Скачивание утилиты для активации Ворд 2010 закончилось плачевно. [Trojan.Win32.Chapak.arjm, Trojan.Win32.Ekstak.isqd]

Printable View

29.08.2018, 12:40
rufryierive

Вложений: 1

Скачивание утилиты для активации Ворд 2010 закончилось плачевно. [Trojan.Win32.Chapak.arjm, Trojan.Win32.Ekstak.isqd]

Здравствуйте!
Сегодня утром пытался активировать свой Ворд 2010, на каком то сайте, который показался мне адекватным нашел "кряк" для ворд 2010. Но при его установке сразу понял, что что то пошло не так. А именно. Сразу установились какие то приложение типо АМИГО, Websearch и дрругой мусор типо онлайн покера и тд. Когда я попытался войти в интернет через Гугл Хром у меня стали открываться через раз какие то странные окна на всякие мусорные сайты, а в списке поисковых систем в настройках Хрома появился какой то Websearch поисковик. Так же при нажатии ctrl+alt+del в диспетчере задач при запуске системы я вижу кучу процессов, которые даже мне, не особо опытному пользователю, кажутся странными как минимум из-за названия и их количества (могу приложить скриншот).

Вашим сайтом пользовался где то год назад, но потерял аккаунт, создал новый. Надеюсь поможете. К сообщению прикрепил архив логов, о котором говорится в правилах.
Спасибо большое за внимание!
С Уважением.
29.08.2018, 12:44
Info_bot

Уважаемый(ая) [B]rufryierive[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
29.08.2018, 17:17
thyrex

