Вирус, удаляющий драйверы на видеокарту

Здравствуйте, всё началось с того, что посреди игры мой компьютер перезагрузился, на экране появилась рябь, пиксели разных цветов. После перезагрузки вроде всё прошло. Затем компьютер опять перезагрузился. После этого на экране появилось множество белых полос. Затем было много перезагрузок, какие-то не проходили, после каких-то мне предлагали "восстановить систему", после некоторых перезагрузок не доходила даже до экрана с учётными записями и компьютер вновь начинал перезагружаться. Потом я обнаружил, что у меня не обновлены драйверы. Установил их, перезагрузил, они исчезли. ПОпробовал ещё раз -- та же ситуация. Затем 360 Total Security прогнал, он что-то нашёл, я это удалил. Затем прогнал avptool от Касперского. Он что-то нашёл, я удалил, перезагрузил компьютер, avptool снова начал работать. Нашёл значительно больше объектов, я их удалил. Установил драйверы, перезагрузил компьютер, но драйверы опять исчезли. Лог от вашей программы я вроде прикрепил. Помогите, пожалуйста, как избавиться от вируса?

Уважаемый(ая) [B]Max12[/B], спасибо за обращение на наш форум!

Помощь в лечении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Я не понял, где "карантин" от Autologger

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Я лог прикрепил вроде

Здравствуйте!

[URL="http://virusinfo.info/showthread.php?t=130828"][b]Временно[/b] отключите защитное ПО[/URL].
[URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]:

[CODE]begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFile('C:\Program Files (x86)\CinemaPlus-3.2cV13.05\96565258-7f89-4611-9b90-b911f7e3318f-1-7.exe', '');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-3.2cV13.05\96565258-7f89-4611-9b90-b911f7e3318f-5.exe', '');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-3.2cV13.05\96565258-7f89-4611-9b90-b911f7e3318f-6.exe', '');
QuarantineFile('C:\Program Files (x86)\CinemaPlus-3.2cV29.04\d09958be-cd12-479d-85b4-73e02b85189b-5.exe', '');
QuarantineFile('C:\Users\����������\AppData\Roaming\MXGGSOEK.exe', '');
QuarantineFile('C:\Users\����������\AppData\Roaming\TJAOMV.exe', '');
QuarantineFile('C:\Users\����������\AppData\Roaming\WUTHPZ.exe', '');
QuarantineFile('C:\Users\Баранозавр\AppData\Local\SmartWeb\SmartWebHelper.exe', '');
QuarantineFileF('c:\users\баранозавр\appdata\local\smartweb', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0 , 0);
DeleteSchedulerTask('96565258-7f89-4611-9b90-b911f7e3318f-1-7');
DeleteSchedulerTask('96565258-7f89-4611-9b90-b911f7e3318f-5');
DeleteSchedulerTask('96565258-7f89-4611-9b90-b911f7e3318f-6');
DeleteSchedulerTask('d09958be-cd12-479d-85b4-73e02b85189b-5');
DeleteSchedulerTask('MXGGSOEK.job');
DeleteSchedulerTask('SmartWeb Upgrade Trigger Task');
DeleteSchedulerTask('TJAOMV.job');
DeleteSchedulerTask('WUTHPZ.job');
DeleteFile('C:\Program Files (x86)\CinemaPlus-3.2cV13.05\96565258-7f89-4611-9b90-b911f7e3318f-1-7.exe', '64');
DeleteFile('C:\Program Files (x86)\CinemaPlus-3.2cV13.05\96565258-7f89-4611-9b90-b911f7e3318f-5.exe', '64');
DeleteFile('C:\Program Files (x86)\CinemaPlus-3.2cV13.05\96565258-7f89-4611-9b90-b911f7e3318f-6.exe', '64');
DeleteFile('C:\Program Files (x86)\CinemaPlus-3.2cV29.04\d09958be-cd12-479d-85b4-73e02b85189b-5.exe', '64');
DeleteFile('C:\Users\����������\AppData\Roaming\MXGGSOEK.exe', '32');
DeleteFile('C:\Users\����������\AppData\Roaming\TJAOMV.exe', '32');
DeleteFile('C:\Users\����������\AppData\Roaming\WUTHPZ.exe', '32');
DeleteFile('C:\Users\Баранозавр\AppData\Local\SmartWeb\SmartWebHelper.exe', '64');
DeleteFileMask('c:\users\баранозавр\appdata\local\smartweb', '*', true);
DeleteDirectory('c:\users\баранозавр\appdata\local\smartweb');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteRepair(3);
ExecuteRepair(4);
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/CODE]

Компьютер [U]перезагрузится[/U].


Файл [B]quarantine.zip[/B] из папки AVZ загрузите по ссылке "[B][COLOR="Red"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.


