Printable View
Здравствуйте. Был в отъезде несколько месяцев, пока меня не было младшая сестра качала с интернета презентации для школы, музыку и так далее, приехал домой появилось куча вирусов, такие как Gameo, Super Optimizer и так далее. Помогите пожалуйста очистить комп от всех вирусов. Большое спасибо!
Уважаемый(ая) [B]ruskos[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Windows\system32\server.dll','');
QuarantineFile('C:\Users\User\appdata\local\microsoft\extensions\extsetup.exe','');
QuarantineFile('C:\Program Files (x86)\System Optimizer\SysOptLauncher.exe','');
QuarantineFile('C:\Program Files (x86)\Super Optimizer\SupOptLauncher.exe','');
QuarantineFile('c:\programdata\{1df1140e-e998-34cf-1df1-1140ee99503b}\hqghumeaylnlf.exe','');
QuarantineFile('C:\ProgramData\Microsoft\Network\Downloader\downloader.exe','');
QuarantineFile('C:\Users\User\AppData\Roaming\Gameo\gameo.exe','');
QuarantineFile('C:\Users\User\AppData\Roaming\Gameo\gameo.dat','');
TerminateProcessByName('c:\program files (x86)\system optimizer\sysoptreminder.exe');
QuarantineFile('c:\program files (x86)\system optimizer\sysoptreminder.exe','');
DeleteFile('c:\program files (x86)\system optimizer\sysoptreminder.exe','32');
DeleteFile('C:\Users\User\AppData\Roaming\Gameo\gameo.dat','32');
DeleteFile('C:\Users\User\AppData\Roaming\Gameo\gameo.exe','32');
DeleteFile('C:\ProgramData\Microsoft\Network\Downloader\downloader.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Microsoft Network Downloader','command');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Gameo');
DeleteFile('C:\Windows\Tasks\Superclean.job','64');
DeleteFile('c:\programdata\{1df1140e-e998-34cf-1df1-1140ee99503b}\hqghumeaylnlf.exe','32');
DeleteFile('C:\Windows\system32\Tasks\Super Optimizer Schedule','64');
DeleteFile('C:\Program Files (x86)\Super Optimizer\SupOptLauncher.exe','32');
DeleteFile('C:\Windows\system32\Tasks\Superclean','64');
DeleteFile('C:\Program Files (x86)\System Optimizer\SysOptLauncher.exe','32');
DeleteFile('C:\Windows\system32\Tasks\System Optimizer Schedule','64');
DeleteFile('C:\Users\User\appdata\local\microsoft\extensions\extsetup.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Будет выполнена перезагрузка компьютера.
Выполните скрипт в AVZ
[code]begin
CreateQurantineArchive('c:\quarantine.zip');
end.[/code][b]c:\quarantine.zip[/b] пришлите по красной ссылке [color="Red"][u][b]Прислать запрошенный карантин[/b][/u][/color] [b]над первым сообщением[/b] в Вашей теме.
[B][COLOR="Red"]Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи[/COLOR][/B]
Уже 2 часа пытаюсь с компа зайти на ваш сайт, чтобы отправить новые логи, а все никак, ужас, вирусы захватили как будто компьютер
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Еще плюс на вашем сайте каждую секунду стало переходить на другие рекламные сайты. Еле получилось) Отправил карантин, сделал новые логи, спасибо!
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Сейчас появилась ещё одна какая-то программа DNS Unlocker :/
Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]
1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, и его тоже прикрепите в следующем сообщении.
Сделал, жду, спасибо!
Здравствуйте) А вы про меня не забыли?)
