День добрый.
Начал чистить комп, которым я давно не занимался, затормозил на следующем.
После загрузки стартует некий процесс, который [B]process explorer (64)[/B] распознает как
[B]rundll32 "C:\Windows\TEMP\clearcache.dll", DllMain
parent: <Non-existent Process>(1928 )[/B].
Никакого [B]clearcache.dll [/B]в той папке давно уже нету (сохранил на всяк случай).
Процесс легко убивается, но после перезагрузки - все как раньше.
Вероятно, есть еще что-то, но я уже сам не стал дальше копать.
Уважаемый(ая) [B]behemothus[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Гм... Я не покажусь слишком наглым. если о себе напомню?
Если все так плохо. может. мне будут проще побороть природную лень и винду переставить?
Запустите HijackThis, расположенный в папке Autologger и [url="http://virusinfo.info/showthread.php?t=4491"]пофиксите[/url] (в [B]Windows Vista/7/8/10[/B] необходимо запускать через правую кнопку мыши [B]Запуск от имени администратора)[/B]):[code]R0 - HKLM\Software\Microsoft\Internet Explorer\Main: [Default_Page_URL] = http://www.startpageing123.com/?type=hp&ts=1488466891&z=c8d4d208123dbe40947ca01g8zfbeb8z7q9q1b5t7o&from=che0812&uid=TOSHIBAXDT01ACA200_95Q19BMASXX95Q19BMASX
R0 - HKLM\Software\Microsoft\Internet Explorer\Main: [Start Page] = http://www.startpageing123.com/?type=hp&ts=1488466891&z=c8d4d208123dbe40947ca01g8zfbeb8z7q9q1b5t7o&from=che0812&uid=TOSHIBAXDT01ACA200_95Q19BMASXX95Q19BMASX
R0-32 - HKLM\Software\Microsoft\Internet Explorer\Main: [Default_Page_URL] = http://www.startpageing123.com/?type=hp&ts=1488466891&z=c8d4d208123dbe40947ca01g8zfbeb8z7q9q1b5t7o&from=che0812&uid=TOSHIBAXDT01ACA200_95Q19BMASXX95Q19BMASX
R0-32 - HKLM\Software\Microsoft\Internet Explorer\Main: [Default_Search_URL] = http://www.startpageing123.com/search/?type=ds&ts=1488466891&z=c8d4d208123dbe40947ca01g8zfbeb8z7q9q1b5t7o&from=che0812&uid=TOSHIBAXDT01ACA200_95Q19BMASXX95Q19BMASX&q={searchTerms}
R0-32 - HKLM\Software\Microsoft\Internet Explorer\Main: [Search Page] = http://www.startpageing123.com/search/?type=ds&ts=1488466891&z=c8d4d208123dbe40947ca01g8zfbeb8z7q9q1b5t7o&from=che0812&uid=TOSHIBAXDT01ACA200_95Q19BMASXX95Q19BMASX&q={searchTerms}
R0-32 - HKLM\Software\Microsoft\Internet Explorer\Main: [Start Page] = http://www.startpageing123.com/?type=hp&ts=1488466891&z=c8d4d208123dbe40947ca01g8zfbeb8z7q9q1b5t7o&from=che0812&uid=TOSHIBAXDT01ACA200_95Q19BMASXX95Q19BMASX
R4 - SearchScopes: HKLM\Software\Microsoft\Internet Explorer\SearchScopes\{33BB0A4E-99AF-4226-BDF6-49120163DE86} [URL] = http://www.startpageing123.com/search/?type=ds&ts=1488466891&z=c8d4d208123dbe40947ca01g8zfbeb8z7q9q1b5t7o&from=che0812&uid=TOSHIBAXDT01ACA200_95Q19BMASXX95Q19BMASX&q={searchTerms} - startpageing123
O2-32 - HKLM\..\BHO: MRSearchPlugin - {8E8F97CD-60B5-456F-A201-73065652D099} - (no file)
O17 - HKLM\System\CCS\Services\Tcpip\..\{0C8F333D-182E-4973-AEB4-EAAA93C062CD}: [NameServer] = 185.156.172.178
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{0C8F333D-182E-4973-AEB4-EAAA93C062CD}: [NameServer] = 185.156.172.178
O21 - HKLM\..\ShellExecuteHooks: (no name) - {15971074-F77B-11E6-94C6-64006A5CFC23} - C:\Program Files (x86)\Fogity\Ferhsy.dll (file missing) (disabled)
