Рекламные владки в браузере + автоустановка расширений

Printable View

10.03.2017, 15:58
AlexRo

Рекламные владки в браузере + автоустановка расширений

Добрый день!
Установил виджет для винды и после этого начали вылазить рекламные вкладки в браузере, дополнительно вылазит сообщение о необходимости установить расширение и установилось всякое непотребство в виде браузера амиго, меэй ру и т.п. Еще в хроме удалились все расширения и невозможно установить новые. Пишет "не удалось поместить каталог расширений в профиль".
Помогите, пожалуйста!
10.03.2017, 15:59
Info_bot

Уважаемый(ая) [B]AlexRo[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
11.03.2017, 11:22
regist

Здравствуйте!

- Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
TerminateProcessByName('C:\Users\Alex\appdata\roaming\gplyra\gplyra\gplyra.exe');
StopService('serverss');
QuarantineFileF('3A38910C54A0FD788DB489C87E3D2E31', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFileF(' C:\Users\Alex\appdata\roaming\gplyra\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFileF('c:\users\alex\appdata\local\hostinstaller', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
QuarantineFile('C:\WINDOWS\Temp\D072.tmp', '');
QuarantineFile('C:\Program Files (x86)\Qucight Monitor\local64spl.dll', '');
QuarantineFile('C:\Users\Alex\AppData\Local\Hostinstaller\2249212026_monster.exe', '');
QuarantineFile('C:\Users\Alex\appdata\roaming\gplyra\gplyra\gplyra.exe', '');
QuarantineFile('C:\Program Files (x86)\fff\uc.exe', '');
QuarantineFile(' C:\WINDOWS\System32\wbiosrvp.dll', '');
QuarantineFile('C:\Program Files\P8KRXM3DLE\FMXLDKFFJ.exe', '');
QuarantineFileF('C:\Users\Alex\AppData\Roaming\onsaleprofit', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.py, *.tmp*', true, '', 0, 0);
QuarantineFile('C:\Program Files\Intel\SUR\QUEENCREEK\task.vbs', '');
QuarantineFileF('C:\WINDOWS\System32\themctrl.dll', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
DeleteFile(' C:\WINDOWS\System32\wbiosrvp.dll');
DeleteFile('C:\Program Files\P8KRXM3DLE\FMXLDKFFJ.exe');
DeleteFile('C:\Users\Alex\appdata\roaming\gplyra\gplyra\gplyra.exe');
DeleteFile('C:\WINDOWS\Temp\D072.tmp', '32');
DeleteFile('C:\Program Files (x86)\Qucight Monitor\local64spl.dll', '32');
DeleteFile('C:\Users\Alex\AppData\Local\Hostinstaller\2249212026_monster.exe', '32');
ExecuteFile('schtasks.exe', '/delete /TN "onsaleprofit" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "onsaleprofit2" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Qopesshepesy" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Soft installer" /F', 0, 15000, true);
DeleteService('serverss');
DeleteFileMask('3A38910C54A0FD788DB489C87E3D2E31', '*', true);
DeleteFileMask('C:\Users\Alex\AppData\Roaming\onsaleprofit', '*', true);
DeleteFileMask('C:\WINDOWS\System32\themctrl.dll', '*', true);
DeleteFileMask('c:\users\alex\appdata\local\hostinstaller', '*', true);
DeleteDirectory('3A38910C54A0FD788DB489C87E3D2E31');
DeleteDirectory('C:\Users\Alex\AppData\Roaming\onsaleprofit');
DeleteDirectory('C:\WINDOWS\System32\themctrl.dll');
DeleteDirectory('c:\users\alex\appdata\local\hostinstaller');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

Skype Click to Call - советую деинсталируйте.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url]. Для [u]повторной[/u] диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

[LIST][*]Скачайте [B][URL="https://toolslib.net/downloads/finish/1/"]AdwCleaner[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
11.03.2017, 14:36
AlexRo

