Не уверена в удалении вирусов.

Добрый день! несколько дней назад при установке какой-то программы (устанавливала, к сожалению, с левых сайтов аудиоконвертер и PDFtk bilder) заполучила троянов, хотя перед запуском exe-шных файлов всегда их предварительно проверяю антивирусом. Комп не мой, недавно "мастера" из очередной компьютерной шарашки переустанавливали Винду и поставили Яндекс-версию Касперского на 6 мес. Он ничего нехорошего перед запуском не обнаружил. Ну а потом началось-предупреждения Яндекс Защитника о смене домашней страницы (правда в графе "стало"- пустота и страница стартует как положено с Яндекса), установка и несанкционированный запуск оперы, ярлык какой-то игрушки. при этом Касперский про полной проверке ничего не нашел. Ну я ту фирму позвала-у них один метод лечения-переустановка винды. Вчера самостоятельно скачала AVZ-утилиту и проверила комп в очень долгом режиме. Нашла 3 трояна и их грохнула, а сканирование через 10 часов закрыла, уж очень долго в таком расширенном режиме. Далее проверила еще раз в быстром режиме и ничего вроде бы подозрительного не нашла, кроме как сообщения о доступе к компьютеру анонимного пользователя. Но я сняла флажок в удаленном помошнике. Тот Касперский, что у меня, в режиме максимальных настроек и утилита Dr Web тоже говорят, что чисто. Но окно Яндекс Защитника как всплывало, так и всплывает. В диспетчере задач вроде тоже явно подозрительных процессов нет, но из-за этого постоянно всплывающего окна я не спокойна на предмет заразы.Так как я не уверена, что заражения нет, то внимательно проделала все, как у Вас написано. У меня 64-разрядная винда и поэтому п.1 в диагностике я не делала и посылаю Вам только 2 вложения-virusinfo_syscheck.zip и hijackthis.log.
Буду очень признательна за помощь, меня очень волнует безопасность возможных платежей через интернет, тем более я еще один комп хочу у Вас проверить.
С уважением,
Елизавета

Уважаемый(ая) [B]Elisabeth1978[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Уважаемые сотрудники,
пока ждала Вашего ответа, просканировала еще комп ONLINE-сканнером ESET NOD и вот что обнаружила:
D:\Дистрибутивы\Total Commander\Soft\USDownloader\ReadME\Sort_lst.rar модифицированный Win32/Packed.ExeScript.F троянская программа удален - изолирован
Нужно ли еще раз сканировать систему AVZ и HiJackThis и высылать Вам новые логи?

Рекомендую удалить программу Video Downloader Ultimate.

[url="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/url] в HijackThis:[code]R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://search.autocompletepro.com/?si=10197&bi=400
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://search.autocompletepro.com/?si=10197&bi=400
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://search.autocompletepro.com/?si=10197&bi=400
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,Default_Search_URL = http://search.autocompletepro.com/?si=10197&bi=400
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://start.facemoods.com/?a=audio&s={searchTerms}&f=4[/code]

Скачайте утилиту [URL=http://oldtimer.geekstogo.com/OTL.exe]OTL by OldTimer[/URL]. Запустите OTL.EXE, установите галочки в следующих пунктах настройки:

[B]Scan All Users[/B]
[B]Include 64Bit Scans[/B] - в случае 64-разрядной системы;
Output: [B]Minimal Output[/B];
File Scans: [B]Use Company-Name WhiteList[/B] и [B]Skip Microsoft Files[/B];
[B]Lop Check[/B];
[B]Purity Check[/B].

В окне [B]File Age[/B] установите [B]30 days[/B]
Остальные параметры оставьте по умолчанию.

Скопируйте текст:
[CODE]%USERPROFILE%\AppData\Local\*.url /S
%USERPROFILE%\AppData\Local\*.lnk /S
%PROGRAMFILES%\*.url /S
%PROGRAMFILES%\*.lnk /S
%ProgramFiles(x86)%\*.lnk /S
%ProgramFiles(x86)%\*.url /S
%ALLUSERSPROFILE%\ntuser.pol
%SystemRoot%\System32\GroupPolicy\Machine\Registry.pol[/CODE]

в окно [B]Custom Scans/Fixes [/B] и нажмите [B][COLOR="#0000CD"]Run Scan[/COLOR][/B].

По окончании сканирования программа создаст в той же папке, где находится она сама, два файла: [B]OTL.txt[/B] и [B]Extras.txt[/B]. Упакуйте их в архив и прикрепите к своему следующему сообщению.

