Printable View
Dr. Web ежедневно обнаруживает и устраняет в реестре перезагрузкой подозрительный процесс в реестре - Userini.
Userinit REG:SUSPICIOUS.UserinitCorrupted Registry\Machine\Software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit
Чистка компьютера антивирусом ничего не обнаруживает. Но следы в реестре Userinit и их блокировка антивирусником происходят ежедневно.
Уважаемый(ая) [B]maximpn[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в [URL="https://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="https://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="https://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).
[QUOTE=Vvvyg;1489001]... отчеты FRST.txt, Addition.txt ...Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).[/QUOTE] Сделано. Прикрепил ниже.
Нестандартный параметр реестра, файлы легитимные.
Запустите HijackThis, расположенный в папке Autologger и [url="http://virusinfo.info/showthread.php?t=4491"]пофиксите[/url] (в [B]Windows Vista/7/8/10[/B] необходимо запускать через правую кнопку мыши [B]Запуск от имени администратора)[/B]):[code]F2-32 - HKLM\..\WinLogon: [Shell] = [/code]
Сообщите результат.
А в вашем логе HijackThis я такого не вижу... Пофиксите.
[B]Vvvyg![/B]
А может в HijackThis дополнительно + ещё стоит/не стоит? пофиксить и F2-32 - HKLM\..\WinLogon: [UserInit] = userinit.exe|C:\WINDOWS\SysWOW64\userinit.exe
...ок. О результатах отпишусь.
Потом для контроля сделайте новый лог такой версией [URL="https://yadi.sk/d/7dgjMleO3E3E9b"]Autologger[/URL].
Здравствуйте, [B]maximpn[/B]!
Для улучшения работы наших инструментов, пожалуйста:
1. Запустите редактор реестра (нажать Win + R, ввести regedit, нажать ОК)
2. Перейдите в ветку HKEY_LOCAL_MACHINE
3. Нажмите Файл => Загрузить куст => выберите файл "C:\FRST\Hives\SOFTWARE", на запрос имени введите "Backup"
4. Перейдите в ветку:
[code]
HKEY_LOCAL_MACHINE\Backup\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon
[/code]
5. Нажмите Файл => Экспорт. В поле "[B]тип файла[/B]" выберите "[B]Файлы кустов реестра (*.*)[/B]", введите имя файла "Winlogon.bin" и сохраните на рабочий стол.
Файл Winlogon.bin заархивируйте и пришлите в вашем сообщении.
[QUOTE=Vvvyg;1489035]Потом для контроля сделайте новый лог такой версией [URL="https://yadi.sk/d/7dgjMleO3E3E9b"]Autologger[/URL].[/QUOTE] Сделал. Логи прицепил.
А экспорт реестра?
Dr. Web перестал ругаться?
[QUOTE=Dragokas;1489037]...Файл Winlogon.bin заархивируйте и пришлите в вашем сообщении.[/QUOTE] Прицепил.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
[QUOTE=Vvvyg;1489050]А экспорт реестра?
Прицепил выше.
Dr. Web перестал ругаться?[/QUOTE] Вроде, да. Спасибо за поддержку.
Не совсем то, что просил.
Тогда, можете, пожалуйста, залить на файлообменник весь файл "C:\FRST\Hives\SOFTWARE" и скинуть ссылку мне в ЛС.
[QUOTE=Vvvyg;1489050]...Dr. Web перестал ругаться?[/QUOTE] Dr. Web ругаться продолжает. Все то же самое что и в первом посте. В принципе файл реестра можно поставить в список исключений Dr. Web, ветку реестра, к сожалению, технически нельзя. Но не хотелось бы исключать из проверки антивирусника целый реестр. Поэтому может быть имеются каки иные соображения?
[b]maximpn[/b], ветка реестра нужна не для того чтобы в исключение добавить, а для того чтобы разобраться, что у вас в системе творится (так как показания утилит отличаются), а потом исправить у вас проблему и заодно и утилиты.
