AVG связывает появление фалов в папках типа C:\Windows\TEMP\extns_104093 с процессом svchost

Printable View

15.06.2016, 09:30
StanislavKR

Вложений: 2

AVG связывает появление фалов в папках типа C:\Windows\TEMP\extns_104093 с процессом svchost

В папке C:\Windows\TEMP каждый раз после запуска компьютера появляются папки типа
extns_104093
extns_105859
extns_108890
в которых, якобы содержатся файлы расширений браузеров
AVG удаляет оттуда dll-файлы с оповещением об угрозе Generic7.Amon и связывает с процессом C:\WINDOWS\SysWOW64\svchost.exe

Система Windows XP x64
15.06.2016, 09:31
Info_bot

Уважаемый(ая) [B]StanislavKR[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
15.06.2016, 10:20
mrak74

Здравствуйте !!!

[URL="http://virusinfo.info/showthread.php?t=130828"]отключите антивирусную программу [/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"][B]Выполните скрипт в AVZ[/B]:[/URL](в Windows Vista/7/8/10 программу необходимо запускать через правую кнопку мыши Запуск от имени администратора)):
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\program files (x86)\uncheckit\uncheckitsvc.exe');
TerminateProcessByName('c:\program files (x86)\uncheckit\uncheckitbsn.exe');
TerminateProcessByName('c:\program files (x86)\elex-tech\yac\isafesvc2.exe');
TerminateProcessByName('c:\program files (x86)\elex-tech\yac\isafesvc.exe');
TerminateProcessByName('c:\program files (x86)\uncheckit\cktsvc.exe');
TerminateProcessByName('c:\program files (x86)\elex-tech\yac\isafetray.exe');
TerminateProcessByName('c:\program files (x86)\tdata\tdata.exe');
TerminateProcessByName('c:\programdata\guntony\protect\protect.exe');
SetServiceStart('iSafeKrnlR3', 4);
SetServiceStart('iSafeKrnlMon', 4);
SetServiceStart('iSafeKrnlKit', 4);
SetServiceStart('iSafeKrnl', 4);
StopService('iSafeKrnlR3');
StopService('iSafeKrnlMon');
StopService('iSafeKrnlKit');
StopService('iSafeKrnl');
StopService('UncheckitSvc');
StopService('TDataSvr');
StopService('Guntony_protect');
StopService('cktSvc');
QuarantineFile('C:\Program Files (x86)\Uncheckit\UncheckitUpdate.exe','');
QuarantineFile('C:\Program Files (x86)\Guntony\Guntony\chrome.exe','');
QuarantineFile('C:\Program Files (x86)\AskPartnerNetwork\Toolbar\Updater\TBNotifier.exe','');
QuarantineFile('C:\Program Files (x86)\Tencent\QQPCMgr\11.5.17490.219\plugins\FileSmash\QMSoftExt.dll','');
QuarantineFile('C:\Program Files (x86)\Tencent\QQPCMgr\11.5.17490.219\QMContextScan.dll','');
QuarantineFile('C:\WINDOWS\system32\drivers\tsskx64.sys','');
QuarantineFile('C:\Program Files (x86)\Tencent\QQPCMgr\11.5.17490.219\TSDefenseBT64.sys','');
QuarantineFile('C:\Program Files (x86)\Tencent\QQPCMgr\11.5.17490.219\TS888x64.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\TFsFltX64.sys','');
QuarantineFile('C:\WINDOWS\system32\Drivers\TAOAccelerator.sys','');
QuarantineFile('C:\Program Files (x86)\Tencent\QQPCMgr\11.5.17490.219\softaal64.sys','');
QuarantineFile('C:\Program Files (x86)\Tencent\QQPCMgr\11.5.17490.219\QQSysMonX64.sys','');
QuarantineFile('C:\Program Files (x86)\Tencent\QQPCMgr\11.5.17490.219\QMUdisk64.sys','');
QuarantineFile('C:\Program Files (x86)\Elex-tech\YAC\iSafeKrnlR3.sys','');
QuarantineFile('C:\Program Files (x86)\Elex-tech\YAC\iSafeKrnlMon.sys','');
QuarantineFile('C:\Program Files (x86)\Elex-tech\YAC\iSafeKrnlKit.sys','');
QuarantineFile('C:\Program Files (x86)\Elex-tech\YAC\iSafeKrnl.sys','');
