Не могу удалить вирус MPC Cleaner!

Компьютер заражен вирусом MPC Cleaner. Я удалила папку MPC Cleaner из Program Files при помощи программ Unlocker и IObit Unlocker.
После перезагрузки компьютера в папке C:\Windows\System32\drivers появляются файлы MPCBase.sys и MPCKpt.sys.
В реестре осталась папка MPC, но ее удалить не получается даже если захожу под учетной записью Администратора и пытаюсь присвоить себе полные права на нее. Мне все равно "Отказано в доступе".
Также в диспетчере задач есть служба MPC Core Protect Service, в свойствах стоит автоматический запуск, изменить что-либо в них я не могу - "Отказано в доступе".
Пожалуйста, помогите!

Уважаемый(ая) [B]Byba[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Деинсталлируйте:

[QUOTE]Кнопка "Яндекс" на панели задач
Служба автоматического обновления программ[/QUOTE]

[B][COLOR="#FF0000"]Внимание![/COLOR][/B] Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе [url=http://virusinfo.info/forumdisplay.php?f=46]Лечение компьютерных вирусов[/url] и выполните [url=http://virusinfo.info/content.php?r=136-pravila]Правила оформления запроса о помощи[/url].

Здравствуйте!

Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].

[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):

[CODE]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteService('{9edd0ea8-2819-47c2-8320-b007d5996f8a}Gw');
DeleteService('TSSYSKIT');
DeleteService('TSSK');
DeleteService('tsnethlp');
DeleteService('TSKSP');
DeleteService('softaal');
DeleteService('QQSysMon');
DeleteService('QQPCHelper');
DeleteService('QMUdisk');
DeleteService('QMIEProtect');
StopService('TAOKernelDriver');
StopService('TSDefenseBt');
DeleteService('TSDefenseBt');
DeleteService('TAOKernelDriver');
StopService('MPCKpt');
StopService('MPCBase');
DeleteService('MPCKpt');
DeleteService('MPCBase');
DeleteService('MPCProtectService');
DeleteFile('C:\Program Files\MPC Cleaner\MPCProtectService.exe','32');
DeleteFile('C:\windows\System32\drivers\MPCBase.sys','32');
DeleteFile('C:\windows\system32\DRIVERS\MPCKpt.sys','32');
DeleteFile('C:\windows\system32\Drivers\TAOKernel.sys','32');
DeleteFile('C:\windows\system32\DRIVERS\TSDefenseBt.sys','32');
DeleteFile('C:\windows\system32\drivers\{9edd0ea8-2819-47c2-8320-b007d5996f8a}Gw.sys','32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\TSSysKit.sys','32');
DeleteFile('C:\windows\system32\tssk.sys','32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\TsNetHlp.sys','32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\TSKsp.sys','32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\softaal.sys','32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\QQSysMon.sys','32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\QQPCHelper.sys','32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\QMUdisk.sys','32');
DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\QMIEProtect.sys','32');
DeleteFile('C:\ProgramData\service.exe','32');
ClearHostsFile;
ExecuteSysClean;
BC_ImportAll;
RebootWindows(false);
end.

[/CODE]

[B]Внимание![/B] Будет выполнена перезагрузка компьютера.

[URL="http://virusinfo.info/showthread.php?t=165835"]Пофиксите[/URL] следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