Так что просьба пришлите
[quote="Dragokas;1489057"]C:\FRST\Hives\SOFTWARE[/quote]
Сделайте, что просят [b]Dragokas[/b] и [b]regist[/b], посмотреть надо, что именно там в реестре, по логам диагностических утилит противоречивые сведения.
[QUOTE=Dragokas;1489057]...Тогда, можете, пожалуйста, залить на файлообменник весь файл "C:\FRST\Hives\SOFTWARE" и скинуть ссылку мне в ЛС.[/QUOTE] Отправил ссылку Dragokas, regist, Vvvyg, в личку
[quote="maximpn;1489123"]Отправил ссылку Dragokas, regist, Vvvyg, в личку[/quote]
не знаю как остальным, но мне вы ничего не отправили. Если что личное сообщение отправляется [URL="https://virusinfo.info/private.php?do=newpm&u=119512"]отсюда[/URL].
[QUOTE=regist;1489124]не знаю как остальным, но мне вы ничего не отправили. Если что личное сообщение отправляется [URL="https://virusinfo.info/private.php?do=newpm&u=119512"]отсюда[/URL].[/QUOTE] Остальным похоже так же как и вам как то странно отправилось, без сохранения в отправленных [URL="https://virusinfo.info/private.php?do=newpm&u=119512"]отсюда[/URL] Щас повторю, ещё раз.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
[QUOTE=maximpn;1489128]Остальным похоже так же как и вам как то странно отправилось, без сохранения в отправленных [URL="https://virusinfo.info/private.php?do=newpm&u=119512"]отсюда[/URL] Щас повторю, ещё раз.[/QUOTE] Не сохраняются отправленные личные сообщения. Кроме этого, За 1440 минут(ы) вы можете отправить не более 5 сообщений. Поэтому ссылка на файл "C:\FRST\Hives\SOFTWARE" в файлообменнике
[quote="maximpn;1489128"]Поэтому ссылка на файл "C:\FRST\Hives\SOFTWARE" в файлообменнике[/quote]
ТОлько вы опять прислали не то, возможно так будет проще. Просто [B]заархивируйте папку[/B] [CODE]C:\FRST\Hives\[/CODE]
загрузите на обменник и пришлите ссылку мне в ЛС.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
Остальным посылать не обязательно, пришлите мне, а нужный файл я передам.
[QUOTE=regist;1489129]... пришлите мне, а нужный файл я передам.[/QUOTE] ОК. Спасибо. Пришлю обязательно, только не ранее чем ререз сутки, поскольку исчерпал лимит личных сообщений на форуме:
[QUOTE]Сообщение форума
За 1440 минут(ы) вы можете отправить не более 5 сообщений.[/QUOTE]
Спасибо, получил.
Сделайте свежие логи [URL="https://yadi.sk/d/7dgjMleO3E3E9b"]Автологером[/URL].
[QUOTE=regist;1489217]Сделайте свежие логи [URL="https://yadi.sk/d/7dgjMleO3E3E9b"]Автологером[/URL].[/QUOTE] Прицепил.
1) Отключите защиту др. Веба (а то он очень рьяно охраняет изменения в реестре).