А эту программу обязательно удалять? Это же вроде обычное расширение для браузера, которое я скачивала, чтобы видео с yuotube качать. Я пока Вашего ответа ждала, почти на всех сайтах (Dr web, microsoft, esetnode32) комп он-лайн сканерами или лечащими утилитами проглядела. Esetnod обнаружил 3 вирусных программы и поместил их в карантин,ну мне понравилось и я его лицензию себе на комп поставила. Сейчас комп хорошо и очень быстро работает, правда не знаю, что дальше будет.А этот Downlowder Ultimate, он у меня официально в расширениях браузера и в программах и компонентах прописывается. Ни один сканнер ничего о ней плохого не сказал.

[QUOTE=Elisabeth1978;1092057]А эту программу обязательно удалять?[/QUOTE]
Если уверены в ней - оставьте.

Жду логи OTL.

Посылаю Вам логи

Всё-таки стартовые страницы и настройки поиска этот Video Downloader Ultimate поменял, поправим сейчас.

Отключите до перезагрузки антивирус, запустите OTL ([b]В случае, если у Вас Windows Vista или 7, программу нужно запускать от имени администратора, через контекстное меню (правой клавишей мыши по файлу) "Запуск от имени администратора"![/b]), скопируйте скрипт ниже в окно [B]Custom Scans/Fixes[/B], закройте все браузеры и нажмите [B]Run Fix[/B][CODE]:OTL
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,SearchAssistant = http://start.facemoods.com/?a=audio&s={searchTerms}&f=4
E - HKU\S-1-5-21-3476095919-3246223765-339412847-1000\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Search_URL = http://search.autocompletepro.com/?si=10197&bi=400
IE - HKU\S-1-5-21-3476095919-3246223765-339412847-1000\SOFTWARE\Microsoft\Internet Explorer\Main,Search Bar = http://search.autocompletepro.com/?si=10197&bi=400
IE - HKU\S-1-5-21-3476095919-3246223765-339412847-1000\SOFTWARE\Microsoft\Internet Explorer\Main,Search Page = http://search.autocompletepro.com/?si=10197&bi=400
IE - HKU\S-1-5-21-3476095919-3246223765-339412847-1000\SOFTWARE\Microsoft\Internet Explorer\Main,Start Default_Page_URL = http://search.autocompletepro.com/?si=10197&bi=400
IE - HKU\S-1-5-21-3476095919-3246223765-339412847-1000\SOFTWARE\Microsoft\Internet Explorer\Search,Default_Search_URL = http://search.autocompletepro.com/?si=10197&bi=400
IE - HKU\S-1-5-21-3476095919-3246223765-339412847-1000\SOFTWARE\Microsoft\Internet Explorer\Search,Search Page = http://search.autocompletepro.com/?si=10197&bi=400
IE - HKU\S-1-5-21-3476095919-3246223765-339412847-1000\..\SearchScopes\{0D7562AE-8EF6-416d-A838-AB665251703A}: "URL" = http://start.facemoods.com/?a=audio&s={searchTerms}&f=4
IE - HKU\S-1-5-21-3476095919-3246223765-339412847-1000\..\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}: "URL" = http://search.autocompletepro.com/?si=10197&bi=400&q={searchTerms}
[2014.02.12 15:56:48 | 000,000,000 | ---D | M] (Facemoods) -- C:\Users\Admin\AppData\Roaming\mozilla\Firefox\Profiles\nahd6ha2.default\extensions\[email protected]
[2014.02.11 01:02:40 | 000,000,000 | ---D | M] (No name found) -- C:\Users\Admin\AppData\Roaming\mozilla\Firefox\Profiles\nahd6ha2.default\extensions\staged
[2010.10.10 18:46:56 | 000,004,669 | ---- | M] () (No name found) -- C:\Users\Admin\AppData\Roaming\mozilla\firefox\profiles\nahd6ha2.default\extensions\[email protected]\content\xpiInstallLgc.js
[2010.11.22 20:33:08 | 000,002,037 | ---- | M] () -- C:\Program Files (x86)\mozilla firefox\searchplugins\fcmdSrchaudio.xml
CHR - Extension: YouTube = C:\Users\Admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo\4.2.6_0\

:Files

recycler /alldrives
ipconfig /flushdns /c

:Commands
[EMPTYTEMP]
[EMPTYJAVA]
[EMPTYFLASH]
[purity]
[Reboot][/CODE]
Компьютер перезагрузится и откроет в блокноте лог выполнения скрипта, прикрепите его к своему следующему сообщению.

Вот он.
Только компьютер после сканирования не перезагрузился.

[QUOTE=Elisabeth1978;1092112]Только компьютер после сканирования не перезагрузился.[/QUOTE]

Это потому что Вы нажали на "Run Scan" опять, а надо было на "[B]Run Fix[/B]". Повторите ;)

Извиняюсь, теперь после Run fix. Кстати, после перезагрузки опять всплыло предупреждение яндекс защитника о смене домашней страницы.

Всё правильно, левые стартовые страницы поправили.

Запустите OTL и нажмите кнопку [B]CleanUp[/B].