O22 - Task: klcp_update - C:\Program Files (x86)\K-Lite Codec Pack\Tools\CodecTweakTool.exe /verysilent /update /freq=30
O22 - Task: setupsk - C:\Users\behempthus\AppData\Roaming\setupsk\python\pythonw.exe "C:\Users\behempthus\AppData\Roaming\setupsk\ml.py" --APPNAME="setupsk" (file missing)
O22 - Task: setupsk2 - C:\Users\behempthus\AppData\Roaming\setupsk\python\pythonw.exe "C:\Users\behempthus\AppData\Roaming\setupsk\app.py" (file missing)[/code]
[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
QuarantineFile('C:\ProgramData\vCore\VCore.exe', '');
QuarantineFile('C:\Users\behempthus\AppData\Roaming\CRMSvc\CRMSvc.exe', '');
QuarantineFile('C:\Users\behempthus\AppData\Roaming\setupsk\app.py', '');
QuarantineFile('C:\Users\behempthus\AppData\Roaming\setupsk\ml.py', '');
QuarantineFile('C:\Users\behempthus\AppData\Roaming\setupsk\python\pythonw.exe', '');
QuarantineFile('C:\Windows\System32\ihctrl32.dll', '');
QuarantineFile('C:\Windows\System32\wsaudio.dll', '');
DeleteFile('C:\ProgramData\vCore\VCore.exe', '');
DeleteFile('C:\Users\behempthus\AppData\Roaming\CRMSvc\CRMSvc.exe', '');
DeleteFile('C:\Users\behempthus\AppData\Roaming\setupsk\app.py', '');
DeleteFile('C:\Users\behempthus\AppData\Roaming\setupsk\ml.py', '');
DeleteFile('C:\Users\behempthus\AppData\Roaming\setupsk\python\pythonw.exe', '');
DeleteFile('C:\Windows\system32\ihctrl32.dll', '');
DeleteFile('C:\Windows\System32\ihctrl32.dll', '32');
DeleteFile('C:\Windows\system32\wsaudio.dll', '');
DeleteFile('C:\Windows\System32\wsaudio.dll', '32');
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\Media Center\VCore" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "setupsk" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "setupsk2" /F', 0, 15000, true);
DeleteService('CRMSvc');
DeleteFileMask('c:\programdata\vcore', '*', true);
DeleteFileMask('c:\users\behempthus\appdata\roaming\crmsvc', '*', true);
DeleteFileMask('c:\users\behempthus\appdata\roaming\setupsk', '*', true);
DeleteDirectory('c:\programdata\vcore');
DeleteDirectory('c:\users\behempthus\appdata\roaming\crmsvc');
DeleteDirectory('c:\users\behempthus\appdata\roaming\setupsk');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\ihctrl32\Parameters', 'ServiceDll');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\wsaudio\Parameters', 'ServiceDll');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).
При запуске [B]HiJackThis[/B] получаю следующее сообщение.
[QUOTE]Пожалуйста, помогите улучшить HiJackThis, отправив нам это сообщение об ошибке.
Сообщение было скопировано в буфер обмена.
Нажмите 'Да', чтобы его отправить.
Подробности об ошибке:
Возникла непредвиденная ошибка в функции: cmdSaveDef_Click
Error # 13 - Type mismatch
HRESULT: Недопустимые данные.
LastDllError # 0
Trace info:
Windows version: x64 Windows 8.1 (Professional with Media Center), 6.3.9600.0, Service Pack: 0
HiJackThis Fork (Beta) by Alex Dragokas v.2.8.0.
[/QUOTE]
Дальше действую по инструкции.
(++++)
[B]AVZ[/B] завершился только с 4-й попытки, после того как я в полуручном режиме удалил все из [B]Content.IE5[/B], до этого зависал с кучей красных строк, которые я не мог прочитать.
Карантин отправил.
