Вирус поменял шрифты на рабочем столе и китайская программа

здравствуйте, родственники пытались установить плеер и поставили что-то не то, теперь на компьютере неудаляемая китайская программа которая требует при удалении ввода кода на китайских иероглифах, постоянно пытается в интернет открыть страницу
как быть? и в автозагрузке еще wwbizsrv

лог автологгера во вложении

[ATTACH=CONFIG]661488[/ATTACH]


[ATTACH=CONFIG]661491[/ATTACH]

Уважаемый(ая) [B]bluntschi[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
TerminateProcessByName('c:\program files (x86)\alibaba\wwbizsrv\wwbizsrv.exe');
QuarantineFile('c:\program files (x86)\alibaba\wwbizsrv\wwbizsrv.exe', '');
DeleteFile('c:\program files (x86)\alibaba\wwbizsrv\wwbizsrv.exe', '32');
DeleteFile('C:\Users\N.Astapova\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Mail.Ru.ln');
DeleteFileMask('c:\program files (x86)\alibaba', '*', true);
DeleteDirectory('c:\program files (x86)\alibaba');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).

[QUOTE=Vvvyg;1453625][url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
TerminateProcessByName('c:\program files (x86)\alibaba\wwbizsrv\wwbizsrv.exe');
QuarantineFile('c:\program files (x86)\alibaba\wwbizsrv\wwbizsrv.exe', '');
DeleteFile('c:\program files (x86)\alibaba\wwbizsrv\wwbizsrv.exe', '32');
DeleteFile('C:\Users\N.Astapova\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Mail.Ru.ln');
DeleteFileMask('c:\program files (x86)\alibaba', '*', true);
DeleteDirectory('c:\program files (x86)\alibaba');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).[/QUOTE]

добрый день, файл в карантин я прикрепила.

скрипт выполнила, перезагрузилась, вот логи из программы

Запустите FRST/FRST64. Нажмите комбинацию Ctrl+Y - откроется Блокнот. Скопируйте в него следующий код:[CODE]CreateRestorePoint:
HKU\S-1-5-21-340930470-4042913182-3077611243-1155\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://mail.ru/cnt/10445?gp=811013
FF DefaultSearchEngine: Mozilla\Firefox\Profiles\nqx9c81b.default -> Поиск@Mail.Ru
FF SelectedSearchEngine: Mozilla\Firefox\Profiles\nqx9c81b.default -> Поиск@Mail.Ru
FF Homepage: Mozilla\Firefox\Profiles\nqx9c81b.default -> hxxp://mail.ru/cnt/10445?gp=811009
FF Keyword.URL: Mozilla\Firefox\Profiles\nqx9c81b.default -> hxxp://go.mail.ru/distib/ep/?product_id=%7BDAF2F225-8D8F-4339-BA3F-318DFDF83B03%7D&gp=811010
FF SearchPlugin: C:\Users\N.Astapova\AppData\Roaming\Mozilla\Firefox\Profiles\nqx9c81b.default\searchplugins\mailru.xml [2017-06-09]
FF Plugin HKU\S-1-5-21-340930470-4042913182-3077611243-1155: @alibaba.com/npAliSSOLogin;version=1.0 -> C:\Program Files (x86)\AliWangWang\9.07.02C\npAliSSOLogin.dll [No File]
FF Plugin HKU\S-1-5-21-340930470-4042913182-3077611243-1155: @alibaba.com/npwangwang;version=1.0 -> C:\Program Files (x86)\AliWangWang\9.07.02C\npwangwang.dll [No File]
2017-06-09 08:30 - 2017-06-10 01:44 - 00000000 ____D C:\Program Files (x86)\YeaDesktop
2017-06-09 08:30 - 2017-06-09 08:31 - 00000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\YeaDesktop
2017-06-09 08:30 - 2017-06-09 08:31 - 00000000 ____D C:\Program Files (x86)\mgdisk
2017-06-09 08:30 - 2017-06-09 08:30 - 00000000 ____D C:\Users\N.Astapova\AppData\Local\Поиcк в Интeрнете
2017-06-09 08:30 - 2017-06-09 08:30 - 00000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\mgdisk
2017-06-09 08:27 - 2017-06-09 08:27 - 00000000 ____D C:\Program Files\Common Files\AHVRT9YZ3QK
2017-06-09 08:27 - 2017-06-09 08:27 - 00000000 ____D C:\Program Files (x86)\pccleanplus
2017-06-09 08:25 - 2017-06-10 01:12 - 00000000 ____D C:\Program Files (x86)\Mail.Ru
2017-06-09 08:19 - 2017-06-09 08:27 - 00000000 ____D C:\Users\Все пользователи\Mail.Ru
2017-06-09 08:19 - 2017-06-09 08:27 - 00000000 ____D C:\ProgramData\Mail.Ru
Task: {3A3414B1-FD3F-4A95-B0B5-BA9B8F9645D9} - System32\Tasks\Microsoft\Windows\GroupPolicy\{A7719E0F-10DB-4640-AD8C-490CC6AD5202}
Task: {AC0E8370-ED2D-41D7-B95B-8E98BC7337E6} - System32\Tasks\Microsoft\Windows\GroupPolicy\{3E0A038B-D834-4930-9981-E89C9BFF83AA}
C:\Users\N.Astapova\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Mail.Ru.lnk
MSCONFIG\Services: wwbizsrv => 2
Reboot:[/CODE]
Сохраните (Ctrl+S) и закройте.
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], в FRST нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Сообщите, что с проблемами.

