Самопроизвольная установка программ

Здравствуйте!
На компьютере периодически происходит установка программ без участия пользователя. Сначала устанавливается Mediaget, потом скачивается и устанавливается пакет DaemonTools, Yandex browser, Avast и др. Ну и потом игра Hitman. В запланированных задачах не нашёл ничего такого, наверное плохо искал. Прошу помощи!

Уважаемый(ая) [B]rowman[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Пофиксите в HiJackThis из папки Autologger
[CODE]O26 - UWP Debugger: AcroRd32.exe (default) = (no file)
O26 - UWP Debugger: AcroRd32Info.exe (default) = (no file)
O26 - UWP Debugger: ExtExport.exe (default) = (no file)
O26 - UWP Debugger: FlashPlayerApp.exe (default) = (no file)
O26 - UWP Debugger: FlashPlayerPlugin_31_0_0_122.exe (default) = (no file)
O26 - UWP Debugger: FlashPlayerUpdateService.exe (default) = (no file)
O26 - UWP Debugger: FlashUtil32_31_0_0_122_Plugin.exe (default) = (no file)
O26 - UWP Debugger: FlashUtil32_31_0_0_122_pepper.exe (default) = (no file)
O26 - UWP Debugger: FlashUtil64_31_0_0_122_Plugin.exe (default) = (no file)
O26 - UWP Debugger: FlashUtil64_31_0_0_122_pepper.exe (default) = (no file)
O26 - UWP Debugger: GoogleUpdate.exe (default) = (no file)
O26 - UWP Debugger: MRT.exe (default) = (no file)
O26 - UWP Debugger: MsMpEng.exe (default) = (no file)
O26 - UWP Debugger: PresentationHost.exe (default) = (no file)
O26 - UWP Debugger: PrintDialog.exe (default) = (no file)
O26 - UWP Debugger: PrintIsolationHost.exe (default) = (no file)
O26 - UWP Debugger: RdrCEF.exe (default) = (no file)
O26 - UWP Debugger: RdrServicesUpdater.exe (default) = (no file)
O26 - UWP Debugger: SystemSettings.exe (default) = (no file)
O26 - UWP Debugger: Winword.exe (default) = (no file)
O26 - UWP Debugger: clview.exe (default) = (no file)
O26 - UWP Debugger: cnfnot32.exe (default) = (no file)
O26 - UWP Debugger: dw20.exe (default) = (no file)
O26 - UWP Debugger: dwtrig20.exe (default) = (no file)
O26 - UWP Debugger: excel.exe (default) = (no file)
O26 - UWP Debugger: excelcnv.exe (default) = (no file)
O26 - UWP Debugger: graph.exe (default) = (no file)
O26 - UWP Debugger: groove.exe (default) = (no file)
O26 - UWP Debugger: ie4uinit.exe (default) = (no file)
O26 - UWP Debugger: ieUnatt.exe (default) = (no file)
O26 - UWP Debugger: ieinstal.exe (default) = (no file)
O26 - UWP Debugger: ielowutil.exe (default) = (no file)
O26 - UWP Debugger: iexplore.exe (default) = (no file)
O26 - UWP Debugger: infopath.exe (default) = (no file)
O26 - UWP Debugger: msaccess.exe (default) = (no file)
O26 - UWP Debugger: mscorsvw.exe (default) = (no file)
O26 - UWP Debugger: msfeedssync.exe (default) = (no file)
O26 - UWP Debugger: mshta.exe (default) = (no file)
O26 - UWP Debugger: msohtmed.exe (default) = (no file)
O26 - UWP Debugger: msosync.exe (default) = (no file)
O26 - UWP Debugger: msoxmled.exe (default) = (no file)
O26 - UWP Debugger: mspub.exe (default) = (no file)
O26 - UWP Debugger: msqry32.exe (default) = (no file)
O26 - UWP Debugger: mstordb.exe (default) = (no file)
O26 - UWP Debugger: mstore.exe (default) = (no file)
O26 - UWP Debugger: ngen.exe (default) = (no file)
O26 - UWP Debugger: ngentask.exe (default) = (no file)
O26 - UWP Debugger: ois.exe (default) = (no file)
O26 - UWP Debugger: onelev.exe (default) = (no file)
O26 - UWP Debugger: onenote.exe (default) = (no file)
O26 - UWP Debugger: onenotem.exe (default) = (no file)
O26 - UWP Debugger: orgchart.exe (default) = (no file)
O26 - UWP Debugger: ose.exe (default) = (no file)
O26 - UWP Debugger: outlook.exe (default) = (no file)
O26 - UWP Debugger: powerpnt.exe (default) = (no file)
O26 - UWP Debugger: runtimebroker.exe (default) = (no file)
O26 - UWP Debugger: scanost.exe (default) = (no file)
O26 - UWP Debugger: scanpst.exe (default) = (no file)
O26 - UWP Debugger: selfcert.exe (default) = (no file)
O26 - UWP Debugger: setlang.exe (default) = (no file)
O26 - UWP Debugger: splwow64.exe (default) = (no file)
O26 - UWP Debugger: spoolsv.exe (default) = (no file)
O26 - UWP Debugger: svchost.exe (default) = (no file)
O26 - UWP Debugger: vpreview.exe (default) = (no file)
O26 - UWP Debugger: wordconv .exe (default) = (no file)
O26 - UWP Debugger: wxp.exe (default) = (no file)[/CODE][b][color="Red"]Пожалуйста, ЕЩЕ РАЗ запустите Autologger; прикрепите к следующему сообщению НОВЫЕ логи. [/color][/b]