Выполните скрипт в AVZ из папки Autologger
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\112121ув\AppData\Roaming\sFTUSNNXYuVn.exe','');
QuarantineFile('C:\Windows\SysWOW64\FQGW.exe','');
QuarantineFile('C:\Users\112121ув\AppData\Local\UYYeCUMhabooU.exe','');
QuarantineFile('C:\Program Files (x86)\ToGynewEQir.exe','');
QuarantineFile('C:\Users\112121ув\AppData\Local\VirtualStore\3467246804_123.exe','');
QuarantineFile('C:\Users\112121ув\AppData\Local\Temp\csrss\scheduled.exe','');
QuarantineFile('C:\ProgramData\Kolnixo\SumLab.dll','');
QuarantineFile('C:\ProgramData\Kolnixo\Konktrax.dll','');
SetServiceStart('WinmonSystemMonitor', 4);
DeleteService('WinmonSystemMonitor');
SetServiceStart('WinmonProcessMonitor', 4);
DeleteService('WinmonProcessMonitor');
SetServiceStart('WinmonFS', 4);
DeleteService('WinmonFS');
SetServiceStart('Winmon', 4);
DeleteService('Winmon');
SetServiceStart('WinDefender', 4);
DeleteService('WinDefender');
SetServiceStart('Nettrans', 4);
DeleteService('Nettrans');
SetServiceStart('Kolnixo', 4);
DeleteService('Kolnixo');
SetServiceStart('CRMSvc', 4);
DeleteService('CRMSvc');
SetServiceStart('backlh', 4);
DeleteService('backlh');
QuarantineFile('C:\Windows\System32\drivers\WinmonSystemMonitor.sys','');
QuarantineFile('C:\Windows\System32\drivers\WinmonProcessMonitor.sys','');
QuarantineFile('C:\Windows\System32\drivers\WinmonFS.sys','');
QuarantineFile('C:\Windows\System32\drivers\Winmon.sys','');
QuarantineFile('C:\Windows\worcpxzudfjgioym.wfrcp','');
TerminateProcessByName('c:\windows\windefender.exe');
QuarantineFile('c:\windows\windefender.exe','');
TerminateProcessByName('c:\programdata\windowsmenu\westat.exe');
QuarantineFile('c:\programdata\windowsmenu\westat.exe','');
TerminateProcessByName('c:\programdata\logic cramble\set.exe');
QuarantineFile('c:\programdata\logic cramble\set.exe','');
QuarantineFile('c:\programdata\prefssecure\nettrans.exe','');
TerminateProcessByName('c:\programdata\kolnixo\kolnixo.exe');
QuarantineFile('c:\programdata\kolnixo\kolnixo.exe','');
TerminateProcessByName('c:\windows\rss\csrss.exe');
QuarantineFile('c:\windows\rss\csrss.exe','');
TerminateProcessByName('C:\Users\112121ув\AppData\Roaming\CRMSvc\CRMSvc.exe');
QuarantineFile('C:\Users\112121ув\AppData\Roaming\CRMSvc\CRMSvc.exe','');
QuarantineFile('c:\programdata\cpafservice\cpafservice.exe','');
TerminateProcessByName('c:\users\112121ув\appdata\local\temp\csrss\cloudnet.exe');
QuarantineFile('c:\users\112121ув\appdata\local\temp\csrss\cloudnet.exe','');
DeleteFile('c:\users\112121ув\appdata\local\temp\csrss\cloudnet.exe','32');
DeleteFile('C:\Users\112121ув\AppData\Roaming\CRMSvc\CRMSvc.exe','32');
DeleteFile('c:\windows\rss\csrss.exe','32');
DeleteFile('c:\programdata\kolnixo\kolnixo.exe','32');
DeleteFile('c:\programdata\logic cramble\set.exe','32');
DeleteFile('c:\programdata\windowsmenu\westat.exe','32');
DeleteFile('c:\windows\windefender.exe','32');
DeleteFile('C:\Windows\worcpxzudfjgioym.wfrcp','32');
DeleteFile('C:\Windows\System32\drivers\Winmon.sys','32');
DeleteFile('C:\Windows\System32\drivers\WinmonFS.sys','32');
DeleteFile('C:\Windows\System32\drivers\WinmonProcessMonitor.sys','32');
DeleteFile('C:\Windows\System32\drivers\WinmonSystemMonitor.sys','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','chrome');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','ShyWind');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','CloudNet');
DeleteFile('C:\ProgramData\Kolnixo\Konktrax.dll','32');
DeleteFile('C:\ProgramData\Kolnixo\SumLab.dll','32');
DeleteFile('C:\Windows\system32\Tasks\hdtask','64');
DeleteFile('C:\Windows\system32\Tasks\csrss','64');
DeleteFile('C:\Windows\system32\Tasks\Microsoft\QuickLaunch','64');
DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\Starter','64');
DeleteFile('C:\Windows\system32\Tasks\ScheduledUpdate','64');
DeleteFile('C:\Users\112121ув\AppData\Local\Temp\csrss\scheduled.exe','32');
DeleteFile('C:\Windows\system32\Tasks\VirtualStore Updater','64');
DeleteFile('C:\Users\112121ув\AppData\Local\VirtualStore\3467246804_123.exe','32');
DeleteFile('C:\Windows\system32\Tasks\{084FC92B-1EE8-03D9-3176-5A85DDF2D070}','64');
DeleteFile('C:\Program Files (x86)\ToGynewEQir.exe','32');
DeleteFile('C:\Users\112121ув\AppData\Local\UYYeCUMhabooU.exe','32');
DeleteFile('C:\Windows\system32\Tasks\{4594B241-6716-4FB8-405F-89E3DCF65F2C}','64');
DeleteFile('C:\Windows\system32\Tasks\{4CD19F27-5FB3-C1FC-E271-D341E71EB7AA}','64');
DeleteFile('C:\Windows\SysWOW64\FQGW.exe','32');
DeleteFile('C:\Users\112121ув\AppData\Roaming\sFTUSNNXYuVn.exe','32');
DeleteFile('C:\Windows\system32\Tasks\{F3A1E84F-5D35-CD2D-E677-6EDB28B54F17}','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code][list][*]Обратите внимание: будет выполнена [b]перезагрузка компьютера[/b].[/list]

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин [/b][/u][/color] [b]над первым сообщением[/b] темы.

Скачайте [url=https://virusinfo.info/soft/tool.php?tool=ClearLNK]ClearLNK[/url] и сохраните архив с утилитой на Рабочем столе.
1. Распакуйте архив с утилитой в отдельную папку.
2. Перенесите [B]Check_Browsers_LNK.log[/B] из папки Autologger на ClearLNK как показано на рисунке
[img]https://dragokas.com/tools/move.gif[/img]
3. Отчет о работе [b]ClearLNK-<Дата>.log[/b] будет сохранен в папке [b]LOG[/b].
4. Прикрепите этот отчет к своему следующему сообщению.

