Вирус самостоятельно установил браузер Амиго, не удается переустановить Malwarebytes

Здравствуйте! Пойманный сегодня вирус самостоятельно установил браузер Амиго, в браузере который был по умолчанию - FireFox сбиты настройки, на рабочем столе появились иконки "Войти в интернет", "Амиго", "ВКонтакте", "Одноклассники". Не удается открыть Malwarebytes, - при попытке переустановить её, сообщение на испанском, что можно удалить программу только в 64-х битном Windows. Просканировал с помощью Dr. Web CureIt: обнаружил 8 угроз (почти все - Trojan LoadMoney), устранил только 7. Прошу помочь.

Уважаемый(ая) [B]Gelok[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте!

У вас старая система [b]x32 Windows XP[/b], она не обновляется должным образом по безопасности, вирусы продолжат появляться к сожалению. Желательно перейти хотя бы на Win7.

1. Скачайте [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]ClearLNK[/url] и сохраните архив с утилитой на Рабочем столе.
* Распакуйте архив с утилитой в отдельную папку.
* Перенесите файл [b]Check_Browsers_LNK.log[/b] из логов на ClearLNK как показано на рисунке
[url=http://dragokas.com/tools/move.gif][img]http://dragokas.com/tools/move.gif[/img][/url]
* Отчет о работе [b]ClearLNK-<Дата>.log[/b] будет сохранен в папке LOG.
* Прикрепите этот отчет к своему следующему сообщению.

2. Вы сами устанавливали эту программу?
[code]
c:\program files\superantispyware\sascore.exe
[/code]
Удалите.

3. У вас установлено множество Антивирусов
[b]
DrWEB
Malwarebytes
Avast
[/b]
Остановитесь на одном, например на DrWEB, остальные удалите.

4. Удалите штатными средствами Windows ненужные программы от компании Mail.RU, в том числе Amigo.

5. Пофиксите в [url=https://virusinfo.info/showthread.php?t=4491]HiJackThis[/url].
Сама программа HiJackThis находится в папке AutoLogger, в подпапке HiJackThis
[code]
O4 - HKCU\..\Run: [MailRuUpdater] C:\Documents and Settings\OK\Local Settings\Application Data\Mail.Ru\MailRuUpdater.exe
O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Program Files\SUPERAntiSpyware\SUPERAntiSpyware.exe
O4 - HKCU\..\Run: [amigo] C:\Documents and Settings\OK\Local Settings\Application Data\Amigo\Application\amigo.exe --no-startup-window
O4 - HKCU\..\Run: [setupsk] C:\Documents and Settings\OK\Application Data\setupsk\python\pythonw.exe "C:\DOCUME~1\OK\APPLIC~1\setupsk\ml.py" --APPNAME="setupsk"
O4 - HKCU\..\Run: [setupsk_upd] C:\Documents and Settings\OK\Application Data\setupsk_upd\python\pythonw.exe "C:\DOCUME~1\OK\APPLIC~1\SETUPS~1\ml.py" --APPNAME="setupsk_upd"
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
[/code]

6. Ecли вы не переводите с иероглифов, то пофиксите в HiJackThis
[code]
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
[/code]

7.[b]Временно отключите [url=https://virusinfo.info/showthread.php?t=130828]защитное ПО[/url][/b].

Выполните скрипт [url=https://virusinfo.info/showthread.php?t=7239]AVZ[/url].
[code]
begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
TerminateProcessByName('C:\Documents and Settings\OK\Local Settings\Application Data\Amigo\Application\47.5.2526.173\amigo_cr.exe');
QuarantineFile('C:\Documents and Settings\OK\Application Data\Microsoft\msi.exe','');
QuarantineFile('C:\DOCUME~1\OK\APPLIC~1\SETUPS~1\ml.py','');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','setupsk');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','setupsk_upd');
DeleteFile('C:\DOCUME~1\OK\APPLIC~1\SETUPSK\ml.py','32');
DeleteFileMask('C:\DOCUME~1\OK\APPLIC~1\SETUPSK','*',true);
DeleteDirectory('C:\DOCUME~1\OK\APPLIC~1\SETUPSK');

DeleteFile('C:\Documents and Settings\OK\Local Settings\Application Data\Amigo\Application\amigo.exe','32');
DeleteFileMask('C:\Documents and Settings\OK\Local Settings\Application Data\Amigo','*',true);
DeleteDirectory('C:\Documents and Settings\OK\Local Settings\Application Data\Amigo');
DeleteFile('C:\WINDOWS\Tasks\MSI.job','32');
DeleteFile('C:\Documents and Settings\OK\Application Data\Microsoft\msi.exe','32');
DelBHO('{92780B25-18CC-41C8-B9BE-3C9C571A8263}');
DelBHO('{2BC46CFA-4B00-4193-A7BD-6AD1D0BCB5BC}');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(2);
ExecuteRepair(3);
ExecuteRepair(4);
ExecuteRepair(21);
ExecuteWizard('TSW',2,3,true);
ExecuteWizard('SCU',2,2,true);
BC_Activate;
RebootWindows(true);
end.
[/code]
Компьютер перезагрузится.
Выполните скрипт [url=https://virusinfo.info/showthread.php?t=7239]AVZ[/url].
[code]
begin
CreateQurantineArchive(GetAVZDirectory +'quarantine.zip');
end.
[/code]
8. Пришлите архив карантина из папки AVZ.

9. Сделайте новые логи программой [url=https://virusinfo.info/content.php?r=136-pravila]Autologger[/url] и пришлите их.

