На компе куча вирусов. [not-a-virus:RiskTool.Win64.BitCoinMiner.cwo, Trojan.Win32.SelfDel.fzzy ]

Как часто бывает, девушка решила что-то скачать. Скачала не то что нужно, и десятки программ хлынули ко мне на комп.
Помогите разобраться, пожалуйста.

Логи прикрепляю, заранее спасибо.

Уважаемый(ая) [B]parkour1994[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Алло, меня слышно?

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
TerminateProcessByName('c:\users\Кисонька\appdata\local\etdctrl\etdctrl.exe');
TerminateProcessByName('c:\windows\mssecsvc.exe');
TerminateProcessByName('c:\windows\microsoft\svchost.exe');
TerminateProcessByName('C:\Windows\Microsoft\svchost.exe.exe');
TerminateProcessByName('C:\Program Files\UBar\ubar.exe');
TerminateProcessByName('c:\users\Кисонька\appdata\local\yc\application\yc.exe');
StopService('mssecsvc2.0');
StopService('SvcHost Service Host');
QuarantineFile('c:\users\Кисонька\appdata\local\etdctrl\etdctrl.exe', '');
QuarantineFile('c:\windows\mssecsvc.exe', '');
QuarantineFile('c:\windows\microsoft\svchost.exe', '');
QuarantineFile('C:\Windows\Microsoft\svchost.exe.exe', '');
QuarantineFile('C:\Program Files\UBar\ubar.exe', '');
QuarantineFile('c:\users\Кисонька\appdata\local\yc\application\yc.exe', '');
QuarantineFile('C:\Users\Кисонька\AppData\LocalLow\SearchGo\searchgo.dll', '');
QuarantineFile('C:\Users\6620~1\AppData\Roaming\curl\curl_7_54.exe', '');
QuarantineFile('http:\amtomil.ru\f.exe', '');
QuarantineFile('C:\Users\6620~1\AppData\Roaming\curl\curl.exe', '');
QuarantineFile('C:\Users\Кисонька\AppData\Roaming\Microsoft\msi.exe', '');
QuarantineFile('C:\Users\Кисонька\AppData\Local\SearchGo\searchgo.exe', '');
QuarantineFile('C:\Users\Кисонька\AppData\Local\wupdate\wupdate.exe', '');
DeleteFile('c:\users\Кисонька\appdata\local\etdctrl\etdctrl.exe', '32');
DeleteFile('c:\windows\mssecsvc.exe', '32');
DeleteFile('c:\windows\microsoft\svchost.exe', '32');
DeleteFile('C:\Windows\Microsoft\svchost.exe.exe', '32');
DeleteFile('C:\Program Files\UBar\ubar.exe', '32');
DeleteFile('c:\users\Кисонька\appdata\local\yc\application\yc.exe', '32');
DeleteFile('C:\Users\Кисонька\AppData\Local\yc\Application\56.0.2924.76\chrome_elf.dll', '32');
DeleteFile('C:\Users\Кисонька\AppData\Local\yc\Application\56.0.2924.76\chrome_child.dll', '32');
DeleteFile('C:\Users\Кисонька\AppData\Local\yc\Application\56.0.2924.76\chrome.dll', '32');
DeleteFile('C:\Users\Кисонька\AppData\Local\yc\Application\56.0.2924.76\libglesv2.dll', '32');
DeleteFile('C:\Users\Кисонька\AppData\Local\yc\Application\56.0.2924.76\libegl.dll', '32');
DeleteFile('C:\Users\Кисонька\AppData\LocalLow\SearchGo\searchgo.dll', '32');
DeleteFile('C:\Users\6620~1\AppData\Roaming\curl\curl_7_54.exe', '32');
DeleteFile('http:\amtomil.ru\f.exe', '32');
DeleteFile('C:\Users\6620~1\AppData\Roaming\curl\curl.exe', '32');
DeleteFile('C:\Users\Кисонька\AppData\Roaming\Microsoft\msi.exe', '32');
DeleteFile('C:\Users\Кисонька\AppData\Local\SearchGo\searchgo.exe', '32');
DeleteFile('C:\Users\Кисонька\AppData\Local\wupdate\wupdate.exe', '32');
DeleteService('mssecsvc2.0');
DeleteService('SvcHost Service Host');
DeleteFileMask('c:\users\кисонька\appdata\local\etdctrl', '*', true);
DeleteFileMask('c:\program files\ubar', '*', true);
DeleteFileMask('c:\users\кисонька\appdata\local\yc', '*', true);
DeleteFileMask('c:\users\кисонька\appdata\locallow\searchgo', '*', true);
DeleteFileMask('c:\users\6620~1\appdata\roaming\curl', '*', true);
DeleteFileMask('c:\users\кисонька\appdata\local\searchgo', '*', true);
DeleteFileMask('c:\users\кисонька\appdata\local\wupdate', '*', true);
DeleteDirectory('c:\program files\ubar');
DeleteDirectory('c:\users\кисонька\appdata\local\yc');
DeleteDirectory('c:\users\кисонька\appdata\locallow\searchgo');
DeleteDirectory('c:\users\6620~1\appdata\roaming\curl');
DeleteDirectory('c:\users\кисонька\appdata\local\searchgo');
DeleteDirectory('c:\users\кисонька\appdata\local\wupdate');
DelBHO('{598AEFC6-DD3C-4A63-9AC3-53FCF6155931}');
DelBHO('{2BC46CFA-4B00-4193-A7BD-6AD1D0BCB5BC}');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "curl" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "curls" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "etdctrl" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "MSI" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "SearchGo Task" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "USER_ESRV_SVC_QUEENCREEK" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "wupdate" /F', 0, 15000, true);
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'ycAutoLaunch_25AB3C854CE7E130A0B337314182717A');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'cbyqmxphmg');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Сделайте новый лог Autologger.