[b][color="Red"]Пожалуйста, ЕЩЕ РАЗ запустите Autologger, прикрепите к следующему сообщению НОВЫЕ логи. [/color][/b]
29.08.2018, 22:57
rufryierive

Вложений: 1

Сделал. "Карантин" так же прикрепил вроде. Присылаю запрошенные логи.
30.08.2018, 01:57
thyrex

Нужно читать до конца[quote="thyrex;1487444"][B][COLOR="#FF0000"]Пожалуйста, ЕЩЕ РАЗ запустите Autologger, прикрепите к следующему сообщению НОВЫЕ логи.[/COLOR][/B][/quote]
30.08.2018, 09:33
rufryierive

Вложений: 1

Здравствуйте. Извиняюсь, не заметил. Прикрепляю.
30.08.2018, 15:26
thyrex

Скачайте [url=https://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]https://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]https://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Файлы [b]FRST.txt[/b] и [b]Addition.txt[/b] заархивируйте (в [b]один общий архив[/b]) и прикрепите к сообщению.
07.09.2018, 10:21
rufryierive

Вложений: 1

Здравствуйте! извиняюсь, что так долго выполнял ваши инструкции. Прикрепляю архив.
07.09.2018, 17:17
thyrex

1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
Tcpip\Parameters: [NameServer] 82.163.142.9 95.211.158.137
Tcpip\..\Interfaces\{CA3B8C1F-81CD-4E77-90CD-A53C2449AC5A}: [NameServer] 82.163.142.9 95.211.158.137
Tcpip\..\Interfaces\{D53CA8A4-41F2-4711-B64B-7E14533D4736}: [NameServer] 82.163.142.9 95.211.158.137
Tcpip\..\Interfaces\{D53CA8A4-41F2-4711-B64B-7E14533D4736}: [DhcpNameServer] 82.163.142.9
GroupPolicy: Restriction - Chrome <==== ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
HKU\S-1-5-21-1661590600-851066379-2231178084-1000\Software\Microsoft\Internet Explorer\Main,Search Page = hxxps://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBLoO-BhLymRVyoiO2t6mfQOt8TKsjoR8UVcuB97uLNBORk3kCbYcERVTs_IGMJbFN_q4XxxrbwAHp5gv69LzbEDlFylwi9ClO86DcxnODQ4Nh1xI-ee3AatTTpdi9qO9UXk9_D1VL4HTBxHQZycOu8tvyMPquSamTvMVvDgyw5jX64jzowhGnzO_cCpcgTeQ,,&q={searchTerms}
SearchScopes: HKLM-x32 -> ielnksrch URL = hxxps://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBLoO-BhLymRVyoiO2t6mfQOt8TKsjoR8UVcuB97uLNBORk3kCbYcERVTs_IGMJbFN_q4XxxrbwAHp5gv69LzbEDlFylwi9ClO86DcxnODQ4Nh1xI-ee3AatTTpdi9qO9UXk9_D1VL4HTBxHQZycOu8tvyMPquSamTvMVvDgyw5jX64jzowhGnzO_cCpcgTeQ,,&q={searchTerms}
SearchScopes: HKU\S-1-5-21-1661590600-851066379-2231178084-1000 -> {ielnksrch} URL = hxxps://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBLoO-BhLymRVyoiO2t6mfQOt8TKsjoR8UVcuB97uLNBORk3kCbYcERVTs_IGMJbFN_q4XxxrbwAHp5gv69LzbEDlFylwi9ClO86DcxnODQ4Nh1xI-ee3AatTTpdi9qO9UXk9_D1VL4HTBxHQZycOu8tvyMPquSamTvMVvDgyw5jX64jzowhGnzO_cCpcgTeQ,,&q={searchTerms}
CHR HomePage: Default -> hxxps://%66%65%65%64.%68%65%6C%70%65%72%62%61%72.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBLoO-BhLymRVyoiO2t6mfQOt8TKsjoR8UVcuB97uLNBORk3kCbYcERVTs_IGMJbFN_q4XxxrbwAHp5gv69LzbEDlFylwi9ClO86Dcxh9LGYh0AR9c0OVXH9xox_Q20zCfwEQBmzjLBWtFxWbI3BApJDn63M8ZlYC1ZLybhNbwmyBPBNWVJ6L8imQS6MtMwsA,,
S2 YTczNDg5ODE2ZTQ; rundll32.exe C:\Windows\worcpxzudfjgioym.wfrcp LfiCSNYOiRtSjHC [X]
File: C:\ProgramData\WindowsMenu\enplus.exe