2) [url=http://virusinfo.info/showthread.php?t=4491]Профиксите[/url] в HijackThis из папки ..\AutoLogger\HiJackThis
[CODE]F2-32 - HKLM\..\WinLogon: [Shell] =
O2-32 - HKLM\..\BHO: Dashlane BHO - {42D79B50-CC4A-4A8E-860F-BE674AF053A2} - (no file)
O4 - HKCU\..\Run: [YandexDisk2] = C:\Users\mpyanykh\AppData\Roaming\Yandex\YandexDisk2\YandexDisk2.exe -autostart (file missing)
O4 - HKU\.DEFAULT\..\Run: [Dashlane] = C:\Users\mpyanykh\AppData\Roaming\Dashlane\Dashlane.exe autoLaunchAtStartup (file missing)
O8 - Context menu item: HKCU\..\Internet Explorer\MenuExt\&Отправить в OneNote: (default) = C:\Program Files\Microsoft Office\Office14\ONBttnIE.dll (file missing)
O9-32 - Tools menu item: HKLM\..\{2670000A-7350-4f3c-8081-5663EE0C6C49}: &Отправить в OneNote - (no file)
O22 - Task: Driver Booster SkipUAC (mpyanykh) - C:\Program Files (x86)\IObit\Driver Booster\DriverBooster.exe /skipuac (file missing)
O23 - Service S2: AmmyyAdmin_1300 - C:\Users\mpyanykh\Downloads\AA_v3.exe (file missing) -service -lunch
O23 - Service S2: AmmyyAdmin_1F90 - C:\Users\mpyanykh\Downloads\AA_v3.exe (file missing) -service -lunch
O23 - Service S2: AmmyyAdmin_1F9C - D:\AA_v3.2.exe (file missing) -service -lunch
O23 - Service S2: AmmyyAdmin_20E4 - C:\Users\mpyanykh\Downloads\AA_v3.exe (file missing) -service -lunch
O23 - Service S2: AmmyyAdmin_27D0 - C:\Users\mpyanykh\Downloads\AA_v3.exe (file missing) -service -lunch
[/CODE]
если файлов \dc-tr83-0002\Scripts\NameBlock.vbs и \dc-tr83-0002\Scripts\NameUnblock.vbs уже нет, то ещё пофиксьте строки
[CODE]O22 - Task: Запись имени пользователя и времени блокирования в Описание (атрибут AD) - \dc-tr83-0002\Scripts\NameBlock.vbs (file missing)
O22 - Task: Запись имени пользователя и времени разблокирования в Описание (атрибут AD) - \dc-tr83-0002\Scripts\NameUnblock.vbs (file missing)[/CODE]
3) - Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.
4) Проверьте проблему.
[QUOTE=regist;1489241]...1) Отключите защиту др. Веба (а то он очень рьяно охраняет изменения в реестре).[/QUOTE] Сделано.
[QUOTE=regist;1489241]...2) [url=http://virusinfo.info/showthread.php?t=4491]Профиксите[/url] в HijackThis из папки ..\AutoLogger\HiJackThis
[CODE]F2-32 - HKLM\..\WinLogon: [Shell] =
O2-32 - HKLM\..\BHO: Dashlane BHO - {42D79B50-CC4A-4A8E-860F-BE674AF053A2} - (no file)
O4 - HKCU\..\Run: [YandexDisk2] = C:\Users\mpyanykh\AppData\Roaming\Yandex\YandexDisk2\YandexDisk2.exe -autostart (file missing)
O4 - HKU\.DEFAULT\..\Run: [Dashlane] = C:\Users\mpyanykh\AppData\Roaming\Dashlane\Dashlane.exe autoLaunchAtStartup (file missing)
O8 - Context menu item: HKCU\..\Internet Explorer\MenuExt\&Отправить в OneNote: (default) = C:\Program Files\Microsoft Office\Office14\ONBttnIE.dll (file missing)
O9-32 - Tools menu item: HKLM\..\{2670000A-7350-4f3c-8081-5663EE0C6C49}: &Отправить в OneNote - (no file)
O22 - Task: Driver Booster SkipUAC (mpyanykh) - C:\Program Files (x86)\IObit\Driver Booster\DriverBooster.exe /skipuac (file missing)
O23 - Service S2: AmmyyAdmin_1300 - C:\Users\mpyanykh\Downloads\AA_v3.exe (file missing) -service -lunch
O23 - Service S2: AmmyyAdmin_1F90 - C:\Users\mpyanykh\Downloads\AA_v3.exe (file missing) -service -lunch
O23 - Service S2: AmmyyAdmin_1F9C - D:\AA_v3.2.exe (file missing) -service -lunch
O23 - Service S2: AmmyyAdmin_20E4 - C:\Users\mpyanykh\Downloads\AA_v3.exe (file missing) -service -lunch
O23 - Service S2: AmmyyAdmin_27D0 - C:\Users\mpyanykh\Downloads\AA_v3.exe (file missing) -service -lunch
[/CODE]
если файлов \dc-tr83-0002\Scripts\NameBlock.vbs и \dc-tr83-0002\Scripts\NameUnblock.vbs уже нет, то ещё пофиксьте строки
[CODE]O22 - Task: Запись имени пользователя и времени блокирования в Описание (атрибут AD) - \dc-tr83-0002\Scripts\NameBlock.vbs (file missing)
O22 - Task: Запись имени пользователя и времени разблокирования в Описание (атрибут AD) - \dc-tr83-0002\Scripts\NameUnblock.vbs (file missing)[/CODE][/QUOTE] Сделано.
