Диск постоянно на 100% [not-a-virus:AdWare.BAT.Clicker.af, HEUR:Trojan.WinLNK.StartPage.gend]

[COLOR=#333333][B]Создаю вторую тему, потому что забыл сделать и добавить результаты сканирования[/B]


При запуске любых программ диск загружается до 100%. Большую нагрузку дает процесс system. Даже, если нагрузка 1 мб/c - 100%. Подозрительных процессов нет. Раньше такого не было, а теперь почти каждый день (наверное, уже год). Перепробовал все способы из интернета. И отключал службы, и дефрагментацию, и на вирусы проверял, которых нет. Вот случайно нашел вас сайт. Может благодаря вам найду решение проблемы, вдруг у меня скрытый майнер.[/COLOR]

Уважаемый(ая) [B]antoshka111[/B], спасибо за обращение на наш форум!

Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте!

Вы собрали логи устаревшей версией. Удалите Autologger и созданную им папку вместе с содержимым. Скачайте актуальную версию (по [url=http://virusinfo.info/soft/tool.php?tool=AutoLogger]ссылке[/url] из правил) и повторите CollectionLog.

Сейчас все сделаю

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Готово

[URL="http://virusinfo.info/showthread.php?t=130828"][b]Временно[/b] отключите защитное ПО[/URL].
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]:

[CODE]begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFile('C:\Users\user\AppData\Local\amigo.bat', '');
QuarantineFile('C:\Users\user\AppData\Local\ok.bat', '');
QuarantineFile('C:\Users\user\AppData\Local\Temp\Rar$EXa0.012\parsecd.exe', '');
QuarantineFile('C:\Users\user\AppData\Local\vk.bat', '');
QuarantineFile('C:\Users\user\AppData\Local\Yandex\browser.bat', '');
QuarantineFile('C:\Users\user\AppData\Roaming\Config\hostdl.exe', '');
QuarantineFile('C:\Users\user\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\ImplicitAppShortcuts\8f57cda0423b7962\Yandex.lnk', '');
QuarantineFile('C:\Users\user\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\ImplicitAppShortcuts\8f57cda0423b7962\Yаndех.lnk', '');
QuarantineFile('C:\Users\user\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Yаndех.lnk', '');
QuarantineFile('C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Yandex\Yаndех.lnk', '');
QuarantineFile('C:\Users\user\Desktop\Рабочий стол\Yаndех.lnk', '');
QuarantineFile('C:\Users\user\Desktop\Рабочий стол\ДОКУМЕНТЫ\Амиго.lnk', '');
QuarantineFile('C:\Users\user\Desktop\Рабочий стол\ДОКУМЕНТЫ\Вконтакте.lnk', '');
QuarantineFile('C:\Users\user\Desktop\Рабочий стол\ДОКУМЕНТЫ\документы\Одноклассники.lnk', '');
DeleteSchedulerTask('WindowsSupport');
DeleteFile('C:\Users\user\AppData\Local\amigo.bat', '');
DeleteFile('C:\Users\user\AppData\Local\ok.bat', '');
DeleteFile('C:\Users\user\AppData\Local\Temp\Rar$EXa0.012\parsecd.exe', '32');
DeleteFile('C:\Users\user\AppData\Local\Temp\Rar$EXa0.012\parsecd.exe', '64');
DeleteFile('C:\Users\user\AppData\Local\vk.bat', '');
DeleteFile('C:\Users\user\AppData\Local\Yandex\browser.bat', '');
DeleteFile('C:\Users\user\AppData\Roaming\Config\hostdl.exe', '64');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Parsec.App.0', '32');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Parsec.App.0', '64');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/CODE]

Компьютер [U]перезагрузится[/U].


Файл [B]quarantine.zip[/B] из папки AVZ загрузите по ссылке "[B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.


Файл [b]CheckBrowserLnk.log[/b]
из папки
[QUOTE]...\AutoLogger\CheckBrowserLnk[/QUOTE]

[img]http://dragokas.com/tools/move.gif[/img] перетащите на [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиту ClearLNK[/url].
Отчёт о работе в виде файла [b]ClearLNK-<Дата>.log[/b] прикрепите к вашему следующему сообщению.


