MaiRu updater [not-a-virus:Downloader.Win32.ZxrLoader.el, not-a-virus:AdWare.Win32.Agent.jleq ]

Printable View

Показывать 40 сообщений этой темы на одной странице

26.03.2017, 20:11
Berkeley

Вложений: 1

MaiRu updater [not-a-virus:Downloader.Win32.ZxrLoader.el, not-a-virus:AdWare.Win32.Agent.jleq ]

Добрый вечер,

проблема:

в процессах висят MailRu updater, zaharloader.exe, amigo.exe и tmp файлы. Самопроизвольно устанавливаются расширения в браузеры: "Поиск Mail.ru", "Визуальные закладки Mail.ru", "Домашняя страница Mail.ru"; меняется домашняя страница на mail.ru. В панель быстрого запуска постоянно добавляются Mail.Ru, Amigo, Одноклассники, Вконтакте и другая ерунда (игры). Amigo загружает всякие рекламные сайты.
Переустановка браузеров, чистка реестра не помогает.
Спасите!
26.03.2017, 20:12
Info_bot

Уважаемый(ая) [B]Berkeley[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
26.03.2017, 20:53
regist

Здравствуйте!

- Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
TerminateProcessByName('C:\Program Files\QS\V8DSQOUQ8QNFU2V0EPFIYUED5DBLDJL9ZC6OQH12UYY2TEVIW0VGDXAA3AXNMJNYENPR6HK7YNXA6MU0R2YMYF5BC5UQUOPLK9XFYDLPPXR09AERP65TUAA8SNPBX4NJ8MZ7YP\yd765wa1f1.exe');
TerminateProcessByName('C:\Program Files\QS\V8DSQOUQ8QNFU2V0EPFIYUED5DBLDJL9ZC6OQH12UYY2TEVIW0VGDXAA3AXNMJNYENPR6HK7YNXA6MU0R2YMYF5BC5UQUOPLK9XFYDLPPXR09AERP65TUAA8SNPBX4NJ8MZ7YP\-VmqAKdNaX.exe');
TerminateProcessByName('C:\Users\ASUS\AppData\Roaming\MyDesktop\linkme.exe');
TerminateProcessByName('C:\Users\ASUS\AppData\Roaming\Adobe\Manager.exe');
QuarantineFileF('c:\program files\zaxar', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
QuarantineFile('C:\Program Files\Zaxar\ZaxarLoader.exe', '');
QuarantineFileF('C:\Users\ASUS\AppData\Roaming\Adobe\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', false, '', 0, 0);
QuarantineFile('C:\Users\ASUS\AppData\Local\Temp\327EC64-CFD4E288-8F7CC012-DAB818BE\696e0c34b.sys', '');
QuarantineFileF('C:\Program Files\Zaxar\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFileF('C:\Users\ASUS\AppData\Roaming\MyDesktop\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFile('C:\Program Files\QS\V8DSQOUQ8QNFU2V0EPFIYUED5DBLDJL9ZC6OQH12UYY2TEVIW0VGDXAA3AXNMJNYENPR6HK7YNXA6MU0R2YMYF5BC5UQUOPLK9XFYDLPPXR09AERP65TUAA8SNPBX4NJ8MZ7YP\yd765wa1f1.exe', '');
QuarantineFile('C:\Program Files\QS\V8DSQOUQ8QNFU2V0EPFIYUED5DBLDJL9ZC6OQH12UYY2TEVIW0VGDXAA3AXNMJNYENPR6HK7YNXA6MU0R2YMYF5BC5UQUOPLK9XFYDLPPXR09AERP65TUAA8SNPBX4NJ8MZ7YP\-VmqAKdNaX.exe', '');
QuarantineFile('C:\Users\ASUS\AppData\Roaming\MyDesktop\linkme.exe', '');
QuarantineFile('C:\Users\ASUS\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Gооglе Сhrome.lnk', '');
QuarantineFile('C:\Users\ASUS\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Lаunсh Internеt Eхрlorer Brоwser.lnk', '');
QuarantineFile('C:\Users\ASUS\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Мozillа Firefох.lnk', '');
QuarantineFile('C:\Users\ASUS\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Орera.lnk', '');
QuarantineFile('C:\Users\ASUS\AppData\Roaming\Microsoft\Windows\Start Menu\Мozilla Firеfox.lnk', '');
QuarantineFile('C:\Users\ASUS\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Intеrnet Ехрlоrеr (Nо Add-оns).lnk', '');
QuarantineFile('C:\Users\Public\Desktop\Gооgle Сhromе.lnk', '');
QuarantineFile('C:\Users\Public\Desktop\Мozilla Firefоx.lnk', '');
QuarantineFile('C:\Users\Public\Desktop\Орerа.lnk', '');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Gооglе Chrоme.lnk', '');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox\Мozillа Firefoх (Безoпaсный режим).lnk', '');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox\Моzillа Firefоx.lnk', '');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Мozillа Firеfох.lnk', '');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Оpera.lnk', '');
QuarantineFile('C:\Users\ASUS\AppData\Roaming\Adobe\Manager.exe', '');
QuarantineFile('C:\Users\Public\Desktop\DАЕМON Тоols Ultrа.lnk', '');
QuarantineFile('C:\Users\Public\Desktop\LightSсribe.lnk', '');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\DAEMON Tools Ultra\DАEMОN Тools Ultrа.lnk', '');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\LightScribe Direct Disc Labeling\Gеtting Started.lnk', '');
