Всем привет. Качал программу, она оказалась с вирусами, наустанавливалось много всего, появились лишние процессы, появляется реклама. Частично я все удалил, но чувствую что не до конца. Помогите мне пожалуйста.
Printable View
Всем привет. Качал программу, она оказалась с вирусами, наустанавливалось много всего, появились лишние процессы, появляется реклама. Частично я все удалил, но чувствую что не до конца. Помогите мне пожалуйста.
Уважаемый(ая) [B]Владислав Ефимов[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Проблема актуальна
[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
QuarantineFile(' C:\Users\stepa\AppData\Roaming\tmp546.dat', '');
QuarantineFile('C:\PROGRA~2\ONESYS~1\SYSTEM~1.EXE', '');
QuarantineFile('C:\Program Files\4N66LRWLVL\4N66LRWLV.exe', '');
QuarantineFile('C:\Program Files\77Z610A8PB\77Z610A8P.exe', '');
QuarantineFile('C:\Program Files\7HLDV93YEL\7HLDV93YE.exe', '');
QuarantineFile('C:\Users\stepa\AppData\Roaming\anvtm15lhth\trecqqlh14x.exe', '');
QuarantineFile('C:\Users\stepa\AppData\Roaming\huiu5drajgg\5rftgxrrrid.exe', '');
QuarantineFile('C:\Users\stepa\AppData\Roaming\qorjks0mz1z\wimwzkrk25w.exe', '');
QuarantineFile('C:\Users\stepa\AppData\Roaming\w1mgkpl2dbw\w5v5ggz40j2.exe', '');
QuarantineFile('C:\WINDOWS\264652688f3a61c4275416ec6b3f300d.exe', '');
QuarantineFile('C:\WINDOWS\system32\drivers\3ca61690e442944773fcb6fba4d9101c.sys', '');
QuarantineFile('D:\Programs\ReiBoot\AdService.exe', '');
DeleteFile(' C:\Users\stepa\AppData\Roaming\tmp546.dat');
DeleteFile('C:\PROGRA~2\ONESYS~1\SYSTEM~1.EXE', '32');
DeleteFile('C:\Program Files\4N66LRWLVL\4N66LRWLV.exe', '32');
DeleteFile('C:\Program Files\77Z610A8PB\77Z610A8P.exe', '32');
DeleteFile('C:\Program Files\7HLDV93YEL\7HLDV93YE.exe', '32');
DeleteFile('C:\Users\stepa\AppData\Roaming\anvtm15lhth\trecqqlh14x.exe', '32');
DeleteFile('C:\Users\stepa\AppData\Roaming\huiu5drajgg\5rftgxrrrid.exe', '32');
DeleteFile('C:\Users\stepa\AppData\Roaming\qorjks0mz1z\wimwzkrk25w.exe', '32');
DeleteFile('C:\Users\stepa\AppData\Roaming\w1mgkpl2dbw\w5v5ggz40j2.exe', '32');
DeleteFile('D:\Programs\ReiBoot\AdService.exe', '32');
ExecuteFile('schtasks.exe', '/delete /TN "{78790547-0B0E-0A04-7E11-0E0D0C041108}" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "OneSystemCare Task" /F', 0, 15000, true);
DeleteService('ReiBootAdService');
DeleteFileMask('c:\progra~2\onesys~1', '*', true);
DeleteFileMask('c:\program files\4n66lrwlvl', '*', true);
DeleteFileMask('c:\program files\77z610a8pb', '*', true);
DeleteFileMask('c:\program files\7hldv93yel', '*', true);
DeleteFileMask('c:\users\stepa\appdata\roaming\anvtm15lhth', '*', true);
DeleteFileMask('c:\users\stepa\appdata\roaming\huiu5drajgg', '*', true);
DeleteFileMask('c:\users\stepa\appdata\roaming\qorjks0mz1z', '*', true);
DeleteFileMask('c:\users\stepa\appdata\roaming\w1mgkpl2dbw', '*', true);
DeleteFileMask('d:\programs\reiboot', '*', true);
DeleteDirectory('c:\progra~2\onesys~1');
DeleteDirectory('c:\program files\4n66lrwlvl');
DeleteDirectory('c:\program files\77z610a8pb');
DeleteDirectory('c:\program files\7hldv93yel');
DeleteDirectory('c:\users\stepa\appdata\roaming\anvtm15lhth');
DeleteDirectory('c:\users\stepa\appdata\roaming\huiu5drajgg');
DeleteDirectory('c:\users\stepa\appdata\roaming\qorjks0mz1z');
DeleteDirectory('c:\users\stepa\appdata\roaming\w1mgkpl2dbw');
DeleteDirectory('d:\programs\reiboot');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', '3218994');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', '6405813');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', '672I95UFZFNF4SV');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', '9490535');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', '951162');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'RBB7RLY08SCWBWY');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'RMRUG6EZJ15OHU8');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше все в одном архиве).
