скачал сборник вирусов [HEUR:Trojan.Win32.Generic ]

**Dr By** · 09.01.2017, 16:22

Здравствуйте, прощу посмотреть логи. серьёзно заразил комп, отключив антивирус во время установки ПО, самостоятельно исправить ситуацию не удаётся

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 09.01.2017, 16:23

Уважаемый(ая) Dr By, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**Vvvyg** · 09.01.2017, 21:58

Выполните скрипт в AVZ:

Код:

begin
 TerminateProcessByName('c:\program files\їмС№\x86\kzreport.exe');
 QuarantineFile('c:\program files\їмС№\x86\kzreport.exe', '');
 QuarantineFile('C:\Program Files (x86)\Maoha\MaohaAP\MaoHaWiFiNet64.sys', '');
 QuarantineFile('c:\program files\їмС№\x86\update.exe', '');
 QuarantineFile('C:\Windows\system32\drivers\KuaiZipDrive.sys', '');
 QuarantineFile('C:\Users\mtv\AppData\Roaming\Trisin.exe', '');
 QuarantineFile('C:\Users\mtv\AppData\Roaming\QvoTintip.exe', '');
 DeleteFile('c:\program files\їмС№\x86\kzreport.exe', '32');
 DeleteFile('C:\Program Files (x86)\Maoha\MaohaAP\MaoHaWiFiNet64.sys', '32');
 DeleteFile('c:\program files\їмС№\x86\update.exe', '32');
 DeleteFile('C:\Windows\system32\drivers\KuaiZipDrive.sys');
 DeleteFile('C:\Users\mtv\AppData\Roaming\Trisin.exe');
 DeleteFile('C:\Users\mtv\AppData\Roaming\QvoTintip.exe');
 DeleteFile('C:\Windows\tasks\KuaiZip_Update.job');
 DeleteService('MaohaWifiNetPro');
 DeleteService('KuaizipUpdateChecker');
 DeleteFileMask('c:\program files\їмс№', '*', true);
 DeleteFileMask('c:\program files (x86)\maoha', '*', true);
 DeleteFileMask('C:\Program Files (x86)\baidu', '*', true);
 DeleteDirectory('c:\program files\їмс№');
 DeleteDirectory('c:\program files (x86)\maoha');
 DeleteDirectory('C:\Program Files (x86)\baidu');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.

Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Сделайте новые логи в обычном, а не безопасном режиме.

**Dr By** · 09.01.2017, 23:28

Выполнил скрипт, карантин приложил, новые логи могу сделать только в безопасном режиме, т.к. в обычном режиме не могу открыть ни iexplorer, ни AVZ

**Vvvyg** · 10.01.2017, 07:19

Деинсталлируйте программы:

mpck version 1.1
SafeFinder
ScreenShared

Выполните скрипт в AVZ:

Код:

begin
ClearQuarantine;
 QuarantineFile('C:\Program Files (x86)\IQIYI Video\LStyle\5.5.33.3550\QiyiService.exe', '');
 QuarantineFile('C:\Program Files (x86)\IQIYI Video\LStyle\5.5.33.3550\QyKernel.exe', '');
 QuarantineFile('C:\Program Files (x86)\IQIYI Video\LStyle\5.5.33.3550\QyClient.exe', '');
 QuarantineFile('C:\Users\mtv\AppData\Roaming\А¶ФВ№Щ·ЅїН»§¶Л\А¶ФВ№Щ·ЅїН»§¶Л.exe', '');
 QuarantineFile('C:\Program Files (x86)\IQIYI Video\LStyle\5.5.33.3550\Accelerator\IEHelper.dll', '');
 DeleteFile('C:\Program Files (x86)\IQIYI Video\LStyle\5.5.33.3550\QiyiService.exe', '32');
 DeleteFile('C:\Program Files (x86)\Maoha\MaohaAP\MaoHaWiFiNet64.sys', '32');
 DeleteFile('C:\Program Files (x86)\IQIYI Video\LStyle\5.5.33.3550\QyKernel.exe', '32');
 DeleteFile('C:\Program Files (x86)\IQIYI Video\LStyle\5.5.33.3550\QyClient.exe', '32');
 DeleteFile('C:\Users\mtv\AppData\Roaming\А¶ФВ№Щ·ЅїН»§¶Л\А¶ФВ№Щ·ЅїН»§¶Л.exe', '32');
 DeleteFile('C:\Program Files (x86)\IQIYI Video\LStyle\5.5.33.3550\Accelerator\IEHelper.dll', '32');
 DeleteFile('C:\Program Files (x86)\Stcotynucsp Center\local64spl.dll', '32');
 DeleteService('QiyiService');
 DeleteService('MaohaWifiNetPro');
 DeleteFileMask('C:\Program Files (x86)\Stcotynucsp Center', '*', true);
 DeleteFileMask('c:\program files (x86)\iqiyi video', '*', true);
 DeleteFileMask('c:\program files (x86)\maoha', '*', true);
 DeleteFileMask('c:\users\mtv\appdata\roaming\а¶фв№щ·ѕїн»§¶л', '*', true);
 DeleteDirectory('C:\Program Files (x86)\Stcotynucsp Center');
 DeleteDirectory('c:\program files (x86)\iqiyi video');
 DeleteDirectory('c:\program files (x86)\maoha');
 DeleteDirectory('c:\users\mtv\appdata\roaming\а¶фв№щ·ѕїн»§¶л');
 DelBHO('{FB4F6285-4C32-49F2-950F-A5998F9CEC6C}');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'HCDNClient');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'QyClient');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
RebootWindows(true);
end.

Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).

**Dr By** · 10.01.2017, 10:09

mpck version 1.1 и ScreenShared - отсутсвуют в списке установленных программ,
SafeFinder - не удаляется, при попытке удалить закрывается IE

скрипт выполнил

Результат загрузки карантина: "Ошибка загрузки. Данный файл уже был загружен", при переименовании - тоже самое

**regist** · 10.01.2017, 14:04

Код:

Unity Web Player (HKU\S-1-5-21-365956581-2544394332-1499864866-1001\...\UnityWebPlayer) (Version: 5.3.4f1 - Unity Technologies ApS)
WinZip 18.0 (HKLM\...\{CD95F661-A5C4-44F5-A6AA-ECDD91C240DF}) (Version: 18.0.10661 - WinZip Computing, S.L. )

Если сами не ставили, то деинсталируйте.

Код:

 C:\TOSTACK

вам эта папка знакома?

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

Код:

start
CreateRestorePoint:
HKLM-x32\...\Run: [] => [X]
HKLM\...\Providers\0ww714sd: C:\Program Files (x86)\Stcotynucsp Center\local64spl.dll
ShellExecuteHooks: No Name - {0D16CC4A-CB68-11E6-8EDE-64006A5CFC23} - C:\Users\mtv\AppData\Roaming\Wijacultferek\Fergasplijerle.dll -> No File
Toolbar: HKU\S-1-5-21-365956581-2544394332-1499864866-1001 -> No Name - {47833539-D0C5-4125-9FA8-0819E2EAAC93} -  No File
2017-01-09 16:27 - 2017-01-09 17:21 - 00000000 ____D C:\Users\Public\QiYi
2017-01-09 15:42 - 2017-01-09 15:42 - 00000000 ____D C:\Program Files\0ww714sd
2017-01-05 01:43 - 2017-01-09 22:55 - 00000000 __SHD C:\Users\mtv\AppData\Local\svchost
2017-01-05 01:42 - 2017-01-10 09:45 - 00000000 ____D C:\Program Files (x86)\Stcotynucsp Center
2017-01-05 01:42 - 2017-01-09 22:55 - 00000000 ____D C:\Program Files\P9XYIZMFFI
2017-01-05 01:42 - 2017-01-09 22:55 - 00000000 ____D C:\Program Files (x86)\Nracultghvusp
2017-01-05 01:42 - 2017-01-05 03:01 - 00000000 ____D C:\Users\mtv\AppData\Roaming\Wijacultferek
2017-01-05 01:42 - 2017-01-05 01:42 - 00000000 ____D C:\Users\mtv\AppData\Local\Phernaphdoerpy
2017-01-05 01:42 - 2017-01-05 01:42 - 00000000 ____D C:\Users\mtv\AppData\Local\Grujery
2017-01-05 01:42 - 2017-01-05 01:42 - 00000000 ____D C:\Program Files (x86)\Bacotqujik
2017-01-05 01:39 - 2017-01-05 01:39 - 07316480 _____ C:\Users\mtv\AppData\Roaming\agent.dat
2017-01-05 01:39 - 2017-01-05 01:39 - 01906331 _____ C:\Users\mtv\AppData\Roaming\QvoTintip.tst
2017-01-05 01:39 - 2017-01-05 01:39 - 00126464 _____ C:\Users\mtv\AppData\Roaming\noah.dat
2017-01-05 01:39 - 2017-01-05 01:39 - 00126464 _____ C:\Users\mtv\AppData\Roaming\lobby.dat
2017-01-05 01:39 - 2017-01-05 01:39 - 00072787 _____ C:\Users\mtv\AppData\Roaming\Trisin.tst
2017-01-05 01:39 - 2017-01-05 01:39 - 00070704 _____ C:\Users\mtv\AppData\Roaming\Config.xml
2017-01-05 01:39 - 2017-01-05 01:39 - 00054272 _____ C:\Users\mtv\AppData\Roaming\ApplicationHosting.dat
2017-01-05 01:39 - 2017-01-05 01:39 - 00005568 _____ C:\Users\mtv\AppData\Roaming\md.xml
2017-01-05 01:39 - 2017-01-05 01:39 - 00000000 ____D C:\Users\Default\AppData\Local\AdvinstAnalytics
2017-01-05 01:39 - 2017-01-05 01:39 - 00000000 ____D C:\Users\Default User\AppData\Local\AdvinstAnalytics
2017-01-05 01:38 - 2017-01-05 01:41 - 00140288 _____ C:\Users\mtv\AppData\Roaming\Installer.dat
2017-01-05 01:38 - 2017-01-05 01:41 - 00016560 _____ C:\Users\mtv\AppData\Roaming\InstallationConfiguration.xml