QuarantineFile('C:\Users\ASUS\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\!Играть в War Thunder.lnk', '');
QuarantineFile('C:\Users\ASUS\AppData\Roaming\Browsers\exe.rehcnualtd.bat', '');
QuarantineFile('C:\Users\ASUS\AppData\Roaming\Browsers\exe.rehcnualsl.bat', '');
DeleteFile('C:\Program Files\Zaxar\ZaxarLoader.exe', '32');
DeleteFile('C:\Users\ASUS\AppData\Local\Temp\327EC64-CFD4E288-8F7CC012-DAB818BE\696e0c34b.sys', '32');
DeleteFile('C:\Program Files\QS\V8DSQOUQ8QNFU2V0EPFIYUED5DBLDJL9ZC6OQH12UYY2TEVIW0VGDXAA3AXNMJNYENPR6HK7YNXA6MU0R2YMYF5BC5UQUOPLK9XFYDLPPXR09AERP65TUAA8SNPBX4NJ8MZ7YP\yd765wa1f1.exe');
DeleteFile('C:\Program Files\QS\V8DSQOUQ8QNFU2V0EPFIYUED5DBLDJL9ZC6OQH12UYY2TEVIW0VGDXAA3AXNMJNYENPR6HK7YNXA6MU0R2YMYF5BC5UQUOPLK9XFYDLPPXR09AERP65TUAA8SNPBX4NJ8MZ7YP\-VmqAKdNaX.exe');
DeleteFile('C:\Users\ASUS\AppData\Roaming\MyDesktop\linkme.exe');
DeleteFile('C:\Users\ASUS\AppData\Roaming\Browsers\exe.rehcnualtd.bat', '');
DeleteFile('C:\Users\ASUS\AppData\Roaming\Browsers\exe.rehcnualsl.bat', '');
DeleteFile('C:\Users\ASUS\AppData\Roaming\Adobe\Manager.exe');
ExecuteFile('schtasks.exe', '/delete /TN "Windows desktop installer" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Fofery" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Manager" /F', 0, 15000, true);
DeleteFileMask('C:\Program Files\Zaxar\', '*', true);
DeleteFileMask('c:\program files\zaxar', '*', true);
DeleteFileMask('C:\Users\ASUS\AppData\Roaming\MyDesktop\', '*', true);
DeleteDirectory('C:\Program Files\Zaxar\');
DeleteDirectory('C:\Users\ASUS\AppData\Roaming\MyDesktop\');
DeleteDirectory('c:\program files\zaxar');
BC_ImportALL;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Исправьте с помощью [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиты ClearLNK[/url] следующие ярлыки, отчёт о работе прикрепите:
[CODE]C:\Users\Public\Desktop\DАЕМON Тоols Ultrа.lnk
C:\Users\Public\Desktop\LightSсribe.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\DAEMON Tools Ultra\DАEMОN Тools Ultrа.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\LightScribe Direct Disc Labeling\Gеtting Started.lnk
C:\Users\ASUS\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\!Играть в War Thunder.lnk
C:\Users\ASUS\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Gооglе Сhrome.lnk
C:\Users\ASUS\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Lаunсh Internеt Eхрlorer Brоwser.lnk
C:\Users\ASUS\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Мozillа Firefох.lnk
C:\Users\ASUS\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Орera.lnk
C:\Users\ASUS\AppData\Roaming\Microsoft\Windows\Start Menu\Мozilla Firеfox.lnk
C:\Users\ASUS\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Intеrnet Ехрlоrеr (Nо Add-оns).lnk
C:\Users\Public\Desktop\Gооgle Сhromе.lnk
C:\Users\Public\Desktop\Мozilla Firefоx.lnk
C:\Users\Public\Desktop\Орerа.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Gооglе Chrоme.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox\Мozillа Firefoх (Безoпaсный режим).lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox\Моzillа Firefоx.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Мozillа Firеfох.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Оpera.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\LightScribe Direct Disc Labeling\Getting Started.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox.lnk
C:\Users\ASUS\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk
C:\Users\ASUS\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Mozilla Firefox.lnk
C:\Users\Public\Desktop\LightScribe.lnk
C:\Users\ASUS\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Opera.lnk
C:\Users\ASUS\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Opera.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\DAEMON Tools Ultra\DAEMON Tools Ultra.lnk
C:\Users\Public\Desktop\BCS Trade Station 5.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Pattern Graphix\Uninstall Pattern Graphix.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\AutoIt v3\Extras\AutoItX\VBScript Examples.lnk
C:\Users\Public\Desktop\MetaTrader 4.lnk
C:\Users\Public\Desktop\JCM Meta Trader 4.lnk
C:\Users\Public\Desktop\IronFX MetaTrader 4.lnk
[/CODE]

