Требуется долечивание после китайских вирусов

Пользователь подхватила на ПК китайский вирус (или группу вирусов). Установилось порядка 20 программ (в т.ч. почему-то браузер Амиго) и ряд плагинов к браузеру, возникли новые процессы в диспетчере, заменились стартовые странички (и появились автоматические перебрасывания), возникли куча файлов и папок в системных (в основном китайских или с абракадаброй в названии), стал сильно глючить интернет. В общем весь набор.
Основную массу проблем удалось побороть, пролечив компьютер Avastом и AVZ. Плагины и программы (почти все) удалил потом стандартными способами. В автозагрузке вредоносов отключил. Но Интернет по-прежнему тупит. То выдает ошибки в DNS, то просто не загружает страничку (приходится несколько раз перезагружать, пока загрузит). К тому же Avast выдает то и дело сообщение о заражении (прилагаю).

Собрать информацию по схеме не получилось - в процессе проверки AVZ выбрасывает. Текст ошибки прилагаю. Лог hijackthis.log также.

Прошу помочь.

Уважаемый(ая) [B]Алексей Дёменко[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте,

HiJackThis [URL=http://virusinfo.info/showthread.php?t=4491&p=64376&viewfull=1#post64376]профиксить[/URL]
[CODE]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,SearchAssistant = http://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIP4NYe17aVLWucbjwj6mzzJCvFvjDx7vdelZiTlYHgN7zbyq50WPoBlCzu_wk8m00vo4Obx-SHOufi9l_Z3sCALcKxUCilke9-_JaGwsLaQkviGYYjSknNX3Y1cL49E-ZLp23A8pucBw--C9JV9YUt8reRgoZ4J8rduzQZ0aSFk73EZXrg,,&q={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,Default_Search_URL = http://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIP4NYe17aVLWucbjwj6mzzJCvFvjDx7vdelZiTlYHgN7zbyq50WPoBlCzu_wk8m00vo4Obx-SHOufi9l_Z3sCALcKxUCilke9-_JaGwsLaQkviGYYjSknNX3Y1cL49E-ZLp23A8pucBw--C9JV9YUt8reRgoZ4J8rduzQZ0aSFk73EZXrg,,&q={searchTerms}
O2 - BHO: MRSearchPlugin - {8E8F97CD-60B5-456F-A201-73065652D099} - (no file)
O4 - HKCU\..\Run: [apphide2] C:\Program Files (x86)\badu\uc.exe
O4 - HKCU\..\Run: [osmsg] C:\ProgramData\WindowsMsg\osmsg.exe /AUTORUN
O20 - AppInit_DLLs: C:\ProgramData\Ronzap\Lotflex.dll
O23 - Service: Renew Single Click (dowidoly) - Unknown owner - C:\Program.exe (file missing)
O23 - Service: Fecledylar - Unknown owner - C:\Users\Ксения Косарева\AppData\Roaming\Wawuaguji\Wawuaguji.exe (file missing)
O23 - Service: Page Layout Cyber Cafe (lonofyhezbt) - Unknown owner - C:\Program.exe (file missing)
O23 - Service: Bio Dubkix (iroductuolaounaoadua) - Unknown owner - C:\Users\Ксения Косарева\AppData\Local\Sailfase.exe (file missing)
O23 - Service: Reservation Plastic (rijufoze) - Unknown owner - C:\Program.exe (file missing)
[/CODE]

- Подготовьте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner[/URL] и приложите его в теме.

Выполнил. Прилагаю логи AdwCleaner[S1] и, на всякий случай, hijackthis2.

Забыл еще в прошлый раз указать, что при запуске Хрома выскакивает окно с ошибкой (прилагаю) и в придачу к ранее открытым вкладкам обычно добавляется еще одна - navsmart. info

[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

- Сделайте лог [URL="http://dragokas.com/tools/CheckBrowsersLNK_test.zip"]Check Browsers' LNK by Dragokas & regist[/URL].

- Попробуйте собрать новый лог AVZ в привилегированном режиме (Run as Administrator).

Выполнено. Логи прикрепляю.

Запуск Хрома теперь проходит без ошибки, но Avast продолжает выдавать сообщение о заражении.

AVZ запустился, правда базы обновить не может. Возможно антивирус не дает.

AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
StopService('BaiduService.exe');
StopService('Fecledylar');
StopService('iroductuolaounaoadua');
StopService('MagetytofishclnGhefocktotoge.exe');
StopService('odtclientsrv');
StopService('Saafgh');
DeleteService('BaiduService.exe');
DeleteService('Fecledylar');
DeleteService('iroductuolaounaoadua');
DeleteService('MagetytofishclnGhefocktotoge.exe');
DeleteService('odtclientsrv');
DeleteService('Saafgh');
QuarantineFile('C:\Program Files (x86)\Ghostery Storage Server\ghstore.exe','');
QuarantineFile('C:\Program Files (x86)\Hostify\uninstaller.exe','');
QuarantineFile('C:\Program Files (x86)\mpck\uninstaller.exe','');
QuarantineFile('C:\Program Files (x86)\Odtheratezotain\odtclientsrv.html5 {79740E79-A383-47A7-B513-3DF6563D007F} {8C4CE252-7DB2-4F8E-8E76-BAD0E5826A83}','');
QuarantineFile('C:\Program Files (x86)\Thiphlverther\MagetytofishclnFerkilesawaward.exe','');
QuarantineFile('C:\Program Files (x86)\Thiphlverther\MagetytofishclnGhefocktotoge.exe','');
QuarantineFile('C:\Program Files (x86)\UCBrowser\Application\UUC0789.exe','');
QuarantineFile('C:\Program Files\BitTorrent\BitTorrent.exe','');
QuarantineFile('C:\Program Files\Sound+\uninstaller.exe','');
QuarantineFile('C:\Users\Ксения Косарева\AppData\Local\Baidu\BaiduClient\2.5.0.2084\BaiduService.exe','');
QuarantineFile('C:\Users\Ксения Косарева\AppData\Local\MzIzNTM0Mzc=\s_inst.exe','');
QuarantineFile('C:\Users\Ксения Косарева\AppData\Local\Sailfase.exe','');
QuarantineFile('C:\Users\Ксения Косарева\AppData\Roaming\ProShopper\ProShopper.exe','');
QuarantineFile('C:\Users\Ксения Косарева\AppData\Roaming\TolloKikod\Gylwak.exe','');
QuarantineFile('C:\Users\Ксения Косарева\AppData\Roaming\UrlControl_\url_opener.exe','');
QuarantineFile('C:\Users\Ксения Косарева\AppData\Roaming\Wawuaguji\Wawuaguji.exe','');
QuarantineFile('C:\Windows\SYSTEM32\DNSAPI.dll','');
DeleteFile('C:\Program Files (x86)\Hostify\uninstaller.exe','32');
DeleteFile('C:\Program Files (x86)\Odtheratezotain\odtclientsrv.html5 {79740E79-A383-47A7-B513-3DF6563D007F} {8C4CE252-7DB2-4F8E-8E76-BAD0E5826A83}','32');
DeleteFile('C:\Program Files (x86)\Thiphlverther\MagetytofishclnFerkilesawaward.exe','32');
DeleteFile('C:\Program Files (x86)\Thiphlverther\MagetytofishclnGhefocktotoge.exe','32');
DeleteFile('C:\Program Files (x86)\UCBrowser\Application\UUC0789.exe','32');
DeleteFile('C:\Program Files\Sound+\uninstaller.exe','32');
DeleteFile('C:\Users\Ксения Косарева\AppData\Local\Baidu\BaiduClient\2.5.0.2084\Baidu.exe','32');
DeleteFile('C:\Users\Ксения Косарева\AppData\Local\Baidu\BaiduClient\2.5.0.2084\BaiduService.exe','32');
DeleteFile('C:\Users\Ксения Косарева\AppData\Local\MzIzNTM0Mzc=\s_inst.exe','32');
DeleteFile('C:\Users\Ксения Косарева\AppData\Local\Sailfase.exe','32');
DeleteFile('C:\Users\Ксения Косарева\AppData\Roaming\ProShopper\ProShopper.exe','32');
DeleteFile('C:\Users\Ксения Косарева\AppData\Roaming\TolloKikod\Gylwak.exe','32');
DeleteFile('C:\Users\Ксения Косарева\AppData\Roaming\UrlControl_\url_opener.exe','32');
DeleteFile('C:\Users\Ксения Косарева\AppData\Roaming\Wawuaguji\Wawuaguji.exe','32');
DeleteFile('C:\Users\5976~1\AppData\Roaming\MICROS~1\INTERN~1\QUICKL~1\USERPI~1\STARTM~1\UCB11A~1.LNK','32');
DeleteFile('C:\Windows\system32\Tasks\Magetytofish Client','64');
DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\Multimedia\ProShopper','64');
DeleteFile('C:\Windows\system32\Tasks\MzIzNTM0Mzc=','64');
DeleteFile('C:\Windows\system32\Tasks\UrlControl','64');
DeleteFile('C:\Windows\system32\Tasks\{0E03B64A-9C62-4FC4-85C0-75A90C8C5B5C}','64');
DeleteFile('C:\Windows\system32\Tasks\{274EECE4-B2F9-4E0C-B86E-58814DA84F7D}','64');
DeleteFile('C:\Windows\Tasks\MzIzNTM0Mzc=.job','32');
DeleteFile('C:\Windows\Tasks\UrlControl.job','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','BaiduClient');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','svchost0');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.

