Здравствуйте.
Не переключается язык на клавиатуре.Не выключается компьютер и не перезагружается (при попытке сделать это выскакивает синий экран).Частые разрывы соединения интернет.
Утилитой dr.web cureit нашёл вредоносные файлы,но при их удалении ( и даже удалении из карантина) комп выключается.
При следующей проверке та же история.
Заранее спасибо.
Уважаемый(ая) [B]stepan063[/B], спасибо за обращение на наш форум!
Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
TerminateProcessByName('c:\windows\syswow64\windows services\svchost.exe');
TerminateProcessByName('c:\users\user\appdata\local\temp\stolypin.exe');
TerminateProcessByName('c:\program files (x86)\smtp service\smtpsv.exe');
TerminateProcessByName('c:\windows\smss.exe');
QuarantineFile('C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\8c1ac1cac441720524db3bdc136099c1.exe', '');
QuarantineFile('c:\windows\syswow64\windows services\svchost.exe', '');
QuarantineFile('c:\users\user\appdata\local\temp\stolypin.exe', '');
QuarantineFile('c:\program files (x86)\smtp service\smtpsv.exe', '');
QuarantineFile('c:\windows\smss.exe', '');
QuarantineFileF('c:\windows\syswow64\windows services', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0, 0);
QuarantineFileF('c:\program files (x86)\smtp service', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0, 0);
DeleteFile('c:\windows\smss.exe', '32');
DeleteFile('c:\program files (x86)\smtp service\smtpsv.exe', '32');
DeleteFile('c:\users\user\appdata\local\temp\stolypin.exe', '32');
DeleteFile('c:\windows\syswow64\windows services\svchost.exe', '32');
DeleteFile('C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\8c1ac1cac441720524db3bdc136099c1.exe', '32');
DeleteFileMask('c:\program files (x86)\smtp service', '*', true);
DeleteFileMask('c:\windows\syswow64\windows services', '*', true);
DeleteDirectory('c:\program files (x86)\smtp service');
DeleteDirectory('c:\windows\syswow64\windows services');
ExecuteSysClean;
ExecuteWizard('SCU',2,2,true);
ExecuteRepair(10);
ExecuteRepair(22);
ExecuteRepair(9);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
[B]Обновите базы AVZ[/B] ("Файл" -> "Обновление баз"), выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.
файл карантина отправлен
Выполните скрипт в AVZ:[CODE]begin
QuarantineFile('C:\Windows\system32\Google Updater\updater.exe', '');
QuarantineFileF('C:\Windows\system32\Google Updater', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0, 0);
DeleteFile('C:\Windows\system32\Google Updater\updater.exe', '32');
DeleteFileMask('C:\Windows\system32\Google Updater', '*', true);
DeleteDirectory(C:\Windows\system32\Google Updater'');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'SMTP Service');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Google');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\5cd8f17f4086744065eb0992a09e05a2', 'command');
ExecuteSysClean;
ExecuteRepair(9);
ExecuteWizard('TSW', 2, 2, true);
RebootWindows(true);
end.[/CODE]Компьютер перезагрузится.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочками также "Shortcut.txt".
Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).
При попытке выполнить первый скрипт выскакивает сообщение об ошибке : )expected в позиции 6:19 .
Это происходит вот на этом шаге : DeleteDirectory(C:\Windows\system32\Google Updater'')
Выполняйте:[CODE]begin
QuarantineFile('C:\Windows\system32\Google Updater\updater.exe', '');
QuarantineFileF('C:\Windows\system32\Google Updater', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js', true, '', 0, 0);
DeleteFile('C:\Windows\system32\Google Updater\updater.exe', '32');
DeleteFileMask('C:\Windows\system32\Google Updater', '*', true);
DeleteDirectory('C:\Windows\system32\Google Updater');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'SMTP Service');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Google');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\5cd8f17f4086744065eb0992a09e05a2', 'command');
ExecuteSysClean;
ExecuteRepair(9);
ExecuteWizard('TSW', 2, 2, true);
RebootWindows(true);
end.[/CODE]Отправьте карантин.
И лог FRST далее.