Добрый день!
Ссылка на virusdetector так и не пришла на почту, прошло уже более получаса...
Все остальное прикрепил и отправил по ссылкам.
11.03.2017, 16:17
regist

[quote="AlexRo;1439622"]CollectionLog-2017.03.10-14.52.zip
(89.1 Кб, 0 просмотров)[/quote]
Вы старый лог прикрепили, а надо было сделать и прикрепить свежий.
11.03.2017, 17:07
AlexRo

Очень странно, загружал новый. Переделал.
11.03.2017, 18:15
regist

[quote="AlexRo;1439641"]Переделал.[/quote]
Странно, но опять старый.

1) Давайте сделаем так. Удалите папку AutoLogger и сам AutoLogger.exe
2) Cкачайте свежий AutoLogger (он за это время успел обновиться) и сделайте свежие логи.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

+ заодно посмотрите, что у вас в папке
[CODE]C:\Program Files (x86)\fff\[/CODE]
11.03.2017, 18:38
AlexRo

Перекачал, прикрепил. Непонятную программу деинсталлировал. Не знаю даже что это было. При чем заметил странную вещь - так называемый UAC был отключен. Пришлось вручную включить.
11.03.2017, 18:54
regist

[CODE][B]Update_msi[/B] [20170310]-->MsiExec.exe /I{59B5A9CD-253D-4C41-A073-B387D4C9672D}
[/CODE]
Это что за программа? Если не знакома, то деинсталировать.

[CODE][B]WinSnare[/B] [20170311]-->MsiExec.exe /I{F173D6F1-284D-4B18-9F6E-57DDC05E34EA}
[/CODE]
Деинсталировать в обязательном порядке.

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFile('', '');
QuarantineFile('C:\Program Files (x86)\Qucight Monitor\local64spl.dll', '');
QuarantineFile('"C:\Program Files (x86)\MIO\MIO.exe" -bindurl http://api.suibianmaimaicom.com/st1000lm024xhn-m101mbb_s2wzj90c806363806363.dat cmd=', '');
QuarantineFileF('C:\Users\Alex\AppData\Roaming\WinSnare\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFile('C:\WINDOWS\System32\themctrl.dll', '');
QuarantineFile('C:\Users\Alex\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Приложения Chrome Canary\di.lnk', '');
QuarantineFileF('C:\Users\Alex\appdata\roaming\kyubey\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFile('C:\Users\Alex\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome Canary.lnk', '');
QuarantineFile('C:\Users\Alex\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Google Chrome Canary.lnk', '');
QuarantineFile('C:\Users\Alex\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Mail.Ru.lnk', '');
QuarantineFile('C:\Users\Alex\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk', '');
QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome.lnk', '');
QuarantineFile('C:\Users\Alex\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\Internet Explorer.lnk', '');
QuarantineFileF('C:\Users\Alex\AppData\Roaming\WinSAPSvc\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
DeleteFile('C:\WINDOWS\System32\themctrl.dll');
DeleteFile('C:\Program Files (x86)\Qucight Monitor\local64spl.dll', '32');
DeleteFile('"C:\Program Files (x86)\MIO\MIO.exe" -bindurl http://api.suibianmaimaicom.com/st1000lm024xhn-m101mbb_s2wzj90c806363806363.dat cmd=', '32');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Milimili" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "IQmanager" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "IQmanager2" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Uninstaller_SkipUac_Alex" /F', 0, 15000, true);
DeleteFileMask('C:\Users\Alex\AppData\Roaming\WinSnare\', '*', true);
DeleteFileMask('C:\Users\Alex\appdata\roaming\kyubey\', '*', true);
DeleteFileMask('C:\Users\Alex\AppData\Roaming\WinSAPSvc\', '*', true);
DeleteDirectory('C:\Users\Alex\AppData\Roaming\WinSnare\');
DeleteDirectory('C:\Users\Alex\appdata\roaming\kyubey\');
DeleteDirectory('C:\Users\Alex\AppData\Roaming\WinSAPSvc\');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Перетащите лог Check_Browsers_LNK.log на [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиту ClearLNK[/url]. Отчёт о работе прикрепите.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url]. Для [u]повторной[/u] диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

