Рекламные банеры на рабочем столе [not-a-virus:AdWare.Win32.Misskaz.b, Worm.Win32.Ngrbot.bfrl ]

Printable View

24.08.2016, 14:05
Олег Викторович

Вложений: 3

Рекламные банеры на рабочем столе [not-a-virus:AdWare.Win32.Misskaz.b, Worm.Win32.Ngrbot.bfrl ]

На рабочем столе стали появляться банеры с рекламой, запускается сам браузер Хром с рекламой и через 3-5 минут добавляет новую вкладку. В Диспетчере задач много посторонних процесов, перестал включаться Панель управления nVidia.
24.08.2016, 14:06
Info_bot

Уважаемый(ая) [B]Олег Викторович[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
25.08.2016, 09:55
SQ

Здравствуйте,

Удалите Zaxar через установку программ в панели управления.

HiJackThis [URL=http://virusinfo.info/showthread.php?t=4491&p=64376&viewfull=1#post64376]профиксить[/URL]
[CODE]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,SearchAssistant = http://%66%65%65%64.%68%65%6C%70%65%72%62%61%72.%63%6F%6D/?p=mKO_AwFzXIpYRYEqQao2TxTGptbOxpBNf1_PlM2shTAVs5MUKg3SnkaFMaM103RHtdDm19liGZ5BMPOX-27DcnVJis5X6GZ-PpSxQY_YfcjatAWFJrLy2e_AdKG3fX_2lDuX9Y-kSXiQ3ZIU98c0ook_lHea2d1kcwhrl7DCx5RUZmKoXsuRZY3oH_akCi-skPalNjpCHjM,&q={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://%66%65%65%64.%68%65%6C%70%65%72%62%61%72.%63%6F%6D/?p=mKO_AwFzXIpYRYEqQao2TxTGptbOxpBNf1_PlM2shTAVs5MUKg3SnkaFMaM103RHtdDm19liGZ5BMPOX-27DcnVJis5X6GZ-PpSxQY_YfcjatAWFJrLy2e_AdKG3fX_2lDuX9Y-kSXiQ3ZIU98c0ook_lHea2d1kcwhrl7DCx5RUZmKoXsuRZY3oH_akCi-skPalNjpCHjM,&q={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://%66%65%65%64.%68%65%6C%70%65%72%62%61%72.%63%6F%6D/?p=mKO_AwFzXIpYRYEqQao2TxTGptbOxpBNf1_PlM2shTAVs5MUKg3SnkaFMaM103RHtdDm19liGZ5BMPOX-27DcnVJis5X6GZ-PpSxQY_YfcjatAWFJrLy2e_AdKG3fX_2lDuX9Y-kSXiQ3ZIU98c0ook_lHea2d1kcwhrl7DCx5RUZmKoXsuRZY3oH_akCi-skPalNjpCHjM,&q={searchTerms}
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://%66%65%65%64.%73%6E%61%70%64%6F.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIP4NYe17aVLWvttZE-84TVuG6-xNtgSxfFZXHH_wAgIgqoAYXJg3RtP76ZQU2BkCc1jXfAzsSqJKkRhghn7ugJwQkNRiISxRiqH6N3Ivt4PZGp5y8q4q8C_mpBuvFzHX20XETKGFswbzc1H8FZqxjE1sPkVZKI23qIX9ih71X-eAakDe8GTr
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,Default_Search_URL = http://%66%65%65%64.%68%65%6C%70%65%72%62%61%72.%63%6F%6D/?p=mKO_AwFzXIpYRYEqQao2TxTGptbOxpBNf1_PlM2shTAVs5MUKg3SnkaFMaM103RHtdDm19liGZ5BMPOX-27DcnVJis5X6GZ-PpSxQY_YfcjatAWFJrLy2e_AdKG3fX_2lDuX9Y-kSXiQ3ZIU98c0ook_lHea2d1kcwhrl7DCx5RUZmKoXsuRZY3oH_akCi-skPalNjpCHjM,&q={searchTerms}
O2 - BHO: Advanced SystemCare Surfing Protection - {BA0C978D-D909-49B6-AFE2-8BDE245DC7E6} - (no file)
O4 - HKLM\..\Run: [win_en_77] "C:\Program Files (x86)\win_en_77\win_en_77.exe"
O4 - HKLM\..\RunOnce: [Update] C:\Users\Bogdan\AppData\Roaming\ContentPush\ContentPush.exe /runonce
O4 - Global Startup: Zaxar Games Browser.lnk = C:\Program Files (x86)\Zaxar\ZaxarLoader.exe
O20 - AppInit_DLLs: C:\ProgramData\Ronzap\ConTough.dll
O23 - Service: CloudPrinter - Unknown owner - C:\ProgramData\\CloudPrinter\\CloudPrinter.exe
O23 - Service: Workbook Fill (fobekovozbt) - Unknown owner - C:\Program.exe (file missing)
O23 - Service: Net Plus (nplus) - Unknown owner - C:\Program Files\nplus\nplus.exe
O23 - Service: ocep - Unknown owner - C:\ProgramData\\ocep\\ocep.exe (file missing)
O23 - Service: SoEasySvc - TODO: <Company name> - C:\Program Files (x86)\SoSoEasySvc\SoSoEasySvc.exe
O23 - Service: Windows - Unknown owner - C:\Windows\svchost.exe
[/CODE]