1. Откройте [b]Блокнот[/b] и скопируйте в него приведенный ниже текст
[code]
CreateRestorePoint:
Startup: C:\Users\Default\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\RegFix.lnk [2014-02-03]
ShortcutTarget: RegFix.lnk -> C:\Users\User\AppData\Roaming\RegFix.exe (No File)
Startup: C:\Users\Default User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\RegFix.lnk [2014-02-03]
ShortcutTarget: RegFix.lnk -> C:\Users\User\AppData\Roaming\RegFix.exe (No File)
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
CHR HKU\S-1-5-21-889757155-2499303241-2111422959-1003\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
FF Extension: KiIngCouppOOn - C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\xuyza1op.default-1430316300489\Extensions\[email protected] [2015-06-10]
FF Extension: TankCommand - C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\xuyza1op.default-1430316300489\Extensions\[email protected] [2015-06-11]
FF Extension: TwistTinkeru - C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\xuyza1op.default-1430316300489\Extensions\[email protected] [2015-06-17]
FF Extension: AutoMasters - C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\xuyza1op.default-1430316300489\Extensions\zpxgaqginkyo@piasuuggei_s.org [2015-06-15]
CHR Extension: (Social Fixer for ) - C:\Users\User\AppData\Local\Google\Chrome\User Data\Default\Extensions\ifmhoabcaeehkljcfclfiieohkohdgbb [2015-06-17]
CHR HKLM-x32\...\Chrome\Extension: [hcncjpganfocbfoenaemagjjopkkindp] - <no Path/update_url>
CHR HKLM-x32\...\Chrome\Extension: [nkcpopggjcjkiicpenikeogioednjeac] - C:\Users\User\AppData\Local\Temp\nkcpopggjcjkiicpenikeogioednjeac.crx <not found>
OPR Extension: (APIHelper) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\fhmcldpohlnkhmdbhfggpafgkafbcfnh [2015-01-19]
OPR Extension: (SocialLife Suit for Google Chrome™) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\gbkeegbaiigmenfmjfclcdgdpimamgkj [2015-01-29]
OPR Extension: (AS Magic Player) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\mfhnkgpdlogbknkhlgdjlejeljbhflim [2015-01-10]
S2 d3dadapter; C:\Windows\System32\svchost.exe [27136 2009-07-14] (Microsoft Corporation)
S2 d3dadapter; C:\Windows\SysWOW64\svchost.exe [20992 2009-07-14] (Microsoft Corporation)
S2 ir16_32; C:\Windows\System32\svchost.exe [27136 2009-07-14] (Microsoft Corporation)
S2 ir16_32; C:\Windows\SysWOW64\svchost.exe [20992 2009-07-14] (Microsoft Corporation)
S2 kbdmai; C:\Windows\System32\svchost.exe [27136 2009-07-14] (Microsoft Corporation)
S2 kbdmai; C:\Windows\SysWOW64\svchost.exe [20992 2009-07-14] (Microsoft Corporation)
S2 wlanmgr; C:\Windows\System32\svchost.exe [27136 2009-07-14] (Microsoft Corporation)
S2 wlanmgr; C:\Windows\SysWOW64\svchost.exe [20992 2009-07-14] (Microsoft Corporation)
2015-10-07 20:37 - 2015-10-07 20:37 - 00022160 _____ C:\Windows\System32\Tasks\DNSQUINTANA
2015-10-07 20:37 - 2015-10-07 20:37 - 00000000 ____D C:\Program Files (x86)\DNS Unlocker
2015-10-01 20:47 - 2015-10-01 20:47 - 00000000 ____D C:\Users\User\AppData\Roaming\Super Optimizer
2015-10-01 20:42 - 2015-10-08 00:25 - 00000000 ____D C:\Program Files (x86)\Super Optimizer
2015-10-01 20:42 - 2015-10-01 20:42 - 00000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Super Optimizer
2015-10-08 00:27 - 2015-05-23 20:38 - 00000000 ____D C:\Users\User\AppData\Roaming\Gameo
2015-10-08 00:25 - 2015-05-23 20:38 - 00000000 ____D C:\Users\User\AppData\Local\Gameo
2015-10-08 00:25 - 2015-05-23 20:37 - 00000000 ____D C:\Program Files (x86)\System Optimizer
2015-10-07 20:37 - 2015-06-10 12:59 - 00000000 ____D C:\Users\Все пользователи\16728400960933750699
2015-10-07 20:37 - 2015-06-10 12:59 - 00000000 ____D C:\ProgramData\16728400960933750699