R2 NativeDesktopMediaService; C:\Program Files\Jetmedia\NativeDesktopMediaService\desktop_media_service.exe [799744 2018-08-30] () [File not signed] <==== ATTENTION
2018-09-07 10:08 - 2018-09-07 10:09 - 000003734 _____ C:\Windows\System32\Tasks\{DD21F6DF-39EE-E095-6E2C-D14DAD6BDC5C}
2018-09-07 10:08 - 2018-09-07 10:08 - 000003610 _____ C:\Windows\System32\Tasks\Checker64
2018-09-07 10:08 - 2018-09-07 10:08 - 000000000 ____D C:\Users\Все пользователи\Jetmedia
2018-09-07 10:08 - 2018-09-07 10:08 - 000000000 ____D C:\Users\Все пользователи\aed9f46d
2018-09-07 10:08 - 2018-09-07 10:08 - 000000000 ____D C:\Users\Все пользователи\4dd12c6e-5515-1
2018-09-07 10:08 - 2018-09-07 10:08 - 000000000 ____D C:\Users\Все пользователи\4dd12c6e-04a7-0
2018-09-07 10:08 - 2018-09-07 10:08 - 000000000 ____D C:\ProgramData\Jetmedia
2018-09-07 10:08 - 2018-09-07 10:08 - 000000000 ____D C:\ProgramData\aed9f46d
2018-09-07 10:08 - 2018-09-07 10:08 - 000000000 ____D C:\ProgramData\4dd12c6e-5515-1
2018-09-07 10:08 - 2018-09-07 10:08 - 000000000 ____D C:\ProgramData\4dd12c6e-04a7-0
2018-09-07 10:08 - 2018-09-07 10:08 - 000000000 ____D C:\Program Files\Jetmedia
2018-09-07 10:07 - 2018-09-07 10:07 - 000000000 ____D C:\Users\Все пользователи\{4db6115b-712c-1}
2018-09-07 10:07 - 2018-09-07 10:07 - 000000000 ____D C:\Users\Все пользователи\{117a71db-312c-0}
2018-09-07 10:07 - 2018-09-07 10:07 - 000000000 ____D C:\ProgramData\{4db6115b-712c-1}
2018-09-07 10:07 - 2018-09-07 10:07 - 000000000 ____D C:\ProgramData\{117a71db-312c-0}
2018-08-29 12:31 - 2018-08-29 12:31 - 000000128 _____ C:\Users\Все пользователи\appdata.dat
2018-08-29 12:31 - 2018-08-29 12:31 - 000000128 _____ C:\ProgramData\appdata.dat
2018-08-29 12:30 - 2018-08-29 12:30 - 000003266 _____ C:\Windows\System32\Tasks\lsa64
2018-08-29 11:44 - 2018-08-29 11:44 - 000000000 ____D C:\Users\112121ув\AppData\Roaming\yx1twuzwgtn
2018-08-29 11:44 - 2018-08-29 11:44 - 000000000 ____D C:\Users\112121ув\AppData\Roaming\udsfp3er55n
2018-08-29 11:44 - 2018-08-29 11:44 - 000000000 ____D C:\Users\112121ув\AppData\Roaming\dnkhw143kdq
2018-08-29 11:44 - 2018-08-29 11:44 - 000000000 ____D C:\Program Files\WUWB0484WP
2018-08-29 11:44 - 2018-08-29 11:44 - 000000000 ____D C:\Program Files\ELYMFG4E78
2018-08-29 11:43 - 2018-08-29 11:43 - 000000000 ____D C:\Users\112121ув\AppData\Roaming\erfcbxy11qo
2018-08-29 11:43 - 2018-08-29 11:43 - 000000000 ____D C:\Program Files\ZZZQZTBHN8
2018-08-29 11:43 - 2018-08-29 11:43 - 000000000 _____ C:\Users\112121ув\AppData\Roaming\ds.tmp
2018-08-29 11:42 - 2018-08-29 11:43 - 000000000 ____D C:\Program Files\EH0SP6HIMU
2018-08-29 11:42 - 2018-08-29 11:42 - 000000258 __RSH C:\Users\112121ув\ntuser.pol
2018-08-29 11:42 - 2018-08-29 11:42 - 000000000 ____D C:\Users\112121ув\AppData\Roaming\iyqvplovta5
2018-08-29 11:25 - 2018-08-29 22:54 - 000000004 _____ C:\Users\Все пользователи\lock.dat
2018-08-29 11:25 - 2018-08-29 22:54 - 000000004 _____ C:\ProgramData\lock.dat
2018-08-29 11:25 - 2018-08-29 22:52 - 000000020 _____ C:\Users\Все пользователи\irw.fapc
2018-08-29 11:25 - 2018-08-29 22:52 - 000000020 _____ C:\ProgramData\irw.fapc
