Компьютер перестал тянуть игры [not-a-virus:RiskTool.Win32.BitCoinMiner.wyw, not-a-virus:AdWare.Win32.RuKoma.cp ]

Printable View

Показывать 40 сообщений этой темы на одной странице

01.06.2018, 18:47
admiral204

Компьютер перестал тянуть игры [not-a-virus:RiskTool.Win32.BitCoinMiner.wyw, not-a-virus:AdWare.Win32.RuKoma.cp ]

Компьютер был в отключке долгое время, блок питания полетел, купил новый, включил, начала выскакивать реклама и компьютер перестал тянуть игры.
[ATTACH=CONFIG]671799[/ATTACH]
01.06.2018, 18:48
Info_bot

Уважаемый(ая) [B]admiral204[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
03.06.2018, 05:33
SQ

Здравствуйте,

HiJackThis (из каталога [B]autologger[/B])[URL=http://virusinfo.info/showthread.php?t=4491&p=64376&viewfull=1#post64376]профиксить[/URL]
[CODE]
R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Default_Page_URL] = http://www.v9.com?type=hp&ts=1433408228&from=mych123&uid=st500dm002-1bd142_s2a27h47xxxxs2a27h47&z=37cbcbbcca55d0a5b418ff9g8z3c7c6zde6b0o0o4t
R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Default_Search_URL] = http://search.delta-homes.com/web/?type=ds&ts=1419322123&from=wpm12233&uid=ST500DM002-1BD142_S2A27H47XXXXS2A27H47&q={searchTerms}
R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Search Bar] = http://webalta.ru/search
R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Search Page] = http://search.delta-homes.com/web/?type=ds&ts=1419322123&from=wpm12233&uid=ST500DM002-1BD142_S2A27H47XXXXS2A27H47&q={searchTerms}
R0 - HKCU\Software\Microsoft\Internet Explorer\Search: [SearchAssistant] = http://webalta.ru/search
R0 - HKLM\Software\Microsoft\Internet Explorer\Main: [Default_Page_URL] = http://www.v9.com?type=hp&ts=1433408228&from=mych123&uid=st500dm002-1bd142_s2a27h47xxxxs2a27h47&z=37cbcbbcca55d0a5b418ff9g8z3c7c6zde6b0o0o4t
R0 - HKLM\Software\Microsoft\Internet Explorer\Main: [Default_Search_URL] = http://istart.webssearches.com/web/?type=ds&ts=1410717235&from=scl&uid=ST500DM002-1BD142_S2A27H47XXXXS2A27H47&q={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Main: [Search Page] = http://istart.webssearches.com/web/?type=ds&ts=1410717235&from=scl&uid=ST500DM002-1BD142_S2A27H47XXXXS2A27H47&q={searchTerms}
R0 - HKU\.DEFAULT\Software\Microsoft\Internet Explorer\Main: [Default_Page_URL] = http://www.v9.com?type=hp&ts=1433408228&from=mych123&uid=st500dm002-1bd142_s2a27h47xxxxs2a27h47&z=37cbcbbcca55d0a5b418ff9g8z3c7c6zde6b0o0o4t
R0 - HKU\S-1-5-19\Software\Microsoft\Internet Explorer\Main: [Default_Page_URL] = http://www.v9.com?type=hp&ts=1433408228&from=mych123&uid=st500dm002-1bd142_s2a27h47xxxxs2a27h47&z=37cbcbbcca55d0a5b418ff9g8z3c7c6zde6b0o0o4t
R0 - HKU\S-1-5-20\Software\Microsoft\Internet Explorer\Main: [Default_Page_URL] = http://www.v9.com?type=hp&ts=1433408228&from=mych123&uid=st500dm002-1bd142_s2a27h47xxxxs2a27h47&z=37cbcbbcca55d0a5b418ff9g8z3c7c6zde6b0o0o4t
R0-32 - HKLM\Software\Microsoft\Internet Explorer\Main: [Default_Page_URL] = http://www.v9.com?type=hp&ts=1433408228&from=mych123&uid=st500dm002-1bd142_s2a27h47xxxxs2a27h47&z=37cbcbbcca55d0a5b418ff9g8z3c7c6zde6b0o0o4t
R0-32 - HKLM\Software\Microsoft\Internet Explorer\Main: [Default_Search_URL] = http://istart.webssearches.com/web/?type=ds&ts=1410717235&from=scl&uid=ST500DM002-1BD142_S2A27H47XXXXS2A27H47&q={searchTerms}
R0-32 - HKLM\Software\Microsoft\Internet Explorer\Main: [Search Page] = http://istart.webssearches.com/web/?type=ds&ts=1410717235&from=scl&uid=ST500DM002-1BD142_S2A27H47XXXXS2A27H47&q={searchTerms}
R3-32 - HKLM\..\URLSearchHooks: (no name) - - (no file)
R4 - SearchScopes: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\9D562DBAE031F6B7F4E2C0D39C10C7B8 [URL] = http://istart.webssearches.com/web/?type=ds&ts=1410717235&from=scl&uid=ST500DM002-1BD142_S2A27H47XXXXS2A27H47&q={searchTerms} - webssearches
R4 - SearchScopes: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3C} [URL,SuggestionsURL,SuggestionsURLFallback] = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&text={searchTerms} - yambler
