Printable View
Добрый день!
Помогите, пожалуйста, со следующей ситуацией.
Автоматически прописывается прокси-сервер в настройках (на 127.0.01:21930 для всего, кроме *origin.com; *ea.com; *akamaihd.net).
Все утилиты, которые рекомендовались выполнил. Все, что нашли - удалено. Логи собрал.
Спасибо!
Уважаемый(ая) [B]Alexey86[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Деинсталлируйте китайский антивирус от Baidu.
[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
TerminateProcessByName('c:\users\Гость\appdata\local\motionscriptwindows\motionscriptwindows.exe');
TerminateProcessByName('c:\users\user\appdata\local\mediaplay\mediaplay.exe');
TerminateProcessByName('c:\users\user\appdata\local\freewarememoryocr\freewarememoryocr.exe');
TerminateProcessByName('c:\program files (x86)\webbars\basement\extensionupdaterservice.exe');
TerminateProcessByName('c:\program files (x86)\bonusberry\basement\extensionupdaterservice.exe');
TerminateProcessByName('c:\program files (x86)\edealspop\edealspop.exe');
QuarantineFile('c:\users\Гость\appdata\local\motionscriptwindows\motionscriptwindows.exe','');
QuarantineFile('c:\users\user\appdata\local\mediaplay\mediaplay.exe','');
QuarantineFile('c:\users\user\appdata\local\freewarememoryocr\freewarememoryocr.exe','');
QuarantineFile('c:\program files (x86)\webbars\basement\extensionupdaterservice.exe','');
QuarantineFile('c:\program files (x86)\bonusberry\basement\extensionupdaterservice.exe','');
QuarantineFile('c:\program files (x86)\edealspop\edealspop.exe','');
QuarantineFile('C:\Users\user\AppData\Local\FreewareMemoryOCR\RegFltrX64.sys','');
DeleteFile('C:\Users\user\AppData\Local\FreewareMemoryOCR\RegFltrX64.sys','32');
DeleteFile('C:\Windows\Tasks\newSI_21.job','64');
DeleteFile('C:\Windows\Tasks\newSI_23.job','64');
DeleteFile('C:\Windows\Tasks\newSI_4667.job','64');
DeleteFile('C:\Windows\system32\Tasks\Daily Trigger ScheduleCD','64');
DeleteFile('c:\program files (x86)\edealspop\edealspop.exe','32');
DeleteFile('c:\program files (x86)\bonusberry\basement\extensionupdaterservice.exe','32');
DeleteFile('c:\program files (x86)\webbars\basement\extensionupdaterservice.exe','32');
DeleteFile('c:\users\user\appdata\local\freewarememoryocr\freewarememoryocr.exe','32');
DeleteFile('c:\users\user\appdata\local\mediaplay\mediaplay.exe','32');
DeleteFile('c:\users\Гость\appdata\local\motionscriptwindows\motionscriptwindows.exe','32');
DelBHO('{41564952-412D-5637-4300-7A786E7484D7}');
DeleteService('92244999e6984cf.exe');
DeleteService('48f40aa2b904755.exe');
DeleteService('18cc47ca5510acc.exe');
DeleteFileMask('c:\users\Гость\appdata\local\motionscriptwindows','*',true);
DeleteFileMask('c:\users\user\appdata\local\mediaplay','*',true);
DeleteFileMask('c:\users\user\appdata\local\freewarememoryocr','*',true);
DeleteFileMask('c:\program files (x86)\webbars\','*',true);
DeleteFileMask('c:\program files (x86)\bonusberry','*',true);
DeleteFileMask('','*',true);
DeleteDirectory('c:\users\Гость\appdata\local\motionscriptwindows');
DeleteDirectory('c:\users\user\appdata\local\mediaplay');
DeleteDirectory('c:\users\user\appdata\local\freewarememoryocr');
DeleteDirectory('c:\program files (x86)\webbars\');
DeleteDirectory('c:\program files (x86)\bonusberry');
DeleteDirectory('c:\program files (x86)\edealspop');
ExecuteSysClean;
RegKeyStrParamWrite('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings', 'ProxyServer', '');
RegKeyParamWrite('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings', 'ProxyEnable', 'REG_DWORD', '0');
ExecuteWizard('SCU',2,2,true);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
[B]Обновите базы AVZ[/B] ("Файл" -> "Обновление баз"), выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.
Сделайте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner (by Xplode)[/URL].
Спасибо за ответ.
Все сделал.
Карантин не дает загрузить с сообщением, что данный файл уже был загружен.
Проблема пока осталась.
[QUOTE][B][COLOR=Navy]Внимание !!![/COLOR][/B] База поcледний раз обновлялась 23.02.2014 17:04:34 [B]необходимо обновить базы[/B] при помощи автоматического обновления (Файл/Обновление баз). Протокол антивирусной утилиты AVZ версии 4.43.[/QUOTE]
Пожалуйста обновите базы и сделайте новые логи.