Unity Web Player - если сами не ставили, то деинсталируйте.
[CODE][B]Zaxar Games Browser 4[/B] [20170326]-->"C:\Program Files\Zaxar\unins000.exe"
[B]Амиго[/B] [20170326]-->"C:\Users\ASUS\AppData\Local\Amigo\Application\47.5.2526.173\Installer\setup.exe" --uninstall
[/CODE]
Это тоже деинсталируйте.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url]. Для [u]повторной[/u] диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

+ эти ярлыки вам знакомы?

[CODE]C:\Users\ASUS\Desktop\Играть в War Thunder.lnk
C:\Users\ASUS\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\!Играть в War Thunder.lnk
C:\Users\ASUS\Desktop\Играть в Спарту.lnk
C:\Users\ASUS\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\!Играть в Спарту.lnk[/CODE]
26.03.2017, 23:24
Berkeley

Вложений: 2

Ссылка на результаты анализа карантина:

[url]https://virusinfo.info/showthread.php?t=210617[/url]

Файл quarantine.zip загрузила. Отчет о работе ClearLNK прикреплен. Удалила Unity Web Player, Zaxar Games Browser, Amigo.

Ярлыки "Играть в War Thunder", "Играть в Спарту" левые; удалила. Mail.Ru updater, Au-.exe и какой-то tmp файл висят в процессах.

Повторные логи сейчас будут.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Повторные логи:
26.03.2017, 23:41
regist

ProxyServer = 127.0.0.1:21218 - сами прописывали?