[QUOTE=regist;1489241]...3) - Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.[/QUOTE] Сделано
[QUOTE] Файл успешно загружен
MD5 карантина: F238B2E6140DA20460FC0DE8F8FDA2D3
Размер файла: 80614655 байт
Ссылка на результаты анализа:Результаты анализа карантина
Тема для обсуждения результатов анализа: Результаты анализа карантина
Результаты анализа будут доступны через 20-30 минут. Если Вы указали свой email при загрузке, то по указанному адресу при завершении анализа будет выслано информационное сообщение[/QUOTE]
[QUOTE=regist;1489241]...4) Проверьте проблему.[/QUOTE] Пока тестирую. Она (проблема) как правило проявляется не сразу, а спустя некоторое время.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
[QUOTE=maximpn;1489277]... Она (проблема) как правило проявляется не сразу, а спустя некоторое время.[/QUOTE] Потестирую некоторое время. В любом случае, о результатах, отпишусь.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
[QUOTE=maximpn;1489277]...Потестирую некоторое время. В любом случае, о результатах, отпишусь.[/QUOTE] Проявился, зараза. Все тоже самое. Обнаруживает угрозу: Userinit REG:SUSPICIOUS.UserinitCorrupted Registry\Registry\Machine\Software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit
[QUOTE] 28.09.2018 17:51 SpIDer Guard Обнаружена угроза Объект: Userinit Угроза: REG:SUSPICIOUS.UserinitCorrupted Действие: Вылечено Путь: \Registry\Machine\Software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit[/QUOTE]
Скачайте утилиту Universal Virus Sniffer [URL="https://yadi.sk/d/6A65LkI1WEuqC"]отсюда[/URL] и [url=https://virusinfo.info/showthread.php?t=121767&p=897810&viewfull=1#post897810]сделайте полный образ автозапуска uVS[/url].
Загрузите, распакуйте на Рабочий стол и запустите [URL="https://yadi.sk/d/xIUtpEqJq4wru"]SecurityCheck by glax24 & Severnyj[/URL].
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши [B]Запуск от имени администратора[/B] (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например [I]C:\SecurityCheck\SecurityCheck.txt[/I].
Приложите этот файл к своему следующему сообщению.
[quote="maximpn;1489277"]Пока тестирую. Она (проблема) как правило проявляется не сразу, а спустя некоторое время.[/quote]
а если запустить быструю проверку? В теории после быстрой проверки сразу должно на это сработать если есть.
И для контроля сделайте и прикрепите ещё лог HijackThis из папки ..\AutoLogger\HiJackThis
[QUOTE=Vvvyg;1489299]Скачайте утилиту Universal Virus Sniffer [URL="https://yadi.sk/d/6A65LkI1WEuqC"]отсюда[/URL] и [url=https://virusinfo.info/showthread.php?t=121767&p=897810&viewfull=1#post897810]сделайте полный образ автозапуска uVS[/url][/QUOTE] Лог полного образа UVS выкладывать?
[QUOTE=Vvvyg;1489299]...Приложите этот файл к своему следующему сообщению.[/QUOTE] Приложил.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
[QUOTE=regist;1489319]...И для контроля сделайте и прикрепите ещё лог HijackThis из папки ..\AutoLogger\HiJackThis[/QUOTE] Прикрепил.