AVZ [URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]выполнить следующий скрипт[/URL].
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.
[CODE]
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
TerminateProcessByName('C:\Program Files (x86)\DPower\wemoservice.exe');
TerminateProcessByName('C:\Program Files (x86)\host\idscservice.exe');
TerminateProcessByName('C:\Program Files (x86)\host\wizzcaster.exe');
TerminateProcessByName('c:\program files (x86)\sosoeasysvc\sosoeasysvc.exe');
TerminateProcessByName('c:\program files (x86)\sunnyday21\sunnyday.exe');
TerminateProcessByName('C:\Program Files (x86)\sunnyday\otutnetwork.exe');
TerminateProcessByName('c:\program files (x86)\sunnyday\wincom_c64.exe');
TerminateProcessByName('c:\program files (x86)\webshield\webshield.exe');
TerminateProcessByName('c:\program files (x86)\win_en_77\win_en_77.exe');
TerminateProcessByName('c:\program files (x86)\zaxar\zaxarloader.exe');
TerminateProcessByName('C:\Program Files\nplus\nplus.exe');
TerminateProcessByName('c:\programdata\cloudprinter\cloudprinter.exe');
TerminateProcessByName('c:\temp\dbupdater.exe');
TerminateProcessByName('c:\temp\windowsupdatekb12695__7428_il9605.exe');
TerminateProcessByName('c:\users\bogdan\appdata\local\sunnyday21\usun.exe');
TerminateProcessByName('C:\Windows\svchost.exe');
StopService('CloudPrinter');
StopService('fobekovozbt');
StopService('nplus');
StopService('ocep');
StopService('SoEasySvc');
StopService('Windows');
QuarantineFile('C:\Program Files (x86)\BEE98C56-1471862419-4940-BB87-3EFCF9EC4643\knsr7FC7.tmp','');
QuarantineFile('C:\Program Files (x86)\DPower\GANQXXWSDR.exe','');
QuarantineFile('C:\Program Files (x86)\DPower\QT0QHS3TNI.exe','');
QuarantineFile('C:\Program Files (x86)\DPower\wemoservice.exe','');
QuarantineFile('C:\Program Files (x86)\host\idscservice.exe','');
QuarantineFile('C:\Program Files (x86)\host\wizzcaster.exe','');
QuarantineFile('C:\Program Files (x86)\nigma\nsearch\nsearch.exe','');
QuarantineFile('C:\Program Files (x86)\sbqh\uc.exe','');
QuarantineFile('c:\program files (x86)\sunnyday21\sunnyday.exe','');
QuarantineFile('C:\Program Files (x86)\SunnyDay21\SunnyDay.exe','');
QuarantineFile('C:\Program Files (x86)\sunnyday\otutnetwork.exe','');
QuarantineFile('C:\Program Files (x86)\sunnyday\wincom_46G.exe','');
QuarantineFile('C:\Program Files (x86)\sunnyday\wincom_4EV.exe','');
QuarantineFile('C:\Program Files (x86)\sunnyday\wincom_88N.exe','');
QuarantineFile('C:\Program Files (x86)\sunnyday\wincom_C64.exe','');
QuarantineFile('C:\Program Files (x86)\sunnyday\wincom_FYM.exe','');
QuarantineFile('C:\Program Files (x86)\sunnyday\wincom_NTL.exe','');
QuarantineFile('C:\Program Files (x86)\sunnyday\wincom_Q2Y.exe','');
QuarantineFile('C:\Program Files (x86)\sunnyday\wincom_R2J.exe','');
QuarantineFile('C:\Program Files (x86)\sunnyday\wincom_SIU.exe','');
QuarantineFile('C:\Program Files (x86)\sunnyday\wincom_TRT.exe','');
QuarantineFile('c:\program files (x86)\webshield\webshield.exe','');
QuarantineFile('C:\Program Files (x86)\win_en_77\win_en_77.exe','');
QuarantineFile('c:\program files (x86)\win_en_77\win_en_77.exe','');
QuarantineFile('c:\program files (x86)\zaxar\zaxarloader.exe','');
QuarantineFile('C:\Program Files\caster\wizzcaster.exe','');
QuarantineFile('C:\Program Files\nplus\nplus.exe','');
QuarantineFile('C:\Program Files\SpaceSoundPro\SpaceSoundPro.exe','');
QuarantineFile('C:\Program Files\spacesoundpro\uninstaller.exe','');
QuarantineFile('c:\programdata\cloudprinter\cloudprinter.exe','');
QuarantineFile('C:\ProgramData\hdtask\hdtask.exe','');
QuarantineFile('C:\ProgramData\RenewalService\Renewal.exe','');
QuarantineFile('C:\ProgramData\Ronzap\ConTough.dll','');
QuarantineFile('C:\ProgramData\Ronzap\InIty.dll','');
QuarantineFile('c:\temp\dbupdater.exe','');
QuarantineFile('c:\temp\windowsupdatekb12695__7428_il9605.exe','');
QuarantineFile('c:\users\bogdan\appdata\local\sunnyday21\usun.exe','');
QuarantineFile('C:\Users\Bogdan\AppData\Local\SunnyDay21\usun.exe','');
QuarantineFile('C:\Users\Bogdan\AppData\Roaming\Adobe\Manager.exe','');
QuarantineFile('C:\Users\Bogdan\appdata\roaming\c731200','');
QuarantineFile('C:\Users\Bogdan\AppData\Roaming\ContentPush\ContentPush.exe','');
QuarantineFile('C:\Users\Bogdan\appdata\roaming\update\explorer.exe','');
QuarantineFile('C:\Users\Bogdan\appdata\roaming\update\update.exe','');
QuarantineFile('C:\Users\Bogdan\appdata\roaming\upupdata\service90132.exe','');
QuarantineFile('C:\Windows\csrss.exe','');
QuarantineFile('C:\Windows\svchost.exe','');
DeleteFile('C:\Program Files (x86)\BEE98C56-1471862419-4940-BB87-3EFCF9EC4643\knsr7FC7.tmp','32');
DeleteFile('C:\Program Files (x86)\DPower\QT0QHS3TNI.exe','32');
DeleteFile('C:\Program Files (x86)\DPower\T7DWRWLP8L.exe','32');
DeleteFile('C:\Program Files (x86)\DPower\wemoservice.exe','32');
DeleteFile('C:\Program Files (x86)\host\idscservice.exe','32');
DeleteFile('C:\Program Files (x86)\host\wizzcaster.exe','32');
DeleteFile('C:\Program Files (x86)\sbqh\uc.exe','32');
DeleteFile('C:\Program Files (x86)\SoSoEasySvc\SoSoEasySvc.exe','32');
DeleteFile('c:\program files (x86)\sosoeasysvc\sosoeasysvc.exe','32');
DeleteFile('C:\Program Files (x86)\SunnyDay21\SunnyDay.exe','32');
