Уважаемые Хелперы!
Прошу оказать помощь в борьбе с вредоносными программами. При входе в интернет и нажатии ссылки, подгружаются разные автобаны и другая непотребная муть.
Автоматически подобное непотребное действо происходит при просмотре youtube или других сайтов с видео, что ведет к торможению-зависанию изображения.
Заранее спасибо.
С уважением, Максим.
Уважаемый(ая) [B]4a6kin[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте,
HiJackThis (из каталога [B]autologger[/B])[URL=http://virusinfo.info/showthread.php?t=4491&p=64376&viewfull=1#post64376]профиксить[/URL]
[CODE]
O2-32 - HKLM\..\BHO: (no name) - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - (no file)
O4 - User Startup: C:\Users\max\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\asodakaossd.lnk -> C:\Windows\system32\cmd.exe /c start C:\Users\max\AppData\Roaming\aiasfacoiaksf.vbs exit
O9-32 - Button: HKLM\..\{2670000A-7350-4f3c-8081-5663EE0C6C49} - (no name) - (no file)
O9-32 - Button: HKLM\..\{789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - (no name) - (no file)
O21-32 - HKLM\..\ShellExecuteHooks: (no name) - {B5A7F190-DDA6-4420-B3BA-52453494E6CD} - (no file) (disabled)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers: Groove Explorer Icon Overlay 1 (GFS Unread Stub) - {99FD978C-D287-4F50-827F-B2C658EDA8E7} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers: Groove Explorer Icon Overlay 2 (GFS Stub) - {AB5C5600-7E6E-4B06-9197-9ECEF74D31CC} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers: Groove Explorer Icon Overlay 2.5 (GFS Unread Folder) - {920E6DB1-9907-4370-B3A0-BAFC03D81399} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers: Groove Explorer Icon Overlay 3 (GFS Folder) - {16F3DD56-1AF5-4347-846D-7C10C4192619} - (no file)
O21-32 - HKLM\..\ShellIconOverlayIdentifiers: Groove Explorer Icon Overlay 4 (GFS Unread Mark) - {2916C86E-86A6-43FE-8112-43ABE6BF8DCC} - (no file)
O22 - Task: MSI - C:\Users\max\AppData\Roaming\Microsoft\msi.exe (file missing)
[/CODE]
AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\max\AppData\Roaming\Microsoft\msi.exe','');
QuarantineFile('C:\Program Files (x86)\Juqgehuwuk Cache\local64spl.dll','');
QuarantineFile('C:\Users\max\AppData\Roaming\aiasfacoiaksf.vbs','');
QuarantineFile('C:\Users\max\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\asodakaossd.lnk','');
DeleteFile('C:\Users\max\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\asodakaossd.lnk','32');
DeleteFile('C:\Users\max\AppData\Roaming\aiasfacoiaksf.vbs','32');
DeleteFile('C:\Program Files (x86)\Juqgehuwuk Cache\local64spl.dll','32');
ExecuteFile('schtasks.exe', '/delete /TN "MSI" /F', 0, 15000, true);
DeleteFile('C:\Users\max\AppData\Roaming\Microsoft\msi.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/CODE]
После выполнения скрипта компьютер перезагрузится.
После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.
- Подготовьте лог [URL="https://virusinfo.info/showthread.php?t=218752&p=1480546&viewfull=1#post1480546"]AdwCleaner[/URL] и приложите его в теме.
Все сделал, жду дальнейших указаний.
Отправка карантина прошла? А то с первого было указано, что файл отправлен???
карантина нет. Убедитесь, чтобы он не был пустым.
- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
1. С FRST закончил.
2. Попробовал еще раз создать карантин. Создает zip файл без содержимого.
[QUOTE=4a6kin;1480934]
2. Попробовал еще раз создать карантин. Создает zip файл без содержимого.[/QUOTE]
Второй раз он может его и не создать, необходим только первоначальный.
также где лог FRST.txt?