10. Сделайте лог утилитой [url=https://virusinfo.info/showthread.php?t=146192]AdwCleaner[/url] и пришлите его.

11. Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]http://i739.photobucket.com/albums/xx33/emeraldnzl/FRST%20Console%20with%2090days.jpg[/img]

Инструкция по удалению вложений [url=https://virusinfo.info/showthread.php?t=130567]Как удалить вложения?[/url]

1. Удалите в [url=https://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

2. [list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
CloseProcesses:
HKLM\...\Run: [] => [X]
HKU\S-1-5-21-1978620219-991133833-649305476-1006\...\Run: [AdobeBridge] => [X]
GroupPolicyScripts: Restriction <======= ATTENTION
URLSearchHook: [S-1-5-21-1978620219-991133833-649305476-1006] ATTENTION => Default URLSearchHook is missing
FF Plugin: adobe.com/AdobeAAMDetect -> C:\Program Files\Common Files\Adobe\OOBE\PDApp\CCM\Utilities\npAdobeAAMDetect32.dll [No File]
OPR Extension: (No Name) - C:\Documents and Settings\OK\Application Data\Opera Software\Opera Stable\Extensions\ahggfmgiidlaceichjfemgbaggnbaloe [2017-06-20]
U3 rpcapd; "%ProgramFiles%\WinPcap\rpcapd.exe" -d -f "%ProgramFiles%\WinPcap\rpcapd.ini" [X]
S3 4F9504038E556F38; \??\C:\WINDOWS\TEMP\123B9495.sys [X]
S3 4F95CCCB9D2CEB38; \??\C:\WINDOWS\TEMP\137F788C.sys [X]
S3 4F95D3468C7CCE38; \??\C:\WINDOWS\TEMP\9B0D997C.sys [X]
S3 4F95DAE246A4FFB8; \??\C:\WINDOWS\TEMP\129D74BA.sys [X]
S3 motmodem; system32\DRIVERS\motmodem.sys [X]
UmmyVideoDownloader (HKLM\...\{E028DBDA-EEE7-48A0-ADF7-D250589A02C5}_is1) (Version: 1.7.2.8 - ) <==== ATTENTION
HKU\S-1-5-21-1978620219-991133833-649305476-1006_Classes\CLSID\{BDDB1235-A314-A455-7208-94FE1EFD53A7}\InprocServer32 -> no filepath
ShortcutWithArgument: C:\Documents and Settings\All Users\Главное меню\Программы\Стандартные\Служебные\Назначенные задания.lnk -> C:\WINDOWS\explorer.exe (Корпорация Майкрософт) -> ::{20D04FE0-3AEA-1069-A2D8-08002B30309D}\::{21EC2020-3AEA-1069-A2DD-08002B30309D}\::{D6277990-4C6A-11CF-8D87-00AA0060F5BF} <===== Cyrillic
ShortcutWithArgument: C:\Documents and Settings\All Users\Главное меню\Программы\Стандартные\Связь\Сетевые подключения.lnk -> C:\WINDOWS\explorer.exe (Корпорация Майкрософт) -> ::{20D04FE0-3AEA-1069-A2D8-08002B30309D}\::{21EC2020-3AEA-1069-A2DD-08002B30309D}\::{7007acc7-3202-11d1-aad2-00805fc1270e} <===== Cyrillic
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\68861327.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\MBAMService => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\NanoServiceMain => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\PSUAService => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wdf01000.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\68861327.sys => ""="Driver"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\MBAMService => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\NanoServiceMain => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\PSUAService => ""="Service"
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\Wdf01000.sys => ""="Driver"
EmptyTemp:
[/code][*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]

3. Вы установили антивирус [b]Panda Security[/b], тогда удалите другие антивирусы, остатки зачистите [b]CCleaner-ом[/b].

Здравствуйте! Большое спасибо за ваш ответ и пошаговую инструкцию! Подготовил логи, но при их отправки появилась следующая ошибка:
The following errors occurred:

CollectionLog-2017.06.22-13.07.zip: 48.3 Кб превысил(а) предел на форуме. <a href="misc.php?do=attachments" target="_blank">Нажмите здесь для просмотра ваших вложений</a>

Как удалить мои старые логи? Спасибо.

[COLOR=silver]- - - - -Добавлено - - - - -[/COLOR]

Добрый день! Проделал все шаги, прилагаю запрашиваемые логи (нашел способ удалить свои старые логи на вашем сервере). Часть угроз удалось устранить до получения вашего ответа. С уважением, Олег.

Здравствуйте! Из замеченных аномальностей:

1.При безопасном извлечении устройства сообщений о том, что устройство можно (или нельзя) извлечь, не появляется.
2. Пару-тройку раз выскочил Мастер установки нового оборудования, собираясь установить неизвестное оборудование (желтый вопросительный знак), никакого нового оборудования подсоединено не было.
3. В браузере Firefox - появился звук при получении нового сообщения. Некоторые страницы не открываются, например: [url]https://download.esetnod32.ru/home/trial/10/eav_trial_rus.exe[/url] - ошибка: 400 Bad Request, Request Header Or Cookie Too Large (хотя эту страницу можно открыть, например, в Opera). Исчез плагин расшифровки контента Primetime, предоставленный Adobe Systems, Incorporated, - есть сообщение, что он "скоро будет установлен", но вот уже четвёртый день в напрасном ожидании. Прошу помочь.
P.S. Насколько безопасно в настоящий момент войти в Сбербанк-онлайн, чтобы оплатить коммуналку?
P.P.S. Уточнение, Мастер установки нового оборудования появляется при включении компьютера (никакое новое оборудование к нему не подключено).