Вирус Mail.ru и прочая самоустанавливающаяся дрянь [HEUR:Trojan.Win32.Miner.gen, HEUR:Trojan.Win32.Generic]

Здравствуйте, случайно в спешке открыл скачанный файл с интернета, не проверив вирус тоталом. В итоге запустился стандартный процесс установки всякого хлама по типу mail.ru, ZaharLoader, Shadow play и прочее. Заметив такое сразу же полез в диспедчер прерывать установку данного чуда. Позавершил все сторонние процессы, полез в реестр удалять все, что связанно с mail. Из автозапуска убрал все сторонние программы и т.д. В итоге в браузерах висит теперь майл стартовой страницей и периодически через rundll32 запускается процесс pdqjw9d8as123hdk.exe, который просто висит и все. Видимо мне удалось нарушить алгоритм вируса чисткой реестра и прочего. Помогите избавиться полностью от этой дряни:(

Уважаемый(ая) [B]_Yuti_[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Мне помог пользователь с ником "Vicont4063", спасибо ему огромное :clapping:

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
TerminateProcessByName('c:\users\yuti\appdata\local\wservices\pdqjw9d8as123hdk.exe');
TerminateProcessByName('c:\users\yuti\appdata\local\wservices\svb98s12e.exe');
TerminateProcessByName('C:\Windows\addins\SmartScreen.exe');
TerminateProcessByName('c:\windows\systems.exe');
StopService('AdobeFlashPlayerHash');
QuarantineFile('C:\Program Files (x86)\Mail.Ru\MailRuUpdater\MailRuUpdater.exe', '');
QuarantineFile('C:\Program Files (x86)\Mail.Ru\Update Service\mrupdsrv.exe', '');
QuarantineFile('C:\Program Files (x86)\Smart Application Controller\smappscontroller.exe', '');
QuarantineFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe', '');
QuarantineFile('C:\ProgramData\{HRT6ZK0F-S662-SC34-7CCZY195ZH12}\A2SWRF0GBU2S.vbs', '');
QuarantineFile('C:\ProgramData\{SC340ZI7-7CCZ-FI11-YE64X1ZZHIST}\YE64X1ZZHIST.vbs', '');
QuarantineFile('C:\ProgramData\{XPRNI1G5-2H5X-5ZVV-OPZ6W40AIDLA}\NVIDIA Web Helper.exe', '');
QuarantineFile('C:\ProgramData\{XPRNI1G5-AHTR-5ZVV-GZLQQA3H40JJ}\NVIDIA Web Helper.exe', '');
QuarantineFile('C:\Users\Yuti\AppData\Local\Mail.Ru\MailRuUpdater.exe', '');
QuarantineFile('C:\Users\Yuti\AppData\Local\Mail.Ru\Sputnik\ie_addon_dll.dll', '');
QuarantineFile('C:\Users\Yuti\AppData\Local\MediaGet2\mediaget.exe', '');
QuarantineFile('c:\users\yuti\appdata\local\wservices\pdqjw9d8as123hdk.exe', '');
QuarantineFile('c:\users\yuti\appdata\local\wservices\svb98s12e.exe', '');
QuarantineFile('C:\Users\Yuti\AppData\Roaming\Movies\python\pythonw.exe', '');
QuarantineFile('C:\Users\Yuti\AppData\Roaming\QIPApp\QIPApp.exe', '');
QuarantineFile('C:\Windows\addins\SmartScreen.exe', '');
QuarantineFile('c:\windows\systems.exe', '');
QuarantineFileF('c:\program files (x86)\zaxar', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
QuarantineFileF('c:\users\yuti\appdata\local\wservices', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', false, '', 0 , 0);
DeleteFile('C:\Program Files (x86)\Mail.Ru\MailRuUpdater\MailRuUpdater.exe', '');
DeleteFile('C:\Program Files (x86)\Mail.Ru\Update Service\mrupdsrv.exe', '');
DeleteFile('C:\Program Files (x86)\Smart Application Controller\smappscontroller.exe', '');
DeleteFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe', '64');
DeleteFile('C:\ProgramData\{HRT6ZK0F-S662-SC34-7CCZY195ZH12}\A2SWRF0GBU2S.vbs', '');
DeleteFile('C:\ProgramData\{SC340ZI7-7CCZ-FI11-YE64X1ZZHIST}\YE64X1ZZHIST.vbs', '');
DeleteFile('C:\ProgramData\{XPRNI1G5-2H5X-5ZVV-OPZ6W40AIDLA}\NVIDIA Web Helper.exe', '');
DeleteFile('C:\ProgramData\{XPRNI1G5-AHTR-5ZVV-GZLQQA3H40JJ}\NVIDIA Web Helper.exe', '');
DeleteFile('C:\Users\Yuti\AppData\Local\Mail.Ru\MailRuUpdater.exe', '');
DeleteFile('C:\Users\Yuti\AppData\Local\Mail.Ru\MailRuUpdater.exe', '64');
DeleteFile('C:\Users\Yuti\AppData\Local\Mail.Ru\Sputnik\ie_addon_dll.dll', '');
DeleteFile('C:\Users\Yuti\AppData\Local\MediaGet2\mediaget.exe', '64');
DeleteFile('c:\users\yuti\appdata\local\wservices\pdqjw9d8as123hdk.exe', '');
DeleteFile('c:\users\yuti\appdata\local\wservices\svb98s12e.exe', '');
DeleteFile('C:\Users\Yuti\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Mail.Ru.lnk');
DeleteFile('C:\Users\Yuti\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Mail.Ru.lnk');
DeleteFile('C:\Users\Yuti\AppData\Roaming\Movies\python\pythonw.exe', '');
DeleteFile('C:\Users\Yuti\AppData\Roaming\Movies\python\pythonw.exe', '64');
DeleteFile('C:\Users\Yuti\AppData\Roaming\QIPApp\QIPApp.exe', '64');
DeleteFile('C:\Windows\addins\SmartScreen.exe', '');
DeleteFile('c:\windows\systems.exe', '');
ExecuteFile('schtasks.exe', '/delete /TN "1UG6DIZE3UTHJF" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "CheckControllerUpdatesUA" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "CP8Z9ZN3KMVU03" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "HBUF9RUJSJHJ0V7O4L" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "MailRuUpdater" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Movies" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Movies2" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "MQPV9J07RG37SOW1AJ" /F', 0, 15000, true);
DeleteService('AdobeFlashPlayerHash');
DeleteService('mrupdsrv');
DeleteService('Updater.Mail.Ru');
DeleteService('ZAM');
DeleteFileMask('c:\program files (x86)\mail.ru', '*', true);