Приложите новый лог AVZ.

Выполнено.

AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
QuarantineFile('C:\Program Files (x86)\mpck\uninstaller.exe','');
DeleteFile('C:\Program Files (x86)\mpck\uninstaller.exe','32');
DeleteFile('C:\Windows\system32\Tasks\{9B4EA97E-385E-4E50-87A3-88F82E06F7BF}','64');
DeleteFileMask('C:\Program Files (x86)\Hostify', '*', true, ' ');
DeleteFileMask('C:\Program Files (x86)\Odtheratezotain', '*', true, ' ');
DeleteFileMask('C:\Program Files (x86)\Thiphlverther', '*', true, ' ');
DeleteFileMask('C:\Program Files (x86)\UCBrowser', '*', true, ' ');
DeleteFileMask('C:\Program Files\Sound+', '*', true, ' ');
DeleteFileMask('C:\Users\Ксения Косарева\AppData\Local\Baidu', '*', true, ' ');
DeleteFileMask('C:\Users\Ксения Косарева\AppData\Roaming\ProShopper', '*', true, ' ');
DeleteFileMask('C:\Users\Ксения Косарева\AppData\Roaming\TolloKikod', '*', true, ' ');
DeleteFileMask('C:\Users\Ксения Косарева\AppData\Roaming\UrlControl_', '*', true, ' ');
DeleteFileMask('C:\Users\Ксения Косарева\AppData\Roaming\Wawuaguji', '*', true, ' ');
DeleteDirectory('C:\Program Files (x86)\Hostify');
DeleteDirectory('C:\Program Files (x86)\Odtheratezotain');
DeleteDirectory('C:\Program Files (x86)\Thiphlverther');
DeleteDirectory('C:\Program Files (x86)\UCBrowser');
DeleteDirectory('C:\Program Files\Sound+');
DeleteDirectory('C:\Users\Ксения Косарева\AppData\Local\Baidu');
DeleteDirectory('C:\Users\Ксения Косарева\AppData\Roaming\ProShopper');
DeleteDirectory('C:\Users\Ксения Косарева\AppData\Roaming\TolloKikod');
DeleteDirectory('C:\Users\Ксения Косарева\AppData\Roaming\UrlControl_');
DeleteDirectory('C:\Users\Ксения Косарева\AppData\Roaming\Wawuaguji');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.

- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]

[QUOTE]Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.[/QUOTE]

Не получилось, пишет, что такой файл уже был загружен.
[QUOTE]
После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.[/QUOTE]

Сделано.

Сами ставили?
[CODE]S2 BitTorrent; "C:\Program Files\BitTorrent\BitTorrent.exe" /s iid=7644063 did=APSnapdoAMRev sid=3 ref=48b63aff-bc04-b6b7-b32d-f79b5d974c9f-PolicyMac id=f59bc333715ff8be2595101d82c0f4345d9f968ec9405194be7d6cc5a8ff5096 [X][/CODE]