[QUOTE]Файл сохранён как 180822_184435_quarantine_5b7daf13bc2a6.zip
Размер файла 321334
MD5 94fc23630c92ac5fc5063a68800d24ea[/QUOTE]
(++++)
[B]FRST[/B] отработал без замечаний
[b]behemothus[/b], просьба проверьте в [URL="https://dragokas.com/tools/HiJackThis_test.zip"]этой версии HiJackThis[/URL]
[QUOTE=regist;1487148][b]behemothus[/b], просьба проверьте в [URL="https://dragokas.com/tools/HiJackThis_test.zip"]этой версии HiJackThis[/URL][/QUOTE]
Аналогично.
[QUOTE]
Please help us improve HiJackThis by reporting this error.
Error message has been copied to clipboard.
Click 'Yes' to submit.
Error Details:
An unexpected error has occurred at function: cmdSaveDef_Click
Error # 13 - Type mismatch
HRESULT: Недопустимые данные.
LastDllError # 0
Trace info:
Windows version: x64 Windows 8.1 (Professional with Media Center), 6.3.9600.0, Service Pack: 0
HiJackThis Fork by Alex Dragokas v.2.8.0.5[/QUOTE]
Здравствуйте, behemothus!
Для улучшения наших инструментов:
1) скачайте ещё раз [URL="https://dragokas.com/tools/HiJackThis_test.zip"]новую версию HiJackThis[/URL] и покажите сообщение об ошибке.
2) Откройте редактор реестра (нажать Win + R, ввести regedit, и нажать ОК), перейдите к ветке:
[quote]
HKEY_CURRENT_USER\Control Panel\International
[/quote]
нажмите Файл => Экспорт, сохраните под любым именем. Упакуйте в архив и прикрепите к вашему сообщению.
Спасибо.
Затем.
Выделите и скопируйте в буфер обмена следующий код:[CODE]CreateRestorePoint:
Tcpip\..\Interfaces\{0C8F333D-182E-4973-AEB4-EAAA93C062CD}: [NameServer] 185.93.180.131
SearchScopes: HKLM-x32 -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.startpageing123.com/search/?type=ds&ts=1488466891&z=c8d4d208123dbe40947ca01g8zfbeb8z7q9q1b5t7o&from=che0812&uid=TOSHIBAXDT01ACA200_95Q19BMASXX95Q19BMASX&q={searchTerms}
SearchScopes: HKLM-x32 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.startpageing123.com/search/?type=ds&ts=1488466891&z=c8d4d208123dbe40947ca01g8zfbeb8z7q9q1b5t7o&from=che0812&uid=TOSHIBAXDT01ACA200_95Q19BMASXX95Q19BMASX&q={searchTerms}
CHR HomePage: ChromeDefaultData -> mail.ru/cnt/11956636?rciguc__PARAM__
CHR HKLM-x32\...\Chrome\Extension: [bejnpnkhfgfkcpgikiinojlmdcjimobi] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [ccfifbojenkenpkmnbnndeadpfdiffof] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [oilhebpjhnjaeghedpjnmajajlcfdjgc] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [ojlcebdkbpjdpiligkdbbkdkfjmchbfd] - hxxps://clients2.google.com/service/update2/crx
S3 Appinfo; C:\Windows\system32\svchost.exe [38792 2016-02-20] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
S3 Appinfo; C:\Windows\SysWOW64\svchost.exe [33088 2016-02-20] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
S2 ihctrl32; C:\Windows\System32\svchost.exe [38792 2016-02-20] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
S2 ihctrl32; C:\Windows\SysWOW64\svchost.exe [33088 2016-02-20] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
S2 wsaudio; C:\Windows\System32\svchost.exe [38792 2016-02-20] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
S2 wsaudio; C:\Windows\SysWOW64\svchost.exe [33088 2016-02-20] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
S3 gdrv; \??\C:\Windows\gdrv.sys [X]
S3 huawei_enumerator; \SystemRoot\System32\drivers\ew_jubusenum.sys [X]
S3 MBAMSwissArmy; \??\C:\Windows\system32\drivers\MBAMSwissArmy.sys [X]
2018-08-19 04:09 - 2018-06-19 14:57 - 000086248 _____ (360.cn) C:\Windows\SysWOW64\Drivers\360AvFlt.sys
Virustotal: C:\Users\behempthus\SVPNuvfnae.exe
1601-01-03 21:33 - 1601-01-03 21:33 - 000197120 ____N (Microsoft Corporation) C:\Users\behempthus\SVPNuvfnae.exe
1601-01-03 21:33 - 1601-01-03 21:33 - 000197120 ____N (Microsoft Corporation) C:\Program Files (x86)\ewkBUDE.exe
Task: {FD6719D4-946A-4786-9369-7FEFE63B3349} - \VKDJ -> No File <==== ATTENTION
FirewallRules: [{6FD2154F-9A4D-4EB7-B7FE-69433A899486}] => (Allow) C:\Program Files\UBar\ubar.exe
FirewallRules: [{9A82FB42-16E9-441F-B9C0-3CD37C34719B}] => (Allow) C:\Users\behempthus\AppData\Local\Amigo\Application\amigo.exe
CMD: reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\iSafe" /f /reg:32
Reboot:[/CODE]Запустите FRST.EXE/FRST64.EXE, нажмите один раз [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
[QUOTE=Dragokas;1487150]Здравствуйте, behemothus!