2018-08-29 11:10 - 2018-08-29 11:10 - 000000000 ____D C:\Users\112121ув\AppData\Roaming\EpicNet Inc
2018-08-29 11:09 - 2018-09-07 10:11 - 000000000 ____D C:\Users\Все пользователи\2a4c9936-7fe1-0
2018-08-29 11:09 - 2018-09-07 10:11 - 000000000 ____D C:\ProgramData\2a4c9936-7fe1-0
2018-08-29 11:09 - 2018-09-07 10:10 - 000000000 ____D C:\Users\Все пользователи\2a4c9936-4127-1
2018-08-29 11:09 - 2018-09-07 10:10 - 000000000 ____D C:\ProgramData\2a4c9936-4127-1
2018-08-29 11:09 - 2018-08-29 22:50 - 000000000 ___HD C:\Windows\rss
2018-08-29 11:09 - 2018-08-29 11:09 - 000036096 _____ C:\Windows\system32\Drivers\WinmonProcessMonitor.sys
2018-08-29 11:09 - 2018-08-29 11:09 - 000023272 _____ (Windows (R) Win 7 DDK provider) C:\Windows\system32\Drivers\WinmonFS.sys
2018-08-29 11:09 - 2018-08-29 11:09 - 000013960 _____ C:\Windows\system32\Drivers\WinmonSystemMonitor.sys
2018-08-29 11:09 - 2018-08-29 11:09 - 000009352 _____ C:\Windows\system32\Drivers\Winmon.sys
2018-08-29 11:09 - 2018-08-29 11:09 - 000000000 ____D C:\Program Files\DE5L9PLMTX
2018-08-29 11:08 - 2018-08-29 22:49 - 000000000 ____D C:\Users\112121ув\AppData\Roaming\CRMSvc
2018-08-29 11:08 - 2018-08-29 11:09 - 000000000 ____D C:\Program Files\UXNYZR36PP
2018-08-29 11:08 - 2018-08-29 11:09 - 000000000 ____D C:\Program Files\BCTGI8WAV4
2018-08-29 11:08 - 2018-08-29 11:08 - 000000000 ____D C:\Users\112121ув\AppData\Roaming\c5exxr0qgkr
2018-08-29 11:08 - 2018-08-29 11:08 - 000000000 ____D C:\Users\112121ув\AppData\Roaming\bzpeh123rtc
2018-08-29 11:08 - 2018-08-29 11:08 - 000000000 ____D C:\Users\112121ув\AppData\Roaming\0k4hvbzszpy
2018-08-29 11:07 - 2018-08-29 22:54 - 000000000 ____D C:\Users\Все пользователи\cpafService
2018-08-29 11:07 - 2018-08-29 22:54 - 000000000 ____D C:\ProgramData\cpafService
2018-08-29 11:07 - 2018-08-29 11:46 - 000000000 ____D C:\Users\112121ув\AppData\Local\WhiteClick
2018-08-29 11:07 - 2018-08-29 11:28 - 000003056 __RSH C:\Users\Все пользователи\ntuser.pol
2018-08-29 11:07 - 2018-08-29 11:28 - 000003056 __RSH C:\ProgramData\ntuser.pol
2018-08-29 11:07 - 2018-08-29 11:08 - 000000000 ____D C:\Program Files\KAGBGDBB9P
2018-08-29 11:07 - 2018-08-29 11:07 - 000000000 ____D C:\Users\112121ув\AppData\Roaming\h25u4gvrdxh
2018-08-29 11:07 - 2018-08-29 11:07 - 000000000 ____D C:\Users\112121ув\AppData\Roaming\gzf5wiqlszf
2018-08-29 11:06 - 2018-08-29 22:49 - 000000000 ____D C:\Users\Все пользователи\WindowsMenu
2018-08-29 11:06 - 2018-08-29 22:49 - 000000000 ____D C:\ProgramData\WindowsMenu
2018-08-29 11:06 - 2018-08-29 11:06 - 000015614 _____ C:\Windows\SysWOW64\findit.xml
File: C:\Windows\system32\ntkrnlmp.exe
File: C:\Windows\system32\osloader.exe
2018-08-29 11:06 - 2018-08-29 11:06 - 000000000 ____D C:\Users\112121ув\AppData\Roaming\3a01st0gtwa
2018-08-29 11:06 - 2018-08-29 11:06 - 000000000 ____D C:\Program Files\GMYAGK10D7
2018-08-29 11:05 - 2018-09-07 10:10 - 000000000 ____D C:\Users\Все пользователи\5081aaa6-4b53-0
2018-08-29 11:05 - 2018-09-07 10:10 - 000000000 ____D C:\Users\Все пользователи\5081aaa6-39e5-1