QuarantineFile('C:\Program Files (x86)\qksee\qkseeSvc.exe','');
QuarantineFile('C:\Program Files (x86)\Mputyqasied\MputyqasiedHostservice.exe','');
QuarantineFile('C:\Program Files (x86)\Guntony\Guntony\bin\Guntony_server.exe','');
QuarantineFile('C:\Documents and Settings\All Users\Application Data\ANDREA VACONDIO\PDFsam Manager\PDFsam Enhanced\PDFsam Manager.exe','');
QuarantineFile('C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\~WY7A.tmp','');
QuarantineFile('c:\program files (x86)\uncheckit\uncheckitsvc.exe','');
QuarantineFile('c:\program files (x86)\uncheckit\uncheckitbsn.exe','');
QuarantineFile('c:\program files (x86)\elex-tech\yac\isafesvc2.exe','');
QuarantineFile('c:\program files (x86)\elex-tech\yac\isafesvc.exe','');
QuarantineFile('c:\program files (x86)\uncheckit\cktsvc.exe','');
QuarantineFile('c:\program files (x86)\elex-tech\yac\isafetray.exe','');
QuarantineFile('c:\program files (x86)\tdata\tdata.exe','');
QuarantineFile('c:\programdata\guntony\protect\protect.exe','');
DeleteFile('C:\Documents and Settings\Administrator\Application Data\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk');
DeleteFile('c:\program files (x86)\elex-tech\yac\isafetray.exe','32');
DeleteFile('c:\program files (x86)\elex-tech\yac\isafesvc.exe','32');
DeleteFile('c:\program files (x86)\elex-tech\yac\isafesvc2.exe','32');
DeleteFile('c:\program files (x86)\uncheckit\uncheckitbsn.exe','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\curlpp.dll','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iCommon.dll','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iCommu.dll','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iImportLib.dll','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\ipcproxy.dll','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iSafeAdless.dll','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iSafeBase.dll','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iSafebs.dll','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iSafeDisp.dll','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iSafeKrnlCall.dll','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iSafeKrnlMonCall.dll','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\isafemc.dll','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iSafenpf.dll','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\isafepxy.dll','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\isafeupbiz.dll','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\isaferpt.dll','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iSvc.dll','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iSvc2.dll','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iTPAutoClean.dll','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iTPDesk.dll','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iTPNodisturb.dll','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iTPMsgCenter.dll','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iTPPush.dll','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iTPProtect.dll','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iTPVirus.dll','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\libcurl.dll','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\LIBEAY32.dll','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\ouilibx.dll','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\libpng.dll','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\sqlite3.dll','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\SSLEAY32.dll','32');
