Поймал троян

Доброго времени суток где то поймал рекламный троян, меняющий путь всех брайзеров из родных в новь создоваемую папку. Стоял аваст я его снес и поставил касперского, он и обнаружил троян и убил как бы его, но при перезагрузке компьютера все повторяется если на рабочем столе есть хоть один ярлык браузера, в других местах троян их не видит и не трогает....
Троян меняет разширение с .exe на .bat.... Поиск и уничтожение всех подобных файлов не помог, перезагрузка активирует троян если есть ярлыки на рабочем столе....
Дико извиняюсь добавил все согласно инструкции...

Уважаемый(ая) [B]Андрей Юрьевич[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[url]http://virusinfo.info/pravila.html[/url]

Все исправил, каюсь прочел не внимательно... Да жму на [COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR] и добавляю файл карантина, пишет что не может отправить так как файл уже отправлен??????!!!!!!!

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\ProgramData\Browsers\browser6.bat','');
QuarantineFile('C:\Users\Андрей\AppData\Local\Kometa\Application\kometa.exe','');
DeleteFile('C:\Users\Андрей\AppData\Local\Kometa\Application\kometa.exe','32');
DeleteFile('C:\ProgramData\Browsers\browser6.bat','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] в Вашей теме.

Сделайте лог [url="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]CheckBrowsers' Lnk[/url]

[B][COLOR="Red"]Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи[/COLOR][/B]

Все сделал, карантин не прекрипляется та же ошибка, может его прислать почтой или прикрепить к коменту?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Вот что пишет когда пытаюсь загрузить по ссылке:http://virusinfo.info/showthread.php?t=190914

Результат загрузки

Ошибка загрузки. Данный файл уже был загружен

Где лог, который я просил дополнительно?

Вот лог (видно забыл, извиняюсь) и седня создал ярлык на рабочем столе, после перезагрузки тишина, путь не поменял....

Просто кошмар, когда у людей проблемы с чтением...

Я не это просил у Вас.

Да что то я не внимателен.....

[list][*]Скачайте [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]ClearLNK[/url] и сохраните архив с утилитой на рабочем столе.[*]Распакуйте архив с утилитой в отдельную папку.[*]Перенесите [B]Check_Browsers_LNK.log[/B] на ClearLNK как показано на рисунке

[img]http://dragokas.com/tools/move.gif[/img]
[*]Отчет о работе [b]ClearLNK-<Дата>.log[/b] будет сохранен в папке [b]LOG[/b].[*]Прикрепите этот отчет к своему следующему сообщению.[/list]

Выполнил

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Появилась новая проблема: на каком бы сайте не лазил происходит открытие сайта brethil.ru который требует установить плагин и не закрывается (убиваю через диспетчер задач)....

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.

Готово

1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => No File
2015-09-22 22:19 - 2015-10-06 09:37 - 00000000 ____D C:\Program Files (x86)\HP Defender
2015-08-24 16:06 - 2015-08-23 04:06 - 0000040 ____H () C:\Program Files (x86)\c62da080.tmp
Task: {2F57269B-1E09-4E2D-AB1E-B0FDAC7D279C} - \Microsoft\Windows\WindowsBackup\ConfigNotification -> No File <==== ATTENTION
Task: {4044D301-F818-46D3-921D-E8B74D257BCE} - System32\Tasks\Games\UpdateCheck_S-1-5-21-2512889573-2658938375-1667995738-1000
Task: {88119E3F-8C2F-44A7-9FBD-5AAF9F04CB00} - \Microsoft\Windows\Windows Activation Technologies\ValidationTask -> No File <==== ATTENTION
Task: {AC4E5ACF-89F7-4220-BA21-81EE183975E2} - \Microsoft\Windows\Application Experience\AitAgent -> No File <==== ATTENTION
Task: {CEE64558-E1A7-4D9D-80A7-2001912BE5B5} - \Microsoft\Windows\MemoryDiagnostic\CorruptionDetector -> No File <==== ATTENTION
Task: {D6C6E14B-6700-4344-8C34-6C7D447CA5B4} - \Microsoft\Windows\Windows Activation Technologies\ValidationTaskDeadline -> No File <==== ATTENTION
Task: {FA2BC0A6-8D4B-458A-85C8-2B8C72487513} - \Microsoft\Windows\MemoryDiagnostic\DecompressionFailureDetector -> No File <==== ATTENTION
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.
[list][*]Обратите внимание, что будет выполнена [b]перезагрузка компьютера[/b].[/list]

Готово

Что с проблемой ?

[QUOTE=mrak74;1321475]Что с проблемой ?[/QUOTE]

Все отлично, ярлыки больше не трогает ни какая зараза... Вот только не заметил на каком этапе лечения (а может и не из за него) перестали ставится расширения на гугл хром (хотел поставить блокиратор рекламы, и обнаружил что не ставится).
Но в любом случае ОГРОМНОЕ спасибо вам ребята....

[quote="Андрей Юрьевич;1321495"]перестали ставится расширения на гугл хром (хотел поставить блокиратор рекламы, и обнаружил что не ставится).[/quote]
Какую ошибку выдает ?

Выскакивает окно в котором написано ПРОИЗОШЛА ОШИБКА NETWORK_FAILED и ниже обновить или закрыть, обновление не помогает....

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что под окном [b]Optional Scan[/b] отмечены [i]"List BCD"[/i], [i]"Driver MD5"[/i] и [i]"90 Days Files"[/i].[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]http://i.imgur.com/3munStB.png[/img]

готово

[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

[CODE]CreateRestorePoint:
CloseProcesses:
SearchScopes: HKU\S-1-5-21-2512889573-2658938375-1667995738-1000 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/search?q={SearchTerms}&fr=ntg&gp=newcustom1
FF Keyword.URL: hxxp://go.mail.ru/search?fr=ntg&q=
CHR HKLM\...\Chrome\Extension: [eahebamiopdhefndnmappcihfajigkka] - hxxps://chrome.google.com/webstore/detail/eahebamiopdhefndnmappcihfajigkka
CHR DefaultSuggestURL: Default -> hxxp://suggests.go.mail.ru/chrome?q={searchTerms}
EmptyTemp:[/CODE][*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]

Откройте блокнотом файл [URL="https://ru.wikipedia.org/wiki/Hosts"]Hosts[/URL], находится C:\Windows\System32\drivers\etc\Hosts, отредактируйте его, убрав строку [CODE]127.0.0.1 clients2.google.com [/CODE], сохраните. Что с проблемой, после подобных манипуляций.

Проблемам устранена, огромное спасибо

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Да я так понимаю рабочий стол можно чистить от всех файлов что были созданы в процессе лечения?

[quote="Андрей Юрьевич;1321885"]Да я так понимаю рабочий стол можно чистить от всех файлов что были созданы в процессе лечения?[/quote]
Да.

[URL="http://virusinfo.info/showthread.php?t=121902"][B]Советы и рекомендации после лечения компьютера[/B][/URL]