по AdwCleaner вас пока просили только лог сделать, а не удалять всё подряд ;)
Сорри, пропустил про базы.
Обновил базы. Новые логи в аттаче.
Спасибо!
Байду, что я просил, не удалили.
[url="http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864"]Удалите всё найденное в [B]AdwCleaner[/B][/URL], дождитесь окончания удаления и перезагрузите систему по требованию программы.
Скачайте программу [URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url], выполняйте с пункта [B]2.[/B] инструкции. [B]Внимание[/B], полный образ автозапуска будет автоматически упакован в архив 7-Zip с расширением [B].7Z[/B], дополнительно упаковывать или перепаковывать в другой формат [U]не нужно[/U].
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
Карантин ещё загрузите, это очень важно.
Байду удалил.
Новые логи в аттаче.
Спасибо!
[quote="Vvvyg;1138502"]Карантин ещё загрузите, это очень важно.[/quote]
проигнорировали >:(
--------------------
Movies Toolbar for Chrome, Movies Toolbar for Internet Explorer, Music Toolbar for Chrome, Music Toolbar for Internet Explorer, WebBars, omiga-plus - деинсталируйте через установку программ.
Piratium, Zaxar Games Browser - если не используете тоже.
[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url], на вопрос об удаление программ соглашайтесь.
[CODE];uVS v3.83 BETA 5 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
BREG
delref 1HTTP=127.0.0.1:21930
delref %SystemDrive%\USERS\USER\APPDATA\ROAMING\NEWNEXT.ME\NENGINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\BAIDU\BAIDU.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\MAIL.RU\GUARD\GUARDMAILRU.EXE
delref HTTP://GO.MAIL.RU/SEARCH?FR=FFTB&Q=
delref HTTP://ISEARCH.OMIGA-PLUS.COM/?TYPE=HP&TS=1403301843&FROM=SKY&UID=TOSHIBAXDT01ACA200_83LZ2W6KSXX83LZ2W6KSX
delref HTTP://ISEARCH.OMIGA-PLUS.COM/?TYPE=HPPP&TS=1403949843&FROM=SKY&UID=TOSHIBAXDT01ACA200_83LZ2W6KSXX83LZ2W6KSX
delref HTTP://ISEARCH.OMIGA-PLUS.COM/WEB/?TYPE=DS&TS=1403301843&FROM=SKY&UID=TOSHIBAXDT01ACA200_83LZ2W6KSXX83LZ2W6KSX&Q={SEARCHTERMS}
delref HTTP://WWW.SEARCH.ASK.COM/?O=APN10653A&GCT=HP&D=1-1444&V=U11551-219&T=4
delref HTTP://WWW.MAIL.RU/CNT/5087
delref HTTP=127.0.0.1:21930
delref %SystemDrive%\USERS\ГОСТЬ\APPDATA\LOCAL\MEDIAGET2\MEDIAGET.EXE
delref %SystemDrive%\USERS\UPDATUSUSER\APPDATA\LOCAL\MEDIAGET2\MEDIAGET.EXE
uidel "C:\Program Files (x86)\Mail.Ru\Guard\GuardMailRu.exe" /uninstall
exec C:\PROGRA~2\MOVIES~1\Datamngr\SRTOOL~1\GC\uninstall.exe /UN=CR /PID=^AG6
exec C:\PROGRA~2\MOVIES~1\Datamngr\SRTOOL~1\IE\uninstall.exe /UN=IE /PID=^AG6
exec C:\PROGRA~2\MUSICT~1\Datamngr\SRTOOL~1\GC\uninstall.exe /UN=CR /PID=IMH2-DTX /PCD=IMH
exec C:\PROGRA~2\MUSICT~1\Datamngr\SRTOOL~1\IE\uninstall.exe /UN=IE /PID=IMH2-DTX /PCD=IMH
uidel C:\PROGRA~2\MOVIES~1\Datamngr\SRTOOL~1\GC\uninstall.exe /UN=CR /PID=^AG6
uidel C:\PROGRA~2\MOVIES~1\Datamngr\SRTOOL~1\IE\uninstall.exe /UN=IE /PID=^AG6
uidel C:\PROGRA~2\MUSICT~1\Datamngr\SRTOOL~1\GC\uninstall.exe /UN=CR /PID=IMH2-DTX /PCD=IMH
uidel C:\PROGRA~2\MUSICT~1\Datamngr\SRTOOL~1\IE\uninstall.exe /UN=IE /PID=IMH2-DTX /PCD=IMH
exec C:\Program Files (x86)\WebBars\uninstall.exe
uidel C:\Program Files (x86)\WebBars\uninstall.exe
exec C:\Users\user\AppData\Roaming\omiga-plus\UninstallManager.exe -ptid=sky -simple=0
uidel C:\Users\user\AppData\Roaming\omiga-plus\UninstallManager.exe -ptid=sky -simple=0
restart[/CODE]
сделайте новый образ автозапуска.
