Помогите!!! [not-a-virus:Downloader.NSIS.Agent.afp ]

Printable View

15.06.2016, 10:45
JurokSonic

Вложений: 2

Помогите!!! [not-a-virus:Downloader.NSIS.Agent.afp ]

[COLOR=#333333]Помогите победить extsetup,антивирусная программа видит угрозу,после удаления и проверки системы,опять extsetup подозрителен,судя по всему это не дает стабильную работу расширениям chrome!!!![/COLOR][ATTACH]632323[/ATTACH][ATTACH]632324[/ATTACH]
15.06.2016, 10:47
Info_bot

Уважаемый(ая) [B]JurokSonic[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
15.06.2016, 11:16
mrak74

Здравствуйте !!!

[URL="http://virusinfo.info/showthread.php?t=130828"]отключите антивирусную программу [/URL]

[URL="http://virusinfo.info/showthread.php?t=7239"][B]Выполните скрипт в AVZ[/B]:[/URL](в Windows Vista/7/8/10 программу необходимо запускать через правую кнопку мыши Запуск от имени администратора)):
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\users\Юрчище!!\appdata\roaming\utorrent\updates\updates\3.4.7_42330\utorrentie.exe');
TerminateProcessByName('c:\users\Юрчище!!\appdata\roaming\utorrent\updates\3.4.7_42330.exe');
QuarantineFile('C:\ProgramData\VideoFetcher\VideoFetcher.exe','');
QuarantineFile('C:\ProgramData\Microsoft\Adobe\Flash Player\078B4A57-FB31-4399-ADE1-F9D5FC4ACCA7\6CCFCA79-C947-4407-9522-236C74D14EAC.exe','');
QuarantineFile('C:\Users\Юрчище!!\AppData\Roaming\SyManager\launcher.exe','');
QuarantineFile('C:\Users\Юрчище!!\AppData\Local\Microsoft\Extensions\extsetup.exe','');
QuarantineFile('c:\users\Юрчище!!\appdata\roaming\utorrent\updates\updates\3.4.7_42330\utorrentie.exe','');
QuarantineFile('c:\users\Юрчище!!\appdata\roaming\utorrent\updates\3.4.7_42330.exe','');
DeleteFile('c:\users\Юрчище!!\appdata\roaming\utorrent\updates\updates\3.4.7_42330\utorrentie.exe','32');
DeleteFile('C:\Users\Юрчище!!\AppData\Roaming\uTorrent\updates\3.4.7_42330.exe','32');
DeleteFile('C:\Users\Юрчище!!\AppData\Local\Microsoft\Extensions\extsetup.exe','32');
DeleteFile('C:\ProgramData\VideoFetcher\VideoFetcher.exe','32');
DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\Media Center\VideoFetcher','64');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','uTorrent');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','extsetup');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('TSW',2,2,true);
ExecuteWizard('SCU',2,2,true);
RebootWindows(true);
end.[/CODE]

После перезагрузки выполните скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Загрузите quarantine.zip из папки AVZ по красной ссылке [B]вверху[/B] темы [COLOR="Red"]Прислать запрошенный карантин[/COLOR]
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )
15.06.2016, 12:05
JurokSonic

После перезагрузки выполните скрипт:
Код:
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Пишет скрипт выполнен без ошибок!!
15.06.2016, 12:40
mrak74

[quote="mrak74;1386771"]Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы Прислать запрошенный карантин
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )[/quote].
Новые логи + пришлите карантин.
15.06.2016, 13:29
JurokSonic

[QUOTE=mrak74;1386787].
Новые логи + пришлите карантин.[/QUOTE]

я не могу логи прикрепить к сообщению!!!
15.06.2016, 14:44
mrak74

[URL="http://virusinfo.info/showthread.php?t=121951"][B]Как оформить заявку в разделе "Помогите!"[/B][/URL] - описание здесь.

[quote="JurokSonic;1386795"]я не могу логи прикрепить к сообщению!!![/quote]
Первый раз же Вам удалось это сделать ...
15.06.2016, 15:33
JurokSonic

[QUOTE=mrak74;1386801][URL="http://virusinfo.info/showthread.php?t=121951"][B]Как оформить заявку в разделе "Помогите!"[/B][/URL] - описание здесь.

