Самопроизвольная установка браузеров. [vnlgp.exe - not-a-virus:RiskTool.Win64.BitCoinMiner.bti]

[COLOR=#333333]Здравствуйте. Такая проблема, с[/COLOR]амопроизвольно [COLOR=#333333]устанавливается браузеры и др. программы якобы для ускорения компьютера.[/COLOR]

Уважаемый(ая) [B]eem-kz[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте!

[URL="http://virusinfo.info/showthread.php?t=130828"][b]Временно[/b] отключите защитное ПО[/URL].
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]:

[CODE]begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
QuarantineFile('C:\windows\psgo\psgo.ps1','');
QuarantineFile('C:\Users\User\AppData\Local\SNARE\Snare.dll', '');
QuarantineFile('C:\Program Files (x86)\Atuzoiedfrle Mapper\local64spl.dll', '');
QuarantineFileF('c:\users\user\appdata\local\snare', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 ,0);
ExecuteFile('schtasks.exe', '/delete /TN "Megerther" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Windows-PG" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Samsung Update" /F', 0, 15000, true);
DeleteFile('C:\windows\psgo\psgo.ps1','32');
DeleteFile('C:\Users\User\AppData\Local\SNARE\Snare.dll', '32');
DeleteFile('C:\Program Files (x86)\Atuzoiedfrle Mapper\local64spl.dll', '32');
DeleteFileMask('c:\users\user\appdata\local\snare', '*', true);
DeleteDirectory('c:\users\user\appdata\local\snare');
ExecuteSysClean;
ExecuteRepair(3);
ExecuteRepair(4);
ExecuteWizard('SCU', 2, 3, true);
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.

[/CODE]

Компьютер [U]перезагрузится[/U].



Файл [B]quarantine.zip[/B] из папки AVZ загрузите по ссылке "[B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.




Сделайте повторные логи по [URL="http://virusinfo.info/pravila.html"]правилам[/URL]. ([COLOR="RoyalBlue"]CollectionLog[/COLOR])

Сделано ...

Карантин следует отправить именно так, как указано в предыдущем сообщении.

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку [B]Scan[/B].
После окончания сканирования будут созданы отчеты [B]FRST.txt[/B], [B]Addition.txt[/B], [B]Shortcut.txt[/B] в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Спасибо, готово.

Включите Восстановление системы.

