Пропали все ярлыки; именно ярлыки, а не файлы. и другие лаги [Trojan-Ransom.Win32.Blocker.gcdt ]

Здравствуйте, искал драйвера для компьютера, скачал какой то exe-файл с названием нужного мне ноутбука, решил открыть и посмотреть файл. В итоге какая то хрень начала устанавливаться, установка еще свернулась, и у меня в панеле задач появился mail.ru. После зашел в "Программы и компоненты" и удалил оттуда какие то странные программы связанные с купонами, скидками и т.д (minimum price, next coup и т.д.). (похожие друг на друга, у них еще автор был указан просто кавычками - вот так "").

После ушел на кухню, а тем временем как мне сказал друг, комп сам перезагрузился и потом когда я к нему подошел, то был просто в ШОКе! Все ярлыки (именно значки со стрелочками) исчезли с рабочего стола и также их не стало в меню Пуск, теперь там только папки, которые все пустые.

Хотел попробовать запустить восстановление системы, но оно не работает, и в свойствах компьютера отсутствует одна вкладка "Защита системы".

Ярлыки в ссылках, которые слева в каждой папке все исчезли.
В диспетчере загрузок появились две странные строчки: InstallMoney и node-webkit, которая запускается в процессах в трех копиях. Даже не знаю, что это.

Также у меня теперь не устанавливаются некоторые проги, вылазит ошибка что возможно служба Windows Installer не установлена. В списке всех служб некоторые отсутствуют в т.ч. и служба Windows Installer.

И как назло нельзя воспользоваться восстановлением системы.. как теперь быть??

у меня не прикрепляются файлы, которые должны быть во вложении, поэтому я приложил ссылку на них,
вот: [url]https://yadi.sk/d/3-HDMg87crkAo[/url]

Заранее спасибо!

Уважаемый(ая) [B]Ruslan152[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Users\Руслан\AppData\Roaming\Microsoft Update\UnLoad.exe','');
QuarantineFile('C:\Users\Руслан\AppData\Roaming\Microsoft Manager APP\InstallMoney.exe','');
QuarantineFile('C:\Windows\system32\drivers\{7012eec1-4f37-42d4-a2cd-26727494d248}Gw64.sys','');
TerminateProcessByName('c:\users\Руслан\appdata\roaming\gemware\node-webkit.exe');
QuarantineFile('c:\users\Руслан\appdata\roaming\gemware\node-webkit.exe','');
DeleteFile('c:\users\Руслан\appdata\roaming\gemware\node-webkit.exe','32');
DeleteFile('C:\Windows\system32\drivers\{7012eec1-4f37-42d4-a2cd-26727494d248}Gw64.sys','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\node-webkit','command');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','node-webkit');
DeleteFile('C:\Users\Руслан\AppData\Roaming\Microsoft Manager APP\InstallMoney.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','InstallMoney');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\InstallMoney','command');
DeleteFile('C:\Users\Руслан\AppData\Roaming\Microsoft Update\UnLoad.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','UnLoad_TorProject');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

отправил карантин через форму, как и просили

также прикрепляю заново отчеты [url]https://yadi.sk/d/2rHkL35UcsZ3e[/url]

Логи прикрепляйте на форуме через кнопку Расширенный режим

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]

Просканировал систему через MBAM,

вот лог: [url]https://yadi.sk/i/z3eedfe5ctUiB[/url]

Читать умеем?[quote="thyrex;1191611"]Логи прикрепляйте на форуме через кнопку Расширенный режим[/quote]

Поместите в карантин МВАМ всё, [B]кроме[/B]
[CODE]PUP.Optional.OpenCandy, C:\Users\?*N?N??»?°??\Downloads\????N?N?N????±N?N?????N?\K-LiteCodecPack1055Full.exe, , [51841e20017be452259db0c855b024dc],
Hacktool.Agent, C:\Windows\Setup\SCRIPTS\data\WindowsLoader.exe, , [3f96b48a7efe3ef82353521258a902fe],
[/CODE]

у меня логи не прикрепляются, поскольку место под файлы на форуме занято, а файлы удалить я не могу.
поэтому приходится вот так ссылками и кидать.

Поместил в карантин, что делать дальше?

[quote="Ruslan152;1192306"]а файлы удалить я не могу.[/quote]Мой кабинет - Вложения и удаляйте самые старые

Что с проблемой?

заново прикрепляю лог через тему

Что с проблемой?