R4 - SearchScopes: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} [URL] = http://search.babylon.com/?q={searchTerms}&affID=113348&tt=3412_8&babsrc=SP_ss_cr&mntrId=88b89eca000000000000a630faccaca4 - Search the web (Babylon)
R4 - SearchScopes: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{33BB0A4E-99AF-4226-BDF6-49120163DE86} [SuggestionsURL_JSON] = http://suggest.yandex.net/suggest-ff.cgi?part={searchTerms} - delta-homes
R4 - SearchScopes: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{33BB0A4E-99AF-4226-BDF6-49120163DE86} [URL] = http://search.delta-homes.com/web/?type=ds&ts=1419322123&from=wpm12233&uid=ST500DM002-1BD142_S2A27H47XXXXS2A27H47&q={searchTerms} - delta-homes
R4 - SearchScopes: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{538EDE72-E8EC-4A19-999D-102070C811B1} [URL] = http://www.mysearchresults.com/search?&c=3507&t=07&q={searchTerms} - Search Here
R4 - SearchScopes: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{61EB20A4-D4D5-4276-A2C9-DCCE8CE9F633} [URL] = http://webalta.ru/search?q={searchTerms}&from=IE - Webalta Search
R4 - SearchScopes: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b} [URL] = http://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT2396973 - MadLen.uCoz.coM Customized Web Search
R4 - SearchScopes: HKLM\Software\Microsoft\Internet Explorer\SearchScopes\{33BB0A4E-99AF-4226-BDF6-49120163DE86} [URL,TopResultURLFallback] = http://www.searchya.com/?q={searchTerms}&f=4&a=syd91&cd=2XzuyEtN2Y1L1Qzu0B0CyD0F0FyEtC0E0AtAzztAzy0E0C0AtN0D0Tzu0StCtCtAyEtN1L2XzutBtFtBtFyCtFtCtDzyyBtN1L1Czu0A1I1R1F1M1F1I0S1F1O2Z&cr=2142464103&ir= - SearchYa!
R4 - SearchScopes: HKLM\Software\Microsoft\Internet Explorer\SearchScopes\{739B4F6D-84DA-01FC-7B5C-141277DB1213} [URL] = http://istart.webssearches.com/web/?type=ds&ts=1410717235&from=scl&uid=ST500DM002-1BD142_S2A27H47XXXXS2A27H47&q={searchTerms} - webssearches
O2 - HKCU\..\BHO: DefaultTabBHO - {7F6AFBF1-E065-4627-A2FD-810366367D01} - (no file)
O2 - HKLM\..\BHO: VK OK AdBlock - {FF20459C-DA6E-41A7-80BC-8F4FEFD9C575} - (no file)
O2 - HKU\.DEFAULT\..\BHO: DefaultTabBHO - {7F6AFBF1-E065-4627-A2FD-810366367D01} - (no file)
O2-32 - HKLM\..\BHO: DefaultTabBHO - {7F6AFBF1-E065-4627-A2FD-810366367D01} - C:\Users\Богдан\AppData\Roaming\DefaultTab\DefaultTab\DefaultTabBHO.dll
O2-32 - HKLM\..\BHO: VK OK AdBlock - {FF20459C-DA6E-41A7-80BC-8F4FEFD9C575} - (no file)
O4 - HKCU\..\Run: [odgyryboqt] = C:\Windows\explorer.exe "http://granena.ru/?utm_source=uoua03n&utm_content=e739009bccd5f1e6d71a91bff5994529&utm_term=9036C2DC6DCDA2B94E8CE4707945E4C0&utm_d=20161201"
O4 - HKCU\..\Run: [Богдан] = C:\Windows\explorer.exe http://sd-steam.info
O4 - MSConfig\startupreg: ServerCore [command] = C:\Program Files (x86)\Application Installer\ServerCore.exe (HKLM) (2015/05/13)
O4 - MSConfig\startupreg: bzasftybzd [command] = C:\Windows\explorer.exe "http://anvidpa.ru/?utm_source=uoua03&utm_content=771b99ed44376525853071176b6bd882" (HKCU) (2015/05/13)
O4 - MSConfig\startupreg: kometaup [command] = C:\Users\Богдан\AppData\Local\Kometa\kometaup.exe --windows-start (file missing) (HKCU) (2015/05/13)
O4 - MSConfig\startupreg: mobilegeni daemon [command] = C:\Program Files (x86)\Mobogenie\DaemonProcess.exe (file missing) (HKLM) (2015/05/13)
O4 - MSConfig\startupreg: start [command] = C:\WINDOWS\TASKMAN.bat (HKLM) (2015/05/13)
O22 - Task: DefaultCheck - c:\Users\All Users\dtdata\R002.exe
O22 - Task: DefaultReg - c:\Users\All Users\dtdata\R001.exe
O22 - Task: SearchGo Task - C:\Users\Богдан\AppData\Local\SearchGo\searchgo.exe
O22 - Task: Steam-S-1-8-22-9865GUI - C:\Users\Богдан\AppData\Roaming\Steam\Reversed\steam.exe dtqrfg.
O22 - Task: Богдан - C:\Windows\system32\cmd.exe /c REG ADD HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /f /v Богдан /t REG_SZ /d "explorer.exe http://sd-steam.info"
[/CODE]

AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
DelBHO('{CCC7B152-1D8C-11E3-B2AD-F3EF3D58318D}');
DelBHO('{0C4CC089-D306-440D-9772-464E226F6539}');
DelBHO('{FF20459C-DA6E-41A7-80BC-8F4FEFD9C575}');
DelBHO('{7F6AFBF1-E065-4627-A2FD-810366367D01}');
DelBHO('{CCC7B159-1D8C-11E3-B2AD-F3EF3D58318D}');
QuarantineFile('C:\Users\Богдан\appdata\locallow\searchgo\searchgo.dll','');
QuarantineFile('C:\Users\Богдан\appdata\roaming\steam\reversed\steam.exe','');
QuarantineFile('C:\Users\Богдан\appdata\local\searchgo\searchgo.exe','');
QuarantineFile('C:\Users\Богдан\appdata\local\microsoft\start menu\вoйти в интeрнeт.exe','');
QuarantineFile('C:\Users\Богдан\AppData\Roaming\Steam\Reversed\steam.exe','');
QuarantineFile('C:\Users\Богдан\AppData\Local\SearchGo\searchgo.exe','');
QuarantineFile('c:\Users\All Users\dtdata\R001.exe','');
QuarantineFile('c:\Users\All Users\dtdata\R002.exe','');
QuarantineFile('C:\Program Files (x86)\SiteFinder\SiteFinder.dll','');
QuarantineFile('C:\Users\Богдан\AppData\Roaming\DefaultTab\DefaultTab\DefaultTabBHO.dll','');
QuarantineFile('C:\WINDOWS\TASKMAN.bat','');
QuarantineFile('C:\Program Files (x86)\Application Installer\ServerCore.exe','');
QuarantineFile('C:\Users\Богдан\AppData\Local\Kometa\kometaup.exe','');
QuarantineFile('C:\богдан\LMIGuardianEvt.dllLMIGuardianDll.dll','');
QuarantineFile('C:\богдан\Garena\safedrv.sys','');
DeleteFile('C:\Users\Богдан\AppData\Local\Kometa\kometaup.exe','32');
DeleteFile('C:\Program Files (x86)\Application Installer\ServerCore.exe','32');
DeleteFile('C:\WINDOWS\TASKMAN.bat','32');
DeleteFile('C:\Users\Богдан\AppData\Roaming\DefaultTab\DefaultTab\DefaultTabBHO.dll','32');
DeleteFile('C:\Program Files (x86)\SiteFinder\SiteFinder.dll','32');
ExecuteFile('schtasks.exe', '/delete /TN "DefaultCheck" /F', 0, 15000, true);
DeleteFile('c:\Users\All Users\dtdata\R002.exe','32');
DeleteFile('c:\Users\All Users\dtdata\R001.exe','32');
ExecuteFile('schtasks.exe', '/delete /TN "DefaultReg" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "SearchGo Task" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Steam-S-1-8-22-9865GUI" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Богдан" /F', 0, 15000, true);
DeleteFile('C:\Users\Богдан\AppData\Local\SearchGo\searchgo.exe','32');
DeleteFile('C:\Users\Богдан\AppData\Roaming\Steam\Reversed\steam.exe','32');
DeleteFile('C:\Users\Богдан\appdata\local\microsoft\start menu\вoйти в интeрнeт.exe','32');
DeleteFile('C:\Users\Богдан\appdata\local\searchgo\searchgo.exe','32');
DeleteFile('C:\Users\Богдан\appdata\roaming\steam\reversed\steam.exe','32');
DeleteFile('C:\Users\Богдан\appdata\locallow\searchgo\searchgo.dll','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','odgyryboqt');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Богдан');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\bzasftybzd','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\kometaup','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\mobilegeni daemon','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ServerCore','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\start','command');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(3);
ExecuteRepair(4);
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.