Сделайте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]Malwarebytes AdwCleaner[/URL].

Шифровальщик WannaCry был активен во время сбора логов, последствия есть?
[URL="https://support.microsoft.com/ru-ru/help/4012598/title"]MS17-010: Описание обновления безопасности для Windows SMB Server[/URL] - срочно устанавливайте, причём на всех компьютерах в сети, если их несколько.

Прикрепляю логи и Карантин.

Выполните скрипт в AVZ:[CODE]begin
ClearQuarantine;
StopService('AppFrameHost');
QuarantineFile('C:\Windows\system32\AppFrameHost.exe', '');
QuarantineFile('C:\Users\Кисонька\AppData\Roaming\Microsoft\msi.exe', '');
DeleteFile('C:\Windows\system32\AppFrameHost.exe', '32');
DeleteFile('C:\Users\Кисонька\AppData\Roaming\Microsoft\msi.exe', '32');
DeleteService('AppFrameHost');
ExecuteFile('schtasks.exe', '/delete /TN "MSI" /F', 0, 15000, true);
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
RebootWindows(true);
end.[/CODE]
Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше все в одном архиве).

Сделал, высылаю.

Запустите FRST/FRST64. В окне программы нажмите комбинацию Ctrl+Y - откроется Блокнот. Скопируйте в него следующий код:[CODE]CreateRestorePoint:
Tcpip\..\Interfaces\{BB67FAB0-CD65-4AC7-BBD0-BB4315B705D8}: [NameServer] 52.56.51.39,178.132.6.57,46.101.28.31,82.202.226.203,193.238.153.54
SearchScopes: HKU\S-1-5-21-2971730060-1528131440-2195473362-1000 -> DefaultScope {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={searchTerms}&fr=ntg&product_id=%7B4A1A5302-093C-4CD0-95A7-8B2CD25591FB%7D&gp=831127
SearchScopes: HKU\S-1-5-21-2971730060-1528131440-2195473362-1000 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={searchTerms}&fr=ntg&product_id=%7B4A1A5302-093C-4CD0-95A7-8B2CD25591FB%7D&gp=831127
CHR StartupUrls: Default -> "hxxp://mail.ru/cnt/10445?gp=831123"
CHR HomePage: Default -> distrinline.com
CHR HKLM-x32\...\Chrome\Extension: [bfdfkpmnpnokkjocgimlgmjhhokkbnoh] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [damkpleomkdhknamfiiopjapahooeegi] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [indjgiebmakhmnaplnlnanodkfiejfjd] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [jecppljlbjojndhjnkcmphdklpbkbahl] - hxxps://clients2.google.com/service/update2/crx
2017-08-14 01:51 - 2017-08-14 01:51 - 000000000 ____D C:\Users\Кисонька\.zaxargamesteam
2017-08-14 01:50 - 2017-08-14 01:50 - 000000000 ____D C:\Users\Кисонька\.ZaxarGameBrowser
2017-08-14 01:51 - 2017-08-14 01:51 - 000000000 ____D C:\Users\Кисонька\.zaxargamesteam
2017-08-14 01:50 - 2017-08-14 01:50 - 000000000 ____D C:\Users\Кисонька\.ZaxarGameBrowser
2017-08-14 00:01 - 2017-08-14 00:01 - 000969024 _____ C:\Windows\system32\AppFrameHost.exe
2017-08-14 00:01 - 2017-08-14 00:01 - 000000000 ____D C:\Users\Кисонька\AppData\Local\yc
2017-08-13 23:58 - 2017-08-14 22:53 - 000000000 ____D C:\Users\Кисонька\AppData\Local\etdctrl