[LIST][*]Скачайте [B][URL="https://toolslib.net/downloads/finish/1/"]AdwCleaner[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
11.03.2017, 19:20
AlexRo

Update_msi не нашел в программах и компонентах.
Карантин avz отправил.
Остальное прикрепил.
11.03.2017, 20:32
regist

1) [quote="AlexRo;1439674"]Update_msi не нашел в программах и компонентах.[/quote]
Попройте тогда Windows + R ввести
[CODE]MsiExec.exe /I{59B5A9CD-253D-4C41-A073-B387D4C9672D}[/CODE]

2) [url=http://virusinfo.info/showthread.php?t=4491]Профиксите[/url] в HijackThis из папки ..\AutoLogger\HiJackThis

[CODE]O4 - HKCU\..\Run: [CPU_Control] C:\Program Files (x86)\CPU-Control\CPU_Control.exe (file missing)
O4 - HKCU\..\Run: [World of Tanks (1)] "D:\Games\Games\World_of_Tanks\WargamingGameUpdater.exe" (file missing)
O4 - HKCU\..\Run: [World of Tanks (2)] "C:\Games\World_of_Tanks_CT\WargamingGameUpdater.exe" (file missing)
O4 - HKCU\..\Run: [World of Tanks (3)] "D:\Local\Wot\WargamingGameUpdater.exe" (file missing)
O4 - HKCU\..\StartupApproved\Run: [VKMusic] C:\Users\Alex\AppData\Roaming\VKMusic\VKMusic\VKMusic.exe (2017/01/05) (file missing)
O22 - Task (Ready): MSIAfterburner - C:\Program Files (x86)\MSI Afterburner\MSIAfterburner.exe /s (file missing)
[/CODE]

3) [LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner[/B][/COLOR] (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]).[*]В меню [b]Tools[/b] ->[b]Options [/b] ([b]Инструменты[/b] ->[b]Настройки[/b]) отметьте:
[list][*]Сброс политик IE[*]Сброс политик Chrome[/list][*]Нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]), а по окончанию сканирования нажмите кнопку [B]"Cleaning"[/B] ([B]"Очистка"[/B]) и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[C0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].
11.03.2017, 21:00
AlexRo

[ATTACH=CONFIG]656586[/ATTACH] Вот что пишет при попытке вбить ваш код в Win+R. Скорее всего этой программы уже нет.
А чем опасен апдейтер танков?
Отчет прикрепил.
11.03.2017, 22:07
regist

что с проблемой?
11.03.2017, 22:14
AlexRo

Вроде бы ничего не вылазит, но расширения к хрому так и не устанавливаются...

upd: Все, я поправил это просто удалением пользователя, а потом его снова добавил.

Спасибо вам за помощь, в очередной раз вы меня выручаете)
11.03.2017, 23:20
regist

[LIST][*]Пожалуйста, запустите adwcleaner.exe[*]Нажмите File ([B]Файл[/B]) [B]Uninstall[/B] ([B]Деинсталлировать[/B]).[*]Подтвердите удаление нажав кнопку: Да.[/LIST]

Выполните скрипт в AVZ при наличии доступа в интернет:

[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]
13.03.2017, 11:20
AlexRo

Снова появилась программа Winshare. При чем контроль учетных записей работает постоянно. Установился еще какой-то ридер RSS. Видимо не до конца все искоренилось.
14.03.2017, 09:55
regist

Либо снова запустили какую-то дрянь.