2018-08-29 11:05 - 2018-09-07 10:10 - 000000000 ____D C:\ProgramData\5081aaa6-4b53-0
2018-08-29 11:05 - 2018-09-07 10:10 - 000000000 ____D C:\ProgramData\5081aaa6-39e5-1
2018-08-29 11:05 - 2018-08-29 22:56 - 000000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ZaxarGameBrowser
2018-08-29 11:05 - 2018-08-29 22:50 - 000000000 ____D C:\Users\Все пользователи\Kolnixo
2018-08-29 11:05 - 2018-08-29 22:50 - 000000000 ____D C:\ProgramData\Kolnixo
2018-08-29 11:05 - 2018-08-29 22:49 - 000000000 ____D C:\Users\Все пользователи\Logic Cramble
2018-08-29 11:05 - 2018-08-29 22:49 - 000000000 ____D C:\ProgramData\Logic Cramble
2018-08-29 11:05 - 2018-08-29 11:10 - 000000003 _____ C:\Users\112121ув\AppData\Local\wbem.ini
2018-08-29 11:05 - 2018-08-29 11:06 - 000000000 ____D C:\Users\Все пользователи\Kolnixos
2018-08-29 11:05 - 2018-08-29 11:06 - 000000000 ____D C:\ProgramData\Kolnixos
2018-08-29 11:05 - 2018-08-29 11:05 - 007770624 _____ C:\Users\112121ув\AppData\Local\agent.dat
2018-08-29 11:05 - 2018-08-29 11:05 - 002020022 _____ C:\Users\112121ув\AppData\Local\RanZamla.tst
2018-08-29 11:05 - 2018-08-29 11:05 - 001895382 _____ C:\Users\112121ув\AppData\Local\Kinity.bin
2018-08-29 11:05 - 2018-08-29 11:05 - 000278510 _____ C:\Users\112121ув\AppData\Local\Redtone.bin
2018-08-29 11:05 - 2018-08-29 11:05 - 000126464 _____ C:\Users\112121ув\AppData\Local\noah.dat
2018-08-29 11:05 - 2018-08-29 11:05 - 000070896 _____ C:\Users\112121ув\AppData\Local\Config.xml
2018-08-29 11:05 - 2018-08-29 11:05 - 000018432 _____ C:\Users\112121ув\AppData\Local\Main.dat
2018-08-29 11:05 - 2018-08-29 11:05 - 000005568 _____ C:\Users\112121ув\AppData\Local\md.xml
2018-08-29 11:05 - 2018-08-29 11:05 - 000000000 ____D C:\Users\112121ув\AppData\Local\Hostinstaller
2018-08-29 11:05 - 2018-08-29 11:04 - 002294272 _____ (TODO: <Company name>) C:\Users\112121ув\AppData\Local\RanZamla.exe
2018-08-29 11:04 - 2018-08-29 11:05 - 000017664 _____ C:\Users\112121ув\AppData\Local\InstallationConfiguration.xml
2018-08-29 11:04 - 2018-08-29 11:04 - 001413120 _____ C:\Users\112121ув\AppData\Local\sham.db
2018-08-29 11:04 - 2018-08-29 11:04 - 000140800 _____ C:\Users\112121ув\AppData\Local\installer.dat
1601-01-03 21:33 - 1601-01-03 21:33 - 000186368 ____N (Microsoft Corporation) C:\Users\112121ув\CEUuOI.exe
1601-01-03 21:33 - 1601-01-03 21:33 - 000186368 ____N (Microsoft Corporation) C:\Users\112121ув\WAhAAi.exe
2018-08-29 11:05 - 2018-08-29 11:06 - 016993127 _____ (VSUISOFTE ) C:\Users\112121ув\AppData\Local\Temp\install.exe
2018-08-29 11:07 - 2018-08-29 11:07 - 002325446 _____ () C:\Users\112121ув\AppData\Local\Temp\installer_campaign_19354.exe
2018-08-29 11:10 - 2018-08-29 11:10 - 000729088 _____ (GGAlabamaGG) C:\Users\112121ув\AppData\Local\Temp\installer_mi (1).exe
2018-08-29 11:05 - 2018-08-29 11:05 - 000729088 _____ (GGAlabamaGG) C:\Users\112121ув\AppData\Local\Temp\installer_mi.exe
2018-08-29 11:06 - 2018-08-29 11:07 - 002004200 _____ (AfeeCream) C:\Users\112121ув\AppData\Local\Temp\novol.exe
2018-08-29 11:04 - 2018-08-29 11:05 - 004322768 _____ ( ) C:\Users\112121ув\AppData\Local\Temp\OneSystemCare.exe