- Подготовьте лог [URL="https://virusinfo.info/showthread.php?t=218752&p=1480546&viewfull=1#post1480546"]AdwCleaner[/URL] и приложите его в теме.
04.06.2018, 15:08
admiral204

Вот, как просил
[ATTACH=CONFIG]671831[/ATTACH]

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Вот, как просил

[ATTACH=CONFIG]671832[/ATTACH]
05.06.2018, 03:08
SQ

[url=https://virusinfo.info/showthread.php?t=218752&p=1480599&viewfull=1#post1480599]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.
05.06.2018, 05:55
admiral204

Уже интереснее, что дальше. Шанс есть?

[ATTACH=CONFIG]671842[/ATTACH]
05.06.2018, 21:14
Techno

Повторите логи сканирования утилитой Autologger.
Что с проблемой?
06.06.2018, 06:44
admiral204

Получше конечно, на средних теперь играть можно. И реклама больше не лезит в глаза
06.06.2018, 07:18
Techno

Повторите логи сканирования утилитой Autologger.
06.06.2018, 07:34
admiral204

вот
[ATTACH=CONFIG]671865[/ATTACH]
06.06.2018, 07:51
SQ

HiJackThis (из каталога [B]autologger[/B])[URL=http://virusinfo.info/showthread.php?t=4491&p=64376&viewfull=1#post64376]профиксить[/URL]
[CODE]
R0 - HKLM\Software\Microsoft\Internet Explorer\Main: [Search Page] = http://istart.webssearches.com/web/?type=ds&ts=1410717235&from=scl&uid=ST500DM002-1BD142_S2A27H47XXXXS2A27H47&q={searchTerms}
R4 - SearchScopes: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{61EB20A4-D4D5-4276-A2C9-DCCE8CE9F633} [URL] = http://webalta.ru/search?q={searchTerms}&from=IE - Webalta Search
R4 - SearchScopes: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{C2444E98-BB5C-4BF2-9F39-4D9A0918A7E3} [SuggestionsURL_JSON] = http://ss.websearch.ask.com/query?li=ff&sstype=prefix&q={searchTerms} - Ask Search
R4 - SearchScopes: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{C2444E98-BB5C-4BF2-9F39-4D9A0918A7E3} [URL] = http://www.search.ask.com/web?tpid=ORJ-SPE&o=APN11406&pf=V7&p2=^BBE^OSJ000^YY^RU&gct=&itbv=12.24.1.51&apn_uid=954A9A14-807C-4069-AD81-5888222CCC24&apn_ptnrs=BBE&apn_dtid=^OSJ000^YY^RU&apn_dbr=ie&doi=2015-03-19&trgb=IE&q={searchTerms}&psv=&pt=tb - Ask Search
R4 - SearchScopes: HKLM\Software\Microsoft\Internet Explorer\SearchScopes\{33BB0A4E-99AF-4226-BDF6-49120163DE86} [URL,TopResultURLFallback] = http://www.searchya.com/?q={searchTerms}&f=4&a=syd91&cd=2XzuyEtN2Y1L1Qzu0B0CyD0F0FyEtC0E0AtAzztAzy0E0C0AtN0D0Tzu0StCtCtAyEtN1L2XzutBtFtBtFyCtFtCtDzyyBtN1L1Czu0A1I1R1F1M1F1I0S1F1O2Z&cr=2142464103&ir= - SearchYa!
[/CODE]

AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
StopService('DefaultTabUpdate');
DeleteService('DefaultTabUpdate');
QuarantineFile('C:\Users\Богдан\appdata\roaming\steam\reversed\steam.exe','');
QuarantineFile('C:\Users\Богдан\appdata\local\microsoft\start menu\вoйти в интeрнeт.exe','');
QuarantineFile('C:\Users\Богдан\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\directxwebpack.exe','');
QuarantineFile('C:\Users\Богдан\AppData\Roaming\webssearches\UninstallManager.exe','');
QuarantineFile('localspl.dll','');
QuarantineFile('C:\Users\Богдан\AppData\Roaming\DefaultTab\DefaultTab\DTUpdate.exe','');
DeleteFile('C:\Users\Богдан\AppData\Roaming\DefaultTab\DefaultTab\DTUpdate.exe','32');
DeleteFile('C:\Windows\system32\Tasks\{5274C717-26F9-42AB-B29F-492985039AD2}','64');
DeleteFile('C:\Users\Богдан\AppData\Roaming\webssearches\UninstallManager.exe','32');
DeleteFile('C:\Users\Богдан\appdata\local\microsoft\start menu\вoйти в интeрнeт.exe','32');
DeleteFile('C:\Users\Богдан\appdata\roaming\steam\reversed\steam.exe','32');
DeleteFile('C:\Users\Богдан\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\directxwebpack.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(3);
ExecuteRepair(4);
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.

- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
06.06.2018, 08:21
admiral204

