Рекламное ПО. Троян в dnsapi.dll. Реклама в браузере. [Trojan.Win32.Hosts2.gen ]

Printable View

Показывать 40 сообщений этой темы на одной странице

29.02.2016, 16:40
SQ

У Вас есть TeamViewer, хотелось бы явно увидеть проблему?

P.S. Если есть отправьте данные по подключению в лс (личное сообщение).
29.02.2016, 17:13
belka__l

Нет такой программы нету.
29.02.2016, 17:32
SQ

[QUOTE=belka__l;1362454]Нет такой программы нету.[/QUOTE]

Прилолжите новый лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner[/URL].
29.02.2016, 17:59
belka__l

Прилагаю.
29.02.2016, 19:19
SQ

[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

Странное поведение возвращается Startup_URLs

Уточните пожалуйста, сами устанавливали следующее расширение?
[CODE]CHR Extension: (MusicSig vkontakte) - C:\Users\Николай\AppData\Local\Google\Chrome\User Data\Default\Extensions\hanjiajgnonaobdlklncdjdmpbomlhoa [2016-02-29][/CODE]

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
CHR Plugin: (WildTangent Games App V2 Presence Detector) - C:\Program Files (x86)\WildTangent Games\App\BrowserIntegration\Registered\0\NP_wtapp.dll => No File
CHR Extension: (Kami (formerly Notable PDF)) - C:\Users\Николай\AppData\Local\Google\Chrome\User Data\Default\Extensions\ecnphlgnajanjnkcmbpancdjoidceilk [2016-02-25]
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
29.02.2016, 21:34
belka__l

В AdwCleaner все удалила (лог прилагаю), тоже заметила что Startup_URLs появился, а может он и не удалялся??
Хотя в самом браузере ниже не видно.

Расширение MusicSig vkontakte устанавливали сами, иногда пользовались и сразу отключали.

Код для FRST профиксила. Логи прилагаю.
29.02.2016, 21:36
SQ

Проблема еще присутствует с браузером Chrome?
29.02.2016, 21:56
belka__l

Что-то мне кажется даже хуже стало, сейчас попробовала пару ссылок открыть..открывал каждую около 2 минут..причем сначала грузил диск до 99% а потом ЦП до 99%..просто ужас..умрешь пока страницу загрузишь..и это при том что интернет у нас очень скоростной.
Кстати проблема не только с хромом...но IE также работает ((
Может это из-за того что был заражен dnsapi.dll ?? Слышала что это какой-то системный файл отвечающий как раз за интернет и сеть.
И кстати если это важно..этот компьютер работает по Wi-Fi
29.02.2016, 22:23
SQ

[QUOTE=belka__l;1362526]
Может это из-за того что был заражен dnsapi.dll ?? Слышала что это какой-то системный файл отвечающий как раз за интернет и сеть.
И кстати если это важно..этот компьютер работает по Wi-Fi[/QUOTE]

Согласно пердыдущим логам, проблема с dnsapi.dll должна была решиться, также Вы ранее написали, что "В результате проверки нарушений целостности системы не обнаружено."

Могли бы следующий каталог заархивировать в zip c паролем virus:
[CODE]C:\FRST\Quarantine\C\WINDOWS\system32[/CODE]
и загрузить по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.
01.03.2016, 01:10
belka__l

Сделала архив System32.zip отправила в "Прислать запрошенный карантин"
При архивации вышло две ошибки:
C:\FRST\Quarantine\C\WINDOWS\System32.zip: Невозможно открыть C:\FRST\Quarantine\C\WINDOWS\System32\Tasks\Aeonuoco.xBAD
! Отказано в доступе.
C:\FRST\Quarantine\C\WINDOWS\System32.zip: Невозможно открыть C:\FRST\Quarantine\C\WINDOWS\System32\Tasks\Hebma.xBAD
! Отказано в доступе.
01.03.2016, 09:51
SQ

Попробуйте в командной строке (cmd.exe) в привилегированном режиме (Run as Administrator):
1. почистить кэш днс:
[CODE]ipconfig /flushdns[/CODE]
2. сбросить настройки winsock:
[CODE]netsh winsock reset[/CODE]
Перегрузить ПК.