[b]Vvvyg[/b], все сделал
Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]CreateRestorePoint:
HKLM\...\Run: [SERVICE] => [X]
ShellExecuteHooks: No Name - {5F51FFFE-7463-4220-B711-E5B9ACB8EDFE} - C:\Users\stepa\AppData\Roaming\tmp546.dat -> No File
Startup: C:\Users\stepa\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Sidebar978.lnk [2017-10-23]
CHR HomePage: Default -> inline.go.mail.ru
CHR StartupUrls: Default -> "hxxp://mail.ru/cnt/10445?gp=821115"
CHR DefaultSearchURL: Default -> hxxp://go.mail.ru/distib/ep/?q={searchTerms}&fr=ntg&product_id=%7B4B8DAC37-DC6B-4725-AEF1-3072915E1FD4%7D&gp=821116
CHR DefaultSearchKeyword: Default -> go.mail.ru
CHR DefaultSuggestURL: Default -> hxxp://suggests.go.mail.ru/ff3?q={searchTerms}
CHR HKLM-x32\...\Chrome\Extension: [bhjhnafpiilpffhglajcaepjbnbjemci] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [enafhpjmlnpmbdnbpjkihmadnkfnpiim] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [hcadgijmedbfgciegjomfpjcdchlhnif] - hxxps://clients2.google.com/service/update2/crx
S3 mracsvc; C:\WINDOWS\System32\mracsvc.exe [6010584 2017-10-31] (LLC Mail.Ru)
S3 mracdrv; C:\WINDOWS\System32\drivers\mracdrv.sys [5238296 2017-10-31] (LLC Mail.Ru)
2017-10-30 18:25 - 2017-10-30 18:25 - 002263814 _____ C:\Users\stepa\Desktop\0f1b78f01f490cb0abd85d5589f3ec63.psd
2017-10-30 18:23 - 2017-10-30 18:23 - 000000000 ____D C:\Users\stepa\AppData\Local\Tempzxpsign367ee817f0486783
2017-10-30 18:17 - 2017-10-30 18:17 - 000000000 ____D C:\Users\stepa\AppData\Local\Tempzxpsignd823918afe642133
2017-10-30 18:17 - 2017-10-30 18:17 - 000000000 ____D C:\Users\stepa\AppData\Local\Tempzxpsign92c10898288b01d1
2017-10-30 18:17 - 2017-10-30 18:17 - 000000000 ____D C:\Users\stepa\AppData\Local\Tempzxpsign8b4f872b82573893
2017-10-30 18:17 - 2017-10-30 18:17 - 000000000 ____D C:\Users\stepa\AppData\Local\Tempzxpsign4912fdfd8826dff2
2017-10-30 17:29 - 2017-10-31 14:41 - 006010584 _____ (LLC Mail.Ru) C:\WINDOWS\system32\mracsvc.exe
2017-10-30 17:29 - 2017-10-31 14:41 - 005238296 _____ (LLC Mail.Ru) C:\WINDOWS\system32\Drivers\mracdrv.sys
2017-10-26 12:42 - 2017-10-26 12:42 - 000000000 ____D C:\Users\stepa\AppData\Local\Tempzxpsign2a068ede9a7764b2
2017-10-26 10:40 - 2017-10-26 10:40 - 000000000 ____D C:\Users\stepa\AppData\Local\Tempzxpsignb44812ea4d23e8f6
2017-10-26 10:39 - 2017-10-26 10:39 - 000000000 ____D C:\Users\stepa\AppData\Local\Tempzxpsign68c4f16dd2722f7b
2017-10-26 10:39 - 2017-10-26 10:39 - 000000000 ____D C:\Users\stepa\AppData\Local\Tempzxpsign083d82b5c59b80a7
