Помогите пожалуйста! [not-a-virus:RiskTool.Win32.BitCoinMiner.ggl, Trojan-Clicker.BAT.Agent.an ]

Printable View

19.10.2014, 20:18
Marksnowy

Вложений: 3

Помогите пожалуйста! [not-a-virus:RiskTool.Win32.BitCoinMiner.ggl, Trojan-Clicker.BAT.Agent.an ]

С недавнего времени в браузере подхватил вирус-расширение [COLOR=#303942][FONT=Segoe UI]Adobe DTM Switch[/FONT][/COLOR][COLOR=#303942][FONT=Segoe UI]1.0, что только не перепробовал чтобы убрать его, но ни malwarbytes ,ни ccleaner ,ни microsoft essentials не видят его, при попытке удалить расширение- появляется при следующем включении компьютера. Стартовая страница при включении перенаправляет на 1kanal.org плюс ко всему malwarbytes блокирует червей и троянские системы, которыми этот Adobe закидывает. При переходе на страницу Вконтакте просит ввести капчу, после чего просит указать номер и ответить на платную смс.[/FONT][/COLOR]
19.10.2014, 20:21
Info_bot

Уважаемый(ая) [B]Marksnowy[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
19.10.2014, 21:16
regist

Здравствуйте!

Baidu и Amigo - деинсталируйте

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
TerminateProcessByName('c:\users\user\appdata\local\microsoft\windows\system.exe');
TerminateProcessByName('c:\windows\audio32hd.exe');
QuarantineFile('C:\Program Files\PCDApp\start.vbs','');
QuarantineFile('C:\Program Files\PCDApp\StartHelp.exe','');
QuarantineFile('C:\Program Files\Adobe Flash Players 11.0\IE\x86\AdobeFlash32.dll','');
QuarantineFile('C:\Users\User\AppData\Roaming\UIUEPY.exe','');
QuarantineFile('C:\Users\User\AppData\Roaming\YK.exe','');
QuarantineFile('C:\Users\User\AppData\Roaming\newSI_21\s_inst.exe','');
QuarantineFile('C:\Users\User\AppData\Roaming\newSI_20107\s_inst.exe','');
QuarantineFile('C:\Users\User\AppData\Local\Yandex\YandexBrowser\Application\browser.url','');
QuarantineFile('C:\Program Files\Internet Explorer\iexplore.exe.bat','');
QuarantineFile('C:\Program Files\Google\Chrome\Application\chrome.exe.bat','');
QuarantineFile('c:\users\user\appdata\local\microsoft\windows\system.exe','');
QuarantineFile('c:\windows\audio32hd.exe','');
QuarantineFile('C:\Program Files\Google\Chrome\Application\chrome.exe.bat', '');
QuarantineFile('C:\Program Files\Internet Explorer\iexplore.exe.bat', '');
QuarantineFile('C:\Program Files\PCDApp\start.vbs', '');
QuarantineFile('C:\Users\User\AppData\Roaming\newSI_10\s_inst.exe', '');
QuarantineFile('C:\Users\User\AppData\Roaming\newSI_2\s_inst.exe', '');
QuarantineFile('C:\Program Files\Dll-Files.com', '');
QuarantineFile('C:\Users\User\AppData\Roaming\newSI_20107\s_inst.exe', '');
QuarantineFile('C:\Users\User\AppData\Roaming\newSI_21\s_inst.exe', '');
QuarantineFile('C:\Users\User\AppData\Roaming\UIUEPY.exe', '');
QuarantineFile('C:\Users\User\AppData\Roaming\YK.exe', '');
DeleteFile('c:\users\user\appdata\local\microsoft\windows\system.exe','32');
DeleteFile('C:\Windows\Tasks\newSI_20107.job','32');
DeleteFile('C:\Windows\Tasks\newSI_21.job','32');
DeleteFile('C:\Windows\Tasks\UIUEPY.job','32');
DeleteFile('C:\Program Files\Adobe Flash Players 11.0\IE\x86\AdobeFlash32.dll','32');
DeleteFile('C:\Program Files\PCDApp\StartHelp.exe','32');
DeleteFile('C:\Windows\system32\Tasks\DLL-Files.Com Fixer_MONTHLY','32');
DeleteFile('C:\Windows\system32\Tasks\DLL-Files.Com Fixer_Updates','32');
DeleteFile('C:\Windows\system32\Tasks\newSI_20107','32');
DeleteFile('C:\Windows\system32\Tasks\newSI_21','32');
DeleteFile('C:\Program Files\Google\Chrome\Application\chrome.exe.bat','32');
DeleteFile('C:\Program Files\Internet Explorer\iexplore.exe.bat','32');
DeleteFile('C:\Program Files\PCDApp\start.vbs','32');
DeleteFile('C:\Users\User\AppData\Roaming\newSI_10\s_inst.exe','32');
DeleteFile('C:\Users\User\AppData\Roaming\newSI_2\s_inst.exe','32');
DeleteFile('C:\Program Files\Dll-Files.com','32');
DeleteFile('C:\Users\User\AppData\Roaming\newSI_20107\s_inst.exe','32');
DeleteFile('C:\Users\User\AppData\Roaming\newSI_21\s_inst.exe','32');
DeleteFile('C:\Users\User\AppData\Roaming\UIUEPY.exe','32');
DeleteFile('C:\Users\User\AppData\Roaming\YK.exe','32');
DeleteFileMask('C:\Users\User\AppData\Roaming\newSI_10\', '*', true);
DeleteFileMask('C:\Users\User\AppData\Roaming\newSI_2\', '*', true);
DeleteFileMask('C:\Users\User\AppData\Roaming\newSI_20107\', '*', true);
DeleteFileMask('C:\Users\User\AppData\Roaming\newSI_21\', '*', true);
DeleteDirectory('C:\Users\User\AppData\Roaming\newSI_10\');
DeleteDirectory('C:\Users\User\AppData\Roaming\newSI_2\');
DeleteDirectory('C:\Users\User\AppData\Roaming\newSI_20107\');
DeleteDirectory('C:\Users\User\AppData\Roaming\newSI_21\');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ZaxarLoader','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Schedule','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\DApp','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\newSI_10','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\newSI_2','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\09ee58a030e459dd','command');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
BC_ImportALL;
ExecuteSysClean;
ExecuteRepair(2);
ExecuteRepair(3);
ExecuteRepair(4);
ExecuteRepair(10);
ExecuteRepair(13);
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