Сделайте повторные логи по [URL="http://virusinfo.info/pravila.html"]правилам[/URL]. ([COLOR="RoyalBlue"]CollectionLog[/COLOR])

При перезагрузке после скрипта появилась ошибка driver irql not less or equal, причина ошибки nvlddmkm.sys. Перезагрузка не прошла до конца, появилась рябь на мониторе. Пришлось аварийно отключить, затем включить компьютер. Логи прикрепил.

[LIST][*]Скачайте [B][URL="https://toolslib.net/downloads/viewdownload/1-adwcleaner/"]AdwCleaner (by Malwarebytes)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Запустить проверку"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\Logs\AdwCleaner[Sxx].txt[/COLOR][/B] (где x - любая цифра).[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

А те файлы, что adw нашёл, их удалять? Или в карантин пихать?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Что нужно искать в "обнаруженных файлах"? Чем ещё проверить компьютер? К чему мы стремимся? Раскройте тайну, пожалуйста. Если я буду хоть немного в теме, я смогу сам что-то делать.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

А, да. После перезагрузки выскочила ошибка dpc watchdog violation и синий экран смерти

1.[LIST][*]Запустите повторно (если уже закрыли) [COLOR="Blue"][B]AdwCleaner (by Malwarebytes)[/B][/COLOR] (программу необходимо запускать через правую кн. мыши [B]от имени администратора[/B]).[*]В меню [b]Параметры[/b] включите дополнительно в разделе [b]Действия по базовому восстановлению[/b]:
[list][*]Сбросить политики IE[*]Сбросить политики Chrome[/list][*]В меню [B]Информационная панель[/B] нажмите [B]Запустить проверку[/B].[*]По окончании нажмите кнопку [B]Карантин[/B] и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\Logs\AdwCleaner[Cxx].txt[/COLOR][/B] (где x - любая цифра).[*]Прикрепите отчет к своему следующему сообщению.[*](Обратите внимание - C и S - это разные буквы).[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B]


2.
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] (или с [url=http://www.geekstogo.com/forum/files/file/435-frst-farbar-recovery-scan-tool/]зеркала[/url]) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку [B]Scan[/B].
После окончания сканирования будут созданы отчеты [B]FRST.txt[/B] и [B]Addition.txt[/B] в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Компьютер теперь работает по 5 минут. Я не смог осуществить предыдущий шаг. После 5 минут всё виснет. Перед этим появляется рябь, компьютер работает всё медленнее и медленнее. Экран становится чёрным ещё. Я попробую сейчас сделать предыдущий шаг, но мне бы какой-нибудь ещё совет. Да, теперь драйверы не удаляются, хотя я ещё ни разу не перезагружал компьютер с момента проверки adwcleaner. Возможно, вирус среди драйверов. Может, там поискать?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Вот лог

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Каждый раз, когда я пытаюсь скачать frst мне windows и мой total security говорят, что там есть троян. Как это объяснить?

Ложный детект. У x64 версии FRST [URL="https://www.virustotal.com/gui/file/9fc0fb1ca190673860490d05a85f29310fd733f266134274de7fda163d312eba/detection"]только один детект[/URL], да и тот эвристикой. Отключите на время антивирус и продолжайте, плохого тут не посоветуют.

Лог AdwCleaner[C00].txt тоже покажите.

Ждём отчеты FRST, но боюсь, что проблема у вас с "железом", а не из-за вирусов.

Хорошо объяснили(нет). Так демонстрировать мне свои знания не нужно.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Объясните, пожалуйста, поподробнее. "Железо" это видеокарта, монитор, охлаждение видеокарты? Или это какие-то файлы? Лог прикреплю, как получится включить компьютер. На данный момент при включении он немного грузится, потом он не может выключиться до конца. Приходится его аварийно выключать.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

P.S. Sandor, давай на ты, чтобы не было путаницы с "Вы","вы".

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Сейчас при попытке включить опять выдал page fault in nonpaged area.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Предлагает автоматическое восстановление, делать?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Лог

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

FRST продолжает сканирование после создания отчёта. Отчёт не закончен? Или мне после появления следующего отчёта отключить его?

[quote="Max12;1514419"]"Железо" это видеокарта, монитор, охлаждение видеокарты?[/quote]
А также блок питания, вздувшиеся конденсаторы, процессор, память и т.д.

Тут всё-таки специализация форума на вирусном заражении. Проблемы с "железом" лучше решать в другом месте.

