Не могу избавится от Extsetup.exe [not-a-virus:Downloader.Win32.LMN.uhmx ]

[regist]

выполните скрипт uVS

;uVS v3.87.2 [http://dsrt.dyndns.org]
;Target OS: NTv10.0
v385c
BREG
zoo %SystemDrive%\USERS\ZULURIES\APPDATA\LOCAL\MICROSOFT\EXTENSIONS\EXTSETUP.EXE
bl 1F469D5D7779AAEEEE687D3358FFB720 460259
delall %SystemDrive%\USERS\ZULURIES\APPDATA\LOCAL\MICROSOFT\EXTENSIONS\EXTSETUP.EXE
delref %SystemDrive%\USERS\ZULURIES\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\PROFILE 1\EXTENSIONS\GLCIMEPNLJOHOLDMJCHKLOAFKGGFOIJH\2.0.14_1\ЗАЩИТА ОТ ВЕБ-УГРОЗ 360
czoo
restart

Установите наконец себе антивирус.

сделайте свежий образ автозапуска.

[Zuluries]

Свежий образ http://rghost.ru/6HRHYFV75
После перезагрузки проблема сохранилась. По поводу антивируса, пользуюсь security essentials (защитник Windows) последние несколько лет, до этого проблем не было, а эту заразу подхватил по своей невнимательности(

[regist]

Смените браузер по умолчанию. После этого сделайте свежий лог Check Browsers' LNK by Alex Dragokas & regist

[Zuluries]

Установил по умолчанию Edge, сделал лог.

[regist]

Проблема осталась?

[Zuluries]

Здравствуйте, к сожалению проблема осталась. Не знаю сможет ли это помочь или нет но у меня остался файл при запуске которого установилась вся эта нечисть.

[regist]

остался файл при запуске которого установилась вся эта нечисть.

Заархивируйте в zip архив с паролем virus и загрузите по ссылке Прислать запрошенный карантин вверху темы.

По проблеме ещё раз подробно опишите, в чём она сейчас проявляется?

[Zuluries]

Загрузил архив, Проблема: Из браузеров (Mozilla Firefox, Google Chrome) удаляет расширения (Adblock и т.д.) Устанавливает свои, создаются ярлыки на сайты на рабочем столе. После сканирования adwcleaner находит и удаляет файлы: отчет adwcleaner http://rghost.ru/private/69fq8NXTR/c...4a6b22ea7b0809
После перезагрузки примерно спустя 2-3 минуты все вышеописанные проблемы повторяются, повторное сканирование adwcleaner находит опять все те же файлы. Вообщем такой замкнутый круг(

[regist]

- Сделайте лог полного сканирования MBAM.

[Zuluries]

Сделано

[mrak74]

Выполните скрипт в uVS Как выполнить скрипт в uVS

;uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv10.0
v385c
delmz %SystemDrive%\USERS\ZULURIES\APPDATA\LOCAL\MICROSOFT\EXTENSIONS\EXTSETUP.EXE
deldir %SystemDrive%\USERS\ZULURIES\APPDATA\LOCAL\MICROSOFT\EXTENSIONS
deltmp
restart

+ Удалите всё найденное в MBAM.

[Zuluries]

Выполнил, после перезагрузки проблема сохранилась.

[mrak74]

Выполнил, после перезагрузки проблема сохранилась.

Новый лог MBAM покажите пожалуйста. Если каким то чудом, нечисть умудряется восстанавливаться, значит она останется в логе MBAM, но не вся, а только наш любимый extsetup.exe. Всякого рода ASPackage, Kometa, должны отсутствовать в новом логе, о том что они мутировали и научились само восстанавливаться мне ничего неизвестно.
Парочка вопросов:
1) У нас в правилах прописано:

* Обязательно нужно запускать данные программы с правами администратора. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому необходимо нажать правой кнопкой на программу, выбрать пункт "Запустить от имени администратора" (Run as administrator), ввести пароль администратора в появившемся окошке и нажать кнопку "OK".

, надо бы про Windows 10 дописать, Вы правильно запускали утилиты перед выполнением скрипта ?
2) Вам приходилось работать с "Live CD", любым аналогом виртуальной операционки ?

[Zuluries]

Да, утилиты запускал от имени администратора, прикрепил новые логи MBAM и adwcleaner. С Live CD работал. (Kaspersky Rescue Disk 10)

[regist]

Zuluries, расширение в мозиле [email protected] вам знакомо?

[Zuluries]

Нет, ни чего подобного не устанавливал.

[regist]

у меня остался файл при запуске которого установилась вся эта нечисть.

можете подробней описать, как произошло заражение? При запуске этого файла открывается браузер со ссылкой на яндекс.

[Zuluries]

В точности уже не помню, но вкладки с какими-то сайтами точно открывались, но вроде не яндекс, поиск по умолчанию изменился на мэйл ру.

[regist]

Свежий лог uVS ещё раз сделайте.

вроде не яндекс

имел ввиду яндекс диск. Но это похоже просто отвлекающий маневр .

- - - - -Добавлено - - - - -

+ Сделайте лог Process Monitor следующим образом: запустите Process Monitor; меню Options -> включите флажок Enable Boot Logging; перезагрузитесь; после этого воспроизведите проблему, затем запустите Process Monitor и сохраните лог: меню File -> Save -> PML-формат; заархивируйте и выложите на файлообменник, например http://rghost.ru

[Zuluries]

Лог Process Monitor (файл получился очень большой) http://ifolder.su/44945353
Образ автозапуска uVS http://rghost.ru/85m6WwyWc