Сделайте лог полифорфной сборкой AVZ согласно [URL="http://virusinfo.info/showthread.php?t=1235"]правилам[/URL].
[URL="http://1drv.ms/1QoZAOX"]Полиморфная сборка AVZ 4.46[/URL] не требующая обновления баз. Переименована svchost.pif . Использовать только в случае если стандартную версию AVZ запустить не удалось.
01.03.2016, 10:17
belka__l

1. Кэш почистила
2. Настройки сбросила и перезагрузилась
3. Лог AVZ сделала (один так как 64-разрядная система), прилагаю.
01.03.2016, 10:40
SQ

AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
QuarantineFile('C:\ProgramData\service.exe', '');
QuarantineFile('c:\PROGRA~1\Corel\CORELV~1\Dvacm.acm','');
QuarantineFile('C:\WINDOWS\system32\drivers\refsv1.sys','');
QuarantineFile('C:\WINDOWS\System32\Drivers\btfilter.sys','');
QuarantineFile('C:\WINDOWS\system32\WpnService.dll','');
QuarantineFile('C:\WINDOWS\system32\WalletService.dll','');
QuarantineFile('C:\WINDOWS\system32\tileobjserver.dll','');
QuarantineFile('C:\WINDOWS\System32\moshost.dll','');
QuarantineFile('C:\WINDOWS\system32\pwdrvio.sys','');
DeleteFile('C:\ProgramData\service.exe', '32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Eventlog\Application\GoogleChromeUpService','EventMessageFile');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.

Приложите новый лог AVZ.
Приложите новый лог FRST (только FRST.txt).
01.03.2016, 11:18
belka__l

Скрипты AVZ выполнила. Карантин загрузила.
Новые логи AVZ и FRST прилагаю.
01.03.2016, 13:02
SQ

AVZ -> Файл -> Мастер поиска и устранения проблем -> Системные проблемы -> Пуск -> Отметьте пункт указанный выше -> Исправить отмеченные проблемы.
[CODE]
>> Таймаут завершения процессов находится за пределами допустимых значений
[/CODE]

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
CHR StartupUrls: Default -> "hxxp://mail.ru/cnt/10445?gp=profitraf7","hxxp://www.mysites123.com/?type=hp&ts=1455948034&z=e6b73e66bcaba479f502d6dg8zbwdwct1zab7ecc0z&from=amt&uid=hgstxhts545032a7e680_tea45c4813wx1a13wx1ax"
CHR Plugin: (Widevine Content Decryption Module) - C:\Users\Николай\AppData\Local\Google\Chrome\User Data\WidevineCDM\1.4.8.823\_platform_specific\win_x86\widevinecdmadapter.dll => No File
CHR Plugin: (Google Update) - C:\Program Files (x86)\Google\Update\1.3.28.1\npGoogleUpdate3.dll => No File
CHR Plugin: (WildTangent Games App V2 Presence Detector) - C:\Program Files (x86)\WildTangent Games\App\BrowserIntegration\Registered\0\NP_wtapp.dll => No File
CHR Plugin: (Shockwave Flash) - C:\WINDOWS\SysWOW64\Macromed\Flash\NPSWF32_18_0_0_209.dll => No File
S2 AdBlockerService; C:\Program Files (x86)\AdBlocker\Service.WinServiceHost.exe [X]
Folder: C:\WINDOWS\system32\tuk
2016-02-27 08:16 - 2016-02-27 08:16 - 00000000 ____D C:\WINDOWS\system32\tuk
Folder: C:\Users\Николай\AppData\Roaming\LightGate
Folder: C:\WINDOWS\SysWOW64\Number of results
Folder: C:\Program Files\Corel
Folder: C:\ProgramData\SplitMediaLabs
Folder: C:\Adjustment Program
Folder: C:\ProgramData\WildTangent
Folder: C:\Program Files (x86)\Corel
Folder: C:\ProgramData\Corel
EmptyTemp:
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
01.03.2016, 14:09
belka__l

Проблему устранила (через AVZ).
Код FRST профиксила. Лог не прикрепляется он получился больше 4 мб, куда скинуть?
01.03.2016, 14:44
SQ

[QUOTE=belka__l;1362667]Код FRST профиксила. Лог не прикрепляется он получился больше 4 мб, куда скинуть?[/QUOTE]
пожалуйста зархивируйте в zip и приложите в следующем сообщение.

P.S. Удалите старые вложения Мой кабинет => Вложения
01.03.2016, 15:22
belka__l

Зархивировала, прилагаю.
А Вложения я уж раз 5 чистила)))
01.03.2016, 16:07
SQ

Уточните знаком ли Вам каталог:
[CODE]C:\Users\Николай\AppData\Roaming\LightGate[/CODE]

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
C:\WINDOWS\system32\tuk
EmptyTemp:
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]

Сообщите что с проблемой?
01.03.2016, 16:33
belka__l

Каталог не знаком, его тоже фиксим??

Показывать 40 сообщений этой темы на одной странице