файл карантина отправлен
Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]CloseProcesses:
CreateRestorePoint:
HKLM\...\Winlogon: [Userinit] C:\Windows\system32\userinit.exe,C:\Windows\system32\Google Updater\updater.exe
HKU\S-1-5-21-2953308322-3552214542-3279755546-1001\...\Winlogon: [Shell] explorer.exe,"C:\Windows\SysWOW64\Windows Services\svchost.exe" <==== ATTENTION
IFEO\AvastSvc.exe: [Debugger] nqij.exe
IFEO\AvastUI.exe: [Debugger] nqij.exe
IFEO\avcenter.exe: [Debugger] nqij.exe
IFEO\avconfig.exe: [Debugger] nqij.exe
IFEO\avgcsrvx.exe: [Debugger] nqij.exe
IFEO\avgidsagent.exe: [Debugger] nqij.exe
IFEO\avgnt.exe: [Debugger] nqij.exe
IFEO\avgrsx.exe: [Debugger] nqij.exe
IFEO\avguard.exe: [Debugger] nqij.exe
IFEO\avgui.exe: [Debugger] nqij.exe
IFEO\avgwdsvc.exe: [Debugger] nqij.exe
IFEO\avp.exe: [Debugger] nqij.exe
IFEO\avscan.exe: [Debugger] nqij.exe
IFEO\bdagent.exe: [Debugger] nqij.exe
IFEO\blindman.exe: [Debugger] nqij.exe
IFEO\ccuac.exe: [Debugger] nqij.exe
IFEO\ComboFix.exe: [Debugger] nqij.exe
IFEO\egui.exe: [Debugger] nqij.exe
IFEO\hijackthis.exe: [Debugger] nqij.exe
IFEO\instup.exe: [Debugger] nqij.exe
IFEO\keyscrambler.exe: [Debugger] nqij.exe
IFEO\mbam.exe: [Debugger] nqij.exe
IFEO\mbamgui.exe: [Debugger] nqij.exe
IFEO\mbampt.exe: [Debugger] nqij.exe
IFEO\mbamscheduler.exe: [Debugger] nqij.exe
IFEO\mbamservice.exe: [Debugger] nqij.exe
IFEO\MpCmdRun.exe: [Debugger] nqij.exe
IFEO\MSASCui.exe: [Debugger] nqij.exe
IFEO\MsMpEng.exe: [Debugger] nqij.exe
IFEO\msseces.exe: [Debugger] nqij.exe
IFEO\rstrui.exe: [Debugger] nqij.exe
IFEO\SDFiles.exe: [Debugger] nqij.exe
IFEO\SDMain.exe: [Debugger] nqij.exe
IFEO\SDWinSec.exe: [Debugger] nqij.exe
IFEO\spybotsd.exe: [Debugger] nqij.exe
IFEO\wireshark.exe: [Debugger] nqij.exe
IFEO\zlclient.exe: [Debugger] nqij.exe
HKU\S-1-5-21-2953308322-3552214542-3279755546-1001\Software\Microsoft\Internet Explorer\Main,Secondary Start Pages = hxxp://mail.ru/cnt/10445?gp=newcustom3
SearchScopes: HKU\S-1-5-21-2953308322-3552214542-3279755546-1001 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/search?q={SearchTerms}&fr=ntg&gp=newcustom3
CHR HKLM-x32\...\Chrome\Extension: [lpoimibckejjdjcfbdnajaicnklhfplh] - hxxps://chrome.google.com/webstore/detail/lpoimibckejjdjcfbdnajaicnklhfplh
CHR HKLM-x32\...\Chrome\Extension: [fheoggkfdfchfphceeifdbepaooicaho] - C:\Program Files (x86)\McAfee\SiteAdvisor\McChPlg.crx <not found>
2016-01-13 04:06 - 2016-01-13 04:06 - 00674304 _____ (Microsoft Corp.) C:\Users\User\AppData\Roaming\cc.exe
2016-01-13 03:59 - 2016-01-13 03:59 - 00099328 _____ C:\Windows\Updater.exe
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupfolder\C:^Users^User^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^5cd8f17f4086744065eb0992a09e05a2.exe" /f
EmptyTemp:
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, [U]закройте все браузеры[/U], запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
У Вас там Kaspersky Internet Security 2013 в непонятном состоянии, в списке установленных отсутствует, драйвера и модули загружаются. Лучше удалите [URL="https://support.kaspersky.ru/8741#block0"]так[/URL] или [URL="https://support.kaspersky.ru/common/service.aspx?el=1464"]так[/URL].
Создал лог-файл потом удалил каспера.
Удалите папку C:\FRST со всем содержимым.
Теперь можно и другой антивирус устанавливать, [URL="http://www.kaspersky.ru/free-antivirus"]Kaspersky Free[/URL], например.
Ка ситуация сейчас?
Синий экран пропал.Комп перезагружается и выключается нормально.
Но с клавой проблемы.Наверное это какая-то системная ошибка?
