252kj_s0njj1np600013.exe cmd=', '');
QuarantineFile('C:\Program Files (x86)\MIO\MIO.exe', '');
QuarantineFile('C:\Users\User\AppData\Roaming\SearchAY\ml.py', '');
QuarantineFile('C:\Users\User\AppData\Roaming\SearchAY\python\pythonw.exe', '');
QuarantineFile('C:\Users\User\AppData\Roaming\SearchAY\app.py', '');
QuarantineFile('C:\Users\User\AppData\Roaming\ForceUpdateVOF\uninstall.exe', '');
DeleteFile('C:\Windows\Tasks\Uninstaller_SkipUac_User.job', '64');
DeleteFile('C:\Program Files (x86)\Common Files\Services\iThemes.dll', '32');
DeleteFile('C:\Program Files (x86)\amuleCexx\ed2k.exe', '32');
DeleteFile('C:\Program Files (x86)\Thoruingstpory\SyfDebuger.dll', '32');
DeleteFile('C:\Users\User\AppData\Roaming\WinSnare\WinSnare.dll', '32');
DeleteFile('C:\Users\User\AppData\Roaming\vofer\ml.py', '32');
DeleteFile('C:\Users\User\AppData\Roaming\vofer\python\pythonw.exe', '32');
DeleteFile('C:\Program Files (x86)\Gerfuphqitather Configuration\local64spl.dll', '32');
DeleteFile('C:\Program Files (x86)\IObit\IObit Uninstaller\IObitUninstaler.exe', '32');
DeleteFile('C:\Program Files (x86)\BikaQRssReader\BikaQ.exe', '32');
DeleteFile('C:\Users\User\AppData\Roaming\ForceUpdateVOF\updater.py', '32');
DeleteFile('C:\Users\User\AppData\Roaming\ForceUpdateVOF\python\pythonw.exe', '32');
DeleteFile('C:\Program Files (x86)\Thoruingstpory\pipele.exe', '32');
DeleteFile('"C:\Program Files (x86)\MIO\MIO.exe" -bindurl http://api.mhttxtv.com/samsungxhd252kj_s0njj1np600013.exe cmd=', '32');
DeleteFile('C:\Program Files (x86)\MIO\MIO.exe', '32');
DeleteFile('C:\Users\User\AppData\Roaming\SearchAY\ml.py', '32');
DeleteFile('C:\Users\User\AppData\Roaming\SearchAY\python\pythonw.exe', '32');
DeleteFile('C:\Users\User\AppData\Roaming\SearchAY\app.py', '32');
DeleteFile('C:\Users\User\AppData\Roaming\ForceUpdateVOF\uninstall.exe', '32');
DeleteService('iThemes5');
DeleteService('ed2kidle');
DeleteFileMask('c:\program files (x86)\common files\services', '*', true);
DeleteFileMask('c:\program files (x86)\amulecexx', '*', true);
DeleteFileMask('c:\program files (x86)\thoruingstpory', '*', true);
DeleteFileMask('c:\users\user\appdata\roaming\winsnare', '*', true);
DeleteFileMask('c:\users\user\appdata\roaming\vofer', '*', true);
DeleteFileMask('c:\program files (x86)\gerfuphqitather configuration', '*', true);
DeleteFileMask('c:\program files (x86)\iobit', '*', true);
DeleteFileMask('c:\program files (x86)\bikaqrssreader', '*', true);
DeleteFileMask('c:\users\user\appdata\roaming\forceupdatevof', '*', true);
DeleteFileMask('"c:\program files (x86)\mio', '*', true);
DeleteFileMask('c:\program files (x86)\mio', '*', true);
DeleteFileMask('c:\users\user\appdata\roaming\searchay', '*', true);
DeleteDirectory('c:\program files (x86)\common files\services');
DeleteDirectory('c:\program files (x86)\amulecexx');
DeleteDirectory('c:\program files (x86)\thoruingstpory');
DeleteDirectory('c:\users\user\appdata\roaming\winsnare');
DeleteDirectory('c:\users\user\appdata\roaming\vofer');
DeleteDirectory('c:\program files (x86)\gerfuphqitather configuration');
DeleteDirectory('c:\program files (x86)\iobit');
DeleteDirectory('c:\program files (x86)\bikaqrssreader');
DeleteDirectory('c:\users\user\appdata\roaming\forceupdatevof');
DeleteDirectory('"c:\program files (x86)\mio');
DeleteDirectory('c:\program files (x86)\mio');
DeleteDirectory('c:\users\user\appdata\roaming\searchay');
ExecuteFile('schtasks.exe', '/delete /TN "BikaQ_FetchAndUpgrade_CanBeDel" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "ForceUpdateVOF2" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Stuwittuhiph" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Gerfuphqitather Configuration" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Milimili" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "SearchAY" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "SearchAY2" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Uninstaller_SkipUac_User" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "vofer" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "{FA42F24E-DBA0-46E4-A6F9-D409A45F711B}" /F', 0, 15000, true);
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Fenghtchiqesy\Parameters', 'ServiceDll');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\WinSnare\Parameters', 'ServiceDll');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteRepair(4);
ExecuteRepair(3);
ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Сделайте новый лог такой версией [URL="https://yadi.sk/d/7dgjMleO3E3E9b"]Autologger[/URL].

