Вирусы Baidu An и Baidu Sd (百度卫士)

**Milena19** · 11-18-2014, 10:37 PM

Здравствуйте! При установке программы так же залетели и вирусы Baidu An и Baidu Sd (百度卫士, 百度杀毒). Помогите убить эту заразу.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 11-18-2014, 10:39 PM

Уважаемый(ая) Milena19, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**mike 1** · 11-19-2014, 01:20 AM

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила оформления запроса о помощи.

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

Code:

begin
SetAVZPMStatus(false);
RebootWindows(false);
end.

Внимание! Будет выполнена перезагрузка компьютера

Пофиксите следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

Code:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=de2fbbe90e3ae2fbdfd72e9bed7234a7&text={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=de2fbbe90e3ae2fbdfd72e9bed7234a7&text={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=de2fbbe90e3ae2fbdfd72e9bed7234a7&text=
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=de2fbbe90e3ae2fbdfd72e9bed7234a7&text=
R3 - URLSearchHook: (no name) - {0633EE93-D776-472f-A0FF-E1416B8B2E3D} - (no file)
O2 - BHO: BDHOOK - {15DEE173-1BE9-4424-81E0-58A87076E9B1} - C:\Program Files\Baidu\BaiduSd\2.1.0.3086\websafe\WebMonBHO.dll
O4 - HKLM\..\Run: [baidusdTray] "C:\Program Files\Baidu\BaiduSd\2.1.0.3086\BaiduSdTray.exe"  -stmd=3
O4 - HKLM\..\Run: [BaiduAnTray] "C:\Program Files\Baidu\BaiduAn\2.3.0.2225\BaiduAnTray.exe"  -stmd=3
O13 - DefaultPrefix: http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=de2fbbe90e3ae2fbdfd72e9bed7234a7&text=
O13 - Gopher Prefix:

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

Скачайте FixerBro by glax 24 и сохраните архив с утилитой на Рабочем столе
Распакуйте архив с утилитой в отдельную папку
Запустите FixerBro
Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да
В главном окне программы нажмите на кнопку "Проверить"
Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\FixerBro (лог в формате FixerBro_yyyymmdd.txt)
По окончанию сканирования нажмите на кнопку "Отчет".
Сохраните лог утилиты
Прикрепите сохраненный отчет в вашей теме.

Скачайте ComboFix здесь и сохраните в корень диска С.

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.

2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe. Например: temp.exe

**Milena19** · 11-19-2014, 10:33 AM

Все сделала

**mike 1** · 11-19-2014, 12:06 PM

Где лог Combofix?

**Milena19** · 11-19-2014, 12:52 PM

Извините, пропустила. Надеюсь это то, что нужно?!

**mike 1** · 11-19-2014, 01:08 PM

Запустите повторно FixerBro by glax24.
Обратите внимание, что утилиты необходимо запускать через правую кн. мыши от имени администратора, на Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да

Нажмите на кнопку "Проверить", а по окончанию сканирования поставьте галочки напротив следующих строк и нажмите на кнопку Исправить. Дождитесь окончания удаления.

Code:

C:\Users\ADMIN\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Internet Explorer (No Add-ons).lnk [C:\Program Files\Internet Explorer\iexplore.exe "http://romsearch.ru" ]
C:\Users\ADMIN\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk [C:\Program Files\Internet Explorer\iexplore.exe "http://romsearch.ru" ]
C:\Users\ADMIN\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Opera.lnk [C:\Program Files\Opera\launcher.exe "http://romsearch.ru"  - (Объект запуска не найден)]

Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\FixerBro. (Лог в формате FixerBro_yyyymmdd.txt).
По окончанию удаления нажмите на кнопку "Отчет"
Сохраните лог утилиты
Прикрепите сохраненный отчет в вашей теме.

Скопируйте текст ниже в Блокнот и сохраните как файл с названием CFScript.txt в корень диска С.