Для улучшения наших инструментов:
1) скачайте ещё раз [URL="https://dragokas.com/tools/HiJackThis_test.zip"]новую версию HiJackThis[/URL] и покажите сообщение об ошибке.
[/QUOTE]
В предыдущем сообщении. Версия та же, (v.2.8.0.5) архивы идентичны.
Ой, так это вообще с того же источника)))
[QUOTE=Dragokas;1487150]
2) Откройте редактор реестра (нажать Win + R, ввести regedit, и нажать ОК), перейдите к ветке:
нажмите Файл => Экспорт, сохраните под любым именем. Упакуйте в архив и прикрепите к вашему сообщению.
Спасибо.[/QUOTE]
Сделано. Во вложении.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
[QUOTE=Vvvyg;1487151]Затем.
Выделите и скопируйте в буфер обмена следующий код:[CODE]CreateRestorePoint:
Tcpip\..\Interfaces\{0C8F333D-182E-4973-AEB4-EAAA93C062CD}: [NameServer] 185.93.180.131
SearchScopes: HKLM-x32 -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.startpageing123.com/search/?type=ds&ts=1488466891&z=c8d4d208123dbe40947ca01g8zfbeb8z7q9q1b5t7o&from=che0812&uid=TOSHIBAXDT01ACA200_95Q19BMASXX95Q19BMASX&q={searchTerms}
SearchScopes: HKLM-x32 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.startpageing123.com/search/?type=ds&ts=1488466891&z=c8d4d208123dbe40947ca01g8zfbeb8z7q9q1b5t7o&from=che0812&uid=TOSHIBAXDT01ACA200_95Q19BMASXX95Q19BMASX&q={searchTerms}
CHR HomePage: ChromeDefaultData -> mail.ru/cnt/11956636?rciguc__PARAM__
CHR HKLM-x32\...\Chrome\Extension: [bejnpnkhfgfkcpgikiinojlmdcjimobi] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [ccfifbojenkenpkmnbnndeadpfdiffof] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [oilhebpjhnjaeghedpjnmajajlcfdjgc] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [ojlcebdkbpjdpiligkdbbkdkfjmchbfd] - hxxps://clients2.google.com/service/update2/crx
S3 Appinfo; C:\Windows\system32\svchost.exe [38792 2016-02-20] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
S3 Appinfo; C:\Windows\SysWOW64\svchost.exe [33088 2016-02-20] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
S2 ihctrl32; C:\Windows\System32\svchost.exe [38792 2016-02-20] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
S2 ihctrl32; C:\Windows\SysWOW64\svchost.exe [33088 2016-02-20] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
S2 wsaudio; C:\Windows\System32\svchost.exe [38792 2016-02-20] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
S2 wsaudio; C:\Windows\SysWOW64\svchost.exe [33088 2016-02-20] (Microsoft Corporation) <==== ATTENTION (no ServiceDLL)
S3 gdrv; \??\C:\Windows\gdrv.sys [X]
S3 huawei_enumerator; \SystemRoot\System32\drivers\ew_jubusenum.sys [X]
S3 MBAMSwissArmy; \??\C:\Windows\system32\drivers\MBAMSwissArmy.sys [X]
2018-08-19 04:09 - 2018-06-19 14:57 - 000086248 _____ (360.cn) C:\Windows\SysWOW64\Drivers\360AvFlt.sys
Virustotal: C:\Users\behempthus\SVPNuvfnae.exe
1601-01-03 21:33 - 1601-01-03 21:33 - 000197120 ____N (Microsoft Corporation) C:\Users\behempthus\SVPNuvfnae.exe