Удалите старую папку AutoLogger и сам AutoLogger.exe и сделайте свежие логи по правилам.
14.03.2017, 15:38
AlexRo

Возможно вы правы. UAC почему-то снова был отключен... Как и антивирус.
14.03.2017, 21:12
regist

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
SetServiceStart('Kyubey', 4);
StopService('Kyubey');
QuarantineFile('C:\Program Files (x86)\Qucight Monitor\local64spl.dll', '');
QuarantineFile('C:\Program Files (x86)\MIO\MIO.exe', '');
QuarantineFileF('C:\Users\Alex\AppData\Roaming\Kyubey\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFile('C:\Users\Alex\AppData\Roaming\WinSnare\WinSnare.dll', '');
QuarantineFile('C:\Users\Alex\AppData\Roaming\Kyubey\Kyubey.exe', '');
QuarantineFileF('C:\Users\Alex\AppData\Roaming\WinSAPSvc\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFileF('C:\Users\Alex\AppData\Roaming\WinSnare\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFileF('C:\Program Files (x86)\MIO\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
DeleteFile('C:\Program Files (x86)\Qucight Monitor\local64spl.dll', '32');
DeleteFile('C:\Users\Alex\AppData\Roaming\Kyubey\Kyubey.exe', '32');
DeleteFile('C:\Users\Alex\AppData\Roaming\WinSnare\WinSnare.dll', '32');
DeleteFile('C:\Program Files (x86)\MIO\MIO.exe', '32');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Milimili" /F', 0, 15000, true);
DeleteService('Kyubey');
DeleteFileMask('C:\Users\Alex\AppData\Roaming\Kyubey\', '*', true);
DeleteFileMask('C:\Users\Alex\AppData\Roaming\WinSAPSvc\', '*', true);
DeleteFileMask('C:\Users\Alex\AppData\Roaming\WinSnare\', '*', true);
DeleteFileMask('C:\Program Files (x86)\MIO\', '*', true);
DeleteDirectory('C:\Users\Alex\AppData\Roaming\Kyubey\');
DeleteDirectory('C:\Users\Alex\AppData\Roaming\WinSAPSvc\');
DeleteDirectory('C:\Users\Alex\AppData\Roaming\WinSnare\');
DeleteDirectory('C:\Program Files (x86)\MIO\');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\WinSAPSvc\Parameters', 'ServiceDll');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\WinSnare\Parameters', 'ServiceDll');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url]. Для [u]повторной[/u] диагностики запустите снова Autologger.

[LIST][*]Скачайте [B][URL="https://toolslib.net/downloads/finish/1/"]AdwCleaner[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
14.03.2017, 23:48
AlexRo

Добрый вечер!

Карантин не могу отправить - пишет "Ошибка загрузки. Данный файл уже был загружен"
Остальное прикрепил.
15.03.2017, 12:22
regist

[url=http://virusinfo.info/showthread.php?t=4491]Профиксите[/url] в HijackThis из папки ..\AutoLogger\HiJackThis

[CODE]O4 - HKCU\..\Run: [World of Tanks (2)] "C:\Games\World_of_Tanks_CT\WargamingGameUpdater.exe" (file missing)
O22 - Task (Ready): Milimili - C:\Program Files (x86)\MIO\MIO.exe -bindurl http://api.suibianmaimaicom.com/st1000lm024xhn-m101mbb_s2wzj90c806363806363.dat cmd=
O22 - Task (Ready): OneDrive Standalone Update Task - C:\Users\Alex\AppData\Local\Microsoft\OneDrive\17.3.6517.0809\OneDriveStandaloneUpdater.exe (file missing)
[/CODE]

[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner[/B][/COLOR] (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]).[*]В меню [b]Tools[/b] ->[b]Options [/b] ([b]Инструменты[/b] ->[b]Настройки[/b]) отметьте:
[list][*]Сброс политик IE[*]Сброс политик Chrome[/list][*]Нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]), а по окончанию сканирования нажмите кнопку [B]"Cleaning"[/B] ([B]"Очистка"[/B]) и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[C0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].