DeleteFile('C:\Program Files (x86)\Uncheckit\cktSvc.exe','32');
DeleteFile('C:\ProgramData\Guntony\protect\protect.exe','32');
DeleteFile('C:\Program Files (x86)\TData\TData.exe','32');
DeleteFile('C:\Program Files (x86)\Uncheckit\UncheckitSvc.exe','32');
DeleteFile('C:\Program Files (x86)\Guntony\Guntony\bin\Guntony_server.exe','32');
DeleteFile('C:\Program Files (x86)\Mputyqasied\MputyqasiedHostservice.exe','32');
DeleteFile('C:\Program Files (x86)\qksee\qkseeSvc.exe','32');
DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\11.5.17490.219\QQPCRTP.exe','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iSafeKrnlKit.sys','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iSafeKrnlMon.sys','32');
DeleteFile('C:\Program Files (x86)\Elex-tech\YAC\iSafeKrnlR3.sys','32');
DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\11.5.17490.219\QMUdisk64.sys','32');
DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\11.5.17490.219\QQSysMonX64.sys','32');
DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\11.5.17490.219\softaal64.sys','32');
DeleteFile('C:\WINDOWS\system32\Drivers\TAOAccelerator.sys','32');
DeleteFile('C:\WINDOWS\system32\Drivers\TFsFltX64.sys','32');
DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\11.5.17490.219\TS888x64.sys','32');
DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\11.5.17490.219\TSDefenseBT64.sys','32');
DeleteFile('C:\WINDOWS\system32\drivers\tsskx64.sys','32');
DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\11.5.17490.219\QMContextScan.dll','32');
DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\11.5.17490.219\plugins\FileSmash\QMSoftExt.dll','32');
DeleteFile('C:\Program Files (x86)\AskPartnerNetwork\Toolbar\Updater\TBNotifier.exe','32');
DeleteFile('C:\Program Files (x86)\Guntony\Guntony\chrome.exe','32');
DeleteFile('C:\WINDOWS\Tasks\GuntonyBrowserUpdateCore.job','32');
DeleteFile('C:\WINDOWS\Tasks\GuntonyBrowserUpdateUA.job','32');
DeleteFile('C:\WINDOWS\Tasks\GuntonyCheckTask.job','32');
DeleteFile('C:\WINDOWS\Tasks\UncheckitTaskMN.job','32');
DeleteFile('C:\Program Files (x86)\Uncheckit\UncheckitUpdate.exe','32');
DeleteFile('C:\WINDOWS\Tasks\UncheckitUpdateTaskC.job','32');
DeleteFile('C:\WINDOWS\Tasks\UncheckitUpdateTaskDB.job','32');
DelCLSID('{754DF2CE-51E8-4895-B53C-6381418B84AE}');
DelCLSID('{63332668-8CE1-445D-A5EE-25929176714E}');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved','{63332668-8CE1-445D-A5EE-25929176714E}');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved','{754DF2CE-51E8-4895-B53C-6381418B84AE}');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ApnTBMon','command');
DeleteService('TSSKX64');
DeleteService('TSDefenseBt');
DeleteService('TS888x64');
DeleteService('TFsFlt');
DeleteService('TAOAccelerator');
DeleteService('softaal');
DeleteService('QQSysMonX64');
DeleteService('QMUdisk');
DeleteService('iSafeKrnlR3');
DeleteService('iSafeKrnlMon');
DeleteService('iSafeKrnlKit');
DeleteService('iSafeKrnl');
DeleteService('QQPCRTP');
DeleteService('qkseeService');
DeleteService('MputyqasiedHostservice');
DeleteService('Guntony_update');
DeleteService('UncheckitSvc');
DeleteService('TDataSvr');
DeleteService('Guntony_protect');
DeleteService('cktSvc');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

