Всплывающие баннеры (иерогрифы)

Добрый день!
История такова. Пользователь при работающем антивирусе Касперского поставил KingSoft Antivirus, причем на китайском языке. После удаления появились всплывающие баннеры (слева в низу). При закрытии процесса (svchost, который запускается другим svchost, который в свою очередь запускает spoolsv) банеры пропадают на неопределенное время (час, три, сутки). Так же при открытии IE стартовая страница (не смотря на то что указано в настройках) - [URL]http://www.wososeo.com/[/URL]. При работе через него же переодически и самопроизвольно открываются новые вкладки.

Уважаемый(ая) [B]OlenValmus .[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
BC_DeleteFile('C:\WINDOWS\system32\drivers\protreg.sys');
BC_DeleteFile('C:\WINDOWS\system32\tssk.sys');
BC_DeleteSvc('TSSK');
BC_Activate;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.

Скачайте программу [URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url].

Прошу прощения за долгий ответ. Только получил доступ к телу. Вообщем не помогло(
Присылаю полный образ автозапуска

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url][code];uVS v3.86.5 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v385c
del %SystemDrive%\DOCUMENTS AND SETTINGS\ALL USERS\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\УТИЛИТЫ\AVZ\UTILITES\RSIT.LNK
del %SystemDrive%\DOCUMENTS AND SETTINGS\AABDULAEVA\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\DESKTOPMANIA\DESKTOP MANIA.LNK
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DJEDELKHANEFMCNPAPPFHACHBPNLHOMAI%26INSTALLSOURCE%3DONDEMAND%26UC
delall %SystemDrive%\PROGRAM FILES\COMMON FILES\TENCENT\QQDOWNLOAD\130\TENCENTDL.EXE
deldir %SystemDrive%\PROGRAM FILES\COMMON FILES\TENCENT
delref E:\INSTALL\AIDS\SPYBOTPORTABLE\APP\SPYBOT\SDCLEANER.EXE
delref %SystemDrive%\PROGRAM FILES\AVZ4\UTILITES\RSIT.EXE
deltmp
restart[/code]Компьютер перезагрузится.

Удалите все установленные версии Java, они устаревшие и со множеством критических уязвимостей.
Установите [URL="http://www.java.com/ru/download/manual.jsp"]Java 8 Update 65[/URL].

Не помогло. Так же выскакивает. Приложил скрины.
Суть такова Spoolsv ( на данном скрине ID 1340) запускает Svchost (процесс 2112), который в свою очередь запускает процесс 3576). Вот этот процесс и выводит баннеры через ieframe.dll.
AnVir - процессы (вид от AnVirTask Manager)
PE - тоже самое только от ProcessExplorer.

Постарайтесь логи предоставлять не через неделю, во время такой паузы можно ещё много чего подцепить.

Сделайте новый полный образ автозапуска uVS, если не влезет во вложения - загрузите на rghost.ru и дайте ссылку в теме.

Полный бэкап
[url]http://rghost.ru/6KyHVbRGs[/url]
Пока сканировалось - позакрывались баннеры оба процесс Svchost тоже)

Да, тут интереснее, чем казалось с первого взгляда...

[URL="http://virusinfo.info/showthread.php?t=40118"]Сделайте лог Gmer[/URL].

Лог - [url]http://rghost.ru/8KnFc6hl5[/url]

Скачайте и запустите TDSSKiller: [url]http://support.kaspersky.ru/viruses/disinfection/5350[/url].
Файл C:\TDSSKiller.***_log.txt приложите в теме.
(где *** - версия программы, дата и время запуска).

Лог TDSSKiller

[url=http://virusinfo.info/showthread.php?t=121985]Сделайте образ автозапуска uVS с Live CD[/url], только образ диска скачайте отсюда: [URL="https://www.wuala.com/al_1963/avirus/Live.CD/Winpe_uVS"]WINPE51_UVS3.86.ISO[/URL].

[url]http://rghost.ru/6QZqTWKrk[/url] Лог

Буткит. Надеюсь, Вы заинтересованы в том, чтобы утилиты и антивирус от Касперского в дальнейшем его обезвреживали? Если нет - переходите к п. 2.

1. Запустите tdsskiller.exe с командной строкой [B]-qmbr[/B] (сканирование можно не начинать). Содержимое папки c:\TDSSKiller_Quarantine упакуйте с паролем [B]virus[/B] и отправьте по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
Создайте запрос в [URL="https://my.kaspersky.com"]ТП ЛК[/URL], объясните ситуацию и загрузите карантин TDSSKiller на провеhre/

2. Запустите tdsskiller.exe с командной строкой [B]-fixmbr \Device\Harddisk0\DR0[/B]. После завершения операции утилита предложит перезагрузиться, после перезагрузки сделайте новый лог TDSSKiller.

В лабораторию Касперского отправлю конечно)

[url]http://rghost.ru/6YBHrKskb[/url] Вот лог после лечения

Чисто.
Сюда ещё загрузите карантин, пожалуйста.

Проблема решена?

Пока баннеры не появлялись. Но и раньше было что они на сутки-два затихают.

[ATTENTION]Уберите ссылку на вирус[/ATTENTION]
Карантин загружается по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме в формате .zip с паролем virus - писал ведь выше...

Прошу извинить. Исправил ошибку. Карантин загружен.

Всё тогда на этом.

Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]