Удаляются расширения (chome), устанавливаются сторонние. [not-a-virus:WebToolbar.Win32.Agent.yx ]

Printable View

04.09.2016, 10:20
Gantc

Вложений: 2

Удаляются расширения (chome), устанавливаются сторонние. [not-a-virus:WebToolbar.Win32.Agent.yx ]

Здравствуйте.
Проблема следующая:
Был пойман вирус, который добавлял ссылки на рабочий стол, менял стартовые страницы и т.п. (стандартный набор).
Вирус был удален, но появилась новая проблема - adblock начал удалятся после перезагрузи компьютера. После нескольких попыток восстановить его - начали устанавливаться сторонние расширение и удалятся остальные, кроме adblock'a. (Расширения устанавливаются при перезапуски браузера)
04.09.2016, 10:21
Info_bot

Уважаемый(ая) [B]Gantc[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
04.09.2016, 11:09
regist

Здравствуйте!

- Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFile('C:\Program Files (x86)\FTdownloader V4.0\FTdownloader V4.0-bho.dll', '');
QuarantineFileF('c:\programdata\microsoft\adobe\flash player\2ebaa7c7-2cb7-4888-8ecf-791f7b6c1dbe', '*', true, '', 0 , 0);
QuarantineFileF('c:\program files (x86)\kinoroom browser', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
QuarantineFile('C:\ProgramData\Microsoft\Adobe\Flash Player\2EBAA7C7-2CB7-4888-8ECF-791F7B6C1DBE\D02CFBDC-D04F-485B-B384-CC1A70CDC694.exe', '');
QuarantineFile('C:\Program Files (x86)\Microsoft Data\InstallAddons.exe', '');
QuarantineFile('Data\InstallAddons.exe', '');
QuarantineFile('C:\Users\Администратор_123\AppData\Local\Microsoft\4458215CFE323EFACBFC41D1A00CA05E\809DA2293A746799BEEE976D2930BE43.exe', '');
QuarantineFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe', '');
DeleteFile('C:\Windows\Tasks\Dealply.job', '32');
DeleteFile('C:\Windows\Tasks\FTdownloader V4.0-enabler.job', '32');
DeleteFile('C:\ProgramData\Microsoft\Adobe\Flash Player\2EBAA7C7-2CB7-4888-8ECF-791F7B6C1DBE\D02CFBDC-D04F-485B-B384-CC1A70CDC694.exe', '32');
DeleteFile('C:\Program Files (x86)\Microsoft Data\InstallAddons.exe', '32');
DeleteFile('Data\InstallAddons.exe', '32');
DeleteFile('C:\Users\Администратор_123\AppData\Local\Microsoft\4458215CFE323EFACBFC41D1A00CA05E\809DA2293A746799BEEE976D2930BE43.exe', '32');
DeleteFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe', '32');
ExecuteFile('schtasks.exe', '/delete /TN "{CAFE6B9C-4154-4114-8811-6677B361DEEC}" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "{537DEE48-B821-4464-9F10-D1E2ADBD7FF5}" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "ATAFRR" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Dealply" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "chrome5" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "chrome5_logon" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\30BE4392D679EEEB997647A392809DA2" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\KRBUUS\KRBLNKRUN" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\A2EBAA7C7-2CB7-4888-8ECF-791F7B6C1DBE" /F', 0, 15000, true);
DeleteFileMask('c:\program files (x86)\kinoroom browser', '*', true);
DeleteDirectory('c:\program files (x86)\kinoroom browser');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', '2EBAA7C7-2CB7-4888-8ECF-791F7B6C1DBE');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Adobe Flash Player SU', 'command');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

- сделайте лог [URL="http://dragokas.com/tools/CheckBrowsersLNK_test.zip"]Check Browsers' LNK by Dragokas & regist[/URL].

[LIST][*]Скачайте [B][URL="https://toolslib.net/downloads/finish/1/"]AdwCleaner[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
04.09.2016, 16:08
Gantc

Вложений: 4

[SPOILER=virusinfo_auto_пушок.zip]http://virusinfo.info/virusdetector/report.php?md5=774CA0AEA68449D3DF7CEEAC46FCF7F9[/SPOILER]
[SPOILER=quarantine.zip]http://virusinfo.info/virusdetector/report.php?md5=77EC10094D78D032852A9054A098FA4D[/SPOILER]
04.09.2016, 16:32
regist

[quote="Gantc;1401997"]quarantine.zip
[url]http://virusinfo.info/virusdetector/report.php?md5=77EC10094D78D032852A9054A098FA4D[/url][/quote]

[quote="regist;1401924"]Файл quarantine.zip из папки AVZ загрузите [B]по ссылке "Прислать запрошенный карантин" вверху темы.[[/B]/quote]загрузите карантин как просили.
04.09.2016, 16:52
Gantc

Извиняюсь, поспешил. Готово.
04.09.2016, 17:39
regist

Здравствуйте!

- Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFileF('c:\programdata\microsoft\adobe\flash player\2ebaa7c7-2cb7-4888-8ecf-791f7b6c1dbe', '*', true, '', 0 , 0);
QuarantineFileF('c:\program files (x86)\kinoroom browser', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
QuarantineFile('C:\ProgramData\Microsoft\Adobe\Flash Player\2EBAA7C7-2CB7-4888-8ECF-791F7B6C1DBE\D02CFBDC-D04F-485B-B384-CC1A70CDC694.exe', '');
QuarantineFile('C:\Program Files (x86)\Microsoft Data\InstallAddons.exe', '');
QuarantineFile('Data\InstallAddons.exe', '');
QuarantineFile('C:\Users\Администратор_123\AppData\Local\Microsoft\4458215CFE323EFACBFC41D1A00CA05E\809DA2293A746799BEEE976D2930BE43.exe', '');
QuarantineFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe', '');
QuarantineFileF('C:\Program Files (x86)\dealplylive', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFileF('C:\ProgramData\Application Data\dealplylive', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFileF('C:\Program Files (x86)\DealPly', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
DeleteFile('C:\ProgramData\Microsoft\Adobe\Flash Player\2EBAA7C7-2CB7-4888-8ECF-791F7B6C1DBE\D02CFBDC-D04F-485B-B384-CC1A70CDC694.exe', '32');
DeleteFile('C:\Program Files (x86)\Microsoft Data\InstallAddons.exe', '32');
DeleteFile('Data\InstallAddons.exe', '32');
DeleteFile('C:\Users\Администратор_123\AppData\Local\Microsoft\4458215CFE323EFACBFC41D1A00CA05E\809DA2293A746799BEEE976D2930BE43.exe', '32');
DeleteFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe', '32');
ExecuteFile('schtasks.exe', '/delete /TN "chrome5" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "chrome5_logon" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\30BE4392D679EEEB997647A392809DA2" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\KRBUUS\KRBLNKRUN" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\A2EBAA7C7-2CB7-4888-8ECF-791F7B6C1DBE" /F', 0, 15000, true);
QuarantineFileF('C:\Windows\SysNative\drivers\MPCKpt.sys', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
DeleteFileMask('C:\Windows\SysNative\drivers\MPCKpt.sys', '*', true);
DeleteDirectory('C:\Windows\SysNative\drivers\MPCKpt.sys');
QuarantineFile('C:\user.js', '');
DeleteFileMask('C:\Program Files (x86)\dealplylive', '*', true);
DeleteFileMask('C:\ProgramData\Application Data\dealplylive', '*', true);
DeleteFileMask('C:\Program Files (x86)\DealPly', '*', true);
DeleteFileMask('c:\program files (x86)\kinoroom browser', '*', true);
DeleteDirectory('C:\Program Files (x86)\dealplylive');
DeleteDirectory('C:\ProgramData\Application Data\dealplylive');
DeleteDirectory('C:\Program Files (x86)\DealPly');
DeleteDirectory('c:\program files (x86)\kinoroom browser');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', '2EBAA7C7-2CB7-4888-8ECF-791F7B6C1DBE');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Adobe Flash Player SU', 'command');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner[/B][/COLOR] (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]).[*]В меню [b]Tools[/b] ->[b]Options [/b] ([b]Инструменты[/b] ->[b]Настройки[/b]) отметьте:
[list][*]Сброс политик IE[*]Сброс политик Chrome[/list][*]Нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]), а по окончанию сканирования нажмите кнопку [B]"Cleaning"[/B] ([B]"Очистка"[/B]) и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[C0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].

- Перетащите лог Check_Browsers_LNK.log на [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиту ClearLNK[/url]. Отчёт о работе прикрепите.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
05.09.2016, 10:59
Gantc

Вложений: 4

[url]http://virusinfo.info/virusdetector/report.php?md5=5626C84476AE461338B569375C1C6256[/url]
05.09.2016, 18:35
regist