После перезагрузки выполните скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Загрузите quarantine.zip из папки AVZ по красной ссылке [B]вверху[/B] темы [COLOR="Red"]Прислать запрошенный карантин[/COLOR]
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )
15.06.2016, 10:50
StanislavKR

Вложений: 2

Всё равно появилась папка C:\WINDOWS\Temp\extns_100218\ с файлами npsafe_surfing.dll
15.06.2016, 11:03
mrak74

[URL="http://virusinfo.info/showthread.php?t=7239"][B]Выполните скрипт в AVZ[/B]:[/URL](в Windows Vista/7/8/10 программу необходимо запускать через правую кнопку мыши Запуск от имени администратора)):
[CODE]begin
DeleteFile('C:\WINDOWS\system32\drivers\iSafeNetFilter.sys','32');
ExecuteWizard('SCU',2,2,true);
RebootWindows(true);
end.[/CODE]

+
[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven/10[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].
15.06.2016, 12:22
StanislavKR

Вложений: 1

после скрипта AVZ: файл iSafeNetFilter.sys исчез
Винда выдала ошибку spooler
После перезагрузки снова объявились npsafe_surfing.dll

Лог adwcleaner во вложении
15.06.2016, 12:39
mrak74

[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.
15.06.2016, 13:14
StanislavKR

Вложений: 3

[LIST=1][*]Запустил удаление. Удаление прошло, но при этом выдало сообщение о недостаче msimg32.dll Перегрузился[*]Запустил сканирование и удаление ещё раз. Три элемента. Но снова отсутствие msimg32.dll[*]Сканирую ещё раз, осталось всё равно 2 ключа реестра. AdwCleaner[S4].txt[/LIST]
15.06.2016, 14:48
mrak74

Хорошо.

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.
[list][*][b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.[/list]

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.
2. Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]List BCD[/i], [i]Driver MD5[/i] и [i]90 Days Files[/i].
[img]http://i.imgur.com/3munStB.png[/img]
3. Нажмите кнопку [b]Scan[/b].
4. После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет ([b]Addition.txt[/b]).
6. Полученные в пп. 4 и 5 логи заархивируйте (в [b]один архив[/b]) и прикрепите к сообщению.
15.06.2016, 15:44
StanislavKR

Вложений: 1

Просканировал
15.06.2016, 16:24
mrak74

[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

[CODE]CreateRestorePoint:
CloseProcesses:
HKLM-x32\...\Winlogon: [Userinit] userinit [X]
HKLM\...\Command Processor: <======= ATTENTION
HKLM-x32\...\Command Processor: <======= ATTENTION
HKU\S-1-5-21-1889942147-2969309655-2030085868-500\...\Policies\Explorer: []
HKU\S-1-5-21-1889942147-2969309655-2030085868-500\...\MountPoints2: G - G:\Setup.exe
HKU\S-1-5-21-1889942147-2969309655-2030085868-500\...\MountPoints2: {725919ce-127e-11e6-bea1-a0f3c10d82cb} - F:\Lenovo_Suite.exe
HKU\S-1-5-21-1889942147-2969309655-2030085868-500\...\MountPoints2: {f313df4c-db84-11e5-9e0c-a0f3c10d82cb} - H:\Lenovo_Suite.exe
GroupPolicyScripts: Restriction <======= ATTENTION
FF NewTab: hxxp://www.nicesearches.com?type=hp&ts=1463484374&from=87640516&uid=st3500413as_6vmt5ejcxxxx6vmt5ejc&z=4c8b2161bdc22b044908b9cg4z7qfc3z0b1zacfm0m
CHR StartupUrls: ChromeDefaultData -> "hxxp://www.hohosearch.com/?mode=loadm&ptid=qca&uid=42BE64E542215FA02B9FFAFFDF9AC63B&v=20160506&ts=AHEqAXIlC3YtBU.."
CHR DefaultSearchURL: ChromeDefaultData -> hxxp://www.nicesearches.com/search.php?type=ds&ts=1463484374&from=87640516&uid=st3500413as_6vmt5ejcxxxx6vmt5ejc&z=4c8b2161bdc22b044908b9cg4z7qfc3z0b1zacfm0m&q={searchTerms}
CHR DefaultSearchKeyword: ChromeDefaultData -> nice
CHR Extension: (Ultimate Discounter) - C:\Documents and Settings\Administrator\Local Settings\Application Data\Google\Chrome\User Data\Profile 1\Extensions\ckcmdpmhiekiihmfjffdehhbhgllpapg [2016-05-06]
2016-05-17 14:21 - 2016-05-17 14:21 - 00000000 ____D C:\Documents and Settings\Default User\Application Data\Elex-tech
2016-05-13 13:07 - 2016-05-13 13:07 - 00000000 ____D C:\Documents and Settings\Administrator\Application Data\Elex-tech
2016-05-13 13:06 - 2016-05-13 13:06 - 00000000 ____D C:\Documents and Settings\Default User\Application Data\Uncheckit
2016-05-13 13:06 - 2016-05-13 13:06 - 00000000 ____D C:\Documents and Settings\Administrator\Application Data\Uncheckit
2016-05-13 13:05 - 2016-05-13 13:06 - 00000000 ____D C:\Documents and Settings\All Users\Application Data\uckt
2016-05-06 10:25 - 2016-05-06 10:24 - 00126008 _____ (Tencent) C:\WINDOWS\system32\Drivers\TAOAccelerator.sys
2016-05-06 10:24 - 2016-05-06 10:24 - 00099480 _____ (Tencent) C:\WINDOWS\system32\Drivers\TAOAccelerator64.sys
2016-05-06 10:24 - 2016-05-06 10:24 - 00097400 _____ (电脑管家) C:\WINDOWS\system32\Drivers\TFsFltX64.sys
2016-05-06 10:24 - 2016-05-06 10:24 - 00000000 _____ C:\Documents and Settings\Administrator\Desktop\$电脑管家-清理垃圾$.qmgc
2016-05-06 10:24 - 2016-03-16 13:57 - 00054904 _____ (电脑管家) C:\WINDOWS\system32\Drivers\TSSKX64.sys
2016-05-06 10:23 - 2016-05-26 14:49 - 00000000 ____D C:\Documents and Settings\Administrator\Application Data\Tencent
AlternateDataStreams: C:\Documents and Settings\All Users\Application Data\TEMP:58D8F144 [123]
EmptyTemp:
Reboot:[/CODE][*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]
15.06.2016, 16:53
StanislavKR