1601-01-03 21:33 - 1601-01-03 21:33 - 000197120 ____N (Microsoft Corporation) C:\Program Files (x86)\ewkBUDE.exe
Task: {FD6719D4-946A-4786-9369-7FEFE63B3349} - \VKDJ -> No File <==== ATTENTION
FirewallRules: [{6FD2154F-9A4D-4EB7-B7FE-69433A899486}] => (Allow) C:\Program Files\UBar\ubar.exe
FirewallRules: [{9A82FB42-16E9-441F-B9C0-3CD37C34719B}] => (Allow) C:\Users\behempthus\AppData\Local\Amigo\Application\amigo.exe
CMD: reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\iSafe" /f /reg:32
Reboot:[/CODE]Запустите FRST.EXE/FRST64.EXE, нажмите один раз [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.[/QUOTE]
Сделал. Только что-то [B]FRST[/B] ругался сначала, что, дескать, не находит файла fixlist_txt.
Что с проблемой?
[QUOTE=Vvvyg;1487153]Что с проблемой?[/QUOTE]
Да вроде бы все вылечено, спасибо.
Но на всякий случай докладываю. То, что в сабже у меня, исчезло после первого же запуска HijackThis. Но появились какие-то новые процессы, которых я никогда раньше не видел. Не разобирался. И еще как-то странно ведет себя CyberHost - его нет в списке процессов, но его собственная сеть видна. Но это вообще не проблема, его отсюда сносить надо.
У меня другой вопрос возник. Мы же поудаляли много всякой хрени, которую я сам не видел. Там было что-то, что могло хакнуть мобильный банк? Компьютер этот в домашней сети у меня, могло расползтись по другим?
[quote="behemothus;1487152"]Ой, так это вообще с того же источника)))[/quote]
ссылка та же, но сам файл успели обновить, полный номер билда отличается.
[quote="behemothus;1487152"]Сделано. Во вложении.[/quote]
спасибо, проблему воспроизвели.
[quote="behemothus;1487156"]Но появились какие-то новые процессы, которых я никогда раньше не видел.[/quote]
Давайте проверим :). Сделайте свежие логи по правилам, только сделайте [URL="https://yadi.sk/d/7dgjMleO3E3E9b"]этой версией Автологера[/URL].
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
[quote="behemothus;1487156"]Там было что-то, что могло хакнуть мобильный банк? Компьютер этот в домашней сети у меня, могло расползтись по другим?[/quote]
в основном адварь была, но пароли на всякий случай лучше сменить.
[QUOTE=regist;1487168]ссылка та же, но сам файл успели обновить, полный номер билда отличается.[/QUOTE]
Да нет. ))) Речь о была том, что я два раза скачал полностью идентичный архив.
Первый раз по ссылке отсюда
[QUOTE=regist;1487148][b]behemothus[/b], просьба проверьте в [URL="https://dragokas.com/tools/HiJackThis_test.zip"]этой версии HiJackThis[/URL][/QUOTE]
второй раз отсюда.
[QUOTE=Dragokas;1487150]Здравствуйте, behemothus!
Для улучшения наших инструментов:
1) скачайте ещё раз [URL="https://dragokas.com/tools/HiJackThis_test.zip"]новую версию HiJackThis[/URL] и покажите сообщение об ошибке.
[/QUOTE]
по времени - вчера в 22:06 и 22:52, архивы сравнил побайтно.
Так что можете не сомневаться в моей аккуратности. Вы с вашим коллегой просто немножко рассинхронизированы. :)
Но насколько понимаю, все это уже неактуально?!
