iexplorer.exe *32 не удаляется процесс

**segunover** · 08.02.2017, 17:55

Здравствуйте, запустил непонятный exeшник, установились сервисы маил( амиго спутник и прочая фигня) +сам по себе начал запускаться интернет эксплорер с вулканом, почистил антималваером, удалил все сервисы, но процесс iexplorer.exe *32 продолжает висеть и не удаляется через диспетчер, уважаемые эксперты, помогите пожалуйста решить проблему. Логи прилагаю

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 08.02.2017, 17:57

Уважаемый(ая) segunover, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**regist** · 08.02.2017, 20:25

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

Код:

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFileF('c:\programdata\microsoft\macromed\flash player\f2245f4b-c437-4faf-95d5-3775585b11ac', '*', true, '', 0 , 0);
 QuarantineFileF('c:\programdata\krb updater utility', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFile('C:\ProgramData\Microsoft\Macromed\Flash Player\F2245F4B-C437-4FAF-95D5-3775585B11AC\5D8662A6-127D-4FA0-88E6-BBCD2DEB14AC.exe', '');
 QuarantineFile('C:\ProgramData\KRB Updater Utility\krbupdater-utility.exe', '');
 QuarantineFile('C:\Users\seGUN\AppData\Local\Temp\speedpc.exe', '');
 QuarantineFile('C:\Users\seGUN\AppData\Local\Microsoft\94B0A4209A127168708DE0BF8933CB2A\92697A29ACF084D37409A8F3FCBFCE4C.exe', '');
 QuarantineFile('C:\Users\seGUN\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk', '');
 DeleteFile('C:\ProgramData\Microsoft\Macromed\Flash Player\F2245F4B-C437-4FAF-95D5-3775585B11AC\5D8662A6-127D-4FA0-88E6-BBCD2DEB14AC.exe', '32');
 DeleteFile('C:\ProgramData\KRB Updater Utility\krbupdater-utility.exe', '32');
 DeleteFile('C:\Users\seGUN\AppData\Local\Microsoft\94B0A4209A127168708DE0BF8933CB2A\92697A29ACF084D37409A8F3FCBFCE4C.exe', '32');
 DeleteFile('C:\Users\seGUN\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk');
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\BFCE4CCF3F8A90473D480FCA9292697A" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\AF2245F4B-C437-4FAF-95D5-3775585B11AC" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\BFCE4CCF3F8A90473D480FCA9292697A" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\F2245F4B-C437-4FAF-95D5-3775585B11AC" /F', 0, 15000, true);
 DeleteFileMask('c:\programdata\krb updater utility', '*', true);
 DeleteDirectory('c:\programdata\krb updater utility');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', 'F2245F4B-C437-4FAF-95D5-3775585B11AC');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\KRB Updater Utility', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\speedpc', 'command');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('TSW', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

Hola™ 1.31.504 - Better Internet - советую деинсталировать.

- Сделайте повторные логи по правилам.

Скачайте AdwCleaner и сохраните его на Рабочем столе.
Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S0].txt.
Прикрепите отчет к своему следующему сообщению.

**segunover** · 09.02.2017, 12:37

Сообщение от regist

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

Код:

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFileF('c:\programdata\microsoft\macromed\flash player\f2245f4b-c437-4faf-95d5-3775585b11ac', '*', true, '', 0 , 0);
 QuarantineFileF('c:\programdata\krb updater utility', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFile('C:\ProgramData\Microsoft\Macromed\Flash Player\F2245F4B-C437-4FAF-95D5-3775585B11AC\5D8662A6-127D-4FA0-88E6-BBCD2DEB14AC.exe', '');
 QuarantineFile('C:\ProgramData\KRB Updater Utility\krbupdater-utility.exe', '');
 QuarantineFile('C:\Users\seGUN\AppData\Local\Temp\speedpc.exe', '');
 QuarantineFile('C:\Users\seGUN\AppData\Local\Microsoft\94B0A4209A127168708DE0BF8933CB2A\92697A29ACF084D37409A8F3FCBFCE4C.exe', '');
 QuarantineFile('C:\Users\seGUN\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk', '');
 DeleteFile('C:\ProgramData\Microsoft\Macromed\Flash Player\F2245F4B-C437-4FAF-95D5-3775585B11AC\5D8662A6-127D-4FA0-88E6-BBCD2DEB14AC.exe', '32');
 DeleteFile('C:\ProgramData\KRB Updater Utility\krbupdater-utility.exe', '32');
 DeleteFile('C:\Users\seGUN\AppData\Local\Microsoft\94B0A4209A127168708DE0BF8933CB2A\92697A29ACF084D37409A8F3FCBFCE4C.exe', '32');
 DeleteFile('C:\Users\seGUN\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk');
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\BFCE4CCF3F8A90473D480FCA9292697A" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\AF2245F4B-C437-4FAF-95D5-3775585B11AC" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\BFCE4CCF3F8A90473D480FCA9292697A" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\F2245F4B-C437-4FAF-95D5-3775585B11AC" /F', 0, 15000, true);
 DeleteFileMask('c:\programdata\krb updater utility', '*', true);
 DeleteDirectory('c:\programdata\krb updater utility');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', 'F2245F4B-C437-4FAF-95D5-3775585B11AC');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\KRB Updater Utility', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\speedpc', 'command');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('TSW', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

Hola™ 1.31.504 - Better Internet - советую деинсталировать.

- Сделайте повторные логи по правилам.

Скачайте AdwCleaner и сохраните его на Рабочем столе.
Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S0].txt.
Прикрепите отчет к своему следующему сообщению.

Спасибо что откликнулись на просьбу о помощи. Выполнил скрипт, компьютер перезагрузил, из того что вы просили прикрепить прикрепил только лог AVZ , потому что архив карантина оказался пустым, а adwcleaner находит 135 угроз, но под конец просто вылетает. Проблема осталась, iexplorer.exe висит в процессах. Что делать?

**regist** · 09.02.2017, 13:07

Сообщение от segunover

а adwcleaner находит 135 угроз, но под конец просто вылетает.

Я не просил пока делать очистку. Он вылетает даже просто при сканирование?
Тогда сначала зайдите:
В меню Tools ->Options (Инструменты ->Настройки) отметьте: "Включить отладочный режим".
Просканируйте и если вылетит, то прикрепите ещё файл C:\AdwCleaner\AdwCleaner_Debug.log
И если есть C:\AdwCleaner\AdwCleaner[S0].txt, то его тоже прикрепите.

Сообщение от regist

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

и где ссылка на отчёт?

- - - - -Добавлено - - - - -

да и внизу есть поле быстрого ответа. Не надо цитировать весь предыдущий пост, это затрудняет чтение.

**segunover** · 09.02.2017, 14:01

Да, при сканировании вылетает и с отладкой тоже.Прикрепляю дебуг от адв.

**regist** · 09.02.2017, 16:53

Код:

C:\Users\seGUN\AppData\Local\Google\Chrome\User Data\Default\Secure Preferences

Заархивируйте, закачайте архив на любой файлообменник, не требующий ввода капчи (например: Zippyshare, My-Files.RU) ссылку на скачивание пришлите мне в ЛС.

Сообщение от regist

и где ссылка на отчёт?

?

**segunover** · 09.02.2017, 21:46

Ох, вот отчет http://virusinfo.info/virusdetector/...482025E5051CEA

**regist** · 09.02.2017, 22:43

Код:

c:\program files (x86)\hand-crafted software\freeproxy\freeproxy.exe

Вам это знакомо?

А также эти ярлыки?

Код:

C:\ProgramData\Microsoft\Windows\Start Menu\Black Desert.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Star Conflict.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\War Thunder.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Новости.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Forge of Empires.lnk

- - - - -Добавлено - - - - -

+

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

Код:

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Users\seGUN\AppData\Local\Temp\speedpc.exe', '');
 QuarantineFile('C:\Users\seGUN\Tracing\WPPMedia\SK1C29~1.ETL.virtual.lnk', '');
 QuarantineFile('C:\Program Files (x86)\Quick Sender\Quick Sender.exe', '');
 QuarantineFile('C:\Program Files (x86)\[ FREE ]\EasyTop\EasyTop.exe', '');
 QuarantineFile('C:\Users\seGUN\Tracing\WPPMedia\SKEA28~1.ETL.virtual.lnk', '');
 QuarantineFile('C:\Users\seGUN\Desktop\1\AdvOR-0.3.0.20\AdvOR1\ADVOR-~4.virtual.lnk', '');
 QuarantineFile('C:\Users\seGUN\Desktop\1\AdvOR-0.3.0.20\AdvOR2\ADVOR-~4.virtual.lnk', '');
 QuarantineFile('C:\Users\seGUN\Desktop\1\AdvOR-0.3.0.20\AdvOR5\ADVOR-~4.virtual.lnk', '');
 QuarantineFile('C:\Users\seGUN\Desktop\1\AdvOR-0.3.0.20\AdvOR6\ADVOR-~4.virtual.lnk', '');
 QuarantineFile('C:\Users\seGUN\Desktop\1\AdvOR-0.3.0.20\AdvOR7\ADVOR-~4.virtual.lnk', '');
 QuarantineFile('C:\Users\seGUN\Desktop\1\AdvOR-0.3.0.20\AdvOR8\ADVOR-~4.virtual.lnk', '');
 QuarantineFile('C:\Program Files (x86)\Common Files\AppDownloads\E5E5D640-B8EF-4CD2-94CE-95E7A6149B0A.exe', '');
 DeleteFile('C:\Program Files (x86)\Common Files\AppDownloads\E5E5D640-B8EF-4CD2-94CE-95E7A6149B0A.exe');
 QuarantineFile('C:\Users\seGUN\Favorites\Links\Интернет.url', '');
 DeleteFile('C:\Users\seGUN\Favorites\Links\Интернет.url');
 DeleteFile('C:\Users\seGUN\AppData\Local\Temp\speedpc.exe', '32');
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "" /F', 0, 15000, true);
 DeleteFile('C:\Windows\Tasks\DriverToolkit Autorun.job','32');
 DeleteFile('C:\Windows\Tasks\GoogleUpdateTaskMachineCore.job','32');
 DeleteFile('C:\Windows\Tasks\GoogleUpdateTaskMachineUA.job','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\speedpc', 'command');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

Профиксите в HijackThis

Код:

O4 - MSConfig\startupreg: [KRB Updater Utility]  (2015/08/09) (no file)
O4 - MSConfig\startupreg: [redsurf] C:\Users\seGUN\AppData\Roaming\RedSurf-client\redsurf.exe -up (2015/08/18)
O4 - MSConfig\startupreg: [speedpc] C:\Users\seGUN\AppData\Local\Temp\speedpc.exe (2017/02/08)
O4-32 - HKLM\..\Policies\Explorer\Run: [AppDownloads] "C:\Program Files (x86)\Common Files\AppDownloads\E5E5D640-B8EF-4CD2-94CE-95E7A6149B0A.exe" /S

- Сделайте повторные логи по правилам.

+ - сделайте лог Check Browsers' LNK by Dragokas & regist (именно версией по этой ссылке).

**segunover** · 11.02.2017, 16:04

freeproxy знаком, все остальные файлы появились после установки вирусного екзешника. Выполнил скрипт, iexplorer по прежнему висит(. Файл с карантином отправил,логи прикрепил . В HijackThis пофиксить только то что вы находится в коде ? Если да, то таких записей HijackThis не нашел .

**regist** · 11.02.2017, 16:47

Сообщение от segunover

Если да, то таких записей HijackThis не нашел .

Надо использовать актуальную версию, она в отдельной папке ..\AutoLogger\HiJackThis

**segunover** · 11.02.2017, 17:23

Готово, все пофиксил кроме последней строчки, хайджек ее не нашел

Код:

O4-32 - HKLM\..\Policies\Explorer\Run: [AppDownloads] "C:\Program Files (x86)\Common Files\AppDownloads\E5E5D640-B8EF-4CD2-94CE-95E7A6149B0A.exe" /S

Прикрепил отчет

**regist** · 11.02.2017, 20:24

1)

Код:

Quick Sender [ PRO ] [20160912]-->C:\Program Files (x86)\Quick Sender\Uninstall.exe

Quick Sender [ PRO ] - вам знакома? Советую деинсталировать https://www.virustotal.com/ru/file/6...is/1482419347/

2) - Исправьте с помощью утилиты ClearLNK следующие ярлыки, отчёт о работе прикрепите:

Код:

C:\Users\seGUN\Tracing\WPPMedia\SK1C29~1.ETL.virtual.lnk
C:\Users\seGUN\Tracing\WPPMedia\SKEA28~1.ETL.virtual.lnk
C:\Users\seGUN\Desktop\1\AdvOR-0.3.0.20\AdvOR1\ADVOR-~4.virtual.lnk
C:\Users\seGUN\Desktop\1\AdvOR-0.3.0.20\AdvOR2\ADVOR-~4.virtual.lnk
C:\Users\seGUN\Desktop\1\AdvOR-0.3.0.20\AdvOR5\ADVOR-~4.virtual.lnk
C:\Users\seGUN\Desktop\1\AdvOR-0.3.0.20\AdvOR6\ADVOR-~4.virtual.lnk
C:\Users\seGUN\Desktop\1\AdvOR-0.3.0.20\AdvOR7\ADVOR-~4.virtual.lnk
C:\Users\seGUN\Desktop\1\AdvOR-0.3.0.20\AdvOR8\ADVOR-~4.virtual.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Black Desert.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Star Conflict.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\War Thunder.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Новости.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Forge of Empires.lnk
C:\Users\seGUN\Favorites\Links\Интернет.url

3) Профиксите в HijackThis из папки ..\AutoLogger\HiJackThis

Код:

O22 - ScheduledTask: (Ready) BFCE4CCF3F8A90473D480FCA9292697ARunOnce - \Microsoft - "C:\Users\seGUN\AppData\Local\Microsoft\94B0A4209A127168708DE0BF8933CB2A\92697A29ACF084D37409A8F3FCBFCE4C.exe" /S --resetup (file missing)
O22 - ScheduledTask: (Ready) BFCE4CCF3F8A90473D480FCA9292697ARunOnce - \Microsoft\Windows - "C:\Users\seGUN\AppData\Local\Microsoft\94B0A4209A127168708DE0BF8933CB2A\92697A29ACF084D37409A8F3FCBFCE4C.exe" /S --resetup (file missing)

4) Сделайте свежие логи AutoLogger-ом.

5)

Скачайте AdwCleaner и сохраните его на Рабочем столе.
Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S0].txt.
Прикрепите отчет к своему следующему сообщению.

**segunover** · 13.02.2017, 15:54

Исправил ярлыки с помощью утилиты ClearLNK, отчет прикрепил.
Профиксил в HijackThis, сделал свежие логи AutoLoggerом логи прикрепил.

AdwCleaner при сканировании по прежнему вылетает.

После всех манипуляций, Мalwarebytes начал плановую проверку всей системы, нашел вирус, отправил в карантин, комп перезагрузил, процесс iexplorer пропал. Что дальше делать?

**regist** · 13.02.2017, 18:29

- сделайте лог Check Browsers' LNK by Dragokas & regist. (этой версией)

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

**CyberHelper** · 13.02.2017, 18:39

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 14
В ходе лечения вредоносные программы в карантинах не обнаружены

iexplorer.exe *32 не удаляется процесс (заявка № 209145)

Опции темы