Пропали все ярлыки; именно ярлыки, а не файлы. и другие лаги [Trojan-Ransom.Win32.Blocker.gcdt ]

[Ruslan152]

Здравствуйте, искал драйвера для компьютера, скачал какой то exe-файл с названием нужного мне ноутбука, решил открыть и посмотреть файл. В итоге какая то хрень начала устанавливаться, установка еще свернулась, и у меня в панеле задач появился mail.ru. После зашел в "Программы и компоненты" и удалил оттуда какие то странные программы связанные с купонами, скидками и т.д (minimum price, next coup и т.д.). (похожие друг на друга, у них еще автор был указан просто кавычками - вот так "").

После ушел на кухню, а тем временем как мне сказал друг, комп сам перезагрузился и потом когда я к нему подошел, то был просто в ШОКе! Все ярлыки (именно значки со стрелочками) исчезли с рабочего стола и также их не стало в меню Пуск, теперь там только папки, которые все пустые.

Хотел попробовать запустить восстановление системы, но оно не работает, и в свойствах компьютера отсутствует одна вкладка "Защита системы".

Ярлыки в ссылках, которые слева в каждой папке все исчезли.
В диспетчере загрузок появились две странные строчки: InstallMoney и node-webkit, которая запускается в процессах в трех копиях. Даже не знаю, что это.

Также у меня теперь не устанавливаются некоторые проги, вылазит ошибка что возможно служба Windows Installer не установлена. В списке всех служб некоторые отсутствуют в т.ч. и служба Windows Installer.

И как назло нельзя воспользоваться восстановлением системы.. как теперь быть??

у меня не прикрепляются файлы, которые должны быть во вложении, поэтому я приложил ссылку на них,
вот: https://yadi.sk/d/3-HDMg87crkAo

Заранее спасибо!

[Info_bot]

Уважаемый(ая) Ruslan152, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\Руслан\AppData\Roaming\Microsoft Update\UnLoad.exe','');
 QuarantineFile('C:\Users\Руслан\AppData\Roaming\Microsoft Manager APP\InstallMoney.exe','');
 QuarantineFile('C:\Windows\system32\drivers\{7012eec1-4f37-42d4-a2cd-26727494d248}Gw64.sys','');
 TerminateProcessByName('c:\users\Руслан\appdata\roaming\gemware\node-webkit.exe');
 QuarantineFile('c:\users\Руслан\appdata\roaming\gemware\node-webkit.exe','');
 DeleteFile('c:\users\Руслан\appdata\roaming\gemware\node-webkit.exe','32');
 DeleteFile('C:\Windows\system32\drivers\{7012eec1-4f37-42d4-a2cd-26727494d248}Gw64.sys','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\node-webkit','command');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','node-webkit');
 DeleteFile('C:\Users\Руслан\AppData\Roaming\Microsoft Manager APP\InstallMoney.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','InstallMoney');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\InstallMoney','command');
 DeleteFile('C:\Users\Руслан\AppData\Roaming\Microsoft Update\UnLoad.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','UnLoad_TorProject');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;	
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

[Ruslan152]

отправил карантин через форму, как и просили

также прикрепляю заново отчеты https://yadi.sk/d/2rHkL35UcsZ3e

[thyrex]

Логи прикрепляйте на форуме через кнопку Расширенный режим

Сделайте лог полного сканирования МВАМ

[Ruslan152]

Просканировал систему через MBAM,

вот лог: https://yadi.sk/i/z3eedfe5ctUiB

[thyrex]

Читать умеем?

Логи прикрепляйте на форуме через кнопку Расширенный режим

Поместите в карантин МВАМ всё, кроме

PUP.Optional.OpenCandy, C:\Users\?*N?N??»?°??\Downloads\????N?N?N????±N?N?????N?\K-LiteCodecPack1055Full.exe, , [51841e20017be452259db0c855b024dc], 
Hacktool.Agent, C:\Windows\Setup\SCRIPTS\data\WindowsLoader.exe, , [3f96b48a7efe3ef82353521258a902fe],

[Ruslan152]

у меня логи не прикрепляются, поскольку место под файлы на форуме занято, а файлы удалить я не могу.
поэтому приходится вот так ссылками и кидать.

Поместил в карантин, что делать дальше?

[thyrex]

а файлы удалить я не могу.

Мой кабинет - Вложения и удаляйте самые старые

Что с проблемой?

[Ruslan152]

заново прикрепляю лог через тему

[thyrex]

Что с проблемой?

[Ruslan152]

проблема осталась, восстановление системы так и не заработало, ярлыки так и не появились

[mike 1]

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

[Ruslan152]

вот новые очередные логи моего ноута

[mike 1]

Пофиксите следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=4f4d1e27e54846dfdeb8dc3854b081db&text={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=4f4d1e27e54846dfdeb8dc3854b081db&text={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=4f4d1e27e54846dfdeb8dc3854b081db&text=
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=4f4d1e27e54846dfdeb8dc3854b081db&text=
O13 - DefaultPrefix: http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=4f4d1e27e54846dfdeb8dc3854b081db&text=

1. Скачайте FixerBro by glax 24 и сохраните архив с утилитой на Рабочем столе
2. Распакуйте архив с утилитой в отдельную папку
3. Запустите FixerBro
   Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да
4. В главном окне программы нажмите на кнопку "Проверить"
5. Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\FixerBro (лог в формате FixerBro_yyyymmdd.txt)
6. По окончанию сканирования нажмите на кнопку "Отчет".
7. Сохраните лог утилиты
8. Прикрепите сохраненный отчет в вашей теме.

[Ruslan152]

прикрепляю лог от программы FixerBro

[mike 1]

1. Запустите повторно FixerBro by glax24.
   Обратите внимание, что утилиты необходимо запускать через правую кн. мыши от имени администратора, на Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да
2. Нажмите на кнопку "Проверить", а по окончанию сканирования поставьте галочки напротив следующих строк и нажмите на кнопку Исправить. Дождитесь окончания удаления.
   
   

   C:\Users\Руслан\Desktop\Программы\Opera 24.lnk [C:\Program Files (x86)\Opera\launcher.exe "http://searcheasynow.ru" ]
   C:\Users\Руслан\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Punto Switcher.lnk [C:\Program Files (x86)\Yandex\Punto Switcher\punto.exe --"http://searcheasynow.ru"]
   C:\Users\Руслан\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\ImplicitAppShortcuts\3eb5df1217f99446\Google Chrome.lnk [C:\Users\Руслан\AppData\Local\Google\Chrome\Application\chrome.exe --profile-directory=Default - (Объект запуска не найден)]
   C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Яндекс\Punto Switcher\Punto Switcher.lnk [C:\Program Files (x86)\Yandex\Punto Switcher\punto.exe --"http://searcheasynow.ru"]

3. Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\FixerBro. (Лог в формате FixerBro_yyyymmdd.txt).
4. По окончанию удаления нажмите на кнопку "Отчет"
5. Сохраните лог утилиты
6. Прикрепите сохраненный отчет в вашей теме.

Удалите расширение в браузере:

AS Magic Player - (C:\Users\Руслан\AppData\Local\Google\Chrome\User Data\Default\Extensions\mfhnkgpdlogbknkhlgdjlejelj bhflim) (22.11.2014)

[Ruslan152]

удалил, но оно тут не причем..оно давно уже стояло у меня

[mike 1]

Оно может показывать рекламу в браузере.

[Ruslan152]

А восстановление системы как опять вернуть можно? Такое ощущение как будто его и не было никогда