вот
[ATTACH=CONFIG]671867[/ATTACH]
[ATTACH=CONFIG]671868[/ATTACH]
07.06.2018, 00:39
SQ

[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
GroupPolicy: Restriction - Chrome <==== ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
CHR HKU\S-1-5-21-1703835855-3079583690-1194523751-1001\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
SearchScopes: HKLM-x32 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.searchya.com/?q={searchTerms}&f=4&a=syd91&cd=2XzuyEtN2Y1L1Qzu0B0CyD0F0FyEtC0E0AtAzztAzy0E0C0AtN0D0Tzu0StCtCtAyEtN1L2XzutBtFtBtFyCtFtCtDzyyBtN1L1Czu0A1I1R1F1M1F1I0S1F1O2Z&cr=2142464103&ir=
SearchScopes: HKLM-x32 -> {5658567E-D095-1887-8A10-725F885C522A} URL = hxxp://istart.webssearches.com/web/?type=ds&ts=1410717235&from=scl&uid=ST500DM002-1BD142_S2A27H47XXXXS2A27H47&q={searchTerms}
SearchScopes: HKLM-x32 -> {afdbddaa-5d3f-42ee-b79c-185a7020515b} URL = hxxp://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT2396973
BHO: Skype add-on for Internet Explorer -> {AE805869-2E5C-4ED4-8F7B-F1F7851A4497} -> C:\Program Files (x86)\Skype\Toolbars\Internet Explorer x64\skypeieplugin.dll => No File
BHO-x32: MailRuBHO Class -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> C:\Program Files (x86)\Mail.Ru\Sputnik\MailRuSputnik.dll => No File
BHO-x32: [email protected] -> {8E8F97CD-60B5-456F-A201-73065652D099} -> C:\Users\Богдан\AppData\Local\Mail.Ru\Sputnik\ie_addon_dll.dll => No File
Toolbar: HKLM-x32 - Спутник@Mail.Ru - {09900DE8-1DCA-443F-9243-26FF581438AF} - C:\Program Files (x86)\Mail.Ru\Sputnik\MailRuSputnik.dll No File
Toolbar: HKU\S-1-5-21-1703835855-3079583690-1194523751-1001 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} - No File
FF Extension: (No Name) - C:\Users\Богдан\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\extensions\[email protected] [not found]
CHR HomePage: Default -> search.ask.com
CHR Extension: (Ask Search) - C:\Users\Богдан\AppData\Local\Google\Chrome\User Data\Default\Extensions\aaaaahlfahldnilidgnlikdckbfehhca [2018-06-05]
CHR Extension: (__MSG_appName__) - C:\Users\Богдан\AppData\Local\Google\Chrome\User Data\Default\Extensions\cpmgdbdchhjimcbfbbhlbchbobhjonna [2016-12-03]
CHR Extension: (__MSG_appName__) - C:\Users\Богдан\AppData\Local\Google\Chrome\User Data\Default\Extensions\fampnmnfdebhlnecpiojjbejnnnjifch [2016-12-01]
CHR HKLM-x32\...\Chrome\Extension: [pelmeidfhdlhlbjimpabfcbnnojbboma] - C:\Users\Богдан\AppData\Local\Google\Chrome\User Data\Default\Extensions\newtabv3.crx <not found>
CHR HKLM-x32\...\Chrome\Extension: [ojlcebdkbpjdpiligkdbbkdkfjmchbfd] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [njabjmhinndphfnbjehdalkphpdmepli] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [mfmjpfoggikolkfilofbpgcnhdcgahib] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [kppacdmmddediahklmcgkgdhhoojemmd] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [kjlpdpfmpoggibmjgmbaoidffidifakh] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [jkagakiplhpgacmegfblcddbckenmiio] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [jggbjbmnfmipgcanidamjfpechdeekoi] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [jedelkhanefmcnpappfhachbpnlhomai] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [gndaciceccgapjhpniecknjlmmlanaem] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [gdknicmnhbaajdglbinpahhapghpakch] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [fidibeiehaokohhbnkdjmkcapgnndfkc] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [cegdomhocaeoedbdpfolmgjkjaijfomo] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [bgomnbpelpcdicbnicimghcecemjpbef] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pfjgibhmcgncmjhdodpaolfbjpjjajal] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pgaidlfgjkmeendhknafahppllbniejm] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pganlglbhgfjfgopijbhemcpbehjnpia] - hxxps://clients2.google.com/service/update2/crx
File: C:\Users\Богдан\AppData\Local\THORN\Thorn.exe
File: C:\богдан\Garena\safedrv.sys
S1 ssnfd; system32\drivers\ssnfd.sys [X]
2018-05-25 20:58 - 2018-05-25 20:58 - 000000000 ____D C:\Users\Богдан\AppData\Roaming\ういんどみる
File: C:\Program Files\vcredist_x64_exe
2013-08-22 17:40 - 2013-08-22 17:40 - 000000040 _____ () C:\Program Files\{AACE8122-B27D-421C-A5BB-95060941AFD7}.sys
2013-08-22 17:38 - 2013-08-22 17:38 - 000000006 _____ () C:\Users\Богдан\AppData\Roaming\smw_inst
ContextMenuHandlers1-x32: [TuneUp Shredder Shell Extension] -> {4858E7D9-8E12-45a3-B6A3-1CD128C9D403} => C:\Program Files (x86)\TuneUp Utilities 2013\SDShelEx-x64.dll -> No File
ContextMenuHandlers1-x32: [WinRAR] -> _{B41DB860-64E4-11D2-9906-E49FADC173CA} => -> No File
ContextMenuHandlers1-x32: [WinRAR32] -> _{B41DB860-8EE4-11D2-9906-E49FADC173CA} => -> No File
Task: {4790470A-2929-40E0-B15F-1CED81756BE2} - System32\Tasks\LaunchSignup => C:\Program Files (x86)\MyPC Backup\Signup Wizard.exe <==== ATTENTION
Task: {966486B6-02B2-41F5-A6A0-9379BCB5D9FE} - \wupdate -> No File <==== ATTENTION
Task: {A0888D70-6EE8-4FF0-AB7D-105C08B20C21} - \{5274C717-26F9-42AB-B29F-492985039AD2} -> No File <==== ATTENTION
Task: {E166BC22-B23E-4DCA-9850-B34C8C204E2E} - \Программа онлайн-обновления Adobe. -> No File <==== ATTENTION
Task: {FEBB3630-21CB-4B59-A727-B39A1D41D4A9} - \ComDev -> No File <==== ATTENTION
AlternateDataStreams: C:\ProgramData\TEMP:07BF512B [152]
AlternateDataStreams: C:\ProgramData\TEMP:A1EDB939 [126]
AlternateDataStreams: C:\Users\Богдан\Local Settings:wa [146]
AlternateDataStreams: C:\Users\Богдан\AppData\Local:wa [146]
AlternateDataStreams: C:\Users\Богдан\AppData\Local\Application Data:wa [146]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:07BF512B [152]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:A1EDB939 [126]
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]