DeleteFileMask('c:\program files (x86)\smart application controller', '*', true);
DeleteFileMask('c:\program files (x86)\zaxar', '*', true);
DeleteFileMask('c:\programdata\{hrt6zk0f-s662-sc34-7cczy195zh12}', '*', false);
DeleteFileMask('c:\programdata\{sc340zi7-7ccz-fi11-ye64x1zzhist}', '*', false);
DeleteFileMask('c:\programdata\{xprni1g5-2h5x-5zvv-opz6w40aidla}', '*', false);
DeleteFileMask('c:\programdata\{xprni1g5-ahtr-5zvv-gzlqqa3h40jj}', '*', false);
DeleteFileMask('c:\users\yuti\appdata\local\mail.ru', '*', true);
DeleteFileMask('c:\users\yuti\appdata\local\mediaget2', '*', true);
DeleteFileMask('c:\users\yuti\appdata\local\wservices', '*', false);
DeleteFileMask('c:\users\yuti\appdata\roaming\qipapp', '*', true);
DeleteDirectory('c:\program files (x86)\mail.ru');
DeleteDirectory('c:\program files (x86)\smart application controller');
DeleteDirectory('c:\program files (x86)\zaxar');
DeleteDirectory('c:\programdata\{hrt6zk0f-s662-sc34-7cczy195zh12}');
DeleteDirectory('c:\programdata\{sc340zi7-7ccz-fi11-ye64x1zzhist}');
DeleteDirectory('c:\programdata\{xprni1g5-2h5x-5zvv-opz6w40aidla}');
DeleteDirectory('c:\programdata\{xprni1g5-ahtr-5zvv-gzlqqa3h40jj}');
DeleteDirectory('c:\users\yuti\appdata\local\mail.ru');
DeleteDirectory('c:\users\yuti\appdata\local\mediaget2');
DeleteDirectory('c:\users\yuti\appdata\local\wservices');
DeleteDirectory('c:\users\yuti\appdata\roaming\qipapp');
DelBHO('{8E8F97CD-60B5-456F-A201-73065652D099}');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\MailRuUpdater', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\MediaGet2', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Movies', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\QIPApp', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ZaxarLoader', 'command');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteRepair(3);
ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Скачайте, распакуйте и запустите [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиту ClearLNK[/url]. Скопируйте текст ниже в окно утилиты и нажмите "[B]Лечить[/B]".[CODE]>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ZaxarGameBrowser\ZaxarGameBrowser.lnk" -> ["C:\Program Files (x86)\Zaxar\ZaxarGameBrowser.exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ZaxarGameBrowser\ZaxarUpdate.lnk" -> ["C:\Program Files (x86)\Zaxar\ZaxarLoader.exe"]
>>> "C:\Users\Yuti\Desktop\Новая папка\Олег\прочее\Новая папка (3)\DOSBox 0.74.lnk" -> ["C:\Program Files (x86)\DOSBox-0.74\DOSBox.exe" =>> -userconf]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\by.xatab\ЗапуститьFar Cry Primal.lnk" -> ["C:\Games\Far Cry Primal\bin\FCPrimal.exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\by.xatab\Удалить Far Cry Primal.lnk" -> ["C:\Games\Far Cry Primal\unins000.exe"]
>>> "C:\Users\Yuti\Desktop\Winmine.lnk" -> ["C:\Users\Yuti\AppData\Roaming\QIPApp\QIPApp\Winmine.exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\by.xatab\Удалить Grand Theft Auto V.lnk" -> ["C:\Games\Grand Theft Auto V\unins000.exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Smart Application Controller\Smart Application Controller.lnk" -> ["C:\Program Files (x86)\Smart Application Controller\smappscontroller.exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\by.xatab\Запустить Prey.lnk" -> ["C:\Games\Prey\Binaries\Danielle\x64\Release\Prey.exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\by.xatab\Удалить Prey.lnk" -> ["C:\Games\Prey\unins000.exe"]
>>> "C:\Users\Yuti\Desktop\Новая папка\Олег\теоретическая механика\КР\Динамика (очн)\RGR_D1.PIF" -> ["C:\Курсовая работа\Динамика\RGR_D1.EXE"]
>>> "C:\Users\Yuti\AppData\Local\Microsoft\Windows\GameExplorer\{5E8E55EC-8DEC-489B-8C60-0C6BD0844A2F}\PlayTasks\0\Играть.lnk" -> ["C:\Program Files (x86)\Harry Potter and The Goblet of Fire\gof_f.exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\AMD\OverDrive\OverDrive Users Guide.lnk" -> ["C:\Program Files (x86)\AMD\OverDrive\AMD_OverDrive_Users_Guide.chm"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\by.xatab\ЗапуститьPro Evolution Soccer 2017.lnk" -> ["C:\Games\Pro Evolution Soccer 2017\PES2017.exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\by.xatab\Удалить Pro Evolution Soccer 2017.lnk" -> ["C:\Games\Pro Evolution Soccer 2017\unins000.exe"]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\by.xatab\Запустить What Remains of Edith Finch.lnk" -> ["C:\Games\What Remains of Edith Finch\FinchGame\Binaries\Win64\FinchGame.exe" =>> SAVEWINPOS=1]
>>> "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\by.xatab\Удалить What Remains of Edith Finch.lnk" -> ["C:\Games\What Remains of Edith Finch\unins000.exe"]
>>> "C:\Users\Yuti\Desktop\A360 Drive.lnk" -> ["C:\Users\yangga\AppData\Local\Autodesk\Autodesk Sync\Cloud\xiaoqiang001"]
- "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\OVGorskiy.ru.URL" -> hxxp://ovgorskiy.ru/
- "C:\Users\Yuti\Links\Искать в Интернете.url" -> hxxps://go.mail.ru/?fr=explrspt
- "C:\Users\Yuti\Desktop\Искать в Интернете.url" -> hxxps://go.mail.ru/?sct=1&fr=ni&gp=811550
- "C:\Users\Yuti\Favorites\Mail.Ru.url" -> hxxps://vvv.mail.ru/cnt/7861
- "C:\Users\Yuti\Favorites\OVGorskiy.ru.url" -> hxxp://ovgorskiy.ru/
- "C:\Users\Yuti\Favorites\Искать в Интернете.url" -> hxxps://go.mail.ru/?fr=iespt
[/CODE]Отчёт о работе прикрепите.