[url=http://virusinfo.info/showthread.php?t=4491]Профиксите[/url] в HijackThis

[CODE][/CODE]

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

+ хиджак при создание лога обязательно запускайте от имени админа.
и сами какие-то записи в hosts добавляли?

- сделайте лог [URL="http://dragokas.16mb.com/Safe/CheckBrowsersLNK.zip"]CheckBrowserLnk[/URL]
20.10.2014, 15:54
Marksnowy

Сделано! Да, я удалял файл hosts и создавал за место него новый с содержимым, взятым с сайта Майкрософт.
20.10.2014, 17:35
regist

[quote="Marksnowy;1176285"]Сделано![/quote]
а логи ? :)
20.10.2014, 20:55
Marksnowy

Значок "прикрепление" пропал, поэтому не получается добавить..Но вирус исчез!
20.10.2014, 21:46
regist

[quote="Marksnowy;1176459"]Значок "прикрепление" пропал[/quote]
нажмите расширенный режим.
21.10.2014, 18:43
Marksnowy

Вложений: 2

Вот)
21.10.2014, 21:22
regist

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFile('C:\Users\User\AppData\Roaming\YK.exe', '');
QuarantineFile('C:\Users\User\AppData\Roaming\YK.exe','');
QuarantineFile('C:\Windows\audio32hd.exe','');
QuarantineFile('C:\PROGRA~2\Mozilla\mkmdfte.exe','');
DeleteFile('C:\PROGRA~2\Mozilla\mkmdfte.exe','32');
DeleteFile('C:\Windows\system32\Tasks\syglizf','32');
DeleteFile('C:\Windows\audio32hd.exe','32');
DeleteFile('C:\Windows\Tasks\YK.job','32');
DeleteFile('C:\Users\User\AppData\Roaming\YK.exe','32');
BC_ImportALL;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