DeleteFile('c:\program files (x86)\sunnyday21\sunnyday.exe','32');
DeleteFile('C:\Program Files (x86)\sunnyday\otutnetwork.exe','32');
DeleteFile('C:\Program Files (x86)\sunnyday\wincom_46G.exe','32');
DeleteFile('C:\Program Files (x86)\sunnyday\wincom_4EV.exe','32');
DeleteFile('C:\Program Files (x86)\sunnyday\wincom_88N.exe','32');
DeleteFile('C:\Program Files (x86)\sunnyday\wincom_C64.exe','32');
DeleteFile('c:\program files (x86)\sunnyday\wincom_c64.exe','32');
DeleteFile('C:\Program Files (x86)\sunnyday\wincom_FYM.exe','32');
DeleteFile('C:\Program Files (x86)\sunnyday\wincom_NTL.exe','32');
DeleteFile('C:\Program Files (x86)\sunnyday\wincom_Q2Y.exe','32');
DeleteFile('C:\Program Files (x86)\sunnyday\wincom_R2J.exe','32');
DeleteFile('C:\Program Files (x86)\sunnyday\wincom_SIU.exe','32');
DeleteFile('C:\Program Files (x86)\sunnyday\wincom_TRT.exe','32');
DeleteFile('c:\program files (x86)\webshield\webshield.exe','32');
DeleteFile('c:\program files (x86)\win_en_77\win_en_77.exe','32');
DeleteFile('C:\Program Files (x86)\win_en_77\win_en_77.exe','32');
DeleteFile('c:\program files (x86)\zaxar\zaxarloader.exe','32');
DeleteFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe','32');
DeleteFile('C:\Program Files\caster\wizzcaster.exe','32');
DeleteFile('C:\Program Files\nplus\nplus.exe','32');
DeleteFile('C:\Program Files\spacesoundpro\idscservice.exe','32');
DeleteFile('C:\Program Files\SpaceSoundPro\SpaceSoundPro.exe','32');
DeleteFile('C:\Program Files\spacesoundpro\uninstaller.exe','32');
DeleteFile('C:\ProgramData\CloudPrinter\CloudPrinter.exe','32');
DeleteFile('c:\programdata\cloudprinter\cloudprinter.exe','32');
DeleteFile('C:\ProgramData\hdtask\hdtask.exe','32');
DeleteFile('C:\ProgramData\ocep\ocep.exe','32');
DeleteFile('C:\ProgramData\RenewalService\Renewal.exe','32');
DeleteFile('C:\ProgramData\Ronzap\ConTough.dll','32');
DeleteFile('C:\ProgramData\Ronzap\InIty.dll','32');
DeleteFile('c:\users\bogdan\appdata\local\sunnyday21\usun.exe','32');
DeleteFile('C:\Users\Bogdan\AppData\Local\SunnyDay21\usun.exe','32');
DeleteFile('C:\Users\Bogdan\AppData\Roaming\Adobe\Manager.exe','32');
DeleteFile('C:\Users\Bogdan\appdata\roaming\c731200','32');
DeleteFile('C:\Users\Bogdan\AppData\Roaming\ContentPush\ContentPush.exe','32');
DeleteFile('C:\Users\Bogdan\appdata\roaming\update\explorer.exe','32');
DeleteFile('C:\Users\Bogdan\appdata\roaming\update\update.exe','32');
DeleteFile('C:\Users\Bogdan\appdata\roaming\upupdata\service90132.exe','32');
DeleteFile('C:\Windows\csrss.exe','32');
DeleteFile('C:\Windows\svchost.exe','32');
DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\Application Experience\RenewalService','64');
DeleteService('CloudPrinter');
DeleteService('fobekovozbt');
DeleteService('nplus');
DeleteService('ocep');
DeleteService('SoEasySvc');
DeleteService('Windows');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','59JU3O9NPT');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Caster');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\apphide','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Caster','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\DiskPower','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\hdtask','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\IQBLSAR36P','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\NigmaSearch','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SpaceSoundPro','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\sun21','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\WINCOM46G','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\WINCOM4EV','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\WINCOM88N','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\WINCOMFYM','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\WINCOMNTL','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\WINCOMQ2Y','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\WINCOMR2J','command');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','DiskPower');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','SpaceSoundPro');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','sun21');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','WINCOMC64');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','WINCOMSIU');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','WINCOMTRT');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','win_en_77');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','IDSCPRODUCT');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','OMEWPRODUCT_IW1FJ');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','OMEWPRODUCT_S70WY');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','OTUTPRODUCT_9ZWG7');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','Update');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','usun.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Eventlog\Application\NSSM','EventMessageFile');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKLM', 'SYSTEM\CurrentControlSet\Control', 'WaitToKillServiceTimeout', 20000);
RegKeyStrParamWrite('HKCU', 'Control Panel\Desktop', 'WaitToKillAppTimeout', '20000');
BC_ImportAll;
ExecuteSysClean;
ExecuteRepair(3);
ExecuteRepair(4);
BC_Activate;
RebootWindows(true);
end.
[/CODE]