2015-10-07 13:26 - 2015-06-10 12:59 - 00000000 ____D C:\Program Files (x86)\KiNgCoupon
2015-10-07 13:06 - 2015-06-17 02:18 - 00000000 ____D C:\Program Files (x86)\TwisstTInker
2015-10-07 13:06 - 2015-06-17 02:17 - 00000000 ____D C:\Program Files (x86)\TWistTTiinkEor
2015-10-07 13:05 - 2015-06-10 13:00 - 00000000 ____D C:\Program Files (x86)\ScribeFire
2015-10-07 13:02 - 2015-06-10 12:59 - 00000000 ____D C:\Program Files (x86)\KiIngCouppOOn
2015-10-01 20:39 - 2015-06-17 02:18 - 00000000 ____D C:\Program Files (x86)\TwistTinkeru
2015-10-01 20:39 - 2015-06-10 13:00 - 00000000 ____D C:\Program Files (x86)\KeingCoupon
2015-06-10 13:00 - 2015-06-15 13:52 - 0000079 _____ () C:\Program Files (x86)\prefs.js
C:\Users\User\AppData\Local\Temp\lite_installer.exe
C:\Users\User\AppData\Local\Temp\supoptsetup.exe
CustomCLSID: HKU\S-1-5-21-889757155-2499303241-2111422959-1003_Classes\CLSID\{19170A69-A883-40D5-AF97-F6DC41495F15}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-889757155-2499303241-2111422959-1003_Classes\CLSID\{97836AB9-12C5-4C30-A128-B75196DD1787}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-889757155-2499303241-2111422959-1003_Classes\CLSID\{ECF41531-0840-4361-955F-1157A091842F}\InprocServer32 -> no filepath
Task: {045C999B-47B6-4B54-B2EA-8BA7004A0E35} - \Safebrowser -> No File <==== ATTENTION
Task: {361497F0-7B39-4C7A-BA82-4B0584853B48} - System32\Tasks\DNSQUINTANA => dnsquintana.exe
Task: {4B4A31F6-4481-417F-90BE-263B00947C06} - \Kbupdater Utility -> No File <==== ATTENTION
Task: {54AF72D2-D185-41FF-8FE2-BFB65EB4FCC9} - \extsetup -> No File <==== ATTENTION
Task: {63E57B11-A7E3-478E-81AF-FABD8EB7C330} - \Microsoft Network Downloader -> No File <==== ATTENTION
Task: {6441D009-0F6B-4F8C-852E-9909597D53AA} - \nethost task -> No File <==== ATTENTION
Task: {92B4E46E-EEF0-46E8-A96C-5B341B5B23B9} - \Super Optimizer Schedule -> No File <==== ATTENTION
Task: {B0E67B0E-A8F1-4B24-9EA4-C100C715347B} - \System Optimizer Schedule -> No File <==== ATTENTION
AlternateDataStreams: C:\ProgramData\TEMP:07BF512B
AlternateDataStreams: C:\ProgramData\TEMP:41ADDB8A
AlternateDataStreams: C:\ProgramData\TEMP:A064CECC
AlternateDataStreams: C:\Users\Все пользователи\TEMP:07BF512B
AlternateDataStreams: C:\Users\Все пользователи\TEMP:41ADDB8A
AlternateDataStreams: C:\Users\Все пользователи\TEMP:A064CECC
Reboot:
[/code]
2. Нажмите [b]Файл[/b] – [b]Сохранить как[/b]
3. Выберите папку, откуда была запущена утилита [b]Farbar Recovery Scan Tool[/b]
4. Укажите [b]Тип файла[/b] – [b]Все файлы (*.*)[/b]
5. Введите имя файла [b]fixlist.txt[/b] и нажмите кнопку [b]Сохранить[/b]
6. Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.
[list][*]Обратите внимание, что будет выполнена [b]перезагрузка компьютера[/b].[/list]
Спасибо, сделал, жду!
Что с проблемой?
Здравствуйте, проблема не устранена, рекламные сайты всё также открываются постоянно в новой вкладке. Подскажите пожалуйста, как дальше чистить компьютер, спасибо!
[URL="http://virusinfo.info/showthread.php?t=7239"][B]Выполните скрипт в AVZ[/B]:[/URL]
[CODE]begin
ExecuteRepair(21);
ExecuteWizard('SCU',2,2,true);
RebootWindows(true);
end.[/CODE]
[URL="http://virusinfo.info/showthread.php?t=128635&p=968385&viewfull=1#post968385"]Очистите кэш DNS с помощью CCleaner после воздействия вредоносных программ, подменяющих DNS[/URL]
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )
Сделал, спасибо большое!
- Проведите процедуру, которая описана [url=http://virusinfo.info/content.php?r=290-virus-detector][B]тут[/B][/url]. Ссылку на результат проверки напишите в сообщении в этой теме.
Сделал процедуру. Я правильно понял, что ссылку на результат проверки я смогу сюда выложить только тогда, когда мне на почту придет письмо, что мой файл проверили?