Сделайте повторные логи по [URL="http://virusinfo.info/pravila.html"]правилам[/URL]. ([COLOR="RoyalBlue"]CollectionLog[/COLOR])

Сделал

[LIST][*]Скачайте [B][URL="https://toolslib.net/downloads/viewdownload/1-adwcleaner/"]AdwCleaner (by Malwarebytes)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\Logs\AdwCleaner[Sxx].txt[/COLOR][/B] (где x - любая цифра).[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Прикрепил.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Также появились предустановленные программы (может быть нужно)

Предустановленные не трогайте, т.е. не отмечайте галочками. Остальное чистим:

1.[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Malwarebytes)[/B][/COLOR] (программу необходимо запускать через правую кн. мыши [B]от имени администратора[/B]).[*]В меню [b]Параметры[/b] включите дополнительно в разделе [b]Действия по базовому восстановлению[/b]:
[list][*]Сбросить политики IE[*]Сбросить политики Chrome[/list][*]В меню [B]Информационная панель[/B] нажмите [B]Сканировать[/B].[*]По окончании нажмите кнопку [B]Карантин[/B] и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\Logs\AdwCleaner[Cxx].txt[/COLOR][/B] (где x - любая цифра).[*]Прикрепите отчет к своему следующему сообщению.[*](Обратите внимание - C и S - это разные буквы).[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].


2.
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] (или с [url=http://www.geekstogo.com/forum/files/file/435-frst-farbar-recovery-scan-tool/]зеркала[/url]) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку [B]Scan[/B].
После окончания сканирования будут созданы отчеты [B]FRST.txt[/B] и [B]Addition.txt[/B] в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Прикрепил.

[B]Примите к сведению[/B] - после выполнения скрипта все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.
[List][*] Отключите до перезагрузки антивирус.[*] Выделите следующий код:
[code]Start::
CreateRestorePoint:
HKU\S-1-5-21-534460308-4259481965-4104908205-1002\...\MountPoints2: {18ffe98c-4f82-11e3-be73-24fd52210433} - "D:\AutoRun.exe"
HKU\S-1-5-21-534460308-4259481965-4104908205-1002\...\MountPoints2: {2575c687-b7eb-11e3-be76-001e101f47b6} - "D:\AutoRun.exe"
HKU\S-1-5-21-534460308-4259481965-4104908205-1002\...\MountPoints2: {4c91415a-18ce-11e4-be81-24fd52210433} - "D:\AutoRun.exe"
HKU\S-1-5-21-534460308-4259481965-4104908205-1002\...\MountPoints2: {56b56b93-613d-11e9-80c7-24fd52210433} - "D:\HiSuiteDownLoader.exe"
HKU\S-1-5-21-534460308-4259481965-4104908205-1002\...\MountPoints2: {57d6e2c4-c9ab-11e5-bfb6-001e101f3334} - "D:\AutoRun.exe"
HKU\S-1-5-21-534460308-4259481965-4104908205-1002\...\MountPoints2: {771d0209-2b5e-11e6-bfc5-24fd52210433} - "D:\iLinker.exe"
HKU\S-1-5-21-534460308-4259481965-4104908205-1002\...\MountPoints2: {9595d256-f6b6-11e8-80b8-24fd52210433} - "D:\HiSuiteDownLoader.exe"
HKU\S-1-5-21-534460308-4259481965-4104908205-1002\...\MountPoints2: {b33dbb97-0392-11e4-be7e-24fd52210433} - "D:\AutoRun.exe"
HKU\S-1-5-21-534460308-4259481965-4104908205-1002\...\MountPoints2: {bf75ac38-b727-11e3-be75-24fd52210433} - "D:\AutoRun.exe"
HKU\S-1-5-21-534460308-4259481965-4104908205-1002\...\MountPoints2: {bf75ac78-b727-11e3-be75-24fd52210433} - "D:\AutoRun.exe"
HKU\S-1-5-21-534460308-4259481965-4104908205-1002\...\MountPoints2: {bffb8b63-8701-11ea-8128-24fd52210433} - "D:\HiSuiteDownLoader.exe"
HKU\S-1-5-21-534460308-4259481965-4104908205-1002\...\MountPoints2: {fe831e0e-81c4-11e6-bfd1-001e101febe4} - "D:\AutoRun.exe"
IFEO\taskmgr.exe: [Debugger]
GroupPolicy: Restriction - Chrome <==== ATTENTION
GroupPolicy\User: Restriction ? <==== ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
Toolbar: HKU\S-1-5-21-534460308-4259481965-4104908205-1002 -> No Name - {093F479D-712E-46CD-9E06-62E734A05F68} - No File
CHR HomePage: Default -> search.ask.com/?gct=hp
CHR StartupUrls: Default -> "hxxps://www.google.com/","hxxps://www.google.com/"
CHR DefaultSearchURL: Default -> hxxp://www.search.ask.com/web?q={searchTerms}
CHR DefaultSearchKeyword: Default -> search.ask.com
CHR DefaultSuggestURL: Default -> hxxp://ssmsp.ask.com/query?sstype=prefix&li=ff&q={searchTerms}
HKU\.DEFAULT\...\StartMenuInternet\ChromeHTML: -> C:\Program Files (x86)\Fanlook\Application\chrome.exe <==== ATTENTION
HKU\S-1-5-21-534460308-4259481965-4104908205-1002\...\StartMenuInternet\ChromeHTML: -> C:\Program Files (x86)\Dohat\Application\chrome.exe <==== ATTENTION
HKU\S-1-5-18\...\StartMenuInternet\ChromeHTML: -> C:\Program Files (x86)\Fanlook\Application\chrome.exe <==== ATTENTION
S1 QMUdisk; \??\C:\Program Files (x86)\Tencent\QQPCMgr\10.10.16434.218\QMUdisk64.sys [X]
2015-07-06 21:27 - 2015-08-04 12:07 - 000000121 ____H () C:\Program Files (x86)\opera.bat
2015-07-06 21:27 - 2017-05-07 19:32 - 000866424 _____ (Opera Software) C:\Program Files (x86)\оpеrа.bаt.exe
2014-11-07 22:00 - 2014-11-07 22:00 - 000000139 ____H () C:\Users\user\AppData\Local\ok.bat
2014-11-07 22:00 - 2014-11-07 22:00 - 000000139 ____H () C:\Users\user\AppData\Local\vk.bat
bl (HKLM-x32\...\{2A075BB4-E976-4278-BF3F-E5C6945D84C0}) (Version: 1.0.0 - Your Company Name) Hidden
ph (HKLM-x32\...\{185F9795-9663-4F13-9EF9-307A282ADB5A}) (Version: 1.0.0 - Your Company Name) Hidden
ContextMenuHandlers1: [IObitUnstaler] -> {B19ED566-D419-470b-B111-3C89040BC027} => -> No File
ContextMenuHandlers4: [IObitUnstaler] -> {B19ED566-D419-470b-B111-3C89040BC027} => -> No File
ContextMenuHandlers6: [IObitUnstaler] -> {B19ED566-D419-470b-B111-3C89040BC027} => -> No File
AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [470]
AlternateDataStreams: C:\Users\user\AppData\Local\Temp:SHPY0aAZPRpQ59nNX1ILJLB [2278]
FirewallRules: [{3CAC24BD-3D67-4934-A8A5-B4B7CDF4FC14}] => (Allow) LPort=3389
FirewallRules: [{BF6E3D42-D003-4CB3-B3C7-5DE9B8F927BB}] => (Allow) C:\Program Files (x86)\Remote Mouse\RemoteMouse.exe => No File
FirewallRules: [{8B09AF80-A3FC-4F1B-95EE-7925B0EA25B2}] => (Allow) C:\Program Files (x86)\Remote Mouse\RemoteMouse.exe => No File
FirewallRules: [{D5E5A37E-8953-4EC9-B04B-07763F32D0A6}] => (Allow) C:\Program Files (x86)\Remote Mouse\RemoteMouseCore.exe => No File
FirewallRules: [{B10722AC-3E9F-4997-A84F-93BE0ADE4EE5}] => (Allow) C:\Program Files (x86)\Remote Mouse\RemoteMouseCore.exe => No File
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
EmptyTemp:
Reboot:
End::[/code]
[*] Скопируйте выделенный текст (правой кнопкой - Копировать).[*] Запустите FRST (FRST64) от имени администратора.[*] Нажмите [B]Fix[/B] один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.[/List]
Компьютер будет перезагружен автоматически.