[QUOTE=Vvvyg;1453988]Запустите FRST/FRST64. Нажмите комбинацию Ctrl+Y - откроется Блокнот. Скопируйте в него следующий код:[CODE]CreateRestorePoint:
HKU\S-1-5-21-340930470-4042913182-3077611243-1155\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://mail.ru/cnt/10445?gp=811013
FF DefaultSearchEngine: Mozilla\Firefox\Profiles\nqx9c81b.default -> Поиск@Mail.Ru
FF SelectedSearchEngine: Mozilla\Firefox\Profiles\nqx9c81b.default -> Поиск@Mail.Ru
FF Homepage: Mozilla\Firefox\Profiles\nqx9c81b.default -> hxxp://mail.ru/cnt/10445?gp=811009
FF Keyword.URL: Mozilla\Firefox\Profiles\nqx9c81b.default -> hxxp://go.mail.ru/distib/ep/?product_id=%7BDAF2F225-8D8F-4339-BA3F-318DFDF83B03%7D&gp=811010
FF SearchPlugin: C:\Users\N.Astapova\AppData\Roaming\Mozilla\Firefox\Profiles\nqx9c81b.default\searchplugins\mailru.xml [2017-06-09]
FF Plugin HKU\S-1-5-21-340930470-4042913182-3077611243-1155: @alibaba.com/npAliSSOLogin;version=1.0 -> C:\Program Files (x86)\AliWangWang\9.07.02C\npAliSSOLogin.dll [No File]
FF Plugin HKU\S-1-5-21-340930470-4042913182-3077611243-1155: @alibaba.com/npwangwang;version=1.0 -> C:\Program Files (x86)\AliWangWang\9.07.02C\npwangwang.dll [No File]
2017-06-09 08:30 - 2017-06-10 01:44 - 00000000 ____D C:\Program Files (x86)\YeaDesktop
2017-06-09 08:30 - 2017-06-09 08:31 - 00000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\YeaDesktop
2017-06-09 08:30 - 2017-06-09 08:31 - 00000000 ____D C:\Program Files (x86)\mgdisk
2017-06-09 08:30 - 2017-06-09 08:30 - 00000000 ____D C:\Users\N.Astapova\AppData\Local\Поиcк в Интeрнете
2017-06-09 08:30 - 2017-06-09 08:30 - 00000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\mgdisk
2017-06-09 08:27 - 2017-06-09 08:27 - 00000000 ____D C:\Program Files\Common Files\AHVRT9YZ3QK
2017-06-09 08:27 - 2017-06-09 08:27 - 00000000 ____D C:\Program Files (x86)\pccleanplus
2017-06-09 08:25 - 2017-06-10 01:12 - 00000000 ____D C:\Program Files (x86)\Mail.Ru
2017-06-09 08:19 - 2017-06-09 08:27 - 00000000 ____D C:\Users\Все пользователи\Mail.Ru
2017-06-09 08:19 - 2017-06-09 08:27 - 00000000 ____D C:\ProgramData\Mail.Ru
Task: {3A3414B1-FD3F-4A95-B0B5-BA9B8F9645D9} - System32\Tasks\Microsoft\Windows\GroupPolicy\{A7719E0F-10DB-4640-AD8C-490CC6AD5202}
Task: {AC0E8370-ED2D-41D7-B95B-8E98BC7337E6} - System32\Tasks\Microsoft\Windows\GroupPolicy\{3E0A038B-D834-4930-9981-E89C9BFF83AA}
C:\Users\N.Astapova\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Mail.Ru.lnk
MSCONFIG\Services: wwbizsrv => 2
Reboot:[/CODE]
Сохраните (Ctrl+S) и закройте.
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], в FRST нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Сообщите, что с проблемами.[/QUOTE]


спасибо вам огромное!! все решилось! программа тоже удалилась

лог во вложении

На будущее: не нужно полностью цитировать сообщения хелпера, это ухудшает читаемость темы и повышает вероятность того, что пост зависнет на премодерации, просто пишите в окне "Быстрый ответ".

Удалите папку C:\FRST со всем содержимым.

Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].

спасибо за помощь и рекомендации.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]