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
И Kaspersky Free не удаётся установить.Запускается установщик потом вылетает и тишина.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
:(:(:(
Запускаю kavremover и он опять обнаруживает Kaspersky Internet Security 2013.
Произвожу удаление,перезагружаюсь, запускаю kavremover опять обнаруживает Kaspersky Internet Security 2013.
[QUOTE=stepan063;1350508]Но с клавой проблемы.Наверное это какая-то системная ошибка?[/QUOTE]
Бывает при удалениии продуктов Касперского. Попробуйте [URL="https://support.kaspersky.ru/general/products/10663"]рекомендации[/URL].
[QUOTE=stepan063;1350508]Синий экран пропал.Комп перезагружается и выключается нормально.
Но с клавой проблемы.Наверное это какая-то системная ошибка?
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
И Kaspersky Free не удаётся установить.Запускается установщик потом вылетает и тишина.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
:(:(:(
Запускаю kavremover и он опять обнаруживает Kaspersky Internet Security 2013.
Произвожу удаление,перезагружаюсь, запускаю kavremover опять обнаруживает Kaspersky Internet Security 2013.[/QUOTE]
Но получается,что KIS 2013 не удалился?
Не полностью, похоже.
Если можете как-то работать на компьютере - Скачайте программу [URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url].
вот образ автозапуска
На месте KIS 2013. Попробуйте kavremover запустить, загрузив систему в безопасном режиме.
В безопасном запустил утилиту и удалил Kaspersky.
Запустил утилиту потом в обычном-опять видит KIS 2013.
Попробуйте такой вариант.
Нажмите Win-R, (или Пуск -> Выполнить), в открывшемся окне вставьте:[CODE]MsiExec.exe /I{560985FB-4B76-4121-9189-7A2CDC7886D6} REMOVE=ALL[/CODE] и нажмите Ok. Должен запуститься штатный процесс деинсталляции KIS 2013.
Кстати, припомните, не пытались его удалить с помощью Revo Uninstaller Pro? Похоже на то...
[QUOTE]Кстати, припомните, не пытались его удалить с помощью Revo Uninstaller Pro? Похоже на то...[/QUOTE]
Да именно так и удалял.
С помощью стандартного процесса деинсталляции KIS 2013 удалился.
Спасибо вам огромное.:drinks:
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Но вот Kaspersky Free не удаётся установить.
[QUOTE=stepan063;1350667]Да именно так и удалял.[/QUOTE]
Нельзя так делать, особенно для антивирусов. Есть штатный способ удаления - через панель управления, всё остальное - от лукавого. Вы просто удалили из реестра запись деинсталлятора.
Дочистим ещё кое-что, а то и свежеустановленный Kaspersky Free не запустится.
[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url][code];uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
delref %SystemDrive%\PROGRAMDATA\CSRSS.EXE
delref NQIJ.EXE
delref %Sys32%\CTFMON.EXE.
deltmp
restart[/code]Компьютер перезагрузится.
В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.
Загрузите SecurityCheck by glax24 [URL="https://yadi.sk/d/5zqrL6Oom7vsg"]отсюда[/URL] и сохраните на Рабочем столе.
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши [B]Запуск от имени администратора[/B] (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например [I]C:\SecurityCheck\SecurityCheck.txt[/I].
Приложите этот файл к своему следующему сообщению.
Отправляю вам файлы
[QUOTE]Microsoft Silverlight v.4.0.50401.0 [color=red][b]Внимание! [url=http://www.microsoft.com/getsilverlight/]Скачать обновления[/url][/b][/color][/QUOTE]
Обновите, или удалите совсем, в Silverlight критические уязвимости найдены.
[QUOTE]Java 7 Update 45 v.7.0.450 [color=red][b]Внимание! [url=http://www.oracle.com/technetwork/java/javase/downloads/1880261]Скачать обновления[/url][/b][/color] [color=red][b]Внимание! Данная версия содержит уязвимость нулевого дня![/b][/color] Рекомендуется деинсталлировать Java версий 6 и 7, скачать и установить [b][url=http://www.oracle.com/technetwork/java/javase/downloads/jre8-downloads-2133155.html]Java 8[/url][/b][/QUOTE]
[QUOTE]Adobe Flash Player 11 ActiveX 64-bit v.11.2.202.222 [color=red][b]Внимание! [url=http://download.macromedia.com/pub/flashplayer/latest/help/install_flash_player_ax.exe]Скачать обновления[/url][/b][/color]
Adobe AIR v.2.6.0.19120 [color=red][b]Внимание! [url=https://get.adobe.com/ru/air/]Скачать обновления[/url][/b][/color]
Adobe Reader X (10.1.0) MUI v.10.1.0 [color=red][b]Внимание! [url=http://get.adobe.com/reader/]Скачать обновления[/url][/b][/color]
[color=blue][b]^Проверьте обновления через меню Справка - Проверить обновления!^[/b][/color][/QUOTE]
Продукты Adobe и Java обязательно нужно иметь актуальных версий.