[url=http://virusinfo.info/showthread.php?t=121767][b]Сделайте полный образ автозапуска uVS[/b][/url], только программу скачайте [url=https://yadi.sk/d/6A65LkI1WEuqC]отсюда.[/url]
15.03.2017, 14:03
AlexRo

Добрый день!

Снова отключается UAC. Сразу после перезагрузки.

Снова открываются не мной установленные стартовые страницы.
15.03.2017, 15:18
regist

Лог uVS сейчас посмотрю, а пока сделайте свежий лог сканирования AdwCleaner-ом.
15.03.2017, 15:33
AlexRo

Свежий лог.
15.03.2017, 15:44
regist

[url=http://virusinfo.info/showthread.php?t=121767&p=897827&viewfull=1#post897827]Выполните скрипт в uVS[/url] и пришлите карантин

[CODE];uVS v3.87.9 [http://dsrt.dyndns.org]
;Target OS: NTv10.0
v388c
BREG
delref %SystemDrive%\USERS\POSTGRES\APPDATA\LOCAL\MICROSOFT\ONEDRIVE\17.3.6281.1202\FILECOAUTH.EXE
delref %SystemDrive%\USERS\POSTGRES\APPDATA\LOCAL\MICROSOFT\ONEDRIVE\ONEDRIVE.EXE
deldir %SystemDrive%\PROGRAMDATA\0655A6C7-4FC7-0
deldir %SystemDrive%\PROGRAMDATA\0655A6C7-6897-1
delall HTTP://MAIL.RU/CNT/10445?GP=821589
zoo %SystemDrive%\PROGRAM FILES (X86)\ADOBE\ADOBE CREATIVE CLOUD\CCXPROCESS\JS\MAIN.JS
delref %SystemDrive%\PROGRAM FILES (X86)\DROPBOX\UPDATE\1.3.35.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\DROPBOX\UPDATE\1.3.51.1\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\DROPBOX\UPDATE\1.3.57.1\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.1\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.1\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.30.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.30.3\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\IOBIT\IOBIT UNINSTALLER\IOBITUNINSTALER.EXE
delref %SystemDrive%\USERS\ALEX\APPDATA\LOCAL\GOOGLE\UPDATE\1.3.29.1\PSUSER.DLL
delref %SystemDrive%\USERS\ALEX\APPDATA\LOCAL\GOOGLE\UPDATE\1.3.29.1\PSUSER_64.DLL
delref %SystemDrive%\USERS\ALEX\APPDATA\LOCAL\GOOGLE\UPDATE\1.3.29.5\PSUSER.DLL
delref %SystemDrive%\USERS\ALEX\APPDATA\LOCAL\GOOGLE\UPDATE\1.3.29.5\PSUSER_64.DLL
delref %SystemDrive%\USERS\ALEX\APPDATA\LOCAL\GOOGLE\UPDATE\1.3.30.3\PSUSER.DLL
delref %SystemDrive%\USERS\ALEX\APPDATA\LOCAL\GOOGLE\UPDATE\1.3.30.3\PSUSER_64.DLL
delref %SystemDrive%\USERS\ALEX\APPDATA\LOCAL\GOOGLE\UPDATE\1.3.31.6\PSUSER.DLL
delref %SystemDrive%\USERS\ALEX\APPDATA\LOCAL\GOOGLE\UPDATE\1.3.31.6\PSUSER_64.DLL
delref %SystemDrive%\USERS\POSTGRES\APPDATA\LOCAL\GOOGLE\UPDATE\1.3.29.1\PSUSER.DLL
delref %SystemDrive%\USERS\POSTGRES\APPDATA\LOCAL\GOOGLE\UPDATE\1.3.29.5\PSUSER.DLL
delref %SystemDrive%\USERS\POSTGRES\APPDATA\LOCAL\GOOGLE\UPDATE\1.3.30.3\PSUSER.DLL
delref %SystemDrive%\USERS\POSTGRES\APPDATA\LOCAL\GOOGLE\UPDATE\1.3.31.5\PSUSER.DLL
delref %SystemDrive%\USERS\POSTGRES\APPDATA\LOCAL\GOOGLE\UPDATE\1.3.32.7\PSUSER.DLL
delref %SystemDrive%\USERS\POSTGRES\APPDATA\LOCAL\GOOGLE\UPDATE\1.3.29.1\NPGOOGLEUPDATE3.DLL
delall HTTP://WWW.STARTPAGEING123.COM/?TYPE=HP&TS=1489574826&Z=DFD46FF812A630891ECEE4BG6ZCB4T8W3M4Z1B4ODZ&FROM=CHE0812&UID=ST1000LM024XHN-M101MBB_S2WZJ90C806363806363
delref %SystemDrive%\USERS\ALEX\APPDATA\LOCAL\GOOGLE\UPDATE\1.3.29.1\GOOGLEUPDATEONDEMAND.EXE
delref %SystemDrive%\USERS\POSTGRES\APPDATA\LOCAL\MICROSOFT\ONEDRIVE\17.3.6281.1202\FILESYNCSHELL.DLL
delref %SystemDrive%\USERS\POSTGRES\APPDATA\LOCAL\MICROSOFT\ONEDRIVE\17.3.6743.1212\FILESYNCSHELL.DLL
czoo
restart[/CODE]