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
HKLM-x32\...\Run: [sun21] => [X]
ShellExecuteHooks: - {6710C780-E20E-4C49-A87D-321850ED3D7C} - C:\Users\Ксения Косарева\AppData\Local\Microsoft\Windows\INetCookies\gherkecult.dll [387584 2016-06-29] ()
CHR StartupUrls: todipycoudusanifertion -> "hxxp://mail.ru/cnt/10445?gp=789182","hxxp://www.trotux.com/?z=9b39c82e63d9b926e4aaf9bg7z3q0m9c1b3ofg7w7c&from=qca&uid=WDCXWD10EZEX-21M2NA0_WCC3F3JEDCV3F3JEDCV3&type=hp"
Folder: C:\Users\Ксения Косарева\AppData\Roaming\FastStone
Folder: C:\Windows\system32\ane
2016-07-01 17:10 - 2016-07-01 17:11 - 00000000 ____D C:\Users\Все пользователи\Baidu
2016-07-01 17:10 - 2016-07-01 17:11 - 00000000 ____D C:\ProgramData\Baidu
2015-06-05 05:25 - 2015-06-05 05:25 - 0000000 ____H () C:\ProgramData\DP45977C.lfl
CustomCLSID: HKU\S-1-5-21-688054549-1006262046-319902169-1001_Classes\CLSID\{E36606FE-036A-4dd0-ABA9-A58F409803F0}\InprocServer32 -> no filepath
Task: {03FA24D7-417F-470F-BA1A-AF2DD3A284EB} - \Magetytofish Client -> No File <==== ATTENTION
Task: {3751BCF1-0DB8-49DF-964A-D83BA238EA2C} - \{9B4EA97E-385E-4E50-87A3-88F82E06F7BF} -> No File <==== ATTENTION
Task: {7119F29A-935E-4983-A702-5B26479257BD} - \{0E03B64A-9C62-4FC4-85C0-75A90C8C5B5C} -> No File <==== ATTENTION
Task: {7561F1B9-ABEA-44B7-AEDD-DE1C115503F7} - \{274EECE4-B2F9-4E0C-B86E-58814DA84F7D} -> No File <==== ATTENTION
Task: {7D64F613-35C6-4374-8CCE-F8B9D1478AEC} - \Microsoft\Windows\Multimedia\ProShopper -> No File <==== ATTENTION
Reg: reg delete "HKU\S-1-5-21-688054549-1006262046-319902169-1001\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run\apphide2" /f
Reg: reg delete "HKU\S-1-5-21-688054549-1006262046-319902169-1001\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run\svchost0" /f
Reg: reg delete "HKU\S-1-5-21-688054549-1006262046-319902169-1001\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run\BaiduClient" /f
CMD: sfc /scannow
EmptyTemp:
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]

[QUOTE]Сами ставили?[/QUOTE]

Я не исключаю... Но думаю, что этому там не место.

Пофиксить пофиксю, но отмечу, что после прошлого раза после перезагрузки система потеряла desktop со всеми настройками. Видимо при выполнении скриптов что-то было задето...

[QUOTE=Алексей Дёменко;1392289]
Пофиксить пофиксю, но отмечу, что после прошлого раза после перезагрузки система потеряла desktop со всеми настройками. Видимо при выполнении скриптов что-то было задето...[/QUOTE]
Уточните пожалуйста, что за desktop потеряла? Имеется ввиду рабочий стол?

При загрузке появился черный экран - все ярлыки и файлы с рабочего стола исчезли. В Пуске тоже полный бедлам, много пустых папок. В трее нет практически ничего. Программы открывались через раз или не открывались вовсе, а каждый раз при попытке открыть проводник или нажать на Рабочий стол выскакивало сообщение, что система не может найти desktop. Судя по всему была проблема с системными файлами или реестром.
Погуглил, нашел список нужных команд для cmd и поочередно ввел. Перезагрузился - все ок.

[QUOTE=Алексей Дёменко;1392349]
Погуглил, нашел список нужных команд для cmd и поочередно ввел. Перезагрузился - все ок.[/QUOTE]
Видимо сбой после лечения от вредоносного ПО, рад, что все получилось, пожалуйста продолжайте выполнять инструкции.

Сделал, докладываю подробно.

Сегодня с утра компьютер вновь загрузился с черным экраном и сообщением, что "С:\windows\system32\config\systemprofile\desktop ссылается на недоступное расположение". Погуглил и нашел на форуме Майкрософта ссылку на [URL="http://www.youtube.com/watch?v=OWbcKWoZey0"]Ютьюбовский ролик с инструкцией[/URL]. Выполнил, перезагрузил - заработало.

Пытался обновить AVZ - снова не вышло, выдало ошибку и тут же среагировал антивирус, скрин прилагаю.