Сделайте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]Malwarebytes AdwCleaner[/URL].
26.02.2017, 21:29
kravia

Вложений: 2

Архив карантина выслал, рекомендованные логи сделал
26.02.2017, 22:18
Vvvyg

Запустите HijackThis из папки Autologger и [url="http://virusinfo.info/showthread.php?t=4491"]пофиксите[/url] в HijackThis (в [B]Windows Vista/7/8/10[/B] необходимо запускать через правую кнопку мыши [B]Запуск от имени администратора)[/B]):[code]R1 - HKCU\Software\Microsoft\Internet Explorer\Main,SearchAssistant = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBFnYN5R-SRTQR4zPSPgVzx87ub16L9WpeDKiW7BKQn9MN8qOQ06oa6PtTUCBa1eam9C7kNzXo9DsL-9hip8TpsDu0xJZRmLmvg5GSu07LpQSr1jAZzqdIbRxNGPDkjA-fKMDdcX-yOQiWu9mNGrbzMBBTcSHR3oV9wRuexRftbQ06NdBXK-5ckllsb&q={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,Default_Search_URL = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBFnYN5R-SRTQR4zPSPgVzx87ub16L9WpeDKiW7BKQn9MN8qOQ06oa6PtTUCBa1eam9C7kNzXo9DsL-9hip8TpsDu0xJZRmLmvg5GSu07LpQSr1jAZzqdIbRxNGPDkjA-fKMDdcX-yOQiWu9mNGrbzMBBTcSHR3oV9wRuexRftbQ06NdBXK-5ckllsb&q={searchTerms}[/code]

[url="http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864"]Удалите всё найденное в [B]AdwCleaner[/B][/URL], дождитесь окончания удаления и перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C0].txt, прикрепите к своему следующему сообщению.

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).
27.02.2017, 11:47
kravia

Вложений: 4

Программу AdwCleaner уже использовал раньше. Первый и последний отчеты в приложении. Ну и файлы, после сканирования FRST.
27.02.2017, 20:42
Vvvyg

Запустите [URL="http://www.uderzo.it/main_products/space_sniffer/"]SpaceSniffer[/URL] и разберитесь, что и сколько места на диске занимает. Только запускайте через правую кнопку мыши [B]Запуск от имени администратора[/B]. Иначе ничего и не вычистим, места ноль.
28.02.2017, 01:37
kravia

Вложений: 1

Спасибо за помощь!!! Почти 65 гигов сожрал "касперский". На момент запуска СпейсСниффера свободного места не было совсем, от слова ноль! Очень мерзкая программа:( Мало того, что все процессы тормозит ужасно, так еще и глючить в начале февраля начал (то ищет что-то, то зависнет...). Снес его :censored: и все позеленело!
28.02.2017, 07:12
Vvvyg

Это зря, надо было отключить трассировки и настроить.