Сделайте свежий образ автозапуска.

+ посмотрите расширения в Хроме, все сами ставили?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

+ WinSnare и amulesw - деинсталируйте.
15.03.2017, 16:12
AlexRo

Вложений: 1

Расширения устанавливал я, только гугловские установились изначально когда скачивал браузер.
Образ сделал, проги удалил.
15.03.2017, 19:03
regist

[url=http://virusinfo.info/showthread.php?t=121767&p=897827&viewfull=1#post897827]Выполните скрипт в uVS[/url]
[CODE];uVS v3.87.9 [http://dsrt.dyndns.org]
;Target OS: NTv10.0
v388c
BREG
delall %SystemDrive%\PROGRAMDATA\0655A6C7-4FC7-0\0655A6C7-4FC7-0.D
delall %SystemDrive%\PROGRAMDATA\0655A6C7-6897-1\0655A6C7-6897-1.D
restart[/CODE]

[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner[/B][/COLOR] (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]).[*]В меню [b]Tools[/b] ->[b]Options [/b] ([b]Инструменты[/b] ->[b]Настройки[/b]) отметьте:
[list][*]Сброс очереди BITS[/list][*]Нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]), а по окончанию сканирования нажмите кнопку [B]"Cleaning"[/B] ([B]"Очистка"[/B]) и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[C0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].
15.03.2017, 19:23
AlexRo

Вложений: 1

Скрипт выполнил, отчет прикрепил.
15.03.2017, 22:16
regist

[LIST][*]Пожалуйста, запустите adwcleaner.exe[*]Нажмите File ([B]Файл[/B]) [B]Uninstall[/B] ([B]Деинсталлировать[/B]).[*]Подтвердите удаление нажав кнопку: Да.[/LIST]

что с проблемой?

Для надежности сделайте ещё

- Сделайте лог [url=http://virusinfo.info/showpost.php?p=457118&postcount=1]полного сканирования MBAM.[/url]
15.03.2017, 22:27
AlexRo

Вложений: 1

Не хотят они покидать меня:(
15.03.2017, 23:20
regist

Удалите всё найденное в MBAM и проверьте проблему.
16.03.2017, 13:46
AlexRo

МБАМ После перезагрузки все равно нашел один недочет в реестре. Что-то мне подсказывает что что-то вылезет скоро.
Но пока что ничего зловредного нет.
16.03.2017, 18:48
regist

MBAM деинсталируйте.

Выполните скрипт в AVZ при наличии доступа в интернет:

[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]
16.03.2017, 18:56
AlexRo

AVZ пишет:
[QUOTE]Часто используемые уязвимости не найдены. Скрипт выполнен успешно[/QUOTE]
16.03.2017, 19:06
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]