Первый раз же Вам удалось это сделать ...[/QUOTE]

мне опять новую тему создавать?У меня не тут кнопки вложения,а при создания темы была!!!
15.06.2016, 15:38
mrak74

[quote="JurokSonic;1386819"]мне опять новую тему создавать?У меня не тут кнопки вложения,а при создания темы была!!![/quote]
Новых тем не надо. Есть пункт меню "Расширенный режим" ?, если есть зайдите в него, надеюсь там найдете кнопку "вложение".
15.06.2016, 17:04
JurokSonic

Вложений: 2

вот

[QUOTE=mrak74;1386787].
Новые логи + пришлите карантин.[/QUOTE]
[ATTACH]632369[/ATTACH][ATTACH]632370[/ATTACH]
16.06.2016, 09:32
mrak74

[URL="http://virusinfo.info/showthread.php?t=130828"]отключите антивирусную программу [/URL]

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HijackThis:[/URL] (в Windows Vista/7/8/10 программу необходимо запускать через правую кнопку мыши Запуск от имени администратора)):
[CODE]O4 - HKLM\..\Policies\Explorer\Run: [SafeBrowser] "C:\Users\Юрчище!!\AppData\Local\Microsoft\Extensions\extsetup.exe" /S --safebrowser[/CODE]
[URL="http://virusinfo.info/showthread.php?t=7239"][B]Выполните скрипт в AVZ[/B]:[/URL](в Windows Vista/7/8/10 программу необходимо запускать через правую кнопку мыши Запуск от имени администратора)):
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\ProgramData\Microsoft\Adobe\Flash Player\078B4A57-FB31-4399-ADE1-F9D5FC4ACCA7\6CCFCA79-C947-4407-9522-236C74D14EAC.exe','');
QuarantineFile('C:\Users\Юрчище!!\AppData\Local\Microsoft\Extensions\extsetup.exe','');
DeleteFile('C:\Windows\system32\Tasks\Microsoft\extsetup','64');
DeleteFile('C:\Windows\system32\Tasks\Microsoft\SafeBrowser','64');
DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\A078B4A57-FB31-4399-ADE1-F9D5FC4ACCA7','64');
DeleteFile('C:\ProgramData\Microsoft\Adobe\Flash Player\078B4A57-FB31-4399-ADE1-F9D5FC4ACCA7\6CCFCA79-C947-4407-9522-236C74D14EAC.exe','32');
DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\extsetup','64');
DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\SafeBrowser','64');
DeleteFile('C:\Users\Юрчище!!\appdata\local\microsoft\extensions\extsetup.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','SafeBrowser');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

+
[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven/10[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].
16.06.2016, 09:59
JurokSonic

O4 - HKLM\..\Policies\Explorer\Run: [SafeBrowser] "C:\Users\Юрчище!!\AppData\Local\Microsoft\Extensions\extsetup.exe
нет такой строки!!!
16.06.2016, 10:35
mrak74

[QUOTE=JurokSonic;1386927]O4 - HKLM\..\Policies\Explorer\Run: [SafeBrowser] "C:\Users\Юрчище!!\AppData\Local\Microsoft\Extensions\extsetup.exe
нет такой строки!!![/QUOTE]
Хорошо. Ждем лог AdwCleaner.
16.06.2016, 12:26
JurokSonic

Вложений: 1

[QUOTE=mrak74;1386931]Хорошо. Ждем лог AdwCleaner.[/QUOTE][ATTACH=CONFIG]632427[/ATTACH]
16.06.2016, 13:17
mrak74

[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё. Отчет после удаления прикрепите.

+
Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что под окном [b]Optional Scan[/b] отмечены [i]"List BCD"[/i], [i]"Driver MD5"[/i] и [i]"90 Days Files"[/i].[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]http://i.imgur.com/3munStB.png[/img]
16.06.2016, 13:39
JurokSonic

Вложений: 3

[QUOTE=mrak74;1386948][url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё. Отчет после удаления прикрепите.

+
Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что под окном [b]Optional Scan[/b] отмечены [i]"List BCD"[/i], [i]"Driver MD5"[/i] и [i]"90 Days Files"[/i].[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]http://i.imgur.com/3munStB.png[/img][/QUOTE]
[ATTACH=CONFIG]632439[/ATTACH][ATTACH=CONFIG]632440[/ATTACH][ATTACH=CONFIG]632441[/ATTACH]
16.06.2016, 14:01
mrak74