[CODE]-[HTTP] "C:\Users\ASUS\Desktop\TradeMiner 4 Forex.lnk" -> ["C:\Program Files\Java\jre1.8.0_31\bin\javaws.exe" =>> -localfile -J-Djnlp.application.href=hxxp://download.geckosoftware.com/trademiner/4.0/forex/tm4-forex.jnlp "C:\Users\ASUS\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\25\ebea4d9-2ba3a3a5"]
-[HTTP] "C:\Users\ASUS\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Gecko Software\TradeMiner 4 Forex.lnk" -> ["C:\Program Files\Java\jre1.8.0_31\bin\javaws.exe" =>> -localfile -J-Djnlp.application.href=hxxp://download.geckosoftware.com/trademiner/4.0/forex/tm4-forex.jnlp "C:\Users\ASUS\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\25\ebea4d9-2ba3a3a5"][/CODE]
Эти ярлыки знакомы?

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
TerminateProcessByName('c:\users\asus\appdata\local\temp\~nsu.tmp\au_.exe');
TerminateProcessByName('c:\users\asus\appdata\local\temp\nsvac09.tmp');
StopService('f9a77be266a73e5bf8cfdff89e5e2d9b');
QuarantineFile('C:\Users\ASUS\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\!Играть в Спарту.lnk', '');
QuarantineFile('c:\users\asus\appdata\local\temp\~nsu.tmp\au_.exe', '');
QuarantineFile('c:\users\asus\appdata\local\temp\nsvac09.tmp', '');
QuarantineFile('C:\Users\ASUS\AppData\Local\Temp\nsaB06B.tmp\StdUtils.dll', '');
QuarantineFile('C:\Users\ASUS\AppData\Local\Temp\nsaB06B.tmp\nsJSON.dll', '');
DeleteFile('C:\Users\ASUS\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\!Играть в Спарту.lnk');
DeleteFile('c:\users\asus\appdata\local\temp\~nsu.tmp\au_.exe', '32');
DeleteFile('c:\users\asus\appdata\local\temp\nsvac09.tmp', '32');
DeleteFile('C:\Users\ASUS\AppData\Local\Temp\nsaB06B.tmp\StdUtils.dll', '32');
DeleteFile('C:\Users\ASUS\AppData\Local\Temp\nsaB06B.tmp\nsJSON.dll', '32');
ExecuteFile('schtasks.exe', '/delete /TN "Manager" /F', 0, 15000, true);
DeleteService('f9a77be266a73e5bf8cfdff89e5e2d9b');
DelBHO('{D8278076-BC68-4484-9233-6E7F1628B56C}');
BC_ImportALL;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url]. Для [u]повторной[/u] диагностики запустите снова Autologger.

[LIST][*]Скачайте [B][URL="https://toolslib.net/downloads/finish/1/"]AdwCleaner[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
27.03.2017, 00:27
Berkeley

Вложений: 2

[QUOTE]ProxyServer = 127.0.0.1:21218 - сами прописывали?[/QUOTE]

Нет; но возможно, это настройка, оставшаяся от программы "Банк-клиент".

[QUOTE]Эти ярлыки знакомы?[/QUOTE]

Да, TradeMiner это легальная программа, давно стоит.

Карантин и логи загрузила. Нашла еще две левые свежие программы: Social2search и ScreenShared; удалила.
MailRu updater не убился, все еще висит в процессах.
27.03.2017, 01:02
regist

[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner[/B][/COLOR] (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]).[*]В меню [b]Tools[/b] ->[b]Options [/b] ([b]Инструменты[/b] ->[b]Настройки[/b]) отметьте:
[list][*]Сброс политик IE[*]Сброс политик Chrome[/list][*]Нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]), а по окончанию сканирования нажмите кнопку [B]"Cleaning"[/B] ([B]"Очистка"[/B]) и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[C0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].