Создайте текстовый файл [B]fixlist.txt[/B] в папке с Farbar Recovery Scan Tool, скопируйте в него текст из окна "код" ниже и сохраните.
[code]start
CreateRestorePoint:
GroupPolicy: Restriction - Chrome <======= ATTENTION
GroupPolicy\User: Restriction <======= ATTENTION
HKLM\...\Providers\sa1cqxin: C:\Program Files (x86)\Atuzoiedfrle Mapper\local64spl.dll
SearchScopes: HKLM-x32 -> ielnksrch URL = hxxps://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIP4NYe17aVLWv3XjGGZrhGQbtfCic404bHxDfE0C6Il9ymXEx2u2P1rd3uOTMScCkJjUouN61zOJ6jvHRdi9SMESrYwttey8wSALtk2yLsU1lcqp9UPsgGLDcTQCjjuMXv9P_gwushxf1MnoZ5886ZjF0WgeEwzVHNAjkkdsPgxY4VAgiAp_&q={searchTerms}
SearchScopes: HKU\S-1-5-21-2622087092-1931345129-62130821-1001 -> DefaultScope {ielnksrch} URL = hxxps://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIP4NYe17aVLWv3XjGGZrhGQbtfCic404bHxDfE0C6Il9ymXEx2u2P1rd3uOTMScCkJjUouN61zOJ6jvHRdi9SMESrYwttey8wSALtk2yLsU1lcqp9UPsgGLDcTQCjjuMXv9P_gwushxf1MnoZ5886ZjF0WgeEwzVHNAjkkdsPgxY4VAgiAp_&q={searchTerms}
SearchScopes: HKU\S-1-5-21-2622087092-1931345129-62130821-1001 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={SearchTerms}&product_id=%7B0682A2A0-622B-4CD0-BA7F-24E48A414A2E%7D&gp=820331
SearchScopes: HKU\S-1-5-21-2622087092-1931345129-62130821-1001 -> {ielnksrch} URL = hxxps://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIP4NYe17aVLWv3XjGGZrhGQbtfCic404bHxDfE0C6Il9ymXEx2u2P1rd3uOTMScCkJjUouN61zOJ6jvHRdi9SMESrYwttey8wSALtk2yLsU1lcqp9UPsgGLDcTQCjjuMXv9P_gwushxf1MnoZ5886ZjF0WgeEwzVHNAjkkdsPgxY4VAgiAp_&q={searchTerms}
FF ProfilePath: C:\Users\User\AppData\Roaming\Mozilla\Firefox\naweriweentcofise\Profiles\w7cq6ajw.default\Profiles\w7cq6ajw.default [not found]
FF Extension: (Fast search) - C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\w7cq6ajw.default\Extensions\amcontextmenu@loucypher [2017-04-04]
OPR Extension: (No Name) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\pbdpajcdgknpendpmecafmopknefafha [2017-04-04]
S2 SNARE; C:\Windows\System32\svchost.exe [43944 2015-10-30] (Microsoft Corporation)
S2 SNARE; C:\Windows\SysWOW64\svchost.exe [37256 2015-10-30] (Microsoft Corporation)
S2 WinSAPSvc; C:\windows\system32\svchost.exe [43944 2015-10-30] (Microsoft Corporation) <==== ATTENTION
S2 WinSAPSvc; C:\windows\SysWOW64\svchost.exe [37256 2015-10-30] (Microsoft Corporation) <==== ATTENTION
2017-04-06 18:36 - 2017-04-06 18:38 - 00000000 ____D C:\Users\Все пользователи\Plusdaxs
2017-04-06 18:36 - 2017-04-06 18:38 - 00000000 ____D C:\ProgramData\Plusdaxs
2017-04-06 18:36 - 2017-04-06 18:36 - 00015606 _____ C:\Windows\SysWOW64\findit.xml
2017-04-06 18:32 - 2017-04-07 08:19 - 00000000 ____D C:\Users\Все пользователи\PrefsSecure
2017-04-06 18:32 - 2017-04-07 08:19 - 00000000 ____D C:\ProgramData\PrefsSecure
2017-04-06 18:32 - 2017-04-06 18:32 - 07303680 _____ C:\Users\User\AppData\Roaming\agent.dat
2017-04-06 18:32 - 2017-04-06 18:32 - 01893685 _____ C:\Users\User\AppData\Roaming\Truelight.tst
2017-04-06 18:32 - 2017-04-06 18:32 - 01164288 _____ C:\Users\User\AppData\Roaming\Truelight.exe
2017-04-06 18:32 - 2017-04-06 18:32 - 00278510 _____ C:\Users\User\AppData\Roaming\Hot-Ron.bin
2017-04-06 18:32 - 2017-04-06 18:32 - 00140288 _____ C:\Users\User\AppData\Roaming\Installer.dat
2017-04-06 18:32 - 2017-04-06 18:32 - 00126464 _____ C:\Users\User\AppData\Roaming\noah.dat
2017-04-06 18:32 - 2017-04-06 18:32 - 00070800 _____ C:\Users\User\AppData\Roaming\Config.xml
2017-04-06 18:32 - 2017-04-06 18:32 - 00019008 _____ C:\Users\User\AppData\Roaming\InstallationConfiguration.xml
2017-04-06 18:32 - 2017-04-06 18:32 - 00018432 _____ C:\Users\User\AppData\Roaming\Main.dat
2017-04-06 18:32 - 2017-04-06 18:32 - 00005568 _____ C:\Users\User\AppData\Roaming\md.xml
2017-04-04 17:32 - 2017-04-04 17:34 - 00000000 ____D C:\Users\Все пользователи\ProductData
2017-04-04 17:32 - 2017-04-04 17:34 - 00000000 ____D C:\ProgramData\ProductData
2017-04-04 17:32 - 2017-04-04 17:32 - 00027552 _____ (REALiX(tm)) C:\Windows\SysWOW64\Drivers\HWiNFO64A.SYS
2017-04-04 17:32 - 2017-04-04 17:32 - 00000000 ____D C:\Windows\IObit
2017-04-04 17:32 - 2017-04-04 17:32 - 00000000 ____D C:\Users\Все пользователи\IObit
2017-04-04 17:32 - 2017-04-04 17:32 - 00000000 ____D C:\Users\User\AppData\Roaming\IObit
2017-04-04 17:32 - 2017-04-04 17:32 - 00000000 ____D C:\Users\User\AppData\LocalLow\IObit
2017-04-04 17:32 - 2017-04-04 17:32 - 00000000 ____D C:\ProgramData\IObit
2017-04-04 17:32 - 2017-04-04 17:32 - 00000000 ____D C:\Program Files (x86)\IObit
2017-04-04 17:30 - 2017-04-08 08:31 - 00000000 ____D C:\Program Files\My Web Shield
2017-04-04 17:30 - 2017-04-07 18:59 - 00000000 ____D C:\Users\User\AppData\Local\Mail.Ru
2017-04-04 17:30 - 2017-04-04 17:32 - 00000000 ____D C:\Users\User\AppData\Roaming\bestsalesprofit
2017-04-04 17:30 - 2017-04-04 17:30 - 00000000 ____D C:\Users\Все пользователи\RegisterObject
2017-04-04 17:30 - 2017-04-04 17:30 - 00000000 ____D C:\ProgramData\RegisterObject
2017-04-04 17:29 - 2017-04-04 17:32 - 00000000 ____D C:\Users\User\AppData\Roaming\TablacusApp
2017-04-04 17:29 - 2017-04-04 17:29 - 00000000 ____D C:\Users\Все пользователи\Mail.Ru
2017-04-04 17:29 - 2017-04-04 17:29 - 00000000 ____D C:\ProgramData\Mail.Ru
2017-04-04 17:25 - 2017-04-04 17:32 - 00000000 ____D C:\Program Files (x86)\Driver Identifier
2017-04-04 17:25 - 2017-04-04 17:25 - 00000000 ____D C:\Users\User\AppData\Roaming\driveridentifier
2017-04-04 17:08 - 2017-04-04 17:32 - 00000000 ____D C:\Program Files (x86)\DriverToolkit
2017-04-04 17:08 - 2017-04-04 17:08 - 00000000 ____D C:\Users\User\AppData\Local\DriverToolkit
Task: {7E56E341-4332-4413-A301-BA4FEB307F31} - \Microsoft\Windows\Multimedia\Manager -> No File <==== ATTENTION
FirewallRules: [{1A734F28-4CE4-480E-ACBD-030D1458E1AB}] => (Allow) C:\Users\User\AppData\Local\Amigo\Application\amigo.exe
EmptyTemp:
Reboot:
end[/code]
Отключите до перезагрузки антивирус, запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Cделано ...