Сделайте новый лог такой версией [URL="https://yadi.sk/d/7dgjMleO3E3E9b"]Autologger[/URL].

Сделайте лог [URL="https://virusinfo.info/showthread.php?t=218752&p=1480546&viewfull=1#post1480546"]Malwarebytes AdwCleaner[/URL].

Спасибо большое, вот логи

[url="https://virusinfo.info/showthread.php?t=218752&p=1480599&viewfull=1#post1480599"]Удалите всё найденное в [B]AdwCleaner[/B][/URL], дождитесь окончания удаления и перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C0].txt, прикрепите к своему следующему сообщению.
[URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кэш и cookies-файлы браузеров[/URL] и сообщите, что с проблемами.

Спасибо, проблема исчезла:)

Запустите AdwCleaner, меню Настройки - Удалить AdwCleaner - выберите Удалить.

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\programdata\{xprni1g5-ahtr-5zvv-gzlqqa3h40jj}\nvidia web helper.exe - [B]HEUR:Trojan.Win32.Generic[/B] ( AVAST4: Win32:Malware-gen )[*] c:\programdata\{xprni1g5-2h5x-5zvv-opz6w40aidla}\nvidia web helper.exe - [B]HEUR:Trojan.Win32.Generic[/B] ( AVAST4: Win32:Malware-gen )[*] c:\windows\addins\smartscreen.exe - [B]HEUR:Trojan.Win32.Miner.gen[/B] ( AVAST4: Win64:Malware-gen )[*] c:\windows\systems.exe - [B]HEUR:Trojan.Win32.Agent.gen[/B] ( AVAST4: Win32:Malware-gen )[/LIST][/LIST]