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
SetServiceStart('MPCProtectService', 4);
SetServiceStart('MPCKpt', 4);
StopService('MPCProtectService');
StopService('MPCKpt');
QuarantineFileF('C:\Program Files (x86)\FTdownloader V4.0\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFile('C:\Users\Администратор_123\AppData\Local\Microsoft\4458215CFE323EFACBFC41D1A00CA05E\809DA2293A746799BEEE976D2930BE43.exe', '');
QuarantineFile('https://www.virustotal.com/ru/file/8f36c62f8abfa62e2a9aea3125f994bb6a45aaf30a6e64e2ab5e637a8221df93/analysis/', '');
QuarantineFile('C:\Program Files (x86)\MPC Cleaner\MPCProtectService.exe', '');
DeleteFile('C:\Users\Администратор_123\AppData\Local\Microsoft\4458215CFE323EFACBFC41D1A00CA05E\809DA2293A746799BEEE976D2930BE43.exe', '32');
DeleteFile('https://www.virustotal.com/ru/file/8f36c62f8abfa62e2a9aea3125f994bb6a45aaf30a6e64e2ab5e637a8221df93/analysis/');
DeleteFile('C:\Windows\Tasks\FTdownloader V4.0-codedownloader.job', '32');
DeleteFile('C:\Windows\Tasks\FTdownloader V4.0-updater.job', '32');
DeleteFile('C:\Windows\Tasks\GoogleUpdateTaskMachineCore.job', '32');
DeleteFile('C:\Windows\Tasks\GoogleUpdateTaskMachineUA.job', '32');
DeleteFile('C:\Windows\Tasks\RegTask.job', '32');
DeleteFile('C:\Program Files (x86)\MPC Cleaner\MPCProtectService.exe', '32');
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\30BE4392D679EEEB997647A392809DA2SB" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "ATAFRR" /F', 0, 15000, true);
DeleteService('MPCProtectService');
DeleteService('MPCKpt');
DelBHO('{11111111-1111-1111-1111-110311551174}');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\AlterGeoUpdater', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Adobe Flash Player SU', 'command');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

Сделайте свежий лог AdwCleaner-а.
06.09.2016, 13:46
Gantc

Вложений: 3

quarantine.zip загрузить не удалось, т.к. "такой файл уже был загружен". Но сам архив пустой.

P.S. Adblock "вроде как" перестал удаляться, но сторонние расширения все еще устанавливаются.
06.09.2016, 14:57
regist

[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner[/B][/COLOR] (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]).[*]В меню [b]Tools[/b] ->[b]Options [/b] ([b]Инструменты[/b] ->[b]Настройки[/b]) отметьте:
[list][*]Сброс политик IE[*]Сброс политик Chrome[/list][*]Нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]), а по окончанию сканирования нажмите кнопку [B]"Cleaning"[/B] ([B]"Очистка"[/B]) и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[C0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].

[URL='http://rgho.st/7kVstP4Qr']сделайте лог HiJackThis 2.0.6 Alpha 3.0[/URL]
06.09.2016, 17:49
Gantc

Вложений: 2

Прикрепил.
06.09.2016, 18:29
regist

[url=http://virusinfo.info/showthread.php?t=4491]Профиксите[/url] в HijackThis
[CODE]O2-32 - BHO: (no name) - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - (no file)
O2-32 - BHO: Html5 geolocation provider - {9BFBA68E-E21B-458E-AE12-FE85E903D2C0} - C:\ProgramData\AlterGeo\Update for Html5 geolocation provider\npHtml5loc.dll (file missing)
O2-32 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)
O3-32 - Toolbar: Спутник@Mail.Ru - {09900DE8-1DCA-443F-9243-26FF581438AF} - (no file)
O4 - MSConfig\startupreg: [Adobe Flash Player SU] C:\Windows\System32\cmd.exe /k start http://3zz.info/ && exit (2013/04/27)
O4 - MSConfig\startupreg: [AlterGeoUpdater] C:\Program Files (x86)\AlterGeo\Html5 geolocation provider\html5locsvc.exe (2015/06/18)
O9-32 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file) (HKLM)
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - (no file)
O18 - Protocol: wlpg - {E43EF6CD-A37A-4A9B-9E6F-83F89B8E6324} - (no file)
O22 - ScheduledTask: (Queued) ATAFRR - \Microsoft\Windows\WURM - cmd/c ""C:\Program Files (x86)\MPC Cleaner\UninstDelete.exe" /S & schtasks /delete /tn \Microsoft\Windows\WURM\ATAFRR /f" (file missing)
O22 - ScheduledTask: (Ready) {58AA0813-C0A2-4563-9572-86B008452237} - {root} - "C:\Program Files (x86)\Opera\Opera.exe" http://ui.skype.com/ui/0/6.7.66.102/ru/abandoninstall?page=tsProgressBar (file missing)
O22 - ScheduledTask: (Ready) {59B63225-15F9-42FA-961D-42561F1ACFDE} - {root} - "c:\program files (x86)\opera\opera.exe" http://ui.skype.com/ui/0/5.10.66.115/ru/abandoninstall?page=tsProgressBar (file missing)
O22 - ScheduledTask: (Ready) {68AD95AB-6853-4C5D-AD8D-0709D2C68054} - {root} - "c:\program files (x86)\opera\opera.exe" http://www.skype.com/go/downloading?source=lightinstaller&ver=5.0.0.152.259&LastError=404 (file missing)
O22 - ScheduledTask: (Ready) {B1984926-D7AF-4A3B-B4F8-DAC5F4D4BF89} - {root} - "c:\program files (x86)\mozilla firefox\firefox.exe" http://www.skype.com/go/downloading?source=lightinstaller&ver=5.0.0.152.259&LastError=404 (file missing)
O22 - ScheduledTask: (Ready) {C94C8531-1DB2-4009-B297-C9096185D904} - {root} - "c:\program files (x86)\opera\opera.exe" http://ui.skype.com/ui/0/5.10.66.115/ru/abandoninstall?page=tsProgressBar (file missing)
O22 - ScheduledTask: (Ready) {F95E8685-33B7-4721-88E9-3BE67B498B2F} - {root} - "c:\program files (x86)\mozilla firefox\firefox.exe" http://ui.skype.com/ui/0/6.0.66.126/ru/abandoninstall?page=tsProgressBar (file missing)
[/CODE]