Готово

Здравствуйте,

Уточните пожалуйста, у Вас что используется роутер Mikrotik?

Если не пользуетесь более антивирусом Avast то удалите его [URL="https://www.avast.ru/uninstall-utility"]остатки в системе.[/URL]

HiJackThis (из каталога [B]autologger[/B])[URL=http://virusinfo.info/showthread.php?t=4491&p=64376&viewfull=1#post64376]профиксить[/URL]
[B]Важно[/B]: необходимо отметить и профиксить [B]только[/B] то, что указано ниже.
[CODE]
O21 - HKLM\..\ShellIconOverlayIdentifiers\00asw: (no name) - {472083B0-C522-11CF-8763-00608CC02F24} - (no file)[/CODE]


- Подготовьте лог [URL="https://virusinfo.info/showthread.php?t=218752&p=1480546&viewfull=1#post1480546"]AdwCleaner[/URL] и приложите его в теме.

Да, роутер - Mikrotik. Авастом и не пользовался, он установился сам вместе с остальными программами из пакета. Утилиту по его окончательному удалению смогу запустить только завтра, так как она требует безопасного режима, а я через RDP подключился.

[url=https://virusinfo.info/showthread.php?t=218752&p=1480599&viewfull=1#post1480599]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

Касаемо роутера Mikrotik ознакомьтесь пожалуйста [URL="https://habr.com/post/424433/"]со статьей[/URL], возможно ваш роутер взломан.

Удалил. Спасибо за наводку на статью! Буду проверять.

- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]

Сделано!