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]ShellExecuteHooks: No Name - {B193EFBA-DE49-11E6-817E-64006A5CFC23} - -> No File
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.startpageing123.com/?type=hp&ts=1487669944&z=168d3d198e081a84046ac71gfz4bbm2q2q3t3tfz7q&from=che0812&uid=SAMSUNGXHD252KJ_S0NJJ1NP600013
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.startpageing123.com/search/?type=ds&ts=1487669944&z=168d3d198e081a84046ac71gfz4bbm2q2q3t3tfz7q&from=che0812&uid=SAMSUNGXHD252KJ_S0NJJ1NP600013&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.startpageing123.com/?type=hp&ts=1487669944&z=168d3d198e081a84046ac71gfz4bbm2q2q3t3tfz7q&from=che0812&uid=SAMSUNGXHD252KJ_S0NJJ1NP600013
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.startpageing123.com/search/?type=ds&ts=1487669944&z=168d3d198e081a84046ac71gfz4bbm2q2q3t3tfz7q&from=che0812&uid=SAMSUNGXHD252KJ_S0NJJ1NP600013&q={searchTerms}
SearchScopes: HKLM -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.startpageing123.com/search/?type=ds&ts=1487669944&z=168d3d198e081a84046ac71gfz4bbm2q2q3t3tfz7q&from=che0812&uid=SAMSUNGXHD252KJ_S0NJJ1NP600013&q={searchTerms}
SearchScopes: HKLM -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.startpageing123.com/search/?type=ds&ts=1487669944&z=168d3d198e081a84046ac71gfz4bbm2q2q3t3tfz7q&from=che0812&uid=SAMSUNGXHD252KJ_S0NJJ1NP600013&q={searchTerms}
SearchScopes: HKU\S-1-5-21-653268001-2045853918-3046613839-1001 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.startpageing123.com/search/?type=ds&ts=1487669944&z=168d3d198e081a84046ac71gfz4bbm2q2q3t3tfz7q&from=che0812&uid=SAMSUNGXHD252KJ_S0NJJ1NP600013&q={searchTerms}
CHR Extension: (Закладки Top Page) - C:\Users\User\AppData\Local\Google\Chrome\User Data\Profile 2\Extensions\pgabmkcldlelbhcookaealohoeknnapn [2017-02-04]
2017-02-04 11:21 - 2017-02-04 12:14 - 00000000 ____D C:\ProgramData\{dda-20-aa-99447-9e456-0284-83343}
2017-02-05 14:35 - 2017-02-22 22:30 - 00000000 ____D C:\Program Files\f09er35s
2017-02-05 09:07 - 2017-02-15 15:42 - 00000000 ____D C:\Program Files\t5sy9j1d
2017-02-04 11:23 - 2017-02-04 11:24 - 00000000 ____D C:\Users\User\AppData\Roaming\UCChannel
2017-02-04 11:23 - 2017-02-04 11:23 - 00000000 ____D C:\Program Files (x86)\Maoha
2017-02-04 11:22 - 2017-02-23 08:06 - 00000000 ____D C:\Program Files (x86)\Thoruingstpory_
2017-02-04 11:22 - 2017-02-04 11:22 - 01906396 _____ C:\Users\User\AppData\Roaming\Freshdubtax.tst
2017-02-04 11:22 - 2017-02-04 11:22 - 00278517 _____ C:\Users\User\AppData\Roaming\Runtax.bin
2017-02-04 11:21 - 2017-02-04 12:30 - 00000000 ____D C:\Program Files\4D59GF3FRL
2017-02-04 11:21 - 2017-02-04 12:00 - 00000000 ____D C:\Users\User\AppData\Roaming\VOF
2017-02-04 11:21 - 2017-02-04 11:21 - 00278517 _____ C:\Users\User\AppData\Roaming\Doubleremlex.bin