[QUOTE]C:\Program Files\BitTorrent\BitTorrent.exe[/QUOTE]

Пользователь отпирается, на компьютере файла также не обнаружено (возможно я его потер раньше, когда чистил от вирусов).

[QUOTE]Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении[/QUOTE]!

Сделано, прикрепляю.

По поводу скрина, я в фиксе задал восстановление системных файлов "sfc /scannow", так как еще в начале лога заметил, что Ваш файл dnsapi.dll был пропачен unlocker-ом.

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
S2 BitTorrent; "C:\Program Files\BitTorrent\BitTorrent.exe" /s iid=7644063 did=APSnapdoAMRev sid=3 ref=48b63aff-bc04-b6b7-b32d-f79b5d974c9f-PolicyMac id=f59bc333715ff8be2595101d82c0f4345d9f968ec9405194be7d6cc5a8ff5096 [X]
C:\Windows\system32\ane
EmptyTemp:
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]

- Приложите новый лог FRST.

P.S. По поводу профиля не совсем понятно, почему он переходит на временный профиль (С:\windows\system32\config\systemprofile).

[QUOTE]По поводу профиля не совсем понятно, почему он переходит на временный профиль (С:\windows\system32\config\systemprofile)[/QUOTE]

Не знаю, но похоже, что произошло это после выполнения инструкции от 12.07.2016, 20:47. А после последнего раза пользователь жалуется на то, что пропали все сохраненные в браузере логины и пароли.

[QUOTE=Алексей Дёменко;1392591]А после последнего раза пользователь жалуется на то, что пропали все сохраненные в браузере логины и пароли.[/QUOTE]

Возможно связанно с чистой cookies и файлов из временных каталогов, это выполняется для того чтобы избежать повторного заражения вредоносным ПО.

Скорее всего. Но об удалении личных данных пользователя было бы хорошо предупреждать ДО выдачи инструкции. Если планировалась чистка кукисов, значит было заранее известно, что они будут удалены без возможности восстановления. И если бы было предупреждение касательно них, то можно было бы предварительно сохранить нужные...

[QUOTE=Алексей Дёменко;1392596]Скорее всего. Но об удалении личных данных пользователя было бы хорошо предупреждать ДО выдачи инструкции. Если планировалась чистка кукисов, значит было заранее известно, что они будут удалены без возможности восстановления. И если бы было предупреждение касательно них, то можно было бы предварительно сохранить нужные...[/QUOTE]

Личные и персональные данные не должны были затронуться, только временные файлы и возможно требовать повторной авторизации на сайтах.

P.S. Ваши замечания приняты к сведенью.

Инструкции выполнены. Но программа "фиксила" несколько часов, в результате компьютер пришлось перезагружать не закончив...
Лог прикрепляю.

От себя отмечу, что компьютер до сих пор включается в черный экран, переходя на временный профиль. Лечится перезагрузкой - до следующего включения.
Сообщение о вирусе в dnsapi.dll тоже выскакивает...

Видимо какой-то баг в антивирусной утилите FRST.

- Подготовьте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner[/URL] и приложите его в теме.

Выполнено.

[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

[QUOTE=SQ;1394567][url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.[/QUOTE]

Эммм... В логе я вижу только программу от Mail.Ru (судя по всему речь идет об аське) и зараженный системный файл dnsapi.dll. Пользователь пользуется аськой, а системный файл удалять... Вы уверены?

[QUOTE=Алексей Дёменко;1394588]pараженный системный файл dnsapi.dll. Пользователь пользуется аськой, а системный файл удалять... Вы уверены?[/QUOTE]

Если пользуетесь Mail.Ru, то не удаляете его, в этом случае отметьте только:
[CODE]Файл Заражён : C:\Windows\SysWOW64\dnsapi.dll[/CODE]

Указанный в логе файл зараженный файл dnsapi.dll, после чистки должен замениться на чистый.

Сделано.

- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]

Сделано.