[LIST][*] Закройте и сохраните все открытые приложения.[*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] с поддержкой [B]Unicode[/B] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
Start::
CreateRestorePoint:
CloseProcesses:
Folder: C:\Program Files\MySQL\MySQL Server 5.5\bin
Folder: C:\Program Files\MySQL\MySQL Server 5.5\lib
File: C:\Windows\SysWOW64\nhsrvice.exe
File: C:\Program Files\RDP Wrapper\rdpwrap.dll
U3 aswbdisk; no ImagePath
File: C:\WINDOWS\system32\mssprxy.dll
2018-11-13 23:54 - 2018-11-13 23:54 - 000182568 _____ () C:\Users\User\AppData\Local\Temp\mediaget-uninstaller.exe
2018-11-13 23:53 - 2018-10-26 11:41 - 000339976 _____ () C:\Users\User\AppData\Local\Temp\YandexWorking.exe
2018-11-13 21:10 - 2018-08-23 11:57 - 000297992 _____ () C:\Users\User\AppData\Local\Temp\Yandex__.exe
2018-11-13 21:11 - 2018-11-13 21:18 - 099396088 _____ (YANDEX LLC) C:\Users\User\AppData\Local\Temp\{095FADDA-96F8-4734-951C-7E2F85DD702B}.exe
2018-11-13 21:10 - 2018-11-13 21:17 - 099396088 _____ (YANDEX LLC) C:\Users\User\AppData\Local\Temp\{390DE5D9-F5E0-4221-9ED3-62B13CE41F56}.exe
2018-10-15 15:05 - 2018-10-15 15:05 - 099396088 _____ (YANDEX LLC) C:\Users\User\AppData\Local\Temp\{4ABA6B77-9A05-4B8D-B252-0598015D7ED7}.exe
CustomCLSID: HKU\S-1-5-21-2227689304-1885440843-3317346682-1001_Classes\CLSID\{1BF42E4C-4AF4-4CFD-A1A0-CF2960B8F63E}\InprocServer32 -> C:\Users\User\AppData\Local\Microsoft\OneDrive\18.192.0920.0015\amd64\FileSyncShell64.dll => No File
CustomCLSID: HKU\S-1-5-21-2227689304-1885440843-3317346682-1001_Classes\CLSID\{7AFDFDDB-F914-11E4-8377-6C3BE50D980C}\InprocServer32 -> C:\Users\User\AppData\Local\Microsoft\OneDrive\18.192.0920.0015\amd64\FileSyncShell64.dll => No File
CustomCLSID: HKU\S-1-5-21-2227689304-1885440843-3317346682-1001_Classes\CLSID\{82CA8DE3-01AD-4CEA-9D75-BE4C51810A9E}\InprocServer32 -> C:\Users\User\AppData\Local\Microsoft\OneDrive\18.192.0920.0015\amd64\FileSyncShell64.dll => No File
Task: {F479051F-1CE3-40D2-8814-800876FCF3F8} - System32\Tasks\Avast Software\Overseer => C:\Program Files\Common Files\AVAST Software\Overseer\overseer.exe <==== ATTENTION
AlternateDataStreams: C:\ProgramData\TEMP:D8999815 [200]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:D8999815 [200]
Reboot:
End::
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]

Вот

Сообщите пожалуйста, если проблема как-то проявляется? И нашли ли что-нибудь вредоносное в настройках вашего роутера?

На данный момент всё тихо. Хотя, периодичность возникновения проблемы не до конца понятна (проявлялась два раза через несколько дней). По итогам, были взломаны почтовый ящик (пароль был сохранён в Thunderbird и, возможно, в браузере) и mikrotik rb-941-2nd-tc hAP lite, который используется как точка доступа wifi внутри сети (пароль был сохранён в winbox). Контроль над ними восстановлен.
Основной роутер чувствует себя нормально, чужеродных настроек не нашёл (правила файрвола были настроены). На всякий случай обновил прошивку и сменил пользователя.

[QUOTE=rowman;1491918] По итогам, были взломаны почтовый ящик (пароль был сохранён в Thunderbird и, возможно, в браузере) [/QUOTE]
Попробуйте написать в тех.поддержку почтовой службы, чтобы они вам помогли с восстановление доступа.

Скачайте программу [url="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/url] и [url="http://virusinfo.info/showthread.php?t=121767"]сделайте полный образ автозапуска uVS[/url].

[QUOTE=SQ;1491919]Попробуйте написать в тех.поддержку почтовой службы, чтобы они вам помогли с восстановление доступа.[/QUOTE]
Я же написал в прошлом сообщении, что доступ уже восстановлен.
Пароли были дискредитированы ещё до последнего запуска FRST, как я понимаю.
Образ автозапуска прилагаю.

Уточните пожалуйста, проблема еще как-то себя проявляет?

На данный момент - нет.

В последних логах ничего плохого обнаружено не было. Если проблема вернется напишите об этом пожалуйста тут.

Хорошо. Большое спасибо за помощь!