Каждый 3-4 часа АВ выдает тако сообщение :
30.04.2017 17:33:08 Обнаружено рекламная программа not-a-virus:HEUR:AdWare.Win32.Mewishid.gen C:\Program Files\My Web Shield\My Web Shield.zip//mweshieldup.exe Средняя
30.04.2017 17:33:11 Обнаружено рекламная программа not-a-virus:HEUR:AdWare.Win32.Mewishid.gen C:\Program Files\My Web Shield\My Web Shield.zip//mwesmanager.exe Средняя
30.04.2017 17:33:14 Обнаружено рекламная программа not-a-virus:HEUR:AdWare.Win32.Mewishid.gen C:\Program Files\My Web Shield\My Web Shield.zip//mweshield.exe Средняя
30.04.2017 17:33:15 Обнаружено троянская программа HEUR:Trojan.Win32.Generic c:\users\user\appdata\local\kitty\kitty.dll Высокая

Подготовьте и прикрепите лог сканирования [url=http://virusinfo.info/showthread.php?t=146192]AdwCleaner[/url].

Ok.

[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Malwarebytes)[/B][/COLOR] (в ОС [B]Vista/Windows 7, 8, 8.1, 10[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]).[*]Нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]). [*]По окончании сканирования в меню [b]Инструменты - Настройки[/b] отметьте дополнительно в разделе [b]Сбросить[/b]:
[list][*]Политики IE[*]Политики Chrome
и нажмите [b]Ok[/b].[/list][*]Нажмите кнопку [B]"Clean"[/B] ([B]"Очистить"[/B]) и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[Cx].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].

Спасибо большое за помощь!

Проблема решена?

Здравствуйте!
Проблема не решена! Сегодня о пять появилась

[HTML]02.05.2017 8:29:44 Обнаружено рекламная программа not-a-virus:HEUR:AdWare.Win32.Mewishid.gen C:\Program Files\My Web Shield\My Web Shield.zip//mweshieldup.exe Средняя
02.05.2017 8:29:48 Обнаружено рекламная программа not-a-virus:HEUR:AdWare.Win32.Mewishid.gen C:\Program Files\My Web Shield\My Web Shield.zip//mwesmanager.exe Средняя
02.05.2017 8:29:52 Обнаружено рекламная программа not-a-virus:HEUR:AdWare.Win32.Mewishid.gen C:\Program Files\My Web Shield\My Web Shield.zip//mweshield.exe Средняя
02.05.2017 8:29:53 Обнаружено троянская программа HEUR:Trojan.Win32.Generic c:\users\user\appdata\local\kitty\kitty.dll Высокая
[/HTML]

Сделайте повторные логи по [URL="http://virusinfo.info/pravila.html"]правилам[/URL]. ([COLOR="RoyalBlue"]CollectionLog[/COLOR])

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]