[QUOTE=maximpn;1489367]Лог полного образа UVS выкладывать?[/QUOTE]
А зачем его тогда делать?
[QUOTE]---------------------------- [ Antivirus_WMI ] ----------------------------
Dr.Web Security Space (выключен и устарел)[/QUOTE]Давно базы обновляли?
Это лучше обновить:
[QUOTE]Adobe Acrobat Reader DC - Russian v.15.010.20060 [color=red][b]Внимание! [url=http://get.adobe.com/ru/reader/otherversions/]Скачать обновления[/url][/b][/color]
[color=blue][b]^Проверьте обновления через меню Справка - Проверить обновления!^[/b][/color]
Yandex v.18.9.0.3467 [color=red][b]Внимание! [url=https://download.cdn.yandex.net/browser/yandex/ru/Yandex.exe]Скачать обновления[/url][/b][/color]
[color=blue][b]^Проверьте обновления через меню Дополнительно - О браузере Yandex!^[/b][/color][/QUOTE]
А это удалить:[QUOTE]---------------------------- [ UnwantedApps ] -----------------------------
Служба автоматического обновления программ [color=red][b]Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов.[/b][/color] Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
QIP Internet Guardian [color=red][b]Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов.[/b][/color] Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
Unity Web Player v.5.0.3f2 [color=red][b]Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов.[/b][/color] Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
Кнопка "Яндекс" на панели задач v.2.0.1.2130 [color=red][b]Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов.[/b][/color] Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
IObit Uninstaller v.7.4.0.8 [color=red][b]Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов.[/b][/color] Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.[/QUOTE]
[QUOTE=Vvvyg;1489369]А зачем его тогда делать?[/QUOTE]Выложил.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
[QUOTE=Vvvyg;1489369]...Давно базы обновляли?[/QUOTE] Регулярно на автомате.
[QUOTE] Dr/ Securite Space 12.00
Последнее обновление 29.09.18 21:33.[/QUOTE]
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
[QUOTE=Vvvyg;1489369]...А это удалить:[/QUOTE] Удалил.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
[QUOTE=Vvvyg;1489369]...[COLOR=#333333]Dr.Web Security Space (выключен и устарел)[/COLOR][/QUOTE] Останавливал антивирусную защиту во время работы SecurityCheck и UVS
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
[QUOTE=Vvvyg;1489369]
Это лучше обновить:[COLOR=#333333]Adobe Acrobat Reader DC - Russian v.15.010.20060 [/COLOR][COLOR=red][B]Внимание! [URL="http://get.adobe.com/ru/reader/otherversions/"]Скачать обновления[/URL][/B][/COLOR]
[COLOR=blue][B]^Проверьте обновления через меню Справка - Проверить обновления!^[/B][/COLOR]
[COLOR=#333333]Yandex v.18.9.0.3467 [/COLOR][COLOR=red][B]Внимание! [URL="https://download.cdn.yandex.net/browser/yandex/ru/Yandex.exe"]Скачать обновления[/URL][/B][/COLOR]
[COLOR=blue][B]^Проверьте обновления через меню Дополнительно - О браузере Yandex!^[/B][/COLOR][/QUOTE]
Все обновил. Но во время обновления акробата после проверки обновления пришлось еще один раз обновиться до V/18.11.2063 акробат ридер DS. Но вовремя установки этого обновления монитор антивирусник сработал на [QUOTE]29.09.2018 22:19 Монитор активности Обнаружена угроза Объект: explorer.exe Угроза: DPH:Trojan.ExecMimic Действие: Перемещено Путь: C:\Users\mpyanykh\AppData\Local\Temp\scoped_dir6664_23668\explorer.exe[/QUOTE]
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
[QUOTE=regist;1489319]а если запустить быструю проверку? В теории после быстрой проверки сразу должно на это сработать если есть.[/QUOTE] Перегрузился. Запустил быструю проверку вебера. О результатах отпишусь.