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
[CODE]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/CODE]
Файл quarantine.zip из папки AVZ загрузите по ссылке "[B][COLOR="#FF0000"]Прислать запрошенный карантин[/COLOR][/B]" вверху темы.

- Сделайте лог [URL="http://dragokas.com/tools/CheckBrowsersLNK_test.zip"]Check Browsers' LNK by Dragokas & regist[/URL].

- Подготовьте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner[/URL] и приложите его в теме.
25.08.2016, 14:34
Олег Викторович

не могу пофиксить в HiJackThis, т.к. нет некоторых строк, начинающихся на 04
25.08.2016, 15:05
SQ

[QUOTE=Олег Викторович;1400114]не могу пофиксить в HiJackThis, т.к. нет некоторых строк, начинающихся на 04[/QUOTE]

Тогда переходите к следующим инструкциям.
25.08.2016, 16:44
Олег Викторович

Вложений: 2

[QUOTE=SQ;1400122]Тогда переходите к следующим инструкциям.[/QUOTE]
ZaharBrouser удалён, скрипты выполнены кроме Hijack
25.08.2016, 16:54
SQ

[list][*]Скачайте [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]ClearLNK[/url] и сохраните архив с утилитой на рабочем столе.[*]Распакуйте архив с утилитой в отдельную папку.[*]Перенесите [B]Check_Browsers_LNK.log[/B] на ClearLNK как показано на рисунке

[img]http://dragokas.com/tools/move.gif[/img]
[*]Отчет о работе [b]ClearLNK-<Дата>.log[/b] будет сохранен в папке [b]LOG[/b].[*]Прикрепите этот отчет к своему следующему сообщению.[/list]

[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.
25.08.2016, 17:22
Олег Викторович

Вложений: 2

Выполнил
25.08.2016, 22:31
SQ

[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.
26.08.2016, 07:43
Олег Викторович

Вложений: 1

вот
26.08.2016, 16:55
SQ

- Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
26.08.2016, 18:53
Олег Викторович