[CODE]
O3 - HKLM\..\Toolbar: (no name) - {8E5E2654-AD2D-48bf-AC2D-D17F00898D06} - (no file)
O17 - HKLM\System\CCS\Services\Tcpip\..\{340370B8-7078-47AE-98FA-7F509EE2EF32}: NameServer = 104.197.191.4
O17 - HKLM\System\CCS\Services\Tcpip\..\{3610DEE3-E5DA-4CA4-9BB2-109CC1E458A0}: NameServer = 104.197.191.4
O17 - HKLM\System\CCS\Services\Tcpip\..\{361AF10E-BF23-47BC-9BD3-7E2EA06B49A1}: NameServer = 104.197.191.4
O17 - HKLM\System\CCS\Services\Tcpip\..\{6A70D64E-BBDB-4DA5-96E3-1C2D2CB829A7}: NameServer = 104.197.191.4
O17 - HKLM\System\CCS\Services\Tcpip\..\{87B73DB1-1248-4932-ACDD-C6F449C92B23}: NameServer = 104.197.191.4
O17 - HKLM\System\CCS\Services\Tcpip\..\{95F91239-7687-46A6-8C14-A079915B7817}: NameServer = 104.197.191.4
O17 - HKLM\System\CCS\Services\Tcpip\..\{A22FD571-3710-49EB-A7D6-EA542B79E2D2}: NameServer = 104.197.191.4
O17 - HKLM\System\CCS\Services\Tcpip\..\{DA28D320-B1A9-4D28-9288-AE909B848138}: NameServer = 104.197.191.4
O17 - HKLM\System\CCS\Services\Tcpip\..\{F9697038-F5C6-46FA-9531-788FA8E5391A}: NameServer = 104.197.191.4
O17 - HKLM\System\CCS\Services\Tcpip\..\{e29ac6c2-7037-11de-816d-806e6f6e6963}: NameServer = 104.197.191.4
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{340370B8-7078-47AE-98FA-7F509EE2EF32}: NameServer = 104.197.191.4
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{3610DEE3-E5DA-4CA4-9BB2-109CC1E458A0}: NameServer = 104.197.191.4
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{361AF10E-BF23-47BC-9BD3-7E2EA06B49A1}: NameServer = 104.197.191.4
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{6A70D64E-BBDB-4DA5-96E3-1C2D2CB829A7}: NameServer = 104.197.191.4
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{87B73DB1-1248-4932-ACDD-C6F449C92B23}: NameServer = 104.197.191.4
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{95F91239-7687-46A6-8C14-A079915B7817}: NameServer = 104.197.191.4
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{A22FD571-3710-49EB-A7D6-EA542B79E2D2}: NameServer = 104.197.191.4
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{DA28D320-B1A9-4D28-9288-AE909B848138}: NameServer = 104.197.191.4
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{F9697038-F5C6-46FA-9531-788FA8E5391A}: NameServer = 104.197.191.4
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{e29ac6c2-7037-11de-816d-806e6f6e6963}: NameServer = 104.197.191.4
[/CODE]

Если после фикса пропадет Интернет, впишите в настройки DNS адреса, выданные Вам провайдером (см. договор или звоните в их техподдержку).

Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url]

Все сделала!

[LIST=1][*]Скачайте [B][URL="https://toolslib.net/downloads/viewdownload/1"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/7/8/8.1/10[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Сканировать"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].

Сделано!

[LIST=1][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR] (в ОС [B]Windows Vista/7/8/8.1/10[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B], а по окончанию сканирования нажмите кнопку "[B]Очистить[/B]" ("[B]Clean[/B]") и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[C0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].

Сделано!

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list=1][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что под окном [b]Optional Scan[/b] отмечены [i]"List BCD"[/i], [i]"Driver MD5"[/i] и [i]"90 Days Files"[/i].[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]http://i.imgur.com/3munStB.png[/img]

Готово!

[B][COLOR="#FF0000"]ВНИМАНИЕ![/COLOR][/B] Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