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url] при наличии доступа в интернет:[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к броузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

Все сделала. Вот лог
Нужно ли мне самой переходить по указанным там ссылкам или Вы мне что-то подскажете?

Сами переходите, скачивайте и устанавливайте.
Adobe Reader 11 обновляйте через меню "Справка" -> "Проверка обновлений..."

Ок, сделаю, если там не очень сложно будет. Спасибо Вам большое! Эти обновления обязательны при наличии хорошего антивируса? Кстати, ту прогу я снесла, потому что окно по-прежнему всплывало. А есть ли у меня сейчас вирусы на компьютере?

[QUOTE=Elisabeth1978;1092306]Эти обновления обязательны при наличии хорошего антивируса?[/QUOTE]
Они обязательны [U]всегда[/U] и должны устанавливаться автоматически.
[QUOTE=Elisabeth1978;1092306]Кстати, ту прогу я снесла, потому что окно по-прежнему всплывало.[/QUOTE]
Я же предупреждал... :>
[QUOTE=Elisabeth1978;1092306]А есть ли у меня сейчас вирусы на компьютере?[/QUOTE]
Их, как таковых не было, были т. н. Adware, приложения и расширения к браузерам, показывающие рекламу.

Окно все-равно всплывет даже после снесения проги :(

Какое именно?

Яндекс защитник о смене домашней страницы. Она как всплывала, так и всплывает, хотя браузер все как положено открывает. Это при том, что я прогу еще вчера успешно деинсталлировала.

Ещё раз логи OTL сделайте, как в 4-м сообщении указано.

Пожалуйста

Отключите до перезагрузки антивирус, запустите OTL ([b]В случае, если у Вас Windows Vista или 7, программу нужно запускать от имени администратора, через контекстное меню (правой клавишей мыши по файлу) "Запуск от имени администратора"![/b]), скопируйте скрипт ниже в окно [B]Custom Scans/Fixes[/B], закройте все браузеры и нажмите [B][COLOR="#FF0000"]Run Fix[/COLOR][/B][CODE]:processes
PRC - C:\Users\Admin\AppData\Local\Yandex\Updater\praetorian.exe (Yandex LLC)

:OTL
IE - HKU\S-1-5-21-3476095919-3246223765-339412847-1000\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Search_URL = http://search.autocompletepro.com/?si=10197&bi=400
[2014.02.12 15:40:09 | 000,000,000 | ---D | C] -- C:\ProgramData\VideoDownloaderUltimate
[2014.02.11 01:02:39 | 000,000,000 | ---D | C] -- C:\Users\Admin\AppData\Roaming\1H1Q
@Alternate Data Stream - 168 bytes -> C:\ProgramData\TEMP:88050731
[2014.02.12 15:56:39 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\AutocompletePro

:Commands
[EMPTYTEMP]
[EMPTYJAVA]
[EMPTYFLASH]
[purity]
[Reboot][/CODE]
Компьютер перезагрузится и откроет в блокноте лог выполнения скрипта, прикрепите его к своему следующему сообщению.

Проверьте проблему.

Присылаю. Насчет проблемы-она появляется не при каждой перезагрузке. Вчера утром и сегодня, всего 1 раз в день, прям как по расписанию.

Сделайте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner (by Xplode)[/URL].

Пожалуйста

Вот этот "защитник", когда надо было блокировать установку стартовых страниц и поиска рекламными программами, молчал, а когда пытаемся вернуть правильные на место, вылезает >:(

Запустите повторно [B]AdwCleaner (by Xplode) [/B](в [B]Windows Vista/7/8[/B] необходимо запускать через правую кнопку мыши [B]от имени администратора)[/B]), нажмите кнопку [B]Scan[/B], по окончании сканирования уберите следующие галочки, [B]если используете программы и сервисы Yandex[/B]:

на вкладке [B]Folders[/B]
[CODE]C:\Program Files (x86)\Yandex
C:\ProgramData\Yandex
C:\Users\Admin\AppData\Local\Yandex
C:\Users\Admin\AppData\LocalLow\Yandex
C:\Users\Admin\AppData\Roaming\Yandex[/CODE]

Затем нажмите [B]"Clean"[/B], по окончании удаления программа перезагрузит систему.

[URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кэш и cookies-файлы браузеров[/URL].
Если защитник от яндекса опять завопит насчёт изменения - нажмите "разрешить".

Все сделала. Защитник опять всплыл. Я нажала "оставить". А еще при работе с ADW Cleanerб когда галки снимала, попался такой путь: C:\Users\Admin\AppData\LocalLow\Facemoods. Эта пакость мне не так давно много крови попортила, установившись как стартовая страница, да и Касперский на нее ругался

Папку Facemood AdwCleaner должен был удалить.
Проблема решена?