Вложений: 2

сделано
26.08.2016, 21:40
SQ

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
HKLM\...\Winlogon: [Userinit] wscript C:\Windows\run.vbs,
Zip: C:\Users\Bogdan\AppData\Roaming\WindowsUpdate\Updater.exe;C:\Users\Bogdan\AppData\Roaming\Microsoft\Windows\themes\Qnusui.exe;C:\Windows\taskmgr.exe
HKU\S-1-5-21-3003367026-1916899819-2239508635-1000\...\Run: [Windows Update Installer] => C:\Users\Bogdan\AppData\Roaming\WindowsUpdate\Updater.exe [304128 2016-08-25] ()
HKU\S-1-5-21-3003367026-1916899819-2239508635-1000\...\Run: [Qnusui] => C:\Users\Bogdan\AppData\Roaming\Microsoft\Windows\themes\Qnusui.exe [304128 2016-08-25] ()
SearchScopes: HKU\S-1-5-21-3003367026-1916899819-2239508635-1000 -> DefaultScope {53C6550F-5A10-4839-9A8B-533A1044B79B} URL = hxxp://nigma.ru/index.php?s={searchTerms}&fs=nsearch&fsb=ie&fscid=W85M8EIM6CI6AOJNG4MN00TE8351P1M
SearchScopes: HKU\S-1-5-21-3003367026-1916899819-2239508635-1000 -> Search Page hxxp://nigma.ru/index.php?s={searchTerms}&fs=nsearch&fsb=ie&fscid=W85M8EIM6CI6AOJNG4MN00TE8351P1M
SearchScopes: HKU\S-1-5-21-3003367026-1916899819-2239508635-1000 -> {53C6550F-5A10-4839-9A8B-533A1044B79B} URL = hxxp://nigma.ru/index.php?s={searchTerms}&fs=nsearch&fsb=ie&fscid=W85M8EIM6CI6AOJNG4MN00TE8351P1M
FF Plugin: @microsoft.com/GENUINE -> disabled [No File]
FF Plugin-x32: @microsoft.com/GENUINE -> disabled [No File]
CHR HomePage: chagulybuvertainmibile -> mail.ru/cnt/11956636?rciguc__PARAM__
CHR StartupUrls: chagulybuvertainmibile -> "hxxp://www.trotux.com/?z=b60e9ab0819534a896c8fc7g7zam5g3cdc2oac3w2t&from=t4c&uid=TOSHIBAXMQ01ABF050_Z42LCC79TXXZ42LCC79T&type=hp"
CHR DefaultSearchURL: chagulybuvertainmibile -> hxxp://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGIjVkxlyIP4NYe17aVLWvttZE-84TVuG6-xNtgSxfFZXHH_wAgIgqoAYXJg3RtP76ZQU2BkCc1jXfAzsSqJKkRhghn7ugJwQkNj07plGTsyxeGoibEQct3e8MiMh8ATpJ6V5bkJP_adQqmkrFPgRIuA9yfYNPgdyGHtpeAgPg4QILIYTUxf0VmwsVEZF&q={searchTerms}
CHR DefaultSearchKeyword: chagulybuvertainmibile -> feed.sonic-search.com
CHR DefaultSuggestURL: chagulybuvertainmibile -> hxxps://search.yahoo.com/sugg/chrome?output=fxjson&appid=crmas&command={searchTerms}
Folder: C:\ProgramData\hdtask
C:\ProgramData\hdtask
2016-08-16 16:19 - 2016-08-26 07:28 - 00000000 ____D C:\Users\Bogdan\AppData\Roaming\Update
2016-08-16 16:19 - 2016-08-25 16:20 - 00304128 _____ C:\Users\Bogdan\AppData\Roaming\c731200
2016-08-16 16:19 - 2016-08-25 16:18 - 00000000 ____D C:\Users\Bogdan\AppData\Roaming\WindowsUpdate
Folder: C:\Program Files (x86)\744D70C
2016-08-16 09:41 - 2016-08-16 09:41 - 07118336 _____ C:\Users\Bogdan\AppData\Roaming\agent.dat
2016-08-16 09:41 - 2016-08-16 09:41 - 02279413 _____ C:\Users\Bogdan\AppData\Roaming\Daltcore.bin
2016-08-16 09:41 - 2016-08-16 09:41 - 01900730 _____ C:\Users\Bogdan\AppData\Roaming\Latity.tst
2016-08-16 09:41 - 2016-08-16 09:41 - 00848437 _____ C:\Users\Bogdan\AppData\Roaming\Freeottom.bin
2016-08-16 09:41 - 2016-08-16 09:41 - 00136850 _____ () C:\Users\Bogdan\AppData\Roaming\Geozimlax.bin
2016-08-16 09:41 - 2016-08-16 09:41 - 00126464 _____ C:\Users\Bogdan\AppData\Roaming\noah.dat
2016-08-16 09:41 - 2016-08-16 09:41 - 00126464 _____ C:\Users\Bogdan\AppData\Roaming\lobby.dat
2016-08-16 09:41 - 2016-08-16 09:41 - 00072788 _____ C:\Users\Bogdan\AppData\Roaming\Lightsannix.tst
2016-08-16 09:41 - 2016-08-16 09:41 - 00070704 _____ C:\Users\Bogdan\AppData\Roaming\Config.xml
2016-08-16 09:41 - 2016-08-16 09:41 - 00054272 _____ C:\Users\Bogdan\AppData\Roaming\ApplicationHosting.dat
2016-08-16 09:41 - 2016-08-16 09:41 - 00018432 _____ C:\Users\Bogdan\AppData\Roaming\Main.dat
2016-08-16 09:41 - 2016-08-16 09:41 - 00005568 _____ C:\Users\Bogdan\AppData\Roaming\md.xml
Folder: C:\Program Files (x86)\sbqh
2016-08-16 09:40 - 2016-08-16 09:40 - 00138240 _____ C:\Users\Bogdan\AppData\Roaming\Installer.dat
2016-08-16 09:40 - 2016-08-16 09:40 - 00019536 _____ C:\Users\Bogdan\AppData\Roaming\InstallationConfiguration.xml