[quote="regist;1175944"]Baidu и Amigo - деинсталируйте[/quote]
это не сделали ;)

+ [LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
23.10.2014, 22:14
Marksnowy

Вложений: 2

Саму папку Baidy удалить не удается(см. скриншот), Amigo не удается найти на ПК, вероятнее всего он был удален. Файл приложил :)
23.10.2014, 23:37
regist

[quote="Marksnowy;1178060"]Саму папку Baidy удалить не удается[/quote]
а в устанленных программах его тоже нет? Возможно название программы будет на китайском.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Media Get - также деинсталируйте и другие программы, какие найдёте в установленных из списка AdwCleaner

- [url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё кроме папок от mail.ru - если программами от mail.ru не пользуетесь, то их тоже удалите. Отчет после удаления прикрепите.

[url=http://virusinfo.info/showthread.php?t=121767][b]Сделайте полный образ автозапуска uVS[/b][/url] только программу скачайте [url=https://yadi.sk/d/6A65LkI1WEuqC]отсюда[/url]
24.10.2014, 14:11
Marksnowy

Вложений: 2

Baidu и Amigo в установленных программах нет. Все данные удалил из ADWcleaner(a).
Прикрепляю данные:)
24.10.2014, 14:55
regist

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url] и пришлите карантин

[CODE];uVS v3.84.2 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v384c
BREG
exec "C:\Program Files\Zaxar\uninstall.exe"
zoo HTTP://1KANAL.ORG/?SRC=HP1
delall HTTP://1KANAL.ORG/?SRC=HP1
zoo %SystemDrive%\USERS\USER\APPDATA\ROAMING\BROWSERS\LAUNCHER.EXE.BAT
zoo %SystemDrive%\USERS\USER\APPDATA\ROAMING\BROWSERS\CHROME.EXE.BAT
del %SystemDrive%\USERS\USER\APPDATA\ROAMING\BROWSERS\CHROME.EXE.BAT
del %SystemDrive%\USERS\USER\APPDATA\ROAMING\BROWSERS\LAUNCHER.EXE.BAT
zoo D:\GAMES\LOL\LOL.LAUNCHER.EXE.BAT
del D:\GAMES\LOL\LOL.LAUNCHER.EXE.BAT
zoo %SystemDrive%\USERS\ГОСТЬ\APPDATA\ROAMING\MCPORTABLE.BAT
zoo %SystemDrive%\USERS\ГОСТЬ\APPDATA\ROAMING\OFFLINE.BAT
zoo %SystemDrive%\USERS\USER\APPDATA\ROAMING\OFFLINE.BAT
zoo %SystemDrive%\USERS\USER\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\MOZILLA FIREFOX.LNK
zoo %SystemDrive%\USERS\USER\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\MCPORTABLE.LNK
zoo %SystemDrive%\PROGRAM FILES\OPERA\OPERA.EXE.BAT
del %SystemDrive%\PROGRAM FILES\OPERA\OPERA.EXE.BAT
zoo %SystemDrive%\PROGRAMDATA\MICROSOFT\WINDOWS\START MENU\PROGRAMS\OPERA.LNK
zoo D:\PROGI\CUBASE READY\DOCUMENTATION\OPERATION_MANUAL.URL
zoo D:\GAMES\THE SIMS 3 DESIGNER EDITION\THE SIMS 3\GAME\BIN\SIMS3LAUNCHER.EXE.BAT
zoo D:\GAMES\SIMS4\THE SIMS 4\GAME\BIN\THE.SIMS.4.LAUNCHER.EXE.BAT
del D:\GAMES\SIMS4\THE SIMS 4\GAME\BIN\THE.SIMS.4.LAUNCHER.EXE.BAT
del D:\GAMES\THE SIMS 3 DESIGNER EDITION\THE SIMS 3\GAME\BIN\SIMS3LAUNCHER.EXE.BAT
zoo %SystemDrive%\USERS\USER\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\ZAXAR GAMES BROWSER\ZAXAR GAMES BROWSER.LNK
bl 4BFB4A763097DC4ABFD5D210BFA92C6E 2070
delall %SystemDrive%\USERS\USER\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\ZAXAR GAMES BROWSER\ZAXAR GAMES BROWSER.LNK
zoo %SystemDrive%\PROGRAM FILES\ZAXAR\ZAXARGAMEBROWSER.EXE.BAT
bl 1F4C581673892EE193D068E44863166C 83
delall %SystemDrive%\PROGRAM FILES\ZAXAR\ZAXARGAMEBROWSER.EXE.BAT
exec "C:\Program Files\Zaxar\uninstall.exe"
delref HTTP://START.TICNO.COM?KEY=23CD3F98-A59E-4803-96AE-6C9A75A3428F
delref HTTP://YAMDEX.NET/?SEARCHID=1&L10N=RU&FROMSEARCH=1&IMSID=4862B7186BA41F54383B1313E4956DBE&TEXT={SEARCHTERMS}
zoo %SystemDrive%\PROGRAM FILES\COMMON FILES\SYSTEM\ADO\NTSYSDRIVER.EXE
bl 8414B6C2B54FD1ACF7858EAAD0E7A327 5382043
delall %SystemDrive%\PROGRAM FILES\COMMON FILES\SYSTEM\ADO\NTSYSDRIVER.EXE
regt 28
regt 29
czoo
restart[/CODE]