2018-08-29 11:04 - 2018-08-29 11:04 - 002294272 _____ (TODO: <Company name>) C:\Users\112121ув\AppData\Local\Temp\setup.exe
2018-08-29 11:05 - 2018-08-29 11:05 - 000479816 _____ ( ) C:\Users\112121ув\AppData\Local\Temp\speedownloader.exe
2018-08-29 11:09 - 2018-08-29 11:09 - 000167616 _____ (Microsoft Corporation) C:\Users\112121ув\AppData\Local\Temp\symsrv.dll
2018-08-29 11:07 - 2018-08-29 11:08 - 001129791 _____ (ThisIsSoft ) C:\Users\112121ув\AppData\Local\Temp\whiteclick (1).exe
2018-08-29 11:10 - 2018-08-29 11:10 - 001129791 _____ (ThisIsSoft ) C:\Users\112121ув\AppData\Local\Temp\whiteclick (2).exe
2018-08-29 11:07 - 2018-08-29 11:07 - 001129791 _____ (ThisIsSoft ) C:\Users\112121ув\AppData\Local\Temp\whiteclick.exe
2018-08-29 11:08 - 2018-08-29 11:08 - 000375522 _____ ( ) C:\Users\112121ув\AppData\Local\Temp\xkl402ceqsq.exe
2018-08-29 11:05 - 2018-08-29 11:05 - 000264968 _____ () C:\Users\112121ув\AppData\Local\Temp\ZaxarSetup.4.001.1961.exe
FirewallRules: [{C379E474-8029-47F4-BCF4-26F8ED34A5BC}] => (Allow) C:\ProgramData\WindowsMenu\westat.exe
FirewallRules: [{C49F4CBE-0141-4005-BE83-524D2F2C1F6C}] => (Allow) C:\ProgramData\WindowsMenu\westat.exe
FirewallRules: [{1E6EDE9A-4C31-4779-A5F9-BE7E3C2A54FF}] => (Allow) C:\ProgramData\WindowsMenu\westat.exe
FirewallRules: [{3F2490F9-D669-4349-833F-497B405CB091}] => (Allow) C:\ProgramData\WindowsMenu\westat.exe
FirewallRules: [{5958F5D1-EFE6-4A15-95B5-FD5246D3450A}] => (Allow) C:\Windows\rss\csrss.exe
FirewallRules: [{8A101330-ABC0-465D-8058-F732F7E8D549}] => (Allow) C:\Windows\rss\csrss.exe
FirewallRules: [{CAA352A0-72FC-4512-97D4-CAD3F4EA7858}] => (Allow) C:\Users\112121ув\AppData\Local\Temp\csrss\lsa64.exe
FirewallRules: [{7AAE89D8-B29E-4724-9E5A-91BBBB40C06C}] => (Allow) C:\Program Files\Jetmedia\NativeDesktopMediaService\desktop_media_service.exe
Task: {2531C17C-97DD-45A7-A98E-C61CD74D41C1} - System32\Tasks\psv_Donity => cmd.exe /c regedit.exe /s "C:\ProgramData\Kolnixo\Fasecore.reg" & del "C:\ProgramData\Kolnixo\Fasecore.reg" & SCHTASKS /Delete /TN "psv_Donity" /F <==== ATTENTION
Task: {26673511-8779-42BD-A2E8-43F0812C2427} - \VirtualStore Updater -> No File <==== ATTENTION
Task: {324C3463-3E12-434B-9237-C9329811FA8D} - \{084FC92B-1EE8-03D9-3176-5A85DDF2D070} -> No File <==== ATTENTION
Task: {456FC6CF-0B68-494D-AB38-B738BEEBA929} - \{4594B241-6716-4FB8-405F-89E3DCF65F2C} -> No File <==== ATTENTION
Task: {521EAEFC-F878-4DAB-B061-D83F5144682E} - \{F3A1E84F-5D35-CD2D-E677-6EDB28B54F17} -> No File <==== ATTENTION
Task: {5DE82664-68F3-4BD4-8F28-F4938746CAE5} - \{4CD19F27-5FB3-C1FC-E271-D341E71EB7AA} -> No File <==== ATTENTION
Task: {61067A01-98E7-475A-BFFC-1319EA7DCB8A} - \ScheduledUpdate -> No File <==== ATTENTION
Task: {67FF5748-1036-4721-9809-9FB68A26C318} - \Microsoft\QuickLaunch -> No File <==== ATTENTION
Task: {7066E6CE-2865-4553-8F84-289D7AE3C895} - System32\Tasks\Checker64 => C:\Program Files\Jetmedia\NativeDesktopMediaService\checker.exe [2018-08-29] () <==== ATTENTION
Task: {811CB3B8-86FD-4AF7-901B-922C52A087C3} - \hdtask -> No File <==== ATTENTION