2016-08-15 14:05 - 2016-08-16 10:46 - 00000000 ____D C:\Users\Bogdan\AppData\Roaming\System Monitor
Folder: C:\Windows\system32\MRT
File: C:\Windows\SysWOW64\MUpdater.exe.config
File: C:\Windows\SysWOW64\GameXP.exe.config
File: C:\Windows\SysWOW64\GameCenter.exe.config
2016-08-15 12:32 - 2016-08-15 12:32 - 00000000 ____D C:\Users\Все пользователи\{BAF091CA-86C4-4627-ADA1-897E2621C1B0}
2016-08-15 12:32 - 2016-08-15 12:32 - 00000000 ____D C:\ProgramData\{BAF091CA-86C4-4627-ADA1-897E2621C1B0}
2016-08-15 12:31 - 2016-08-15 12:31 - 00073216 _____ C:\Windows\taskmgr.exe
2016-08-15 12:31 - 2016-08-15 12:31 - 00003990 _____ C:\Windows\sia.cl
2016-08-16 09:41 - 2016-08-16 09:41 - 7118336 _____ () C:\Users\Bogdan\AppData\Roaming\agent.dat
2016-08-16 09:41 - 2016-08-16 09:41 - 0054272 _____ () C:\Users\Bogdan\AppData\Roaming\ApplicationHosting.dat
2016-08-16 16:19 - 2016-08-25 16:20 - 0304128 _____ () C:\Users\Bogdan\AppData\Roaming\c731200
2016-08-16 09:41 - 2016-08-16 09:41 - 0070704 _____ () C:\Users\Bogdan\AppData\Roaming\Config.xml
2016-08-16 09:41 - 2016-08-16 09:41 - 2279413 _____ () C:\Users\Bogdan\AppData\Roaming\Daltcore.bin
2016-08-16 09:41 - 2016-08-16 09:41 - 0848437 _____ () C:\Users\Bogdan\AppData\Roaming\Freeottom.bin
2016-08-16 09:41 - 2016-08-16 09:41 - 0136850 _____ () C:\Users\Bogdan\AppData\Roaming\Geozimlax.bin
2016-08-16 09:40 - 2016-08-16 09:40 - 0019536 _____ () C:\Users\Bogdan\AppData\Roaming\InstallationConfiguration.xml
2016-08-16 09:40 - 2016-08-16 09:40 - 0138240 _____ () C:\Users\Bogdan\AppData\Roaming\Installer.dat
2016-08-16 09:41 - 2016-08-16 09:41 - 1900730 _____ () C:\Users\Bogdan\AppData\Roaming\Latity.tst
2016-08-16 09:41 - 2016-08-16 09:41 - 0072788 _____ () C:\Users\Bogdan\AppData\Roaming\Lightsannix.tst
2016-08-16 09:41 - 2016-08-16 09:41 - 0126464 _____ () C:\Users\Bogdan\AppData\Roaming\lobby.dat
2016-08-16 09:41 - 2016-08-16 09:41 - 0018432 _____ () C:\Users\Bogdan\AppData\Roaming\Main.dat
2016-08-16 09:41 - 2016-08-16 09:41 - 0005568 _____ () C:\Users\Bogdan\AppData\Roaming\md.xml
2016-08-16 09:41 - 2016-08-16 09:41 - 0126464 _____ () C:\Users\Bogdan\AppData\Roaming\noah.dat
2016-08-16 09:42 - 2016-08-16 09:42 - 0001150 _____ () C:\Users\Bogdan\AppData\Roaming\uninstall_temp.ico
2016-05-25 13:37 - 2016-05-25 13:37 - 0000000 ____H () C:\ProgramData\DP45977C.lfl
Task: {C8B983B9-78ED-4B6E-8389-DEF028D1629B} - System32\Tasks\Microsoft\Windows\Multimedia\Manager => C:\Users\Bogdan\AppData\Roaming\Adobe\Manager.exe
WMI_ActiveScriptEventConsumer_ASEC: <===== ATTENTION
ShortcutWithArgument: C:\Users\Bogdan\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://yeabests.cc
ShortcutWithArgument: C:\Users\Bogdan\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk -> C:\Program Files (x86)\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://yeabests.cc
ShortcutWithArgument: C:\Users\Bogdan\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer.lnk -> C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation) -> hxxp://yeabests.cc
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\5BO9GNSEFH]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\hdtask]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\IQBLSAR36P]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\NigmaSearch]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\sun21]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\WINCOM46G]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\WINCOM4EV]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\WINCOM88N]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\WINCOMFYM]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\WINCOMNTL]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\WINCOMQ2Y]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\WINCOMR2J]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\win_en_77]
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
26.08.2016, 22:53
Олег Викторович