Новые логи в аттаче.
Про карантин. Как я уже писал, его невозможно загрузить с сообщением, что такой файл уже загружен. При этом, сильно подозреваю, что он пустой, т.к. его размер 1 КБ.
Спасибо!
[LIST=1][*]Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].[*]Откройте папку с распакованной утилитой [B]uVS[/B] и запустите файл [B]start.exe[/B]. В открывшимся окне выберите пункт "[B]Запустить под текущим пользователем[/B]".[*]Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
[CODE]
;uVS v3.83 BETA 4 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
OFFSGNSAVE
breg
unload %SystemDrive%\USERS\USER\APPDATA\LOCAL\APIDASHBOARDNET\APIDASHBOARDNET.EXE
zoo %SystemDrive%\USERS\USER\APPDATA\LOCAL\APIDASHBOARDNET\APIDASHBOARDNET.EXE
bl B314A11E53A342357295DE1218E3245D 110629
deldir %SystemDrive%\USERS\USER\APPDATA\LOCAL\APIDASHBOARDNET
delref 1HTTP=127.0.0.1:21930
delall %SystemDrive%\PROGRAM FILES (X86)\WEBBARS\BASEMENT\EXTENSION32.DLL
delall %SystemDrive%\PROGRAM FILES (X86)\WEBBARS\BASEMENT\EXTENSION64.DLL
delref HTTP=127.0.0.1:21930
delref HTTP://ISEARCH.OMIGA-PLUS.COM/?TYPE=HPPP&TS=1403949843&FROM=SKY&UID=TOSHIBAXDT01ACA200_83LZ2W6KSXX83LZ2W6KSX
deldir %SystemDrive%\USERS\USER\APPDATA\LOCAL\41
delall %SystemDrive%\USERS\USER\APPDATA\LOCAL\YANDEX\YANDEXBROWSER\APPLICATION\BROWSER.URL
regt 28
exec C:\Program Files (x86)\MediaBuzzV1\MediaBuzzV1mode8834\uninstall.exe
uidel C:\Program Files (x86)\MediaBuzzV1\MediaBuzzV1mode8834\uninstall.exe
exec "C:\Users\user\AppData\Local\MediaPlay\unins000.exe"
uidel "C:\Users\user\AppData\Local\MediaPlay\unins000.exe"
exec "C:\Program Files (x86)\Common Files\Config\uninstinethnfd.exe"
uidel "C:\Program Files (x86)\Common Files\Config\uninstinethnfd.exe"
exec C:\Program Files (x86)\RichMediaViewV1\RichMediaViewV1release698\uninstall.exe
uidel C:\Program Files (x86)\RichMediaViewV1\RichMediaViewV1release698\uninstall.exe
exec "C:\Program Files (x86)\smilext\unins000.exe"
uidel "C:\Program Files (x86)\smilext\unins000.exe"
exec "C:\Program Files (x86)\Zaxar\uninstall.exe"
uidel "C:\Program Files (x86)\Zaxar\uninstall.exe"
exec "C:\Program Files (x86)\eDealsPop\unins000.exe"
uidel "C:\Program Files (x86)\eDealsPop\unins000.exe"
exec "C:\Windows\unins002.exe"
uidel "C:\Windows\unins002.exe"
deltmp
restart
[/CODE][*]В [B]uVS[/B] выберите пункт меню "[B]Скрипт[/B]" => "[B]Выполнить скрипт находящийся в буфере обмена...[/B]"[*]Нажмите на кнопку "[B]Выполнить[/B]" и дождитесь окончания работы программы.[*]На вопросы об удаление программ соглашайтесь. Прошу учесть, что компьютер [B][COLOR="Red"]может быть перезагружен[/COLOR][/B].[*]После выполнения скрипта упакуйте содержимое папки ZOO с помощью WinRar, 7-Zip или WinZip в архив формата [B].ZIP[/B] с паролем [B]virus[/B] и отправьте этот файл по ссылке "[B]Прислать запрошенный карантин[/B]" над первым сообщением в теме.[/LIST]
Сделайте новый лог uVS.
Карантин загрузил. Только без пароля, мой архиватор требует минимум 8 символов в пароле.
Лог uVS прикреплен.
Спасибо!
[b]Alexey86[/b],
[quote="regist;1138540"][B]Piratium[/B], Zaxar Games Browser - если не используете тоже.[/quote]
почему не удалили эти программы? Вы их используете?