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Вот ссылка, какие-то вирусы обнаружены, спасибо за помощь
http://virusinfo.info/virusdetector/report.php?md5=9641A4A7F0116294FF9F4D9992FFFA81
[URL="http://virusinfo.info/showthread.php?t=7239"][B]Выполните скрипт в AVZ[/B]:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\windows\syswow64\cesecurity.exe');
StopService('CESecurity');
QuarantineFile('c:\windows\syswow64\cesecurity.exe','');
DeleteFile('C:\Windows\SysWOW64\CESecurity.exe','32');
DeleteService('CESecurity');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]
После перезагрузки выполните скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Загрузите quarantine.zip из папки AVZ по красной ссылке [B]вверху[/B] темы [COLOR="Red"]Прислать запрошенный карантин[/COLOR]
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )
Выполнял первый скрипт, вылез синий экран смерти, первый раз у меня он. Сейчас попробую еще раз.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Опять синий экран смерти, когда я нажал запустить ваш скрипт, что такое? Что делать подскажите пожалуйста
[quote="ruskos;1321891"]Сейчас попробую еще раз.[/quote]
Стоп. Еще раз не надо. Windows загрузилась ? Если да.
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )
Извините, но я уже второй раз попробовал, я что-то плохое натворил? Да, загрузилась конечно, там был ещё выбор перед загрузкой виндоуса, я выбрал обычную загрузку виндоуса. Потом, когда виндоус загрузился, он мне выдал ещё вот такое сообщение:
Сигнатура проблемы:
Имя события проблемы: BlueScreen
Версия ОС: 6.1.7601.2.1.0.256.1
Код языка: 1049
Дополнительные сведения об этой проблеме:
BCCode: f4
BCP1: 0000000000000003
BCP2: FFFFFA8006D27B30
BCP3: FFFFFA8006D27E10
BCP4: FFFFF800035E6460
OS Version: 6_1_7601
Service Pack: 1_0
Product: 256_1
Файлы, содержащие сведения об этой проблеме:
C:\Windows\Minidump\101315-18018-01.dmp
C:\Users\User\AppData\Local\Temp\WER-30529-0.sysdata.xml
Ознакомьтесь с заявлением о конфиденциальности в Интернете:
[url]http://go.microsoft.com/fwlink/?linkid=104288&clcid=0x0419[/url]
Если заявление о конфиденциальности в Интернете недоступно, ознакомьтесь с его локальным вариантом:
C:\Windows\system32\ru-RU\erofflps.txt
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Сделал, прикрепляю. Карантин пока не надо делать?
[quote="ruskos;1321899"]Извините, но я уже второй раз попробовал, я что-то плохое натворил?[/quote]
Нет.
Осталось понять, что это за файл такой [CODE]c:\windows\syswow64\cesecurity.exe[/CODE] и его служба "Политики ограничений Windows 7 Concept Edition"
Кто ставил ? Для каких целей, Windows лицензия или сборка ? Что ни будь про эту службу и файл знаете ?
Винда не лицензионная, сборка. Позвонил программисту который мне её ставил и спросил об этом файле, он сразу понял и сказал что это за файл, и сказал, что это не вирус.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
После перезагрузки выполните скрипт:
Код:
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы Прислать запрошенный карантин
А это надо мне сделать?
[quote="ruskos;1321922"]А это надо мне сделать?[/quote]
Карантин загрузите. Файл может быть и не вирус, механизм его действия пока не понятен. Что с основной проблемой ?
Карантин мой пришел? Проблем я не замечал последние 2-3 дня.
Карантин дошел. Ну раз ничего больше не беспокоит.
[URL="http://virusinfo.info/showthread.php?t=121902"][B]Советы и рекомендации после лечения компьютера[/B][/URL]
[b]mrak74[/b], спасибо огромное!!!!!! Кроме этого файла в моих карантинах и логах больше ничего не осталось подозрительного?
[quote="ruskos;1322090"]Кроме этого файла в моих карантинах и логах больше ничего не осталось подозрительного?[/quote]
Всё чисто !!!
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]51[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files (x86)\super optimizer\supoptlauncher.exe - [B]not-a-virus:RiskTool.Win32.OptimizerPro.e[/B] ( DrWEB: Program.Unwanted.274 )[*] c:\programdata\{1df1140e-e998-34cf-1df1-1140ee99503b}\hqghumeaylnlf.exe - [B]not-a-virus:RiskTool.Win32.OptimizerPro.e[/B] ( DrWEB: Program.Unwanted.274 )[*] c:\users\user\appdata\local\microsoft\extensions\extsetup.exe - [B]not-a-virus:Downloader.NSIS.Browex.a[/B] ( DrWEB: archive: )[*] c:\windows\syswow64\cesecurity.exe - [B]HEUR:Trojan.Win32.Generic[/B] ( BitDefender: Gen:Trojan.Heur.GM.0402046120 )[/LIST][/LIST]