на вопрос об удаление программ соглашайтесь.

сделайте потом новый образ автозапуска
24.10.2014, 22:17
Marksnowy

Сделано! Не хватает места чтобы загрузить архив UVS - образ автозапуска.
24.10.2014, 23:01
regist

загрузите сюда [url]http://rghost.ru/[/url] и оставьте ссылку на скачивание в своём сообщение.
25.10.2014, 19:55
Marksnowy

[url]http://rghost.ru/58711302[/url]
25.10.2014, 21:18
regist

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url]

[CODE];uVS v3.84.2 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v384c
BREG
del %SystemDrive%\PROGRAM FILES\MOZILLA FIREFOX\FIREFOX.EXE.BAT
vreg
delref %SystemDrive%\USERS\ГОСТЬ\APPDATA\ROAMING\MINECRAFT.EXE
delref %SystemDrive%\USERS\ГОСТЬ\APPDATA\ROAMING\DESKTOPY.RU\DESKTOPY.EXE
delref %SystemDrive%\USERS\ГОСТЬ\APPDATA\LOCAL\MAIL.RU\MAILRUUPDATER.EXE
delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\MAIL.RU\GAMECENTER\[email protected]
delref %SystemDrive%\USERS\ГОСТЬ\APPDATA\LOCAL\AMIGO\APPLICATION\AMIGO.EXE
delref %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\LOCAL\AMIGO\APPLICATION\AMIGO.EXE
delall %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BDDOWNLOAD\107\BDDOWNLOADER.EXE
delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\AMIGO\APPLICATION\28.0.1501.372\DELEGATE_EXECUTE.EXE
delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\XPOM\APPLICATION\27.0.1453.95\DELEGATE_EXECUTE.EXE
delref %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\DESKTOPY.RU\DESKTOPY.EXE
delref %SystemDrive%\USERS\USER\APPDATA\ROAMING\DESKTOPY.RU\DESKTOPY.EXE
del %SystemDrive%\USERS\USER\APPDATA\ROAMING\OFFLINE.BAT
delref %SystemDrive%\PROGRAM FILES\VPETS\VPETS.EXE
delall %SystemDrive%\PROGRAM FILES\VPETS\VPETS.EXE
delref HTTP://START.TICNO.COM?KEY=23CD3F98-A59E-4803-96AE-6C9A75A3428F
delref HTTP://YAMDEX.NET/?SEARCHID=1&L10N=RU&FROMSEARCH=1&IMSID=4862B7186BA41F54383B1313E4956DBE&TEXT={SEARCHTERMS}
delref HTTPS://SECURE.ELEMENT5.COM/REGISTER.HTML?PRODUCTID=131819&LANGUAGE=ENGLISH
exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216016FF}
deldir %SystemDrive%\USERS\USER\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\ZAXAR GAMES BROWSER
delall %SystemDrive%\PROGRAM FILES\ZAXAR\ZAXARLOADER.EXE
regt 28
regt 29
areg
restart[/CODE]

на вопросы об удаление программ соглашайтесь. Скрипт деинсталирует устаревшую версию Java.