Вложений: 1

выполнил
27.08.2016, 12:41
SQ

Знакома ли Вам директории?
[CODE]C:\Program Files (x86)\sbqh
C:\Program Files (x86)\744D70C[/CODE]

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
C:\ProgramData\hdtask
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
27.08.2016, 13:18
Олег Викторович

Вложений: 1

директории, указанные выше не знакомы, код выполнил
27.08.2016, 16:39
SQ

[LIST][*] Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[CODE]
CreateRestorePoint:
CloseProcesses:
C:\Program Files (x86)\sbqh
C:\Program Files (x86)\744D70C
Reboot:
[/CODE][*] Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. [*] Программа создаст лог-файл [b](Fixlog.txt)[/b]. Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/LIST]
27.08.2016, 19:26
Олег Викторович

Вложений: 1

выполнил
28.08.2016, 00:26
SQ

Сделайте лог [URL="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/URL]
31.08.2016, 14:49
Олег Викторович

Вложений: 1

Ваполнил
31.08.2016, 18:11
SQ

Сообщите, что с проблемой?
01.09.2016, 08:37
Олег Викторович

Спасибо большое, баннеров больше нет, однако при старте в процессах присутствует svchost.exe, который потребляет память от 50 до 300-400 мб - это нормально? При его принудительном отключении система работает стабильно, без ошибок.
01.09.2016, 13:48
SQ

Посмотрите путь проблемного процесса, также уточните, если выключить Windows Update проблема воспроизводиться?
02.09.2016, 13:29
Олег Викторович