[I]Если не секрет, зачем вам понадобился этот раздел реестра?! Там же ничего интересного нет, ну разве что вот это?!
[B]HKEY_CURRENT_USER\Control Panel\International\User Profile\uk.[/B][/I]
[QUOTE=regist;1487168]спасибо, проблему воспроизвели.[/QUOTE]
ОК, рад помочь.
[QUOTE=regist;1487168] Давайте проверим :). Сделайте свежие логи по правилам, только сделайте [URL="https://yadi.sk/d/7dgjMleO3E3E9b"]этой версией Автологера[/URL].
[/QUOTE]
Во вложении. Достаточно?
[QUOTE=regist;1487168] в основном адварь была, но пароли на всякий случай лучше сменить.[/QUOTE]
Ясно, еще раз спасибо.
[quote=behemothus]
Если не секрет, зачем вам понадобился этот раздел реестра?! Там же ничего интересного нет, ну разве что вот это?!
HKEY_CURRENT_USER\Control Panel\International\User Profile\uk.
[/quote]
Изменение форматы даты, что привело к сбою.
[quote=behemothus]
по времени - вчера в 22:06 и 22:52, архиві сравнил побайтно.
[/quote]
Они не могли быть одинаковыми в этих точках времени :) + я тоже ещё раз перепроверил, скачав по той же ссылке.
М.б. ваш браузер что-то закешировал. Но я все равно перепроверю настройки сервера.
А то, что номер версии совпадал - это ещё один признак ошибки (см. версию в заголовке окна, там правильная и двухзначная).
В любом случае, спасибо за помощь. Доп. тесты не нужны.
По мне - так всё стерильно.
Загрузите, распакуйте на Рабочий стол и запустите [URL="https://yadi.sk/d/xIUtpEqJq4wru"]SecurityCheck by glax24 & Severnyj[/URL].
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши [B]Запуск от имени администратора[/B] (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например [I]C:\SecurityCheck\SecurityCheck.txt[/I].
Приложите этот файл к своему следующему сообщению.
[QUOTE=Vvvyg;1487186]По мне - так всё стерильно.
Загрузите, распакуйте на Рабочий стол и запустите [URL="https://yadi.sk/d/xIUtpEqJq4wru"]SecurityCheck by glax24 & Severnyj[/URL].
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши [B]Запуск от имени администратора[/B] (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например [I]C:\SecurityCheck\SecurityCheck.txt[/I].
Приложите этот файл к своему следующему сообщению.[/QUOTE]
Понял. Во вложении.
А Ubar - это нормально?
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
[QUOTE=Dragokas;1487176]Изменение форматы даты, что привело к сбою.[/QUOTE]
ОК, спасибо, я даже не знал, что здесь кто-то форматы крутил.
[QUOTE=Dragokas;1487176]Они не могли быть одинаковыми в этих точках времени :) + я тоже ещё раз перепроверил, скачав по той же ссылке.
М.б. ваш браузер что-то закешировал. Но я все равно перепроверю настройки сервера.
А то, что номер версии совпадал - это ещё один признак ошибки (см. версию в заголовке окна, там правильная и двухзначная).
В любом случае, спасибо за помощь. Доп. тесты не нужны.[/QUOTE]
Я на номер версии даже не смотрел, просто сравнил побайтно архивы. Видимо, действительно кэш или что-то, потому как сейчас я скачал третий раз - и архив уже другой, длиннее и дата внутренняя иная.
Ну ладно, это уже спор ниачом, извините за назойливость. Спасибо за разъяснения.
Ubar удалите и Ace Stream? если не сильно нужен. Можно для верности ещё лог [URL="https://virusinfo.info/showthread.php?t=218752&p=1480546&viewfull=1#post1480546"]Malwarebytes AdwCleaner[/URL] сделать после этого.
[QUOTE][color=red][b]Контроль учётных записей пользователя [b]отключен[/b][/b][/color][/QUOTE]
Рекомендую ознакомиться со статьёй [URL="http://www.outsidethebox.ms/10034/"]Так ли страшен контроль учетных записей (UAC)?[/URL] и включить.