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
[QUOTE=maximpn;1489370]... Перегрузился. Запустил быструю проверку вебера. О результатах отпишусь.[/QUOTE] r. Web при быстрой проверке опять обнаружил в реестре и блокировал подозрительный процесс - Userini.
Userinit REG:SUSPICIOUS.UserinitCorrupted Registry\Machine\Software\Wow6432Node\Microsoft\Wi ndows NT\CurrentVersion\Winlogon\Userinit
Промежуточное резюме:
1. Предупреждение Dr. Web связано с нестандартным ключом реестра в ветке[CODE]HKEY_LOCAL_MACHINE\Backup\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon[/CODE]Сам файл userinit.exe легитимный, с цифровой подписью Microsoft, опасности не представляет. Точно так же Dr. Web реагирует на любые изменения в файле hosts, и ничего с этим параноидальным поведением, скорее всего, не сделать.
2. Какое приложение меняет ключ реестра - вопрос интересный, можно попробовать отследить через [URL="http://www.windowsfaq.ru/content/view/306/60/"]аудит реестра[/URL].
И я так и жду ]Сделайте полный образ автозапуска uVS, если не лезет во вложения - загрузите в доступное облачное хранилище или на файлообменник.
[QUOTE=Vvvyg;1489384]...Сделайте полный образ автозапуска uVS, если не лезет во вложения - загрузите в доступное облачное хранилище или на файлообменник.[/QUOTE] Как оказалось, у меня закончилось свободное место для приатачивания файлов на форуме во вложения. Как его почистить ещё не разобрался. Поэтому файл NB-TR83-1601_2018-09-29_21-08-18_v4.0.20 выложил здесь [url=http://wdfiles.ru/5utg] здесь[/url] А файл NB-TR83-1601_2018-09-30_10-03-32_v4.0.20 [url=http://wdfiles.ru/5uti] здесь[/url]
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
у меня такой командой, от имени администратора, в 10 secedit /refreshpolicy MACHINE_POLICY процесс распространения групповой политики не запускается
[b]maximpn[/b], я правильно понял, если пофиксить ту строчки в HiJackThis, то до перезагрузки (если сразу проверить др. Вебом) вирус не находится?
И также если сделать повторный лог HiJackThis сразу после фикса, то в нём этой строки нету?
Чтобы применить политики, можно просто перезагрузку сделать.
Отключите до перезагрузки антивирус. Скопируйте скрипт из окна "код" ниже в буфер обмена:
[CODE];uVS v4.0.20 [http://dsrt.dyndns.org]
;Target OS: NTv10.0
v400c
regt 12
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DGBJEIEKAHKLBGBFCCOHIPINHGAADIJAD%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DNECFMKPLPMINFJAGBLFABGGOMDPAAKAN%26INSTALLSOURCE%3DONDEMAND%26UC
delref %SystemDrive%\PROGRAM FILES (X86)\IOBIT\IOBIT UNINSTALLER\UNINSTALER_SKIPUAC.EXE
delref %SystemDrive%\USERS\MPYANYKH\APPDATA\LOCAL\YANDEX\YANDEXBROWSER\USER DATA\DEFAULT\EXTENSIONS\GPOLJLMAMGMHMMNHHPLFFEHJLLJNILPH\1.1.17.1220_0\SEARCH WEB
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DFDJDJKKJOIOMAFNIHNOBKINNFJNNLHDG%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DJKFBLCBJFOJMGAGIKHLDEPPGMGDPJKPL%26INSTALLSOURCE%3DONDEMAND%26UC
delref %SystemDrive%\PROGRAM FILES (X86)\KINGSOFT\WPS OFFICE\9.1.0.4947\UTILITY\UNINST.EXE
delref %SystemDrive%\USERS\MPYANYKH\DOWNLOADS\НОВАЯ ПАПКА\OFFICE PROFESSIONAL PLUS 2010 14.0.4763.1000 32BIT64BIT VL MULTI-6\MEDICINE\KMSAUTO HELPER XP V1.0.2\KMSAUTO HELPER.EXE
delref %SystemDrive%\USERS\MPYANYKH\\LOCAL SETTINGS\APPLICATION DATA\YANDEX\YANDEXBROWSER\USER DATA\PROFILE 1\EXTENSIONS\[email protected]
del %SystemDrive%\USERS\AVINDYURIN\DESKTOP\ОНЛАЙН-РЕГИСТРАЦИЯ ПРОДУКТА ASUS.LNK
apply
deltmp
restart[/CODE]
Закройте все броузеры, запустите командный файл script.cmd из папки с uVS. Когда откроется окно со скриптом, нажмите "Выполнить".