Процесс из системной папки System32, после отключения службы обновления виндовс, процесс снова есть. Панель управления Nvidia так же не работает, после чистой установки, может ли это быть последствием работы того, что удалили в процессе лечения?
02.09.2016, 15:20
SQ

[QUOTE=Олег Викторович;1401636]Панель управления Nvidia так же не работает, после чистой установки, может ли это быть последствием работы того, что удалили в процессе лечения?[/QUOTE]

После чистой загрузки восстановили параметры запуска обратно?
08.09.2016, 07:42
Олег Викторович

Всё в порядке, разобрался. Огромное спасибо за помощь.
08.09.2016, 08:19
SQ

Удалите MBAM через установку программ в панели управления

1. Для удаления утилит, которые использовались в лечении скачайте [URL="https://toolslib.net/downloads/finish/2/"]DelFix[/URL] и сохраните утилиту на [B]Рабочем столе[/B].

2. Запустите [B]DelFix[/B].
[SIZE=1][B]Важно[/B], для работы утилиты необходимо запускать от имени Администратора. По умолчанию в[B] Windows XP[/B] так и есть. В [B]Windows Vista/7/8/8.1/10[/B] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [B]Запуск от имени Администратора[/B], при необходимости укажите пароль администратора и нажмите [B]Да[/B][/SIZE]

3.В открывшемся окне программы поставьте галочки напротив пунктов [B]Remove desinfection tools[/B] и [B]Create registry backup[/B]

4. Нажмите на кнопку [B]Run[/B].

5. После окончания работы программы автоматически откроется блокнот с отчетом [B]delfix.txt[/B] (C:\delfix.txt)

6. Прикрепите этот отчет в вашей теме.

[URL=http://virusinfo.info/showthread.php?t=7239&p=88804&viewfull=1#post88804]Выполните скрипт[/URL] в AVZ при наличии доступа в интернет:

[CODE]
var
LogPath : string;
ScriptPath : string;
begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.
[/CODE]
После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.
08.09.2016, 08:29
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]27[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files (x86)\dpower\wemoservice.exe - [B]Trojan-Dropper.MSIL.Agent.avlr[/B][*] c:\program files (x86)\host\idscservice.exe - [B]Trojan-Dropper.MSIL.Agent.avlq[/B][*] c:\program files (x86)\host\wizzcaster.exe - [B]not-a-virus:AdWare.Win32.Misskaz.a[/B][*] c:\program files (x86)\sbqh\uc.exe - [B]not-a-virus:HEUR:RiskTool.Win32.Hidap.gen[/B] ( AVAST4: Win32:Malware-gen )[*] c:\program files (x86)\sunnyday\otutnetwork.exe - [B]Trojan-Dropper.MSIL.Agent.serzmk[/B][*] c:\program files (x86)\sunnyday\wincom_c64.exe - [B]not-a-virus:AdWare.Win32.Eorezo.ghhn[/B][*] c:\program files (x86)\sunnyday21\sunnyday.exe - [B]not-a-virus:HEUR:AdWare.MSIL.Eorezo.gen[/B][*] c:\program files (x86)\webshield\webshield.exe - [B]not-a-virus:RiskTool.Win32.Agent.aldz[/B] ( AVAST4: Win32:Rootkit-gen [Rtk] )[*] c:\program files (x86)\win_en_77\win_en_77.exe - [B]not-a-virus:AdWare.Win32.Eorezo.ghja[/B][*] c:\program files\caster\wizzcaster.exe - [B]not-a-virus:AdWare.Win32.Misskaz.b[/B][*] c:\program files\nplus\nplus.exe - [B]not-a-virus:AdWare.Win32.AdAgent.ks[/B][*] c:\users\bogdan\appdata\roaming\adobe\manager.exe - [B]not-a-virus:AdWare.Win32.Agent.kbtm[/B][*] c:\users\bogdan\appdata\roaming\c731200 - [B]Worm.Win32.Ngrbot.bfrl[/B][*] c:\users\bogdan\appdata\roaming\update\explorer.exe - [B]Worm.Win32.Ngrbot.bfrl[/B][*] c:\users\bogdan\appdata\roaming\update\update.exe - [B]Worm.Win32.Ngrbot.bfrl[/B][*] c:\users\bogdan\appdata\roaming\upupdata\service90132.exe - [B]Trojan.Win32.Vimditator.vrz[/B][*] c:\windows\csrss.exe - [B]not-a-virus:RiskTool.Win64.BitCoinMiner.avz[/B][/LIST][/LIST]