[QUOTE]------------------------------- [ HotFix ] --------------------------------
HotFix KB3124000 [color=red][b]Внимание! [url=https://technet.microsoft.com/en-us/library/security/ms16-005.aspx]Скачать обновления[/url][/b][/color]
HotFix KB3156013 [color=red][b]Внимание! [url=https://technet.microsoft.com/en-us/library/security/ms16-055.aspx]Скачать обновления[/url][/b][/color]
HotFix KB3156016 [color=red][b]Внимание! [url=https://technet.microsoft.com/en-us/library/security/ms16-055.aspx]Скачать обновления[/url][/b][/color]
HotFix KB3156019 [color=red][b]Внимание! [url=https://technet.microsoft.com/en-us/library/security/ms16-055.aspx]Скачать обновления[/url][/b][/color]
HotFix KB3155178 [color=red][b]Внимание! [url=https://technet.microsoft.com/en-us/library/security/ms16-056.aspx]Скачать обновления[/url][/b][/color]
HotFix KB3156059 [color=red][b]Внимание! [url=https://technet.microsoft.com/en-us/library/security/ms16-057.aspx]Скачать обновления[/url][/b][/color]
HotFix KB3153704 [color=red][b]Внимание! [url=https://technet.microsoft.com/en-us/library/security/ms16-061.aspx]Скачать обновления[/url][/b][/color]
HotFix KB3170455 [color=red][b]Внимание! [url=https://technet.microsoft.com/en-us/library/security/ms16-087.aspx]Скачать обновления[/url][/b][/color]
HotFix KB3178034 [color=red][b]Внимание! [url=https://technet.microsoft.com/en-us/library/security/ms16-097.aspx]Скачать обновления[/url][/b][/color]
HotFix KB3175887 [color=red][b]Внимание! [url=https://technet.microsoft.com/en-us/library/security/ms16-102.aspx]Скачать обновления[/url][/b][/color]
HotFix KB3185911 [color=red][b]Внимание! [url=https://technet.microsoft.com/en-us/library/security/ms16-106.aspx]Скачать обновления[/url][/b][/color]
HotFix KB3184122 [color=red][b]Внимание! [url=https://technet.microsoft.com/en-us/library/security/ms16-116.aspx]Скачать обновления[/url][/b][/color]
HotFix KB3192392 [color=red][b]Внимание! [url=https://technet.microsoft.com/en-us/library/security/ms16-122.aspx]Скачать обновления[/url][/b][/color]
HotFix KB3197873 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB3197873]Скачать обновления[/url][/b][/color]
HotFix KB3205400 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB3205400]Скачать обновления[/url][/b][/color]
HotFix KB4012213 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4012213]Скачать обновления[/url][/b][/color]
HotFix KB4012216 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4012216]Скачать обновления[/url][/b][/color]
HotFix KB4019213 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4019213]Скачать обновления[/url][/b][/color]
HotFix KB4022717 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4022717]Скачать обновления[/url][/b][/color]
HotFix KB4025333 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4025333]Скачать обновления[/url][/b][/color]
HotFix KB4034672 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4034672]Скачать обновления[/url][/b][/color]
HotFix KB4041687 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4041687]Скачать обновления[/url][/b][/color]
HotFix KB4056895 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4056895]Скачать обновления[/url][/b][/color]
HotFix KB4056897 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4056897]Скачать обновления[/url][/b][/color]
HotFix KB4074597 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4074597]Скачать обновления[/url][/b][/color]
HotFix KB4103715 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4103715]Скачать обновления[/url][/b][/color]
HotFix KB4343888 [color=red][b]Внимание! [url=https://www.catalog.update.microsoft.com/Search.aspx?q=KB4343888]Скачать обновления[/url][/b][/color][/QUOTE]Критические обновления ставить обязательно если система не пиратская - проблем точно не будет.