2017-02-04 11:21 - 2017-02-04 11:21 - 00000040 _____ C:\Users\User\AppData\Roaming\vofer.exe.sha1
2017-02-04 11:20 - 2017-02-04 11:20 - 00000000 ____D C:\Program Files (x86)\UCBrowser
2017-02-04 11:19 - 2017-02-23 09:01 - 00000000 ____D C:\Program Files (x86)\Droyshocish
2017-02-04 11:19 - 2017-02-04 12:59 - 00000000 ____D C:\Users\User\AppData\Roaming\Atotoent
2017-02-04 11:19 - 2017-02-04 12:30 - 00000000 ____D C:\Program Files\3AUC1LB3LW
2017-02-04 11:19 - 2017-02-04 11:29 - 00000000 ____D C:\Program Files (x86)\baidu
2017-02-04 11:19 - 2017-02-04 11:23 - 00000000 ____D C:\Users\User\AppData\Local\Kiseatiweght
2017-02-04 11:19 - 2017-02-04 11:21 - 00000040 _____ C:\Users\User\AppData\Roaming\vof.exe.sha1
2017-02-04 11:19 - 2017-02-04 11:19 - 00000000 ____D C:\Users\User\AppData\Local\Shumetainzlph
2017-02-23 23:43 - 2015-11-18 20:43 - 03455488 ___SH C:\Users\User\Downloads\Thumbs.db
2017-02-21 20:55 - 2015-11-04 11:14 - 00000000 ____D C:\ProgramData\ProductData
Task: {509CBE3C-F829-4904-A042-C7016C915971} - \ForceUpdateVOF -> No File <==== ATTENTION
Task: {7715F4EC-2757-4642-B890-AB6C967EB6BD} - \vofer2 -> No File <==== ATTENTION
HKU\S-1-5-21-653268001-2045853918-3046613839-1001\...\StartupApproved\StartupFolder: => "vofer.lnk"
HKU\S-1-5-21-653268001-2045853918-3046613839-1001\...\StartupApproved\StartupFolder: => "ForceUpdateVOF.lnk"
HKU\S-1-5-21-653268001-2045853918-3046613839-1001\...\StartupApproved\Run: => "vofer"
HKU\S-1-5-21-653268001-2045853918-3046613839-1001\...\StartupApproved\Run: => "ForceUpdateVOF"
HKU\S-1-5-21-653268001-2045853918-3046613839-1001\...\StartupApproved\Run: => "SearchAY"
S2 Fenghtchiqesy; C:\Windows\system32\svchost.exe [38792 2014-10-29] (Microsoft Corporation)
S2 Fenghtchiqesy; C:\Windows\SysWOW64\svchost.exe [33088 2014-10-29] (Microsoft Corporation)
CMD: reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{2AAB7DBA-A39B-4549-81D0-CDB9ECE646F3}" /f /reg:32
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Сообщите, что с проблемами.
28.02.2017, 11:36
kravia

Вложений: 2

1. Запустил FRST, не отключив антивирус (сам лопух), прикрепил Fixlog_0.txt
2. Отключил Dr.Web повторил действия, прикрепил Fixlog.txt

Что касается проблем, то причина обращения устранена. После удаления "касперского" освободилось 65 гигов.
Сразу же воспользовался услугой провайдера (seven sky, если что) и установил Dr.Web.
Оценить его работу не могу, еще и одних суток не прошло.
Работа системы нареканий пока не вызывает.
28.02.2017, 19:55
Vvvyg

Запустите AdwCleaner и нажмите [B]Файл (File) -> Деинсталлировать (Uninstall)[/B].

Удалите папку C:\FRST со всем содержимым.

Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].
28.02.2017, 20:05
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]