Task: {8A471754-A9DE-444E-996B-51D4C2A816DD} - \Microsoft\Windows\Starter -> No File <==== ATTENTION
Task: {BA667479-4CF5-439D-92B5-67036D44FB68} - \csrss -> No File <==== ATTENTION
Task: {D496CBE7-A777-491F-940C-40FCED2CDFCA} - System32\Tasks\{DD21F6DF-39EE-E095-6E2C-D14DAD6BDC5C} => C:\Windows\system32\regsvr32.exe /s /n /i:"/rt" "C:\PROGRA~3\aed9f46d\ba1c3e17.dll" <==== ATTENTION
Task: {E886F950-FF84-4CE6-B0A7-BA99BBB85600} - System32\Tasks\CA336428-51BD-3860-98AF-3FA1790E6C56 => C:\Windows\SysWOW64\regsvr32.exe /n /s /i:"/556a8668e6749445 /q" "C:\Users\112121ув\AppData\Local\AA0B1806-4D39-375F-8789-28913687D1B2\{BA1C3E17-CA7A-14C5-1126-171043879A23}.." <==== ATTENTION
Task: {EFD3FA16-AD83-41EE-AD12-B8C7F7B67DAD} - System32\Tasks\lsa64 => C:\Users\112121ув\AppData\Local\Temp\csrss\lsa64install.exe [2018-08-29] () <==== ATTENTION
Task: {FB59F1A8-55C9-49D6-8EE0-02451F9B39D6} - System32\Tasks\VirtualStore Updater2 => C:\Users\112121ув\AppData\Local\VirtualStore\3467246804_123.exe
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.
[list][*]Обратите внимание: будет выполнена [b]перезагрузка компьютера[/b].[/list]
07.09.2018, 17:27
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]25[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\programdata\cpafservice\cpafservice.exe - [B]Trojan.Win32.Ekstak.isqd[/B] ( AVAST4: Win32:DangerousSig [Trj] )[*] c:\programdata\kolnixo\kolnixo.exe - [B]not-a-virus:HEUR:AdWare.Win32.Linkury.gen[/B] ( AVAST4: Win32:Adware-gen [Adw] )[*] c:\programdata\kolnixo\konktrax.dll - [B]not-a-virus:AdWare.Win32.Linkury.dup[/B] ( AVAST4: Win32:Malware-gen )[*] c:\programdata\kolnixo\sumlab.dll - [B]not-a-virus:AdWare.Win64.Agent.mqk[/B][*] c:\programdata\logic cramble\set.exe - [B]not-a-virus:HEUR:AdWare.Win32.Linkury.gen[/B] ( AVAST4: Win32:Adware-gen [Adw] )[*] c:\programdata\prefssecure\nettrans.exe - [B]not-a-virus:HEUR:AdWare.Win32.Linkury.gen[/B] ( AVAST4: Win32:Adware-gen [Adw] )[*] c:\programdata\windowsmenu\westat.exe - [B]Trojan.Win32.Agentb.jcpt[/B][*] c:\users\112121ув\appdata\local\temp\csrss\cloudnet.exe - [B]Trojan.Win32.Agentb.jeaq[/B] ( AVAST4: Win32:Trojan-gen )[*] c:\users\112121ув\appdata\local\temp\csrss\scheduled.exe - [B]Trojan.Win32.Chapak.arju[/B] ( AVAST4: Win32:Malware-gen )[*] c:\users\112121ув\appdata\local\virtualstore\3467246804_123.exe - [B]not-a-virus:HEUR:AdWare.MSIL.Generic[/B] ( AVAST4: Win32:AdwareX-gen [Adw] )[*] c:\windows\rss\csrss.exe - [B]Trojan.Win32.Chapak.arjm[/B] ( AVAST4: Win32:PWSX-gen [Trj] )[*] c:\windows\system32\drivers\winmonfs.sys - [B]Rootkit.Win64.Agent.avn[/B] ( AVAST4: Win64:Rootkit-gen [Rtk] )[*] c:\windows\system32\drivers\winmonprocessmonitor.sys - [B]Rootkit.Win64.Agent.ayv[/B] ( AVAST4: Win64:Rootkit-gen [Rtk] )[*] c:\windows\system32\drivers\winmon.sys - [B]Rootkit.Win64.Agent.avo[/B] ( AVAST4: Win64:Rootkit-gen [Rtk] )[*] c:\windows\windefender.exe - [B]Trojan.Win32.Agentb.jbdt[/B] ( AVAST4: Win32:Malware-gen )[*] c:\windows\worcpxzudfjgioym.wfrcp - [B]UDS:DangerousObject.Multi.Generic[/B][/LIST][/LIST]