Code:

KillAll::

File::
C:\Windows\system32\drivers\bd0001.sys
C:\Windows\system32\drivers\bd0002.sys
C:\Windows\system32\drivers\bd0003.sys
C:\Windows\system32\drivers\bd0004.sys
C:\Windows\system32\drivers\BDArKit.SYS
C:\Windows\system32\drivers\BDEnhanceBoost.sys
C:\Windows\system32\drivers\BDMNetMon.sys
C:\Windows\system32\drivers\BDMWrench.sys

Driver::
bd0001
bd0002
bd0003
bd0004
BDArKit
BDEnhanceBoost
BDMNetMon
BDMWrench
BaiduHips
BDKVRTP
BDMRTP

Folder::
C:\Users\ADMIN\AppData\Local\Google\Chrome\User Data\Default\Extensions\kcnhkahnjcbndmmehfkdnkjomaanaooo
C:\Program Files\Common Files\Baidu
C:\ProgramData\Baidu
C:\Program Files\Baidu
C:\Program Files\BaiduEx

Registry::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"baidusdTray"=-
[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\pcket_x64]

FileLook::

DirLook::

Reboot::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

**Milena19** · 11-19-2014, 03:34 PM

FixerBro не исправляет "C:\Users\ADMIN\AppData\Roaming\Microsoft\Inte rnet Explorer\Quick Launch\User Pinned\TaskBar\Opera.lnk
А ComboFix остановился на месте с фото. Отчет не могу найти.

**mike 1** · 11-19-2014, 03:57 PM

А ComboFix остановился на месте с фото. Отчет не могу найти.

Нужно подождать немного. Всего циклов около 50.

**Milena19** · 11-19-2014, 04:51 PM

Лог

**mike 1** · 11-19-2014, 05:45 PM

AV: ESET Smart Security 8.0 *Enabled/Updated* {19259FAE-8396-A113-46DB-15B0E7DFA289}
FW: Персональный файервол ESET *Enabled* {211E1E8B-C9F9-A04B-6D84-BC85190CE5F2}
SP: ESET Smart Security 8.0 *Enabled/Updated* {A2447E4A-A5AC-AE9D-7C6B-2EC29C58E834}

Антивирус перед выполнением скрипта отключайте.

Скопируйте текст ниже в Блокнот и сохраните как файл с названием CFScript.txt в корень диска С.

Code:

KillAll::

File::
C:\Windows\system32\drivers\bd0001.sys
C:\Windows\system32\drivers\bd0002.sys
C:\Windows\system32\drivers\bd0003.sys
C:\Windows\system32\drivers\BDArKit.SYS
C:\Windows\system32\drivers\BDEnhanceBoost.sys
C:\Windows\system32\drivers\BDMNetMon.sys
C:\Windows\system32\drivers\BDMWrench.sys

Driver::

Folder::

Registry::

FileLook::

DirLook::

Reboot::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

**Milena19** · 11-19-2014, 07:53 PM

...

**mike 1** · 11-19-2014, 08:01 PM

C:\Windows\system32\drivers\bd0001.sys
C:\Windows\system32\drivers\bd0002.sys
C:\Windows\system32\drivers\bd0003.sys
C:\Windows\system32\drivers\BDArKit.SYS
C:\Windows\system32\drivers\BDEnhanceBoost.sys
C:\Windows\system32\drivers\BDMNetMon.sys
C:\Windows\system32\drivers\BDMWrench.sys

Пришлите согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы. Потом эти файлы удалите и отпишитесь что с проблемой?

**Milena19** · 11-19-2014, 08:32 PM

Проблема устранена. Спасибо огромное за помощь! Успехов Вам!

**mike 1** · 11-20-2014, 01:39 AM

Деинсталлируйте ComboFix: нажмите Пуск => Выполнить в окне наберите команду Combofix /Uninstall, нажмите кнопку "ОК"

Скачайте OTCleanIt, запустите, нажмите Clean up

Загрузите SecurityCheck by glax24 отсюда и сохраните утилиту на Рабочем столе
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7)
Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt