Рекламный мусор в хроме и системе [Trojan.Win64.Eroyee.hn ]

**v014nd** · 27.02.2017, 12:43

День добрый, пациент страдает кучей рекламного булшита в хроме, прогонялся несколько раз drweb`ом и adwcleaner`oм и они постоянно находят и удаляют файлы, папки, реестр.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 27.02.2017, 12:44

Уважаемый(ая) v014nd, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**v014nd** · 28.02.2017, 18:26

Друзья, я понимаю что требовать чего-то от бесплатного сервиса не в праве, но всё же, какова, обычно, скорость ответов в таких темах?

**v014nd** · 01.03.2017, 15:18

Может надо еще что-то прикрепить к посту чтоб отозвался кто-то?

**Vvvyg** · 01.03.2017, 22:59

Не нужно писать в теме, пока Вам не ответили. Тема из-за этого поиском в неотвеченных не находилась.

Запустите HijackThis из папки Autologger и пофиксите в HijackThis (в Windows Vista/7/8/10 необходимо запускать через правую кнопку мыши Запуск от имени администратора)):

Код:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.startpageing123.com/?type=hp&ts=1487760157&z=292adb81391b3acac4892fagbzab6m0m7qfeag3wem&from=che0812&uid=TS256GSSD360S_C634250197
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBFnYN5R-SRTQR4zPSPhvbdxaOKCIAw4Kq7fgA3eWqHGtN_oGFfGYrZmRmXLlOLCUh4bQbZHO8tMKG24dLtOMSAi9aTdraAxzIsv4iYTcD5oC7uHUNjtOa8BBDtec_tbAtzGZNhMZA97RWc1eB0oZnBq_XuvyJ8TcpnbtP_jCeEZQ7
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.startpageing123.com/?type=hp&ts=1487760157&z=292adb81391b3acac4892fagbzab6m0m7qfeag3wem&from=che0812&uid=TS256GSSD360S_C634250197
R0 - HKCU\Software\Microsoft\Internet Explorer\Search,Default_Search_URL = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBFnYN5R-SRTQR4zPSPhvbdxaOKCIAw4Kq7fgA3eWqHGtN_oGFfGYrZmRmXLlOLCUh4bQbZHO8tMKG24dLtOMSAi9aTdraAxzIsv4iYTcD5oC7uHUNjtOa8BBDtec_tbAtzGZNhMZA97RWc1eB0oZnBq_XuvyJ8TcpnbtP_jCeEZQ7
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.startpageing123.com/?type=hp&ts=1487760157&z=292adb81391b3acac4892fagbzab6m0m7qfeag3wem&from=che0812&uid=TS256GSSD360S_C634250197
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.startpageing123.com/search/?type=ds&ts=1487760157&z=292adb81391b3acac4892fagbzab6m0m7qfeag3wem&from=che0812&uid=TS256GSSD360S_C634250197&q={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.startpageing123.com/?type=hp&ts=1487760157&z=292adb81391b3acac4892fagbzab6m0m7qfeag3wem&from=che0812&uid=TS256GSSD360S_C634250197
R0-32 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.startpageing123.com/?type=hp&ts=1487760157&z=292adb81391b3acac4892fagbzab6m0m7qfeag3wem&from=che0812&uid=TS256GSSD360S_C634250197
R0-32 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.startpageing123.com/search/?type=ds&ts=1487760157&z=292adb81391b3acac4892fagbzab6m0m7qfeag3wem&from=che0812&uid=TS256GSSD360S_C634250197&q={searchTerms}
R0-32 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.startpageing123.com/?type=hp&ts=1487760157&z=292adb81391b3acac4892fagbzab6m0m7qfeag3wem&from=che0812&uid=TS256GSSD360S_C634250197
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBFnYN5R-SRTQR4zPSPhvbdxaOKCIAw4Kq7fgA3eWqHGtN_oGFfGYrZmRmXLlOLCUh4bQbZHO8tMKG24dLtOMSAi9aTdraAxzIsv4iYTcD5oC7uHUNjtOa8BBDtec_tbAtzGZNhMZA97RWc1eB0oZnBq_XuvyJ8TcpnbtP_jCeEZQ7R2lABl4fY0vDK&q={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,SearchAssistant = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBFnYN5R-SRTQR4zPSPhvbdxaOKCIAw4Kq7fgA3eWqHGtN_oGFfGYrZmRmXLlOLCUh4bQbZHO8tMKG24dLtOMSAi9aTdraAxzIsv4iYTcD5oC7uHUNjtOa8BBDtec_tbAtzGZNhMZA97RWc1eB0oZnBq_XuvyJ8TcpnbtP_jCeEZQ7R2lABl4fY0vDK&q={searchTerms}
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.startpageing123.com/search/?type=ds&ts=1487760157&z=292adb81391b3acac4892fagbzab6m0m7qfeag3wem&from=che0812&uid=TS256GSSD360S_C634250197&q={searchTerms}
R1-32 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.startpageing123.com/search/?type=ds&ts=1487760157&z=292adb81391b3acac4892fagbzab6m0m7qfeag3wem&from=che0812&uid=TS256GSSD360S_C634250197&q={searchTerms}
O4 - HKCU\..\StartupApproved\Run: [OD2CP#IDc2.exe] C:\Users\user\AppData\Roaming\{472-48-d4-344d1-8ee4a-3da1-d17fe}\OD2CP#IDc2.exe -r1_1 -r2_1 (2017/02/17)
O4 - HKCU\..\StartupApproved\Run: [fgVcE9QEn-.exe] C:\Users\user\AppData\Roaming\{472-48-d4-344d1-8ee4a-3da1-d17fe}\fgVcE9QEn-.exe 1 0 (2017/02/17)

Выполните скрипт в AVZ:

Код:

begin
 TerminateProcessByName('c:\program files (x86)\bikaqrss\bikaq.exe');
 QuarantineFile('c:\program files (x86)\bikaqrss\bikaq.exe', '');
 QuarantineFile('c:\programdata\apple\apple application support\support.dll', '');
 QuarantineFile('C:\Program Files (x86)\Cergerch Core\local64spl.dll', '');
 QuarantineFile('C:\Program Files (x86)\Phunshfowtain\wafering.exe', '');
 QuarantineFile('D:\autorun.inf', '');
 DeleteFile('c:\program files (x86)\bikaqrss\bikaq.exe', '32');
 DeleteFile('c:\programdata\apple\apple application support\support.dll', '32');
 DeleteFile('C:\Program Files (x86)\Cergerch Core\local64spl.dll', '32');
 DeleteFile('C:\Program Files (x86)\Phunshfowtain\wafering.exe', '32');
 DeleteFile('D:\autorun.inf', '32');
 DeleteFileMask('c:\program files (x86)\bikaqrss', '*', true);
 DeleteFileMask('c:\program files (x86)\cergerch core', '*', true);
 DeleteFileMask('c:\program files (x86)\phunshfowtain', '*', true);
 DeleteDirectory('c:\program files (x86)\bikaqrss');
 DeleteDirectory('c:\program files (x86)\cergerch core');
 DeleteDirectory('c:\program files (x86)\phunshfowtain');
 ExecuteFile('schtasks.exe', '/delete /TN "BikaQ_FetchAndUpgrade_CanBeDel" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Cergerch Core" /F', 0, 15000, true);
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Apple_Cfg\Parameters', 'ServiceDll');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(4);
 ExecuteRepair(3);
 ExecuteWizard('SCU', 3, 3, true);
RebootWindows(false);
end.

Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Сделайте новый лог Autologger.

Сделайте лог Malwarebytes AdwCleaner.

**v014nd** · 02.03.2017, 12:32

Карантин прикрепил, логи тут.

**Vvvyg** · 02.03.2017, 19:12

Скачайте, распакуйте и запустите утилиту ClearLNK. Скопируйте текст ниже в окно утилиты и нажмите "Лечить".

Код:

>>>  "C:\Users\user\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\ImplicitAppShortcuts\7eacadfa43776aec\Google Chrome.lnk"      -> ["C:\Program Files (x86)\Standuck\Application\chrome.exe"  =>> --profile-directory=ChromeDefaultData2]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mozilla Firefox.lnk"  -> ["C:\Program Files (x86)\Firefox\Firefox.exe"]

Отчёт о работе прикрепите.

Очистите кэш и cookies-файлы браузеров и сообщите, что с проблемой.

**v014nd** · 03.03.2017, 13:10

Вроде бы всё стало хорошо, спасибо вам огромное.

**Vvvyg** · 03.03.2017, 17:07

Запустите AdwCleaner и нажмите Файл (File) -> Деинсталлировать (Uninstall).

Выполните рекомендации после лечения.

**CyberHelper** · 03.03.2017, 17:17

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 3
В ходе лечения обнаружены вредоносные программы:
1. c:\program files (x86)\cergerch core\local64spl.dll - Trojan.Win64.Eroyee.hn

Рекламный мусор в хроме и системе [Trojan.Win64.Eroyee.hn ] (заявка № 209808)

Опции темы