2017-10-26 10:15 - 2017-10-26 10:15 - 000000000 ____D C:\Users\stepa\AppData\Local\Tempzxpsignf95b1b19354a95e4
2017-10-26 10:15 - 2017-10-26 10:15 - 000000000 ____D C:\Users\stepa\AppData\Local\Tempzxpsignc37fd8bb69d62947
2017-10-26 10:15 - 2017-10-26 10:15 - 000000000 ____D C:\Users\stepa\AppData\Local\Tempzxpsignb026da25820e81ab
2017-10-26 10:15 - 2017-10-26 10:15 - 000000000 ____D C:\Users\stepa\AppData\Local\Tempzxpsign1188000b02aff1dc
2017-10-18 12:27 - 2017-10-18 12:27 - 000278528 _____ C:\WINDOWS\264652688f3a61c4275416ec6b3f300d.exe
2017-10-18 12:27 - 2017-10-18 12:27 - 000115336 _____ (9YJ6OY) C:\WINDOWS\system32\Drivers\3ca61690e442944773fcb6fba4d9101c.sys
2017-10-02 20:20 - 2017-10-02 20:20 - 000000000 ____D C:\Users\stepa\AppData\Local\Tempzxpsign21d0bb7d3161bf2c
2017-10-02 20:20 - 2017-10-02 20:20 - 000000000 ____D C:\Users\stepa\AppData\Local\Tempzxpsign15445c0e17c91783
2017-10-02 20:20 - 2017-10-02 20:20 - 000000000 ____D C:\Users\stepa\AppData\Local\Tempzxpsign06600607552349f1
2017-10-16 15:50 - 2017-05-13 07:45 - 000000000 __SHD C:\$360Section
2017-10-18 22:52 - 2017-05-04 01:29 - 000000000 ____D C:\Program Files (x86)\360
Task: {250ADAE7-AA67-47DF-9E11-06503DE04600} - System32\Tasks\LaCieS => C:\Disk\WebService.exe
Task: {54610F01-EAA6-4477-BA21-8C0A70C4EE00} - System32\Tasks\ShadowsocksS => C:\Applications\Service.exe
HKU\S-1-5-21-198893244-3258384507-1163237790-1001\...\StartupApproved\Run: => "3218994"
HKU\S-1-5-21-198893244-3258384507-1163237790-1001\...\StartupApproved\Run: => "6405813"
HKU\S-1-5-21-198893244-3258384507-1163237790-1001\...\StartupApproved\Run: => "951162"
HKU\S-1-5-21-198893244-3258384507-1163237790-1001\...\StartupApproved\Run: => "9490535"
HKU\S-1-5-21-198893244-3258384507-1163237790-1001\...\StartupApproved\Run: => "672I95UFZFNF4SV"
HKU\S-1-5-21-198893244-3258384507-1163237790-1001\...\StartupApproved\Run: => "RMRUG6EZJ15OHU8"
HKU\S-1-5-21-198893244-3258384507-1163237790-1001\...\StartupApproved\Run: => "RBB7RLY08SCWBWY"
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], в FRST нажмите один раз [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
[URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кэш и cookies-файлы браузеров[/URL] и сообщите, что с проблемой.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\stepa\appdata\roaming\tmp546.dat - [B]Trojan.Win64.BitMiner.acf[/B][*] c:\windows\system32\drivers\3ca61690e442944773fcb6fba4d9101c.sys - [B]not-a-virus:HEUR:AdWare.Win32.Wajam.gen[/B][/LIST][/LIST]