Zaxar Games Browser - вам правда уже удалили скриптом, но я просил вас это сделать.
Если не используете удалите и переделайте образ.
Используется. Но ради эксперимента удалил.
То, что удалил скрипт, я в курсе.
Новый лог в приложении.
Выполните скрипт в UVS:[CODE];uVS v3.83 BETA 6 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216045FF} /qn /quiet
exec MsiExec.exe /X{41564952-412D-5637-4300-A758B70C0F01} /qn /quiet
zoo %SystemDrive%\USERS\USER\APPDATA\LOCAL\COMPILERDEBUGFORMAT\COMPILERDEBUGFORMAT.EXE
delall %SystemDrive%\USERS\USER\APPDATA\LOCAL\COMPILERDEBUGFORMAT\COMPILERDEBUGFORMAT.EXE
deldir %SystemDrive%\USERS\USER\APPDATA\LOCAL\COMPILERDEBUGFORMAT
delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\APIDASHBOARDNET\APIDASHBOARDNET.EXE
deldir %SystemDrive%\USERS\USER\APPDATA\LOCAL\APIDASHBOARDNET
delref HTTP=127.0.0.1:21930
delref 1HTTP=127.0.0.1:21930
delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\ILIVID\ILIVID.EXE
delref HTTP://ISEARCH.OMIGA-PLUS.COM/?TYPE=HPPP&TS=1403949843&FROM=SKY&UID=TOSHIBAXDT01ACA200_83LZ2W6KSXX83LZ2W6KSX
delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\COMPILERDEBUGFORMAT\REGFLTRX64.SYS
zoo %SystemDrive%\USERS\USER\APPDATA\LOCAL\COMPILERDEBUGFORMAT\REGFLTRX64.SYS
del %SystemDrive%\USERS\USER\APPDATA\LOCAL\COMPILERDEBUGFORMAT\REGFLTRX64.SYS
deldir %SystemDrive%\USERS\USER\APPDATA\LOCAL\COMPILERDEBUGFORMAT
uidel C:\Program Files (x86)\Battlelog Web Plugins\uninstall.exe
deldir C:\Program Files (x86)\Battlelog Web Plugins
uidel C:\Program Files (x86)\BonusBerry\uninstall.exe
deldir C:\Program Files (x86)\BonusBerry
uidel C:\Program Files (x86)\Zona\uninstall.exe
deldir C:\Program Files (x86)\Zona
uidel C:\Program Files (x86)\MiPony\uninst.exe
deldir C:\Program Files (x86)\MiPony
uidel C:\Program Files (x86)\Pando Networks\Media Booster\uninst.exe
delall %SystemDrive%\PROGRAM FILES (X86)\PANDO NETWORKS\MEDIA BOOSTER\PMB.EXE
deldir %SystemDrive%\PROGRAM FILES (X86)\PANDO NETWORKS
deltmp
delnfr
czoo
restart[/CODE]
Компьютер перезагрузится.
В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
Сделайте полный образ автозапуска uVS, загрузите на rghost.ru и дайте ссылку в теме.
Рекомендую также удалить MaxTorrent.
ZOO_ загрузил. MaxTorrent удалил. Ссылка на лог: [url]http://rghost.ru/56963611[/url]
[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url]
[CODE];uVS v3.83 BETA 6 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
BREG
delref 1HTTP=127.0.0.1:21930
delref HTTP://ISEARCH.OMIGA-PLUS.COM/?TYPE=HPPP&TS=1403949843&FROM=SKY&UID=TOSHIBAXDT01ACA200_83LZ2W6KSXX83LZ2W6KSX
delref HTTP=127.0.0.1:21930
restart[/CODE]
сделайте новый образ автозапуска и проверьте, что с проблемой?
Проблема все еще присутствует. Логи: [url]http://rghost.ru/56965185[/url]
Отключите до перезагрузки антивирус.
Скопируйте скрипт из окна "код" ниже в буфер обмена:
[CODE];uVS v3.83 BETA 6 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
delref 1HTTP=127.0.0.1:21930
delref HTTP=127.0.0.1:21930
delref HTTP://ISEARCH.OMIGA-PLUS.COM/?TYPE=HPPP&TS=1403949843&FROM=SKY&UID=TOSHIBAXDT01ACA200_83LZ2W6KSXX83LZ2W6KSX
restart[/CODE]
Закройте все броузеры, запустите командный файл script.cmd из папки с uVS. Когда откроется окно со скриптом, нажмите "Выполнить". На вопросы об удалении программ соглашайтесь.
Компьютер перезагрузится.
Проверьте проблему.
Антивирус выключил. Скрипт выполнил. Запросов на удаление не было.
Проблема присутствует. Логи: [url]http://rghost.ru/56967791[/url]