[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

[CODE]CreateRestorePoint:
CloseProcesses:
HKLM\...\Policies\Explorer: [NoInternetOpenWith] 1
HKU\S-1-5-21-439877409-2100601352-4137299466-1000\...\Policies\Explorer: [NoResolveSearch] 1
HKU\S-1-5-21-439877409-2100601352-4137299466-1000\...\Policies\Explorer: [LinkResolveIgnoreLinkInfo] 1
HKU\S-1-5-21-439877409-2100601352-4137299466-1000\...\Policies\Explorer: [NoLowDiskSpaceChecks] 1
CHR HomePage: Default -> hxxp://%66%65%65%64.%73%6E%61%70%64%6F.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBUTxkij9_B3MFFm7cT1rWoLzQqN1c98AQBZMu3QvSvTGddv2Sqa5p2ATsqMk2-o_xdAixMfygIJnfOWUvXT6QZJ5IjfjxbidmSl09PSQWfdoYFw1vB5m-i142M_8PJ6mrh_VLJG9XfA2pWL7NV0h3bbDQYw7Z-c7QzWRIFyBdMsXSqfpT2KQU,
CHR StartupUrls: Default -> "hxxp://google.ru/","hxxp://mail.ru/cnt/10445?gp=820521","hxxp://www.hohosearch.com/?mode=nnnb&ptid=amz&uid=2984DE13D143CBFEE52CB2C07405AB46&v=20160425&ts=AHEqAHQpBHEnAk..","hxxp://mail.ru/cnt/10445?gp=821622","hxxp://mail.ru/cnt/10445?gp=811009"
CHR Extension: (Dream Afar New Tab) - C:\Users\Юрчище!!\AppData\Local\Google\Chrome\User Data\Default\Extensions\henmfoppjjkcencpbjaigfahdjlgpegn [2016-06-16]
CHR Extension: (电脑管家上网防护) - C:\Users\Юрчище!!\AppData\Local\Google\Chrome\User Data\Default\Extensions\ooebklgpfnbcnpokahmdidgbmlcdepkm [2016-06-16]
OPR Extension: (Smart Browser™) - C:\Users\Юрчище!!\AppData\Roaming\Opera Software\Opera Stable\Extensions\bhmpnibiagopmobamhlgaghkojlcjnfn [2016-05-27]
OPR Extension: (Smart Browser™) - C:\Users\Юрчище!!\AppData\Roaming\Opera Software\Opera Stable\Extensions\mefhakmgclhhfbdadeojlkbllmecialg [2016-05-29]
OPR Extension: (Smart Browser™) - C:\Users\Юрчище!!\AppData\Roaming\Opera Software\Opera Stable\Extensions\ocggccaacacpienfcgmgcihoombokbbj [2016-05-25]
Task: {2E52BFCE-B5FB-4E23-8A89-07AAEC65CC22} - System32\Tasks\Microsoft\Windows\Multimedia\FreeVPN => C:\Users\Юрчище!!\AppData\Roaming\FreeVPN\FreeVPN.exe <==== ATTENTION
Task: {94B8A1A9-A163-41AB-8257-31C8D338BA5F} - \Microsoft\Windows\A078B4A57-FB31-4399-ADE1-F9D5FC4ACCA7 -> No File <==== ATTENTION
Task: {9531D86F-6EED-4C4F-AB5D-A07403FA6D67} - \Microsoft\Windows\Windows Activation Technologies\ValidationTaskDeadline -> No File <==== ATTENTION
Task: {D3544053-471C-4C33-99E1-B76302F97611} - \Microsoft\Windows Defender\MpIdleTask -> No File <==== ATTENTION
Task: {F3543749-02E5-44FA-9F62-EE24283D5DE1} - \Microsoft\Windows Defender\MP Scheduled Scan -> No File <==== ATTENTION
Task: {FDE646FB-DDE9-4D82-B7DA-58F5E94426F2} - \Microsoft\Windows\Windows Activation Technologies\ValidationTask -> No File <==== ATTENTION
EmptyTemp:
Reboot:[/CODE][*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]
16.06.2016, 14:38
JurokSonic

Вложений: 1

Программа создаст лог-файл Fixlog.txt
компьютер не перезагрузился,но файл создался!!!
[ATTACH=CONFIG]632445[/ATTACH]
16.06.2016, 15:03
mrak74

Перезагрузите компьютер. Запустите повторно Farbar Recovery Scan Tool через правую кнопку мыши Запуск от имени администратора, нажмите на кнопку Fix, надеюсь повторно фикс пройдет нормально. Сообщите что и как, если появится новый Fixlog.txt приложите его к теме. Прежний Fixlog.txt можете удалить, он не получился.
16.06.2016, 15:18
JurokSonic

Вложений: 1

Перезагрузите компьютер.
[ATTACH=CONFIG]632449[/ATTACH]
16.06.2016, 15:23
mrak74

Теперь все прошло удачно. Что с проблемой ?
17.06.2016, 03:55
JurokSonic

[QUOTE=mrak74;1386965]Теперь все прошло удачно. Что с проблемой ?[/QUOTE]
антивирус не видит угроз,спасибо!!!только один вопрос(для общей информации),а что это за файл [COLOR=#333333]extsetup?[/COLOR]
17.06.2016, 09:46
mrak74

[quote="JurokSonic;1387036"]),а что это за файл extsetup?[/quote]
Вредоносное ПО, ранее не считавшееся таковым, т.к. его задача была выкачивать из интернета у устанавливать другие программы, которые в свою очередь являются вредоносными, так называемые Adware [url]https://ru.wikipedia.org/wiki/Adware[/url] - реклама в браузерах и приложениях.

[URL="http://virusinfo.info/showthread.php?t=121902"][B]Советы и рекомендации после лечения компьютера[/B][/URL]
17.06.2016, 09:56
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\programdata\microsoft\adobe\flash player\078b4a57-fb31-4399-ade1-f9d5fc4acca7\6ccfca79-c947-4407-9522-236c74d14eac.exe - [B]not-a-virus:Downloader.NSIS.Agent.afp[/B][/LIST][/LIST]