Сделайте новый образ автозапуска.
27.10.2014, 22:47
Marksnowy

[url]http://rghost.ru/58750105[/url]
28.10.2014, 00:00
regist

Java так и не удалили ;)

Выполните скрипт в uVS

[CODE];uVS v3.84.2 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v384c
BREG
delall %SystemDrive%\USERS\ГОСТЬ\APPDATA\LOCAL\AMIGO\APPLICATION\AMIGO.EXE
delall %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\LOCAL\AMIGO\APPLICATION\AMIGO.EXE
delall %SystemDrive%\USERS\ГОСТЬ\APPDATA\ROAMING\DESKTOPY.RU\DESKTOPY.EXE
delall %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\ROAMING\DESKTOPY.RU\DESKTOPY.EXE
delall %SystemDrive%\USERS\USER\APPDATA\ROAMING\DESKTOPY.RU\DESKTOPY.EXE
delall %SystemDrive%\USERS\ГОСТЬ\APPDATA\LOCAL\MAIL.RU\MAILRUUPDATER.EXE
delall %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\LOCAL\MAILRU\MAILRUUPDATER.EXE
delall %SystemDrive%\USERS\ГОСТЬ\APPDATA\LOCAL\MEDIAGET2\MEDIAGET.EXE
delall %SystemDrive%\USERS\ГОСТЬ\APPDATA\ROAMING\MINECRAFT.EXE
delall %SystemDrive%\USERS\ЖУЖУ\APPDATA\LOCAL\YANDEX\UPDATER\YUPDATE-EXECUTOR.EXE
zoo HTTP://START.TICNO.COM?KEY=23CD3F98-A59E-4803-96AE-6C9A75A3428F
delall HTTP://START.TICNO.COM?KEY=23CD3F98-A59E-4803-96AE-6C9A75A3428F
zoo HTTP://YAMDEX.NET/?SEARCHID=1&L10N=RU&FROMSEARCH=1&IMSID=4862B7186BA41F54383B1313E4956DBE&TEXT={SEARCHTERMS}
delall HTTP://YAMDEX.NET/?SEARCHID=1&L10N=RU&FROMSEARCH=1&IMSID=4862B7186BA41F54383B1313E4956DBE&TEXT={SEARCHTERMS}
delref %SystemDrive%\USERS\USER\DESKTOP\MINECRAFT\UNINSTALL.EXE
delref %SystemDrive%\USERS\АДМИНИСТРАТОР\DESKTOP\YOUTUBESPIDER.EXE
delref %SystemDrive%\PROGRAM FILES\ENIGMA SOFTWARE GROUP\SPYHUNTER\ESGIGUARD.SYS
; Java(TM) 6 Update 16
exec MsiExec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216016FF} /quiet
czoo
restart[/CODE]

что с проблемой?
30.10.2014, 23:12
Marksnowy

Проблема пропала!Спасибо большое!)
31.10.2014, 10:28
regist

Выполните скрипт в AVZ при наличии доступа в интернет:

[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]
03.11.2014, 16:02
Marksnowy

Проделал операцию со скриптом, после чего попытался обновить до SP1- что не удалось,все остальное установилось.
03.11.2014, 19:44
regist