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => No File
CHR HomePage: todipycoudusanifertion -> mail.ru/cnt/11956636?rciguc__PARAM__
CHR StartupUrls: todipycoudusanifertion -> "hxxp://mail.ru/cnt/10445?gp=789182","hxxp://www.trotux.com/?z=9b39c82e63d9b926e4aaf9bg7z3q0m9c1b3ofg7w7c&from=qca&uid=WDCXWD10EZEX-21M2NA0_WCC3F3JEDCV3F3JEDCV3&type=hp"
CHR HKLM-x32\...\Chrome\Extension: [ccfifbojenkenpkmnbnndeadpfdiffof] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [ojlcebdkbpjdpiligkdbbkdkfjmchbfd] - hxxps://clients2.google.com/service/update2/crx
Reg: reg delete "HKU\S-1-5-21-688054549-1006262046-319902169-1001\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run\apphide2" /f
Reg: reg delete "HKU\S-1-5-21-688054549-1006262046-319902169-1001\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run\svchost0" /f
Reg: reg delete "HKU\S-1-5-21-688054549-1006262046-319902169-1001\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run\BaiduClient" /f
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]

Готово.

Сообщите, что с проблемой?

Пользователь сообщает, что сообщения об ошибках и вирусах больше не выскакивают. Но каждый раз при первой загрузке переходит на временный профиль, приходится перезагружать. До лечения так не было. Это можно как-то исправить?

[QUOTE=Алексей Дёменко;1396319]Пользователь сообщает, что сообщения об ошибках и вирусах больше не выскакивают. Но каждый раз при первой загрузке переходит на временный профиль, приходится перезагружать. До лечения так не было. Это можно как-то исправить?[/QUOTE]

В большинстве случаев исправить можно, опишите подробнее о проблеме, для того чтобы подготовить более верное решение.

Покажите результат следующей команды в командной строке (cmd.exe):
[CODE]reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList" /s[/CODE]
либо экспортируйте следующую ветку из реестра:
[CODE][HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList][/CODE]

P.S. Прошу принять во внимание, что с 5 по 20 августа буду не доступен, по возможности опишите проблему сегодня.

Выполнено:

[SPOILER]Microsoft Windows [Version 6.3.9600]
(c) Корпорация Майкрософт (Microsoft Corporation), 2013. Все права защищены.

C:\Windows\system32>reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion
\ProfileList" /s

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList
Default REG_EXPAND_SZ %SystemDrive%\Users\Default
ProfilesDirectory REG_EXPAND_SZ %SystemDrive%\Users
ProgramData REG_EXPAND_SZ %SystemDrive%\ProgramData
Public REG_EXPAND_SZ %SystemDrive%\Users\Public

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList\S-1-
5-18
Flags REG_DWORD 0xc
ProfileImagePath REG_EXPAND_SZ %systemroot%\system32\config\systemprof
ile
Sid REG_BINARY 010100000000000512000000
RefCount REG_DWORD 0x1
State REG_DWORD 0x0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList\S-1-
5-19
ProfileImagePath REG_EXPAND_SZ C:\Windows\ServiceProfiles\LocalService

Flags REG_DWORD 0x0
State REG_DWORD 0x0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList\S-1-
5-20
ProfileImagePath REG_EXPAND_SZ C:\Windows\ServiceProfiles\NetworkServi
ce
Flags REG_DWORD 0x0
State REG_DWORD 0x0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList\S-1-
5-21-688054549-1006262046-319902169-1001
ProfileImagePath REG_EXPAND_SZ C:\Users\Ксения Косарева
Flags REG_DWORD 0x0
State REG_DWORD 0x0
Sid REG_BINARY 01050000000000051500000015E102291E57FA3BD9511113E903000
0
ProfileAttemptedProfileDownloadTimeLow REG_DWORD 0x0
ProfileAttemptedProfileDownloadTimeHigh REG_DWORD 0x0
ProfileLoadTimeLow REG_DWORD 0x0
ProfileLoadTimeHigh REG_DWORD 0x0
RefCount REG_DWORD 0x2
RunLogonScriptSync REG_DWORD 0x0[/SPOILER]

Со значениями профайла в реестре все ок, согласно Вашему выводу.

Приложите новый лог FRTS (FRST.txt и Addition.txt)

Тем не менее пользователь говорит, что каждый раз при "холодном пуске" с утра система грузится переходя на временный профиль. Приходится перезагружать.
Логи сделаю...

[QUOTE=Алексей Дёменко;1399661]Тем не менее пользователь говорит, что каждый раз при "холодном пуске" с утра система грузится переходя на временный профиль. Приходится перезагружать.
[/QUOTE]
Получается только первый запуск, далее проблема не воспроизводиться, я Вас правильно понимаю?

SQ, да. При перезапуске все норм...