Вложений: 1

Не помогло.

Единственное, что уточню - файл ""C:\Documents and Settings\Administrator\Desktop\$????-????$.qmgc" => not found." удалил вручную.
15.06.2016, 17:01
mrak74

[quote="StanislavKR;1386837"]Не помогло.[/quote]
Подробности проблемы опишите. Если про
[QUOTE]Запустил сканирование и удаление ещё раз. Три элемента. Но снова отсутствие msimg32.dll[/QUOTE], то его необходимо восстанавливать из дистрибутива, скриптами лечения этот файл мы не затрагивали.
16.06.2016, 08:31
StanislavKR

1. При запуске компьютера что-то создаёт папку C:\Windows\TEMP\extns_* (вместо * - разные цифры, например, сегодня 105140)
AVG моментально реагирует на это предупреждая о наличии в папке файлов npsafe_surfing.dll, содержащих рекламное ПО Generic7.Amon
C:\WINDOWS\Temp\extns_105140\extensions\opera\plugin\npsafe_surfing.dll
C:\WINDOWS\Temp\extns_105140\extensions\firefox\{3B4DE07A-DE43-4DBC-873F-05835FF67DCE}\plugins\npsafe_surfing.dll
C:\WINDOWS\Temp\extns_105140\extensions\chrome_npapi\14.18_0\npapi\npsafe_surfing.dll
AVG в подробном отчёте связывает появление этих файлов с процессом C:\WINDOWS\SysWOW64\svchost

2. AdwCleaner каждый раз при сканировании находит только два ключа реестра
Key Found : [x64] HKLM\SOFTWARE\{A16B1AF7-982D-40C3-B5C1-633E1A6A6678}
Key Found : [x64] HKLM\SOFTWARE\Microsoft\Shared Tools\MsConfig\StartupReg\ApnTBMon
После удаления и перезагрузки эти ключи они снова на месте.
Для их удаления AdwCleaner уже не требует msimg32.dll
Поэтому тут, я так понимаю, проблема не в msimg32.dll, а в этих двух ключах
16.06.2016, 09:52
mrak74

Сделайте лог полного сканирования [URL="http://virusinfo.info/showthread.php?t=53070&p=457118#post457118"][B]MBAM[/B][/URL]
16.06.2016, 12:46
StanislavKR