Обратите внимание на ошибку файловой системы.
[CODE]
2018-05-23 21:53 - 2018-05-23 21:53 - 000000000 __SHD C:\found.005
[/CODE]
07.06.2018, 07:34
admiral204

Я хотел удалить всё, но она не удалила
[ATTACH=CONFIG]671898[/ATTACH]
И вот
[ATTACH=CONFIG]671899[/ATTACH]
08.06.2018, 01:51
SQ

Не верно сохранился fixlist.txt, так как киррилицу не поддерживал вместо этого иероглифы (�� \).

Скачайте программу [url="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/url] и [url="http://virusinfo.info/showthread.php?t=121767"]сделайте полный образ автозапуска uVS[/url].
08.06.2018, 06:07
admiral204

Вложений: 1

Сделал
[ATTACH=CONFIG]671909[/ATTACH]
09.06.2018, 00:21
SQ

[URL="https://virusinfo.info/showthread.php?t=121767&p=897827&viewfull=1#post897827"]Выполните скрипт в uVS:[/URL]
[CODE];uVS v4.0.11 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
OFFSGNSAVE
BREG
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.21.111\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.21.123\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.21.135\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.21.145\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.21.153\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.21.165\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.21.169\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.22.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.22.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.23.9\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.23.9\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.24.7\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.24.7\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.1\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.1\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.13\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.13\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.15\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.15\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.1\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.1\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.32.7\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.32.7\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.3\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\KASPERSKY LAB\KASPERSKY INTERNET SECURITY 2011\FFEXT\[email protected]
delref %SystemDrive%\PROGRAM FILES (X86)\KASPERSKY LAB\KASPERSKY INTERNET SECURITY 2011\FFEXT\[email protected]
delref %SystemDrive%\PROGRAM FILES (X86)\KASPERSKY LAB\KASPERSKY INTERNET SECURITY 2011\FFEXT\[email protected]
delref %SystemDrive%\PROGRAM FILES\CDBURNERXP\STARBURNX13.DLL
delref %SystemDrive%\PROGRAMDATA\COOLSALEICOUPON\Q1AD.X64.DLL
delref %SystemDrive%\PROGRAMDATA\PRINCECOOUPUON\CDQPFAZT0GEKH0.DLL
delref %SystemDrive%\PROGRAMDATA\PRINCECOOUPUON\CDQPFAZT0GEKH0.X64.DLL
delref %SystemDrive%\PROGRA~2\FOXITP~1\FOXITP~1.EXE
delref %SystemDrive%\USERS\БОГДАН\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\CPMGDBDCHHJIMCBFBBHLBCHBOBHJONNA\362.0.0.80_0\__MSG_APPNAME__
delref %SystemDrive%\USERS\БОГДАН\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\FAMPNMNFDEBHLNECPIOJJBEJNNNJIFCH\362.0.0.79_0\__MSG_APPNAME__
delref %SystemDrive%\БОГДАН\PATCHWRAPPER2PS.DLL
delref %SystemDrive%\БОГДАН\PATCHWRAPPER2.DLL
restart[/CODE]
09.06.2018, 01:58
admiral204

Сделал
09.06.2018, 04:27
SQ

Сообщите, что с проблемой?
09.06.2018, 07:10
admiral204

всё равно, также, только реклама не вылазеет

Показывать 40 сообщений этой темы на одной странице