2017-07-20 16:16 - 2017-08-13 16:57 - 003514368 ____S C:\Windows\qeriuwjhrf
2017-07-21 15:13 - 2017-07-08 23:05 - 000000445 _____ C:\Windows\system32\Drivers\etc\hosts.ics
2017-08-13 23:51 - 2017-08-13 23:51 - 001754080 __RSH () C:\Users\Кисонька\AppData\Roaming\Microsoft\msi.exe
Task: {CA6D454B-994A-425F-81E8-62EFC152CC54} - System32\Tasks\MSI => C:\Users\Кисонька\AppData\Roaming\Microsoft\msi.exe [2017-08-13] ()
C:\Users\Кисонька\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk
C:\Users\Кисонька\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Вoйти в Интeрнeт.lnk
FirewallRules: [{F27486AA-95B1-4B04-B92D-5BFE5B645A43}] => (Allow) C:\Program Files\UBar\ubar.exe
FirewallRules: [{267A98B3-354D-4863-AE8E-D41816297A27}] => (Allow) C:\Users\Кисонька\AppData\Local\yc\Application\yc.exe
CMD: ipconfig /flushdns
Reboot:[/CODE]
Сохраните (Ctrl+S) и закройте.
В FRST нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

На комбинации клавиш ничего не работала.
Ни на игрек, ни на ктрл + S.

Создал блокнот с подходящим названием, и закинул ваш код.

Итог смотрите.

Что с проблемой?

Всё так же, без изменений.

Скачайте утилиту Universal Virus Sniffer [URL="https://yadi.sk/d/6A65LkI1WEuqC"]отсюда[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url].

Не могу добавить файл, ибо у меня кончилось место в менеджере загрузок.
Можно их как-то очистить?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Было сложно, но я это сделал.
Прикрепляю отчёт.

Вирусов нет, возможно, какие-то расширения шалят.

Скопируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):[code];uVS v4.0.9 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
deltmp
;---------command-block---------
delref HTTP://MAIL.RU/CNT/10445?GP=831123
delref %SystemDrive%\USERS\КИСОНЬКА\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\JECPPLJLBJOJNDHJNKCMPHDKLPBKBAHL\12.0.35_0\NEW TAB PAGE
delref %SystemDrive%\USERS\КИСОНЬКА\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\BFDFKPMNPNOKKJOCGIMLGMJHHOKKBNOH\12.0.37_0\SEARCH
apply
restart[/code]
Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.
Компьютер перезагрузится.

Если не поможет - отключите расширения в Chrome, в первую очередь связанные с соцсетями. Если не пропадёт реклама - отключайте все, подключайте по одному, проверяйте эффект. Понять, какое виновато можно только перебором.
Сообщите результат.

Ничего не помогло.
Всё осталось так же.
Кроме адблока ничего не стоит из расширений.

Удалите Adblock, его как раз часто подменяют.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\6620~1\appdata\roaming\curl\curl_7_54.exe - [B]UDS:DangerousObject.Multi.Generic[/B][*] c:\windows\microsoft\svchost.exe - [B]Trojan.Win32.SelfDel.fzzy[/B][*] c:\windows\microsoft\svchost.exe.exe - [B]not-a-virus:RiskTool.Win64.BitCoinMiner.cwo[/B][*] c:\windows\mssecsvc.exe - [B]Trojan-Ransom.Win32.Wanna.m[/B] ( BitDefender: Gen:Variant.Symmi.53623 )[/LIST][/LIST]