[list=1][*][URL="https://clck.ru/9knjD"][B]Временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].[*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
CloseProcesses:
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Restriction <==== ATTENTION
GroupPolicy: Restriction - Chrome <==== ATTENTION
GroupPolicy\User: Restriction ? <==== ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
FF Extension: (No Name) - C:\Users\Любочка\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2016-01-26] [not signed]
C:\Users\Любочка\AppData\Local\Google\Chrome\User Data\Default\Extensions\fgikemaeelgbhjnhnnahcpkjpafaeion
C:\Users\Любочка\AppData\Local\Google\Chrome\User Data\Default\Extensions\ooebklgpfnbcnpokahmdidgbmlcdepkm
C:\Users\Любочка\AppData\Local\Google\Chrome\User Data\Default\Extensions\ppoilmfkbpckodoifdlkmkepcajfjmhl
C:\Users\Любочка\AppData\Roaming\Opera Software\Opera Stable\Extensions\fgikemaeelgbhjnhnnahcpkjpafaeion
S2 MPCProtectService; "C:\Program Files\MPC Cleaner\MPCProtectService.exe" [X] <==== ATTENTION
R0 MPCBase; C:\windows\System32\drivers\MPCBase.sys [29032 2017-12-18] (DotC United Inc) <==== ATTENTION
R1 MPCKpt; C:\windows\System32\DRIVERS\MPCKpt.sys [52968 2017-12-18] (DotC United Inc) <==== ATTENTION
C:\windows\System32\DRIVERS\MPCKpt.sys
C:\windows\System32\drivers\MPCBase.sys
S3 TAOAccelerator; \??\C:\windows\system32\Drivers\TAOAccelerator.sys [X]
S3 TFsFlt; system32\Drivers\TFsFlt.sys [X]
S0 TsFltMgr; system32\drivers\TsFltMgr.sys [X]
S1 {9edd0ea8-2819-47c2-8320-b007d5996f8a}w; system32\drivers\{9edd0ea8-2819-47c2-8320-b007d5996f8a}w.sys [X]
2012-12-10 16:03 - 2012-12-10 16:03 - 000033134 _____ () C:\Users\Любочка\AppData\Roaming\UserTile.png
2011-01-15 13:22 - 2011-01-15 13:22 - 000012407 _____ () C:\Users\Любочка\AppData\Local\Bron.tok.A12.em.bin
2010-07-26 17:29 - 2014-01-21 16:25 - 000008704 _____ () C:\Users\Любочка\AppData\Local\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini
2011-01-15 13:13 - 2011-01-15 13:13 - 000000051 _____ () C:\Users\Любочка\AppData\Local\Kosong.Bron.Tok.txt
2011-01-15 13:07 - 2011-01-15 13:07 - 000012407 _____ () C:\Users\Любочка\AppData\Local\ListHost12.txt
2010-09-29 14:54 - 2010-09-29 14:54 - 000140288 _____ (GnuWin32 <http://gnuwin32.sourceforge.net>) C:\Users\Любочка\AppData\Local\pcre3.dll
2017-12-13 21:27 - 2017-12-13 21:27 - 000000017 _____ () C:\Users\Любочка\AppData\Local\resmon.resmoncfg
2011-01-15 13:36 - 2011-01-15 13:36 - 000012407 _____ () C:\Users\Любочка\AppData\Local\Update.12.Bron.Tok.bin
ContextMenuHandlers6: [QMContextUninstall] -> {CBDECEF7-7A29-4cbf-A009-2673D82C7BF9} => -> No File
Task: {516F54DC-8F80-47D3-BA2C-FAECDCB72E28} - \Tonjua -> No File <==== ATTENTION
EmptyTemp:
[/code][*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[*][B][COLOR="Blue"]Внимание![/COLOR][/B] Если на рабочем столе будет создан архив [b]Дата_время.zip[/b], то загрузите этот архив через [url=http://virusinfo.info/upload_virus.php?tid=37678]данную форму[/url][/list]

Сделала! Архив не был создан.

Повторите логи frst.txt, addition.txt

Повторила!

Крепкий орешек

Скачайте ComboFix [url=http://download.bleepingcomputer.com/sUBs/ComboFix.exe]здесь[/url] и сохраните в корень диска С.

1. [color=red]Внимание![/color] Обязательно закройте все браузеры, [URL="http://virusinfo.info/showthread.php?t=130828"]временно выключите антивирус, firewall и другое защитное программное обеспечение[/URL]. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.

2. Запустите [b]combofix.exe[/b], когда процесс завершится, скопируйте текст из [b]C:\ComboFix.txt[/b] и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe. Например: temp.exe

Подробнее в [url=https://clck.ru/CPY4F]"ComboFix. Руководство по применению."[/url]

Не то слово, я уже замучилась с ним.

Так, я скачала Combofix в папку C и запустила. Сначала все по инструкции идет, потом, в момент когда запускается синее окошко, вылезает ошибка. Я прикрепила принт скрин. Если нажать "да" - программа сама удаляется из папки и ничего не происходит. Если нажать "нет" - программа в папке остается, но все равно ничего не происходит дальше. Я пробовала переименовать файл - та же история.

Попробуйте в безопасном режиме запустить утилиту.