извиняюсь
[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
HKLM\...\Providers\h9kafbc6: C:\Program Files (x86)\Juqgehuwuk Cache\local64spl.dll <==== ATTENTION
Zip: C:\Program Files (x86)\Juqgehuwuk Cache\local64spl.dll;C:\Users\max\AppData\Roaming\grbyetfhwsf.exe;C:\Users\max\AppData\Roaming\grbyetfhwsf.exe;C:\Users\max\AppData\Roaming\gredfhwsf.exe
FF Plugin: @microsoft.com/GENUINE -> disabled [No File]
FF Plugin-x32: @microsoft.com/GENUINE -> disabled [No File]
CHR Extension: (No Name) - C:\Users\max\AppData\Local\Google\Chrome\User Data\Default\Extensions\ahggfmgiidlaceichjfemgbaggnbaloe [2017-05-28]
CHR Extension: (Google Кошелек) - C:\Users\max\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda [2014-05-31] [UpdateUrl: hxxps://epicunitscan.info/00service/update2/crx] <==== ATTENTION
CHR Extension: (No Name) - C:\Users\max\AppData\Local\Google\Chrome\User Data\System Profile\Extensions\ahggfmgiidlaceichjfemgbaggnbaloe [2017-08-28]
CHR HKLM-x32\...\Chrome\Extension: [bhjhnafpiilpffhglajcaepjbnbjemci] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [necfmkplpminfjagblfabggomdpaakan] - hxxp://clients2.google.com/service/update2/crx
OPR Extension: (No Name) - C:\Users\max\AppData\Roaming\Opera Software\Opera Stable\Extensions\kneggodalbcmgdkkfhbhbicbbahnacjb [2017-05-07]
Folder: C:\Users\max\AppData\Roaming\xmrigcpuxu
File: C:\Users\max\AppData\Roaming\grbyetfhwsf.exe
2018-05-01 22:12 - 2015-07-25 13:04 - 000000000 ____D C:\Users\наташа.max-ПК\AppData\Roaming\IObit
2018-05-01 22:12 - 2015-06-12 19:21 - 000000000 ____D C:\Users\наташа\AppData\Roaming\IObit
2018-05-01 22:12 - 2015-06-12 19:21 - 000000000 ____D C:\Users\max\AppData\LocalLow\IObit
2018-05-01 22:12 - 2015-06-12 19:21 - 000000000 ____D C:\Users\Default\AppData\Roaming\IObit
2018-05-01 22:12 - 2015-06-12 19:21 - 000000000 ____D C:\Users\Default User\AppData\Roaming\IObit
2018-05-01 22:12 - 2015-06-12 19:20 - 000000000 ____D C:\Users\max\AppData\Roaming\IObit
File: C:\Users\max\AppData\Roaming\BgWorker.dll
File: C:\Users\max\AppData\Roaming\grbyetfhwsf.exe
File: C:\Users\max\AppData\Roaming\gredfhwsf.exe
2014-10-20 20:43 - 2014-10-20 20:43 - 000000001 _____ () C:\Users\max\AppData\Roaming\smw_inst
ContextMenuHandlers6: [IObitUnstaler] -> {B19ED566-D419-470b-B111-3C89040BC027} => C:\Program Files (x86)\IObit\IObit Uninstaller\UninstallMenuRight64.dll -> No Files
AlternateDataStreams: C:\Users\max\Local Settings:wa [178]
AlternateDataStreams: C:\Users\max\Desktop\сберкн.jpeg:3or4kl4x13tuuug3Byamue2s4b [105]
AlternateDataStreams: C:\Users\max\Desktop\сберкн.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
AlternateDataStreams: C:\Users\max\AppData\Local:wa [178]
AlternateDataStreams: C:\Users\max\AppData\Local\Application Data:wa [178]
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
После вылнения скрипта на работчем столе образуется каратин виде архива .zip - загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.
загрузил
[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
C:\Users\max\AppData\Roaming\grbyetfhwsf.exe
C:\Users\max\AppData\Roaming\gredfhwsf.exe
Zip: C:\Users\max\AppData\Roaming\BgWorker.dll;C:\Users\max\AppData\Roaming\xmrigcpuxu\affadcseodg.exe;C:\Users\max\AppData\Roaming\xmrigcpuxuж\affadwrdfsdfda.exe
C:\Users\max\AppData\Roaming\BgWorker.dll
C:\Users\max\AppData\Roaming\xmrigcpuxu
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
После вылнения скрипта на работчем столе образуется [B]новый карантин[/B] виде архива .zip - загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.
Важно смените все пароли, так как файлы представляют следующую угрозу HEUR:Trojan.BAT.Miner.gen
сделал
Скачайте программу [url="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/url] и [url="http://virusinfo.info/showthread.php?t=121767"]сделайте полный образ автозапуска uVS[/url].
файл превышает размер для отправки. что делать?
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
можно файл отправить личным сообщением....?
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Получилось....удалил старые вложения. Долго искал где они сидят
[URL="https://virusinfo.info/showthread.php?t=121767&p=897827&viewfull=1#post897827"]Выполните скрипт в uVS:[/URL]
[CODE];uVS v4.0.11 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
OFFSGNSAVE
BREG
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.21.135\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.21.153\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.1\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.1\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.13\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.13\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.15\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.15\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.1\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.1\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.30.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.30.3\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.32.7\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.32.7\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.3\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\IOBIT\IOBIT UNINSTALLER\IOBITUNINSTALER.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\IOBIT\IOBIT UNINSTALLER\UNINSTALLEXPLORER64.DLL
delref %SystemDrive%\PROGRAMDATA\IEFJJACGKMBHHLDMAKMFFPAPAKBBFHNK
restart[/CODE]
с пометкой ZOO не было файлов вообще. Но был единственный текстовый его и заархировал с паролем virus
отправил как карантин, если не он пишите попробую еще раз
[QUOTE=4a6kin;1480983]с пометкой ZOO не было файлов вообще. Но был единственный текстовый его и заархировал с паролем virus
отправил как карантин, если не он пишите попробую еще раз[/QUOTE]
Карантина не было в скрипте, поэтому он и не создался.
Сообщите, что с проблемой?
Изменений заметных мне нет. Все также на каждое нажатие ссылки в инете выскакивает бан либо на тойже либо в новой странице, в youtube перед началом просмотра каждого видео вирусная реклама (не из ютьюба). На каждой странице присутствует ссылочная мудь типа хочешь не болеть лижи ногти или что то из этого (не та реклама которая бывает). И я не знаю стоит ли это связывать с вирусом, но начало притормаживать видео (остановится на 1-5 сек потом догоняет картинка ускоренно), проверял сеть вроде норм и в моменты лагов не провисает по скорости получение потока.
Даже в контакте вылазит паразитное видео.
В каких браузерах воспроизводиться проблема? Пробовали отключить все расширения?
отключил расширения пока проблемы не наблюдаю....хм....позвольте еще денек побродить по просторам и посмотреть....завтра отпишу