[quote="Marksnowy;1182667"]после чего попытался обновить до SP1- что не удалось[/quote]
попробуйте через центр обновления установить.
03.11.2014, 19:54
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]4[/B][*]Обработано файлов: [B]103[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \chrome.exe.bat._09c738603c9fa843736557a323b461b1e45169db - [B]Trojan-Clicker.BAT.Agent.an[/B] ( DrWEB: BAT.StartPage.42 )[*] c:\program files\adobe flash players 11.0\ie\x86\adobeflash32.dll - [B]Trojan-Clicker.Win32.Baner.d[/B] ( DrWEB: Trojan.Admess.1, BitDefender: Adware.Agent.NXK, AVAST4: Win32:Malware-gen )[*] c:\program files\google\chrome\application\chrome.exe.bat - [B]Trojan-Clicker.BAT.Agent.an[/B] ( DrWEB: BAT.StartPage.42, AVAST4: BV:Runner-AN [Trj] )[*] c:\program files\internet explorer\iexplore.exe.bat - [B]Trojan-Clicker.BAT.Agent.an[/B] ( DrWEB: BAT.StartPage.42 )[*] c:\program files\pcdapp\start.vbs - [B]Trojan.VBS.Starter.gk[/B][*] c:\users\user\appdata\local\microsoft\windows\system.exe - [B]Trojan.Win32.Agentb.bgvk[/B] ( DrWEB: Trojan.BPlug.308, BitDefender: Trojan.Generic.11932809, AVAST4: Win32:Malware-gen )[*] c:\users\user\appdata\roaming\newsi_10\s_inst.exe - [B]not-a-virus:AdWare.Win32.MMag.k[/B] ( DrWEB: Adware.Plugin.248, BitDefender: Adware.Generic.1036930 )[*] c:\users\user\appdata\roaming\newsi_2\s_inst.exe - [B]not-a-virus:AdWare.Win32.Agent.aljo[/B] ( DrWEB: Adware.Downware.4998 )[*] c:\users\user\appdata\roaming\newsi_20107\s_inst.exe - [B]not-a-virus:AdWare.Win32.MediaMagnet.b[/B] ( DrWEB: Trojan.Fakealert.47029, BitDefender: Gen:Variant.Adware.Graftor.154914, AVAST4: Win32:Adware-gen [Adw] )[*] c:\users\user\appdata\roaming\newsi_21\s_inst.exe - [B]not-a-virus:AdWare.Win32.MMag.k[/B] ( DrWEB: Trojan.Fakealert.47029, BitDefender: Gen:Variant.Adware.Graftor.154914 )[*] c:\windows\audio32hd.exe - [B]Backdoor.Win32.Sdbot.adfx[/B] ( DrWEB: Backdoor.Alizer.146, BitDefender: Gen:Variant.Zusy.111384, AVAST4: Win32:Dropper-gen [Drp] )[*] \launcher.exe.bat._b9c954e5d4c62750d87897d0eeafc1dac7dc28c8 - [B]Trojan-Clicker.BAT.Agent.an[/B] ( DrWEB: BAT.StartPage.42 )[*] \lol.launcher.exe.bat._db6f60ce7b6d17550eb0781f7acb120b82dcd48b - [B]Trojan-Clicker.BAT.Agent.an[/B] ( DrWEB: BAT.StartPage.42 )[*] \mozilla firefox.lnk._861a48235f57b3f52a37186d48bfd1ce8d26763d.txt - [B]Trojan-Clicker.BAT.Agent.an[/B][*] \ntsysdriver.exe._266c5c8c6f64b6a81c9ebad1e2d859406aa206f1 - [B]not-a-virus:RiskTool.Win32.BitCoinMiner.ggl[/B] ( BitDefender: Application.Bitcoinminer.BI )[*] \opera.exe.bat._1646d15cb29676ed39daab15a77463720a291a5f - [B]Trojan-Clicker.BAT.Agent.an[/B] ( DrWEB: BAT.StartPage.42 )[*] \opera.lnk._34371e12636f3e656eef081ec5a0072959d3198d.txt - [B]Trojan-Clicker.BAT.Agent.an[/B][*] \sims3launcher.exe.bat._0a0375ef88d43165a73482c3df6b8c3c0d1cacc9 - [B]Trojan-Clicker.BAT.Agent.an[/B] ( DrWEB: BAT.StartPage.42 )[*] \the.sims.4.launcher.exe.bat._aabac9ed7d1869bd9bcbe2ed783cddc22b6766e2 - [B]Trojan-Clicker.BAT.Agent.an[/B] ( DrWEB: BAT.StartPage.42 )[*] \zaxar games browser.lnk._6f65a2a40a1ca6f88e172273103ea2ecca34fd31.txt - [B]Trojan-Clicker.BAT.Agent.an[/B][/LIST][/LIST]