Ещё в системе аналогично "удалённый" антивирус от McAfee, [URL="https://support.kaspersky.ru/general/uninstall/2237"]удалите вот так[/URL] и пробуйте снова установить Kaspersky Free.
Напишите пожалуйста код на запуск штатного деинсталлятора McAfee.
Мне кажется,что с помощью утилиты McAfee до конца не удаляется,т.к. Kaspersky Free при установке начал признаки жизни подавать,но в процессе установки работа программы прекращается.
Тут уж проще врукопашную дочистить.
Сделайте новый полный образ автозапуска uVS, загрузите на rghost.ru и дайте ссылку в теме.
ссылка на образ автозапуска
[URL="http://rghost.ru/8qGvcWJYj"]http://rghost.ru/8qGvcWJYj[/URL]
Выполните скрипт в uVS:[CODE];uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
delref %SystemDrive%\PROGRAM FILES (X86)\KASPERSKY LAB\KASPERSKY INTERNET SECURITY 2013\X64\IEEXT\ONLINEBANKING\ONLINE_BANKING_BHO.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\KASPERSKY LAB\KASPERSKY INTERNET SECURITY 2013\FFEXT\[email protected]
delref %SystemDrive%\PROGRAM FILES (X86)\KASPERSKY LAB\KASPERSKY INTERNET SECURITY 2013\FFEXT\[email protected]
delref %SystemDrive%\PROGRAM FILES (X86)\COMMON FILES\MCAFEE\SYSTEMCORE
delref %SystemDrive%\PROGRAM FILES (X86)\KASPERSKY LAB\KASPERSKY INTERNET SECURITY 2013\CHROMEEXT\AB.CRX
delref %SystemDrive%\PROGRAM FILES (X86)\KASPERSKY LAB\KASPERSKY INTERNET SECURITY 2013\CHROMEEXT\ONLINE_BANKING_CHROME.CRX
del %SystemDrive%\USERS\USER\DESKTOP\БЕЗОПАСНЫЕ ПЛАТЕЖИ.LNK
delref %SystemDrive%\PROGRAM FILES (X86)\KASPERSKY LAB\KASPERSKY INTERNET SECURITY 2013\STARTER_AVP.EXE
deldir %SystemDrive%\PROGRAM FILES (X86)\COMMON FILES\MCAFEE
deldir %SystemDrive%\PROGRAM FILES (X86)\KASPERSKY LAB
restart[/CODE]
Если не поможет - либо разбираться с ЛК по причинам, либо плюнуть и установить что-то другое.
Выполнил скрипт.Каспера так и не смог установить.
Плюнул...Поставил аваст.
Спасибо вам....:)
Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files (x86)\smtp service\smtpsv.exe - [B]Backdoor.Win32.Androm.izoy[/B][*] c:\users\user\appdata\local\temp\stolypin.exe - [B]HEUR:Trojan.Win32.Generic[/B] ( DrWEB: Trojan.DownLoader17.30177, BitDefender: Gen:Variant.Barys.8949, AVAST4: MSIL:Agent-ANE [Trj] )[*] c:\users\user\appdata\roaming\microsoft\windows\start menu\programs\startup\8c1ac1cac441720524db3bdc136099c1.exe - [B]HEUR:Trojan.Win32.Generic[/B] ( DrWEB: Trojan.DownLoader17.30177, BitDefender: Gen:Variant.Barys.8949, AVAST4: MSIL:Agent-ANE [Trj] )[*] c:\windows\smss.exe - [B]Backdoor.Win32.Jewdo.a[/B] ( BitDefender: Generic.Malware.SFdld!.66F1ABCC, AVAST4: Win32:Trojan-gen )[*] c:\windows\system32\google updater\updater.exe - [B]Backdoor.Win32.DarkKomet.xyk[/B] ( DrWEB: BackDoor.Comet.2020, BitDefender: Backdoor.Fynloski.C, AVAST4: MSIL:GenMalicious-CHX [Trj] )[*] c:\windows\syswow64\windows services\svchost.exe - [B]Trojan.Win32.Reconyc.fcrz[/B][/LIST][/LIST]