Кое-что по нашей части дочистим:

[B]Примите к сведению[/B] - после выполнения скрипта все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.
[List][*] Отключите до перезагрузки антивирус.[*] Выделите следующий код:
[code]Start::
CreateRestorePoint:
GroupPolicy: Restriction - Chrome <==== ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
CHR HKU\S-1-5-21-3872645296-494811174-1876012257-1001\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
Task: {01c728c2-43c8-4c8b-b7e6-9e85e1c696f9} - no filepath
Task: {FA808B46-49B6-4738-85CC-314855CEB157} - System32\Tasks\Driver Booster SkipUAC (Баранозавр) => C:\Program Files (x86)\IObit\Driver Booster\DriverBooster.exe
Task: C:\WINDOWS\Tasks\5VIcpbLmN9wb2RuIXVIl00Nt.job => C:\Users\\AppData\Roaming\5VIcpbLmN9wb2RuIXVIl00Nt.exe <==== ATTENTION
Task: C:\WINDOWS\Tasks\6DH65EXI2C.job => C:\Users\\AppData\Roaming\6DH65EXI2C.exe <==== ATTENTION
Task: C:\WINDOWS\Tasks\96565258-7f89-4611-9b90-b911f7e3318f-1-7.job => C:\Program Files (x86)\CinemaPlus-3.2cV13.05\96565258-7f89-4611-9b90-b911f7e3318f-1-7.exe <==== ATTENTION
Task: C:\WINDOWS\Tasks\96565258-7f89-4611-9b90-b911f7e3318f-5.job => C:\Program Files (x86)\CinemaPlus-3.2cV13.05\96565258-7f89-4611-9b90-b911f7e3318f-5.exe <==== ATTENTION
Task: C:\WINDOWS\Tasks\96565258-7f89-4611-9b90-b911f7e3318f-6.job => C:\Program Files (x86)\CinemaPlus-3.2cV13.05\96565258-7f89-4611-9b90-b911f7e3318f-6.exe <==== ATTENTION
Task: C:\WINDOWS\Tasks\d09958be-cd12-479d-85b4-73e02b85189b-5.job => C:\Program Files (x86)\CinemaPlus-3.2cV29.04\d09958be-cd12-479d-85b4-73e02b85189b-5.exe <==== ATTENTION
Task: C:\WINDOWS\Tasks\D4ny7ykTZzOlm.job => C:\Users\\AppData\Roaming\D4ny7ykTZzOlm.exe <==== ATTENTION
Task: C:\WINDOWS\Tasks\hCVe1FQ2OLqWTOy9M8KQyt.job => C:\Users\\AppData\Roaming\hCVe1FQ2OLqWTOy9M8KQyt.exe <==== ATTENTION
Task: C:\WINDOWS\Tasks\HO5N14vFg5YcwFyw0HVodc3o7m.job => C:\Users\\AppData\Roaming\HO5N14vFg5YcwFyw0HVodc3o7m.exe <==== ATTENTION
Task: C:\WINDOWS\Tasks\IH6y4ACXMYn1Woef11dWRn.job => C:\Users\\AppData\Roaming\IH6y4ACXMYn1Woef11dWRn.exe <==== ATTENTION
Task: C:\WINDOWS\Tasks\pMFRsQHDz4iio.job => C:\Users\\AppData\Roaming\pMFRsQHDz4iio.exe <==== ATTENTION
Task: C:\WINDOWS\Tasks\RKtN9y3jthK.job => C:\Users\\AppData\Roaming\RKtN9y3jthK.exe <==== ATTENTION
Task: C:\WINDOWS\Tasks\WB8TXR4xYM5lTBCU1NrPk13.job => C:\Users\\AppData\Roaming\WB8TXR4xYM5lTBCU1NrPk13.exe <==== ATTENTION
Task: C:\WINDOWS\Tasks\yBeYRRQHB7.job => C:\Users\\AppData\Roaming\yBeYRRQHB7.exe <==== ATTENTION
AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [476]
AlternateDataStreams: C:\Users\Баранозавр\ntuser.ini:NTV [12558]
EmptyTemp:
Reboot:
End::[/code]
[*] Скопируйте выделенный текст (правой кнопкой - Копировать).[*] Запустите FRST (FRST64) от имени администратора.[*] Нажмите [B]Fix[/B] один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.[/List]
Компьютер будет перезагружен автоматически.


Затем:
[LIST=1][*]Откройте меню "Пуск" ("Start") и в строке поиска введите "cmd". На результатах поиска нажмите правой клавишей мыши и выберите пункт "Запуск от имени администратора".[*]Введите [B]sfc /scannow[/B] и нажмите Энтер.[*]Система восстановит недостающие или изменённые системные файлы, для этого может потребоваться перезагрузка.[*]После того как закончится проверка в командной строке введите команду:
[CODE]findstr /c:"[SR]" %windir%\Logs\CBS\CBS.log>%SYSTEMDRIVE%\sfcdetails.txt[/CODE][*]После выполнения вышеописанных операций в корне системного диска (тот диск,на котором установлена операционная система-как правило диск С) найдите файл sfcdetails.txt, прикрепите его к следующему сообщению.[/LIST]