Не получается, та же ошибка

[NOTICE]Скрипт выполняйте в безопасном режиме![/NOTICE]

[B][COLOR="#FF0000"]ВНИМАНИЕ![/COLOR][/B] Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

[list=1][*][URL="https://clck.ru/9knjD"][B]Временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].[*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
S2 MPCProtectService; "C:\Program Files\MPC Cleaner\MPCProtectService.exe" [X] <==== ATTENTION
R0 MPCBase; C:\windows\System32\drivers\MPCBase.sys [29032 2017-12-18] (DotC United Inc) <==== ATTENTION
R1 MPCKpt; C:\windows\System32\DRIVERS\MPCKpt.sys [52968 2017-12-18] (DotC United Inc) <==== ATTENTION
C:\windows\System32\drivers\MPCBase.sys
C:\windows\System32\DRIVERS\MPCKpt.sys
2017-12-18 23:33 - 2017-12-18 23:33 - 000052968 _____ (DotC United Inc) C:\windows\system32\Drivers\MPCKpt.sys
2017-12-18 23:33 - 2017-12-18 23:33 - 000029032 _____ (DotC United Inc) C:\windows\system32\Drivers\MPCBase.sys
2012-12-10 16:03 - 2012-12-10 16:03 - 000033134 _____ () C:\Users\Любочка\AppData\Roaming\UserTile.png
2011-01-15 13:22 - 2011-01-15 13:22 - 000012407 _____ () C:\Users\Любочка\AppData\Local\Bron.tok.A12.em.bin
2010-07-26 17:29 - 2014-01-21 16:25 - 000008704 _____ () C:\Users\Любочка\AppData\Local\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini
2011-01-15 13:13 - 2011-01-15 13:13 - 000000051 _____ () C:\Users\Любочка\AppData\Local\Kosong.Bron.Tok.txt
2011-01-15 13:07 - 2011-01-15 13:07 - 000012407 _____ () C:\Users\Любочка\AppData\Local\ListHost12.txt
2010-09-29 14:54 - 2010-09-29 14:54 - 000140288 _____ (GnuWin32 <http://gnuwin32.sourceforge.net>) C:\Users\Любочка\AppData\Local\pcre3.dll
2017-12-13 21:27 - 2017-12-13 21:27 - 000000017 _____ () C:\Users\Любочка\AppData\Local\resmon.resmoncfg
2011-01-15 13:36 - 2011-01-15 13:36 - 000012407 _____ () C:\Users\Любочка\AppData\Local\Update.12.Bron.Tok.bin
ContextMenuHandlers3: [QMContextUninstall] -> {CBDECEF7-7A29-4cbf-A009-2673D82C7BF9} => -> No File
EmptyTemp:
Reboot:
[/code][*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[*][B][COLOR="Blue"]Внимание![/COLOR][/B] Если на рабочем столе будет создан архив [b]Дата_время.zip[/b], то загрузите этот архив через [url=http://virusinfo.info/upload_virus.php?tid=37678]данную форму[/url][/list]

После выполнения скрипта сделайте новые логи из обычного режима.

Все сделала!

[list=1][*]Скачайте [B][url=http://swandog46.geekstogo.com/avenger2/download.php]Avenger by Swandog46[/url][/B] и распакуйте на рабочий стол.[*]Запустите [B]Avenger[/B] от имени Администратора, скопируйте и вставьте текст ниже в окно выполнения скрипта
[code]
Drivers to disable:
MPCBase
MPCKpt

Drivers to delete:
MPCBase
MPCKpt
MPCProtectService

Files to delete:
C:\windows\system32\Drivers\MPCKpt.sys
C:\windows\system32\Drivers\MPCBase.sys

Folders to delete:

Registry values to delete:

Registry keys to delete:
[/code]

[I][color=red]Примечание: Скрипт создан специально для этого пользователя. Если скрипт сформирован не для вас, не используйте данный скрипт, это может повредить вашей системе.[/color][/I][*]Нажмите [B]Execute[/B] и подтвердите, нажав [B]Yes[/B] [*]Avenger автоматически выполнит следующее:[list][*]Перезагрузит компьютер (в случае если скрипт содержит [B]Drivers to Delete[/B], Avenger перезагрузит компьютер [B]дважды[/B])[*]При перезагрузке кратковременно появится черное окно, это нормально[*]После перезагрузки будет создан лог файл C:\avenger.txt с результатами работы Avenger.[*]Avenger также сохранит удаляемые файлы в архиве [B]C:\avenger\backup.zip[/B].[/list][*]Прикрепите содержимое файла [B]c:\avenger.txt[/B] в следующее сообщение.[/list]

Готово!
Файлы MPCBase.sys и MPCKpt.sys больше не появляются, службы MPC Core Protect Service в диспетчере задач тоже нет.
В реестре остались папки
HKEY_LOCAL_MACHINE\SOFTWARE\MPC,
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_MPCBASE, HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_MPCKPT

Еще раз для контроля сделайте логи FRST.txt, Addition.txt

+ Откройте AVZ - сервис - поиск данных в реестре. В поле "образец" впишите MPC, нажмите "пуск" после окончания сохраните протокол и выложите сюда.