[QUOTE]Opera Stable 54.0.2952.64 v.54.0.2952.64 [color=red][b]Внимание! [url=https://www.opera.com/ru/computer]Скачать обновления[/url][/b][/color]
[color=blue][b]^Проверьте обновления через меню О программе!^[/b][/color]
Safari v.5.34.57.2 [color=red][b]Данная программа больше не поддерживается разработчиком.[/b][/color][/QUOTE]
[QUOTE=Vvvyg;1487201]Ubar удалите и Ace Stream? если не сильно нужен. Можно для верности ещё лог [URL="https://virusinfo.info/showthread.php?t=218752&p=1480546&viewfull=1#post1480546"]Malwarebytes AdwCleaner[/URL] сделать после этого.[/QUOTE]
Асе Stream еще актуален, через него мои кино раздают, если ничего не путаю
[QUOTE=Vvvyg;1487201]Рекомендую ознакомиться со статьёй [URL="http://www.outsidethebox.ms/10034/"]Так ли страшен контроль учетных записей (UAC)?[/URL] и включить.
Критические обновления ставить обязательно если система не пиратская - проблем точно не будет.[/QUOTE]
Включу, не вопрос. Я не помню, когда отключал - и зачем. Но это мог и не я быть.
Остальное тоже понятно, браузеры эти здесь просто для мебели, рабочие у нас файерфокс и хром. А обновления... Тут десятку пора ставить. А может и комп новый. Ладно, соберусь с силами - поставлю в сентябре, если в больничке на залежусь.
Спасибо.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
[QUOTE=Vvvyg;1487201]Ubar удалите и Ace Stream... Можно для верности ещё лог [URL="https://virusinfo.info/showthread.php?t=218752&p=1480546&viewfull=1#post1480546"]Malwarebytes AdwCleaner[/URL] сделать после этого.[/QUOTE]
Ace Stream - удалил (его поставить недолго, если что), а Ubar - вообще непонятно, откуда удалять, его в списке установленных нету.
Логи ADWCleaпer сделал, вроде ничего подозрительного не осталось, но что-то он много всего нашел. Мне самому сходу не разобраться. Посмотрите?
[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner[/B][/COLOR] (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]), а по окончании сканирования нажмите кнопку [B]"Cleaning"[/B] ([B]"Очистка"[/B]) и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\Logs\AdwCleaner[C00].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].
[QUOTE=regist;1487206][LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner[/B][/COLOR] (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]), а по окончании сканирования нажмите кнопку [B]"Cleaning"[/B] ([B]"Очистка"[/B]) и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\Logs\AdwCleaner[C00].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].[/QUOTE]
Сделано
Если проблем нет - можно закончить на этом.
[QUOTE=Vvvyg;1487225]Если проблем нет - можно закончить на этом.[/QUOTE]
Да, спасибо. Закрывайте.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
[B]Ой, подождите!!!![/B]
Перестал открываться диспетчер задач.
[QUOTE]C:\Windows\system32\taskmgr.exe
Указанная служба не установлена.[/QUOTE]
В панели управления тоже что-то сильно заглючило.
Не могу, например, [B]вообще[/B] открыть среду настройки UAC - и остальные на той же панели.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Командная строка тоже "не установлена".
Это что ж я такое натворил-то?!
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Отставить, разобрался.
[B]Вопрос теперь другой.
Это был UAC. Отключил его полностью вручную из редактора реестра в safe mode- все стало работать.
Как его теперь его включить, чтобы снова не вляпаться?! [/B]
Ну, раз уж он так криво работает, лучше не включать. Если система лицензионная - можно бесплатно обновиться до 10-ки, может, получшеет.
[QUOTE=Vvvyg;1487230]Ну, раз уж он так криво работает, лучше не включать. Если система лицензионная - можно бесплатно обновиться до 10-ки, может, получшеет.[/QUOTE]
Ну да, я и собирался обновлять. Или новый уже купить - на всю оставшуюся жизнь. Но это попозже. Мне тут медицинские дела светят, на соседа страшно оставлять непритертую систему.
Ладно, это мои проблемы, все понятно, премного вам благодарен, закрывайте тему.
Запустите AdwCleaner, меню Настройки - Удалить AdwCleaner - выберите Удалить.
Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]2[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\windows\system32\ihctrl32.dll - [B]Trojan-Downloader.Win32.Stantinko.bct[/B][*] c:\windows\system32\wsaudio.dll - [B]Trojan.Win32.Agentb.bvhd[/B][/LIST][/LIST]