Компьютер перезагрузится.
Сообщите, что с проблемой.
[QUOTE=Vvvyg;1489431]...Отключите до перезагрузки антивирус. Скопируйте скрипт из окна "код" ниже в буфер обмена:
[CODE];uVS v4.0.20 [http://dsrt.dyndns.org]
;Target OS: NTv10.0
v400c
regt 12
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DGBJEIEKAHKLBGBFCCOHIPINHGAADIJAD%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DNECFMKPLPMINFJAGBLFABGGOMDPAAKAN%26INSTALLSOURCE%3DONDEMAND%26UC
delref %SystemDrive%\PROGRAM FILES (X86)\IOBIT\IOBIT UNINSTALLER\UNINSTALER_SKIPUAC.EXE
delref %SystemDrive%\USERS\MPYANYKH\APPDATA\LOCAL\YANDEX\YANDEXBROWSER\USER DATA\DEFAULT\EXTENSIONS\GPOLJLMAMGMHMMNHHPLFFEHJLLJNILPH\1.1.17.1220_0\SEARCH WEB
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DFDJDJKKJOIOMAFNIHNOBKINNFJNNLHDG%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DJKFBLCBJFOJMGAGIKHLDEPPGMGDPJKPL%26INSTALLSOURCE%3DONDEMAND%26UC
delref %SystemDrive%\PROGRAM FILES (X86)\KINGSOFT\WPS OFFICE\9.1.0.4947\UTILITY\UNINST.EXE
delref %SystemDrive%\USERS\MPYANYKH\DOWNLOADS\НОВАЯ ПАПКА\OFFICE PROFESSIONAL PLUS 2010 14.0.4763.1000 32BIT64BIT VL MULTI-6\MEDICINE\KMSAUTO HELPER XP V1.0.2\KMSAUTO HELPER.EXE
delref %SystemDrive%\USERS\MPYANYKH\\LOCAL SETTINGS\APPLICATION DATA\YANDEX\YANDEXBROWSER\USER DATA\PROFILE 1\EXTENSIONS\[email protected]
del %SystemDrive%\USERS\AVINDYURIN\DESKTOP\ОНЛАЙН-РЕГИСТРАЦИЯ ПРОДУКТА ASUS.LNK
apply
deltmp
restart[/CODE]
Закройте все броузеры, запустите командный файл script.cmd из папки с uVS. Когда откроется окно со скриптом, нажмите "Выполнить".
Компьютер перезагрузится.[/QUOTE] Сделал.
[QUOTE=Vvvyg;1489431]...Сообщите, что с проблемой.[/QUOTE]
Теперь после проверки антивирусником в реестре вместо одного видиозменения, стало 3. Картинка вот такая выложил скрин:[URL=http://imglink.ru] [IMG]http://imglink.ru/pictures/30-09-18/06de9af8494f2a9836692e28947f14b2.jpg[/IMG][/URL]
Придирчивый он,зелёный антивирус...
Сделайте лог свежим HijackThis.
[QUOTE=Vvvyg;1489440]Придирчивый он,зелёный антивирус...
Сделайте лог свежим HijackThis.[/QUOTE] После выполнения скрипта последующего обезвреживания антивирусом и перезагрузки не грузится рабочий стол. Синий экран. Как восстановить?
[b]maximpn[/b], а в безопасном режиме тоже не грузится?