Сделайте свежий лог AdwCleaner-а и HijackThis.
07.09.2016, 12:57
Gantc

Вложений: 2

Прикрепил.
07.09.2016, 19:24
regist

[url=http://virusinfo.info/showthread.php?t=121767][b]Сделайте полный образ автозапуска uVS[/b][/url], только программу скачайте [url=https://yadi.sk/d/6A65LkI1WEuqC]отсюда.[/url]
08.09.2016, 17:51
Gantc

Проблема. Файл весит 700кб, из-за предыдущих логов - места не хватает. Как удалить ненужные - не нашел.
Загрузил в облако (в архиве 7z):
[url]https://cloud.mail.ru/public/A7nN/KE8BPQGZi[/url]

P.S. Если не подходит, могу загрузить в другое, удобное для вас облако, ну или объясните как расчистить место для вложений.
08.09.2016, 21:47
regist

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url] и пришлите карантин

[CODE];uVS v3.87.4 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v388c
BREG
zoo %Sys32%\DRIVERS\MPCKPT.SYS
bl 26EDB33E64748246DCD3CFF7C66DC4A3 60136
delall %Sys32%\DRIVERS\MPCKPT.SYS
zoo %SystemRoot%\SYSWOW64\MINTCASTNETWORKS.DLL
bl 1BCB38A442F4D4BE344F1A46C782E946 295736
delall %SystemRoot%\SYSWOW64\MINTCASTNETWORKS.DLL
delall HTTP://LNK.DO/WLJ46
delref %SystemDrive%\PROGRAM FILES (X86)\FTDOWNLOADER V4.0\FTDOWNLOADER V4.0-BHO.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GARENA PLUS\BBTALK\PLUGINS\NPPLUGIN\NPGARENATALKPLUGIN.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.21.135\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.21.145\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.21.149\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.21.153\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.21.165\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.22.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.22.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.23.9\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.23.9\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.24.15\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.24.15\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.24.7\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.24.7\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.11\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.11\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.26.9\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.26.9\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.27.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.27.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.1\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.1\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.13\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.13\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.15\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.15\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.1\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.1\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.30.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.30.3\PSMACHINE_64.DLL
delall %SystemDrive%\USERS\АДМИНИСТРАТОР_123\APPDATA\ROAMING\.DRAGONX\UPLUS.EXE
czoo
restart[/CODE]

сделайте новый образ автозапуска.
09.09.2016, 14:14
Gantc

Ссылка на образ:
[url]https://cloud.mail.ru/public/A4oh/xrqevYu21[/url]
Карантин загрузил.
09.09.2016, 14:37
regist

Html5 geolocation provider - советую деинсталируйте.

Unity Web Player - если сами не ставили тоже.

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url]
[CODE];uVS v3.87.4 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v388c
BREG
delref %SystemDrive%\USERS\_123~1\APPDATA\LOCAL\TEMP\CHROME_BITS_1312_8141\EXTENSION_7.CRX
restart[/CODE]

что с проблемой?
09.09.2016, 18:15
Gantc

И, оно пропало. Т.е. перестало устанавливаться, при перезапуске браузера. Ух... Ну и провозились же вы со мной. Большое спасибо! =)
09.09.2016, 19:06
regist

[LIST][*]Пожалуйста, запустите adwcleaner.exe[*]Нажмите File ([B]Файл[/B]) [B]Uninstall[/B] ([B]Деинсталлировать[/B]).[*]Подтвердите удаление нажав кнопку: Да.[/LIST]

Выполните скрипт в AVZ при наличии доступа в интернет:

[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]
09.09.2016, 19:16
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]6[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files (x86)\ftdownloader v4.0\ftdownloader v4.0-bho.dll - [B]not-a-virus:WebToolbar.Win32.Agent.yx[/B] ( BitDefender: Gen:Application.Heur.Ty8@mm8E27li )[/LIST][/LIST]