Сделала

В AVZ отметьте для удаления только указанные ниже строки:

[CODE]
HKEY_LOCAL_MACHINE\SOFTWARE\MPC\ =
HKEY_LOCAL_MACHINE\SOFTWARE\MPC\Location = C:\Program Files\MPC Cleaner
HKEY_LOCAL_MACHINE\SOFTWARE\MPC\mpcssp =
HKEY_LOCAL_MACHINE\SOFTWARE\MPC\mpchpl =
[/CODE]

Будьте внимательны!

[QUOTE]HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_MPCBASE, HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\ LEGACY_MPCKPT[/QUOTE]
Эти ключи реестра тоже можно удалить.

[list][*]Скачайте отсюда [url="https://www.malwarebytes.org/mwb-download/"]Malwarebytes' Anti-Malware[/url] или с [url="https://clck.ru/AvWPo"]зеркала[/url]. [*]Установите MBAM с настройками по умолчанию.[*]После установки в главном окне программы, выберите "[B]Параметры[/B]".[*]В параметрах перейдите на вкладку "[B]Личный кабинет[/B]" и нажмите на кнопку "[B]Деактивировать ознакомительную премиум версию[/B]".[*]При появлении окошка предупреждения, нажмите "[B]Yes[/B]".[*]Обновите базы, выберите "[b]Проверка[/b]" => "[B]Выборочное сканирование[/B]", нажмите "[b]Настроить сканирование[/b]".[*]Сделайте настройки как показано на рисунке ниже:

[img]http://i.imgur.com/Yx93IoF.png[/img]
[*]Для сканирование отметьте все доступные диски и нажмите "[B]Запустить проверку[/B]"

[B][COLOR="Red"]Самостоятельно ничего не удаляйте!!![/COLOR][/B].

[*]По окончанию проверки, нажмите на кнопку "[b]Сохранить результаты проверки[/b]", результат проверки сохраните в текстовой файл.[*]Сохраните лог на рабочий стол. [*]Прикрепите этот лог к следующему вашему сообщению.[/list]

Я не успеваю завершить проверку: уезжаю на праздники.
Спасибо большое за помощь! Счастливого Нового года и Рождества!

[QUOTE]Результат: Отменено
[/QUOTE]
Нужна полная проверка.

[QUOTE]Я не успеваю завершить проверку: уезжаю на праздники.[/QUOTE]
Продолжим позже.

[QUOTE]Спасибо большое за помощь! Счастливого Нового года и Рождества![/QUOTE]
Спасибо. Вас тоже с Наступающим Новым годом.

Здравствуйте! Проверку выполнила

В MBAM поместите в карантин все найденное. После этого сделайте лог быстрого сканирования.

А сканирование мне надо сделать в МВАМ? Там быстрая проверка доступна только для премиум версии

Тогда сделайте выборочную проверку, но для проверки отметьте только диск С.

Сделано

[QUOTE]Файл: 5
Worm.Brontok.Generic, C:\USERS\Любочка\APPDATA\LOCAL\KOSONG.BRON.TOK.TXT, Проигнорировано пользователем, [2639], [370222],1.0.3669
Worm.Brontok.Generic, C:\USERS\Любочка\APPDATA\LOCAL\BRON.TOK.A12.EM.BIN, Проигнорировано пользователем, [2639], [370222],1.0.3669
Worm.Brontok.Generic, C:\USERS\Любочка\APPDATA\LOCAL\UPDATE.12.BRON.TOK.BIN, Проигнорировано пользователем, [2639], [370222],1.0.3669
PUP.Optional.Dsrlte, C:\USERS\Любочка\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\NAHD6HA2.DEFAULT\SEARCHPLUGINS\DSRLTE1.XML, Проигнорировано пользователем, [12782], [237957],1.0.3669
PUP.Optional.HijackHosts.Gen, C:\WINDOWS\SYSTEM32\EQIL\FANM\POC.DAT, Проигнорировано пользователем, [14708], [301768],1.0.3669
[/QUOTE]
Это удалите.