- Перетащите лог Check_Browsers_LNK.log Перетащите лог Check_Browsers_LNK.log из папки AutoLogger\CheckBrowsersLNK на [url=http://dragokas.com/tools/ClearLNK.zip]утилиту ClearLNK[/url]. Отчёт о работе прикрепите.
27.03.2017, 19:15
Berkeley

Вложений: 2

Логи:
27.03.2017, 22:16
regist

что с проблемой?
27.03.2017, 23:31
Berkeley

MailRu и Ко из процессов исчезли. Три мелкие проблемы:

1. постоянно создается папка IObit ASCD Downloader на C://Program Data. В папке лежит лог с ошибками о том, что что-то пытается загрузиться из папки Temp.
Примеры:

2017-03-27 13:58:10.492 Finished, error #11004 Download failed C:\Users\ASUS\AppData\Local\Temp\juDaOf8iCw45WQHp.tmp
2017-03-27 13:58:10.492 Proxy Try Download Failed: C:\Users\ASUS\AppData\Local\Temp\juDaOf8iCw45WQHp.tmp

2. Стартовая страница в Chrome все так же mail.ru, изменение настроек Хрома не помогает.

3. Помимо прочего мусора, вчера установилась программа Surfing Protection, стандартным способом из панели управления не удаляется, говорит, что не хватает какого-то файла, чтобы начать удаление.
28.03.2017, 09:48
regist

[url=http://virusinfo.info/showthread.php?t=121767][b]Сделайте полный образ автозапуска uVS[/b][/url], только программу скачайте [url=https://yadi.sk/d/6A65LkI1WEuqC]отсюда.[/url]
29.03.2017, 00:00
Berkeley

Не получается; после запуска start.exe компьютер выдает синий экран и перезагружается.
29.03.2017, 13:22
regist

Антивирус отключали перед этим? А если в безопасном режиме попробовать?
29.03.2017, 22:19
Berkeley

Вложений: 1

Получилось:
30.03.2017, 15:55
regist

Расширения от Яндекса сами ставили?
30.03.2017, 16:05
Berkeley

[QUOTE]Расширения от Яндекса сами ставили?[/QUOTE]

Нет; они левые.
30.03.2017, 16:45
regist

[CODE]C:\USERS\ASUS\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\PROFILE 1\EXTENSIONS\[B]FNEFEKIBAHPIBGNLLFJPCKODGOBKPIJE[/B]\2.0_1\[B]OBVIOUSIDEA[/B][/CODE]
Это расширение знакомо?
А также программа?
[CODE]C:\PROGRAM FILES\LITECOIN\LITECOIN-QT.EXE[/CODE]

Surfing Protection - деинсталируйте.
Скрипт для uVS чуть позже дам.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[url=http://virusinfo.info/showthread.php?t=121767&p=897827&viewfull=1#post897827]Выполните скрипт в uVS[/url]