проблема осталась, восстановление системы так и не заработало, ярлыки так и не появились

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

вот новые очередные логи моего ноута

[URL="http://virusinfo.info/showthread.php?t=165835"]Пофиксите[/URL] следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

[CODE]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=4f4d1e27e54846dfdeb8dc3854b081db&text={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=4f4d1e27e54846dfdeb8dc3854b081db&text={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=4f4d1e27e54846dfdeb8dc3854b081db&text=
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=4f4d1e27e54846dfdeb8dc3854b081db&text=
O13 - DefaultPrefix: http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=4f4d1e27e54846dfdeb8dc3854b081db&text=


[/CODE]

[LIST=1][*]Скачайте [b][url=http://virusinfo.info/soft/tool.php?tool=FixerBro]FixerBro by glax 24[/url][/b] и сохраните архив с утилитой на [b]Рабочем столе[/b][*]Распакуйте архив с утилитой в отдельную папку[*]Запустите [b]FixerBro[/b][INDENT][SIZE="1"][B]Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [b]Windows XP[/b] так и есть. В [b]Windows Vista[/b] и [b]Windows 7[/b] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [b]Запуск от имени Администратора[/b], при необходимости укажите пароль администратора и нажмите [b]Да[/b][/SIZE][/INDENT][*]В главном окне программы нажмите на кнопку [B]"Проверить"[/B][*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\FixerBro[/COLOR][/B] (лог в формате [b]FixerBro_yyyymmdd.txt[/b])[*]По окончанию сканирования нажмите на кнопку "[b]Отчет[/b]".[*]Сохраните лог утилиты[*]Прикрепите сохраненный отчет в вашей теме.[/LIST]

прикрепляю лог от программы FixerBro

[LIST=1][*]Запустите повторно [b][color="Blue"]FixerBro by glax24[/b][/color]. [INDENT][SIZE="1"][B]Обратите внимание[/B], что утилиты необходимо запускать через правую кн. мыши [b]от имени администратора[/b], на [b]Windows Vista[/b] и [b]Windows 7[/b] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [b]Запуск от имени Администратора[/b], при необходимости укажите пароль администратора и нажмите [b]Да[/b][/SIZE][/INDENT][*]Нажмите на кнопку [b]"Проверить"[/b], а по окончанию сканирования поставьте галочки напротив следующих строк и нажмите на кнопку [b]Исправить[/b]. Дождитесь окончания удаления.

[code]
C:\Users\Руслан\Desktop\Программы\Opera 24.lnk [C:\Program Files (x86)\Opera\launcher.exe "http://searcheasynow.ru" ]
C:\Users\Руслан\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Punto Switcher.lnk [C:\Program Files (x86)\Yandex\Punto Switcher\punto.exe --"http://searcheasynow.ru"]
C:\Users\Руслан\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\ImplicitAppShortcuts\3eb5df1217f99446\Google Chrome.lnk [C:\Users\Руслан\AppData\Local\Google\Chrome\Application\chrome.exe --profile-directory=Default - (Объект запуска не найден)]
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Яндекс\Punto Switcher\Punto Switcher.lnk [C:\Program Files (x86)\Yandex\Punto Switcher\punto.exe --"http://searcheasynow.ru"]
[/code]
[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [b][color="Blue"]C:\FixerBro[/b][/color]. (Лог в формате [b]FixerBro_yyyymmdd.txt[/b]).[*]По окончанию удаления нажмите на кнопку "[b]Отчет[/b]"[*]Сохраните лог утилиты[*]Прикрепите сохраненный отчет в вашей теме.[/LIST]

Удалите расширение в браузере:

[QUOTE]
AS Magic Player - (C:\Users\Руслан\AppData\Local\Google\Chrome\User Data\Default\Extensions\mfhnkgpdlogbknkhlgdjlejeljbhflim) (22.11.2014)
[/QUOTE]

удалил, но оно тут не причем..оно давно уже стояло у меня

Оно может показывать рекламу в браузере.

А восстановление системы как опять вернуть можно? Такое ощущение как будто его и не было никогда

Вопрос: а через какой-нибудь файловый менеджер типа Total Commander исчезнувшие .lnk-файлы видны (на Рабочем столе или в меню Пуск)?

нет не видно.
кстати, у меня на ноуте 2 винды стоят, и эта фигня сразу на двух виндах произошла, на семерке и на висте. Правда на висте восстановление системы работает. А проблема началась, когда на семерке сидел

Возможно, что все ярлыки просто удалены. Очень похоже, что файлы на компьютере могли быть зашифрованы даже (о чем свидетельствует один из попавших в карантин файлов)

[QUOTE=thyrex;1194362]Возможно, что все ярлыки просто удалены. Очень похоже, что файлы на компьютере могли быть зашифрованы даже (о чем свидетельствует один из попавших в карантин файлов)[/QUOTE]

Хорошо, а какой именно файл об этом свидетельствует, и какие действия дальнейшие мне стоит предпринять чтобы их вернуть?

И как восстановление системы то сделать, чтобы работало?
[ATTACH=CONFIG]514312[/ATTACH]
а то в свойствах компьютера то его нет

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]5[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] \2014-11-22\2014-11-22\unload.exe - [B]Trojan-Ransom.Win32.Blocker.gcdt[/B] ( AVAST4: Win32:Dropper-gen [Drp] )[/LIST][/LIST]