Вложений: 1

[QUOTE]3. Запустите полное сканирование = отметьте ВСЕ подключённые к ПК жесткие диски и флешки. По вышеуказанной причине - ничего не удаляйте, не посоветовавшись с хелперами.[/QUOTE]
Отметить в MBAM диски возможно только когда выбираешь "выборочную" проверку, а не "полную".
Во вложении - лог Полной проверки.
16.06.2016, 13:14
mrak74

Прикрепите в текстовом виде, лог. Что то пошло не так с Вашей архивацией, не распаковывается.
16.06.2016, 13:53
StanislavKR

Вложений: 1

[QUOTE=mrak74;1386946]Прикрепите в текстовом виде, лог. Что то пошло не так с Вашей архивацией, не распаковывается.[/QUOTE]
В текстовом больше 700Кб, Форум отказывается принимать.
Прикрепил в ZIP-архиве
16.06.2016, 14:05
mrak74

Удалите всё найденное в MBAM. Отпишитесь после "чистки", что с проблемой ...
16.06.2016, 16:28
StanislavKR

Запустил "чистку".
После перезапуска снова выскочили файлы в "C:\Windows\TEMP\extns_*", т.е. изначальная проблема осталась.
На всякий случай запустил MBAM - показал 0 угроз.

П.С. В AdwCleaner, кстати, из двух ключей реестра остался один
Key Found : [x64] HKLM\SOFTWARE\Microsoft\Shared Tools\MsConfig\StartupReg\ApnTBMon
16.06.2016, 16:44
mrak74

[URL="http://virusinfo.info/showthread.php?t=121767"][B]Сделайте полный образ автозапуска uVS[/B][/URL]
Если образ не поместится на форуме, залейте его на файлообменник, например [url]http://rgho.st/[/url], ссылку с результатом загрузки опубликуйте в следующем сообщении.
17.06.2016, 08:06
mrak74

Жду образ автозапуска uVS.
17.06.2016, 08:21
StanislavKR

Вложений: 1

Лог.
17.06.2016, 09:03
mrak74

Выполните скрипт в uVS [URL="http://virusinfo.info/showthread.php?t=121769"]Как выполнить скрипт в uVS[/URL]
[CODE];uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv5.2
v385c
OFFSGNSAVE
delref %SystemDrive%\PROGRAM FILES (X86)\TENCENT\QQPCMGR\11.5.17490.219\TSWEBMON64.DAT
delref %SystemDrive%\PROGRAM FILES (X86)\TENCENT\QQPCMGR\11.5.17490.219\PLUGINS\FILESMASH\QMSOFTEXT64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\TENCENT\QQPCMGR\11.5.17490.219\QMGCSHELLEXT64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\TENCENT\QQPCMGR\11.5.17490.219\QMCONTEXTUNINSTALL64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\TENCENT\QQPCMGR\11.5.17490.219\QMCONTEXTSCAN64.DLL
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DAAAADBHONIFKCHEEDDLLHMPAPNHCPGIA%26INSTALLSOURCE%3DONDEMAND%26UC
delref %SystemDrive%\PROGRAM FILES (X86)\IOBIT\LIVEUPDATE\LIVEUPDATE.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\UNCHECKY\BIN\UNCHECKY_SVC.EXE
restart[/CODE]

Что за операционная система у Вас стоит, вплоть до SP ?
17.06.2016, 09:36
StanislavKR

Вложений: 1

Скрипт выполнил.
Компьютер перезапустился.
Проблема изначальная осталась.

WindowsXP Professional x64 Edition Версия 2003 Service Pack 2
17.06.2016, 10:11
mrak74

Обновиться до Service Pack 3 можете ?
17.06.2016, 10:34
StanislavKR

Будем смотреть. Комп не мой, поэтому эти вопросы буду уточнять.
За помощь спасибо!
17.06.2016, 10:50
mrak74

Не за что. Лишние следы (остатки в реестре) от вируса мы зачистили. Возможно новое появляется через уязвимости, хотелось бы их устранить. Если проблема возобновится после обновлений, тему продолжим.
17.06.2016, 11:00
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]22[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]