[LIST][*]Для профилактики и защиты от повторных заражений загрузите [B]SecurityCheck by glax24[/B] [URL="https://clck.ru/9aDKp"]отсюда[/URL] и сохраните утилиту на [I]Рабочем столе[/I][*]Запустите двойным щелчком мыши (если Вы используете [I]Windows XP[/I]) или из меню по щелчку правой кнопки мыши [I]Запустить от имени администратора[/I] (если Вы используете [I]Windows Vista/7[/I])[*]Если увидите [U]предупреждение от вашего фаервола[/U] относительно программы SecurityCheck, не блокируйте ее работу.[*]Дождитесь окончания сканирования, откроется лог в блокноте с именем [B]SecurityCheck.txt[/B];[*]Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем [I]SecurityCheck[/I], например [I][COLOR="Blue"]C:\SecurityCheck\SecurityCheck.txt[/COLOR][/I][*]Прикрепите отчет в вашей теме[/LIST]

Готово!

[QUOTE]---------------------------- [ Antivirus_WMI ] ----------------------------
Microsoft Security Essentials (выключен и обновлен)
--------------------------- [ FirewallWindows ] ---------------------------
Брандмауэр Windows (MpsSvc) - Служба работает
--------------------------- [ AntiSpyware_WMI ] ---------------------------
Microsoft Security Essentials (выключен и обновлен)
Windows Defender (выключен и обновлен)
---------------------- [ AntiVirusFirewallInstall ] -----------------------
Microsoft Security Essentials v.4.8.204.0
[/QUOTE]
Установите антивирус, либо включите текущий антивирус. В противном случае от почтового червя Brontok будет проблематично избавится.

VLC media player v.2.1.5 [color=red][b]Внимание! [url=http://www.videolan.org/vlc/download-windows.ru.html]Скачать обновления[/url][/b][/color]
Java 8 Update 40 v.8.0.400 [color=red][b]Внимание! [url=http://www.oracle.com/technetwork/java/javase/downloads/jre8-downloads-2133155.html]Скачать обновления[/url][/b][/color]
[color=blue][b]^Удалите старую версию и установите новую (jre-8u152-windows-i586.exe)^[/b][/color]
--------------------------- [ AppleProduction ] ---------------------------
iTunes v.12.3.2.35 [color=red][b]Внимание! [url=https://www.apple.com/ru/itunes/download/]Скачать обновления[/url][/b][/color]
[color=blue][b]^Для проверки новой версии используйте приложение Apple Software Update^[/b][/color]
Adobe Flash Player 24 ActiveX v.24.0.0.194 [color=red][b]Внимание! [url=http://download.macromedia.com/pub/flashplayer/latest/help/install_flash_player_ax.exe]Скачать обновления[/url][/b][/color]
Adobe Flash Player 28 PPAPI v.28.0.0.137 [b][+][/b]
Adobe Reader X (10.1.11) - Russian v.10.1.11 [color=red][b]Данная программа больше не поддерживается разработчиком.[/b][/color] Рекомендуется деинсталлировать ее, скачать и установить [b][url=http://get.adobe.com/ru/reader/otherversions/]Adobe Reader XI или Adobe Acrobat Reader DC[/url][/b].
------------------------------- [ Browser ] -------------------------------
Opera 12.17 v.12.17.1863 [color=red][b]Внимание! [url=http://ftp.opera.com/pub/opera/win/1218/int/Opera_1218_int_Setup.exe]Скачать обновления[/url][/b][/color]

Готово!

Еще раз сделайте логи frst.txt, addition.txt

Готово!

Все, выписываем Вас.

[LIST=1][*]Для удаления утилит, которые использовались в лечении скачайте [url=https://toolslib.net/downloads/finish/2/]DelFix[/url] и сохраните утилиту на [b]Рабочем столе[/b][*]Запустите [b]DelFix[/b][INDENT][SIZE="1"][B]Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [b]Windows XP[/b] так и есть. В [b]Windows Vista[/b] и [b]Windows 7[/b] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [b]Запуск от имени Администратора[/b], при необходимости укажите пароль администратора и нажмите [b]Да[/b][/SIZE][/INDENT][*]В открывшемся окне программы поставьте галочки напротив пунктов [B]Remove desinfection tools[/B] и [B]Create registry backup[/B][*]Нажмите на кнопку [B]Run[/B][/LIST]

На этом все.

Юхууу!:clapping:
Спасибо большое!