[CODE];uVS v4.0b2 [http://dsrt.dyndns.org]
;Target OS: NTv6.0
BREG
delall HTTP://MAIL.RU/CNT/10445?GP=811021
delall HTTP://MAIL.RU/CNT/10445?GP=832087
delall HTTP://GO.MAIL.RU/DISTIB/EP/?PRODUCT_ID=%7B8FF2D8D9-728E-413C-9A30-32FDF82458BD%7D&GP=832094
delref %Sys32%\DRIVERS\WRKRN.SYS
delall %SystemDrive%\USERS\ASUS\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\PROFILE 1\EXTENSIONS\OELPKEPJLGMEHAJEHFEICFBJDIOBDKFJ\7.1.30_0\ВИЗУАЛЬНЫЕ ЗАКЛАДКИ MAIL.RU
delall %SystemDrive%\USERS\ASUS\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\PROFILE 1\EXTENSIONS\CCFIFBOJENKENPKMNBNNDEADPFDIFFOF\11.0.26_0\ДОМАШНЯЯ СТРАНИЦА MAIL.RU
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.24.15\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.22.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.30.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.31.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.29.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.21.153\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.21.165\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.22.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.23.9\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.24.7\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.25.11\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.25.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.26.9\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.27.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.28.1\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.28.13\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.28.15\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES\GOOGLE\UPDATE\1.3.29.1\PSMACHINE.DLL
delall %SystemDrive%\USERS\ASUS\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\PROFILE 1\EXTENSIONS\OJLCEBDKBPJDPILIGKDBBKDKFJMCHBFD\12.0.11_0\ПОИСК MAIL.RU
delref %SystemDrive%\USERS\ASUS\APPDATA\LOCAL\GOOGLE\UPDATE\1.3.21.111\PSUSER.DLL
delref %SystemDrive%\USERS\ASUS\APPDATA\LOCAL\GOOGLE\UPDATE\1.3.21.115\PSUSER.DLL
delref %SystemDrive%\USERS\ASUS\APPDATA\LOCAL\GOOGLE\UPDATE\1.3.21.123\PSUSER.DLL
delref %SystemDrive%\USERS\ASUS\APPDATA\LOCAL\GOOGLE\UPDATE\1.3.21.135\PSUSER.DLL
delref %SystemDrive%\USERS\ASUS\APPDATA\LOCAL\GOOGLE\UPDATE\1.3.21.145\PSUSER.DLL
delref %SystemDrive%\USERS\ASUS\APPDATA\LOCAL\GOOGLE\UPDATE\1.3.21.149\PSUSER.DLL
delref %SystemDrive%\USERS\ASUS\APPDATA\LOCAL\GOOGLE\UPDATE\1.3.21.79\PSUSER.DLL
delref %SystemDrive%\USERS\ASUS\APPDATA\LOCAL\GOOGLE\UPDATE\1.3.21.99\PSUSER.DLL
delref %SystemDrive%\USERS\ASUS\APPDATA\LOCAL\GOOGLE\UPDATE\1.3.29.1\PSUSER.DLL
delref %SystemDrive%\USERS\ASUS\APPDATA\LOCAL\GOOGLE\UPDATE\1.3.29.5\PSUSER.DLL
delref %SystemDrive%\USERS\ASUS\APPDATA\LOCAL\GOOGLE\UPDATE\1.3.30.3\PSUSER.DLL
delref %SystemDrive%\USERS\ASUS\APPDATA\LOCAL\GOOGLE\UPDATE\1.3.31.5\PSUSER.DLL
delref 127.0.0.1:21218
delall %SystemDrive%\USERS\ASUS\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\PROFILE 1\EXTENSIONS\CNCGOHEPIHCEKKLOKHBHIBLHFCMIPBDH\1.0.9_0\ПОИСК ЯНДЕКСA
delall %SystemDrive%\USERS\ASUS\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\PROFILE 1\EXTENSIONS\GEHNGEIFMELPHPLLNCOBKMIMPHFKCKNE\1.0.7_0\СТАРТОВАЯ — ЯНДЕКС
regt 28
regt 29
restart[/CODE]

что с проблемой?
30.03.2017, 22:34
Berkeley

[QUOTE]Это расширение знакомо?[/QUOTE]

ObviousIdea и её расширения -это одна их тех мусорных программ, которые установились вместе с mail.ru.

[QUOTE]А также программа?[/QUOTE]

litecoin знакома, нормальная.

[QUOTE]Surfing Protection - деинсталируйте.[/QUOTE]

А как? Стандартным способом не удаляется, говорит, что не хватает файла uninst000.msg.

Скрипт в uVS выполнила.

[QUOTE]что с проблемой?[/QUOTE]

Все шустро работает (ттт); стартовая страница mail.ru в Хроме убралась, нашла в папке Program Data несколько левых папок от мусорных программ, которые в последние 3 дня установились - убрала руками. Единственная мелкая проблема на данный момент - Surfing Protection не удаляется.
31.03.2017, 09:19
regist

Сделайте свежий лог uVS.
31.03.2017, 22:31
Berkeley

После перезагрузки компьютера в Хроме опять установилась стартовая страница mail.ru :worried:

Не могу загрузить лог; выдается сообщение, что на сколько-то кб превышен предел на форуме. Что я делаю не так?

Показывать 40 сообщений этой темы на одной странице