А можно как-нибудь сохранить историю и куки?

Не желательно. Но если так уж надо, уберите из скрипта строку
EmptyTemp:

А если убрать эту строку, то выход из аккаунтов тоже не будет?

Не будет.

готово

Исключения в Защитнике для подобных папок
[QUOTE]C:\Program Files (x86)\YpuAskUn[/QUOTE]
специально задавали?

Нет, ничего не задавал, убрал строку, которую вы сказали и все

Тогда еще один скрипт.

[List][*] Отключите до перезагрузки антивирус.[*] Выделите следующий код:
[code]Start::
CreateRestorePoint:
DeleteValue:HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|"C:\Program Files (x86)\YpuAskUn"
DeleteValue:HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|"C:\Program Files (x86)\YueAckU"
DeleteValue:HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|"C:\Program Files (x86)\YtuAskU2"
DeleteValue:HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|"C:\Program Files (x86)\YeuAskIE"
DeleteValue:HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|"C:\Users\user\AppData\Roaming\Opera Software\Opera Stable\Extensions\clliemkgoekbejfjjaodogdfimdgapdf"
Reboot:
End::[/code]
[*] Скопируйте выделенный текст (правой кнопкой - Копировать).[*] Запустите FRST (FRST64) от имени администратора.[*] Нажмите [B]Fix[/B] один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.[/List]
Компьютер будет перезагружен автоматически.

Готово