2017-01-05 01:39 - 2017-01-05 01:39 - 7316480 _____ () C:\Users\mtv\AppData\Roaming\agent.dat
2017-01-05 01:39 - 2017-01-05 01:39 - 0054272 _____ () C:\Users\mtv\AppData\Roaming\ApplicationHosting.dat
2017-01-05 01:39 - 2017-01-05 01:39 - 0070704 _____ () C:\Users\mtv\AppData\Roaming\Config.xml
2017-01-05 01:38 - 2017-01-05 01:41 - 0016560 _____ () C:\Users\mtv\AppData\Roaming\InstallationConfiguration.xml
2017-01-05 01:38 - 2017-01-05 01:41 - 0140288 _____ () C:\Users\mtv\AppData\Roaming\Installer.dat
2017-01-05 01:39 - 2017-01-05 01:39 - 0126464 _____ () C:\Users\mtv\AppData\Roaming\lobby.dat
2017-01-05 01:39 - 2017-01-05 01:39 - 0005568 _____ () C:\Users\mtv\AppData\Roaming\md.xml
2017-01-05 01:39 - 2017-01-05 01:39 - 0126464 _____ () C:\Users\mtv\AppData\Roaming\noah.dat
2017-01-05 01:39 - 2017-01-05 01:39 - 1906331 _____ () C:\Users\mtv\AppData\Roaming\QvoTintip.tst
2017-01-05 01:39 - 2017-01-05 01:39 - 0072787 _____ () C:\Users\mtv\AppData\Roaming\Trisin.tst
2017-01-05 01:40 - 2017-01-05 01:40 - 0032038 _____ () C:\Users\mtv\AppData\Roaming\uninstall_temp.ico
2015-10-28 16:43 - 2015-10-28 16:43 - 0000017 _____ () C:\Users\mtv\AppData\Local\resmon.resmoncfg
Shortcut: C:\Users\mtv\AppData\Roaming\Microsoft\Windows\Start Menu\їмС№.lnk -> C:\Program Files\їмС№\X86\KuaiZip.exe (No File) <===== Cyrillic
HKU\S-1-5-21-365956581-2544394332-1499864866-1001\Software\Classes\.scr: scrfile =>  <===== ATTENTION
EmptyTemp:
Reboot:
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!
Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Скачайте AdwCleaner и сохраните его на Рабочем столе.
Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S0].txt.
Прикрепите отчет к своему следующему сообщению.

**Dr By** · 10.01.2017, 14:38

Unity Web Player - удалил, но ставил сам и давно
WinZip 18.0 - ставил вроде сам, удалить не могу, т.к. дистрибут удалил

C:\TOSTACK - файл с нулевым размером, по времени совпадает с заражением, удалил

логи прилагаю

**regist** · 10.01.2017, 15:13

Запустите повторно AdwCleaner (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать"), а по окончании сканирования нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления.
Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C0].txt.
Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

Сделайте свежие логи FRST.

+ что с проблемой?

- - - - -Добавлено - - - - -

+ файл которым вы заразились у вас сохранился?

**Dr By** · 10.01.2017, 16:41

логи прикладываю.
с проблемой гораздо лучше, комп тормозит вроде, но офис работает, IE тоже, окна не открываются, на нажатие правой кнопкой мыши на файлах больше не виснет.
из странного - тип архивов определяет как KuaiZip.zip
китайский софт вроде весь удалился, не удалился только SafeFinder - при попытке удалить закрывает IE
файл остался, это была установка ACDSee 10 и патча. и дистрибут и патч - целы.
но после установки я его ещё не запускал, т.к. лечил комп

**regist** · 10.01.2017, 17:44

Сообщение от Dr By

из странного - тип архивов определяет как KuaiZip.zip

переназначьте ассоциации.

Сообщение от Dr By

SafeFinder - при попытке удалить закрывает IE

не понятно, поясните подробней.

Сообщение от Dr By

файл остался,

Заархивируйте в zip архив с паролем virus и загрузите по ссылке Прислать запрошенный карантин вверху темы.

- - - - -Добавлено - - - - -

+
Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

Код:

start
CreateRestorePoint:
S2 Arjosy; C:\Program Files (x86)\Nracultghvusp\pjlSystem.dll [X]
2017-01-05 02:17 - 2017-01-05 02:17 - 00000000 ____D C:\Users\mtv\AppData\Local\AdvinstAnalytics
AlternateDataStreams: C:\ProgramData\TEMP:054B9966 [139]
FirewallRules: [{53CD3CA6-99DB-497E-9965-C2E23A491728}] => C:\Program Files (x86)\Maoha\MaohaAP\MaohaWifiSvr.exe
AlternateDataStreams: C:\ProgramData\TEMP:054B9966 [139]
AlternateDataStreams: C:\ProgramData\TEMP:B0177106 [133]
AlternateDataStreams: C:\Users\mtv\Documents\1389.jpeg:3or4kl4x13tuuug3Byamue2s4b [103]
AlternateDataStreams: C:\Users\mtv\Documents\1389.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
AlternateDataStreams: C:\Users\mtv\Documents\1473.jpeg:3or4kl4x13tuuug3Byamue2s4b [103]
AlternateDataStreams: C:\Users\mtv\Documents\1473.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
AlternateDataStreams: C:\Users\mtv\Documents\426.jpeg:3or4kl4x13tuuug3Byamue2s4b [103]
AlternateDataStreams: C:\Users\mtv\Documents\426.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
AlternateDataStreams: C:\Users\mtv\Documents\АгроТерра.jpeg:3or4kl4x13tuuug3Byamue2s4b [89]
AlternateDataStreams: C:\Users\mtv\Documents\АгроТерра.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
AlternateDataStreams: C:\Users\mtv\Documents\заявление на отпуск 2015.jpeg:3or4kl4x13tuuug3Byamue2s4b [103]
AlternateDataStreams: C:\Users\mtv\Documents\заявление на отпуск 2015.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
AlternateDataStreams: C:\Users\mtv\Documents\Лансет.jpeg:3or4kl4x13tuuug3Byamue2s4b [103]
AlternateDataStreams: C:\Users\mtv\Documents\Лансет.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
AlternateDataStreams: C:\Users\mtv\Documents\локо-1.jpeg:3or4kl4x13tuuug3Byamue2s4b [89]
AlternateDataStreams: C:\Users\mtv\Documents\локо-1.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
AlternateDataStreams: C:\Users\mtv\Documents\локо-2.jpeg:3or4kl4x13tuuug3Byamue2s4b [89]
AlternateDataStreams: C:\Users\mtv\Documents\локо-2.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
AlternateDataStreams: C:\Users\mtv\Documents\максим-1.jpeg:3or4kl4x13tuuug3Byamue2s4b [89]
AlternateDataStreams: C:\Users\mtv\Documents\максим-1.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
AlternateDataStreams: C:\Users\mtv\Documents\максим-2.jpeg:3or4kl4x13tuuug3Byamue2s4b [89]
AlternateDataStreams: C:\Users\mtv\Documents\максим-2.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
AlternateDataStreams: C:\Users\mtv\Documents\максим-3.jpeg:3or4kl4x13tuuug3Byamue2s4b [89]
AlternateDataStreams: C:\Users\mtv\Documents\максим-3.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
AlternateDataStreams: C:\Users\mtv\Documents\максим-4.jpeg:3or4kl4x13tuuug3Byamue2s4b [89]
AlternateDataStreams: C:\Users\mtv\Documents\максим-4.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
AlternateDataStreams: C:\Users\mtv\Documents\максим-5.jpeg:3or4kl4x13tuuug3Byamue2s4b [89]
AlternateDataStreams: C:\Users\mtv\Documents\максим-5.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
AlternateDataStreams: C:\Users\mtv\Documents\МП.jpeg:3or4kl4x13tuuug3Byamue2s4b [89]
AlternateDataStreams: C:\Users\mtv\Documents\МП.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
AlternateDataStreams: C:\Users\mtv\Documents\ОСТ 31.jpeg:3or4kl4x13tuuug3Byamue2s4b [103]
AlternateDataStreams: C:\Users\mtv\Documents\ОСТ 31.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
AlternateDataStreams: C:\Users\mtv\Documents\паспорт.jpeg:3or4kl4x13tuuug3Byamue2s4b [89]
AlternateDataStreams: C:\Users\mtv\Documents\паспорт.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
AlternateDataStreams: C:\Users\mtv\Documents\паспорт2.jpeg:3or4kl4x13tuuug3Byamue2s4b [89]
AlternateDataStreams: C:\Users\mtv\Documents\паспорт2.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
AlternateDataStreams: C:\Users\mtv\Documents\паспорт3.jpeg:3or4kl4x13tuuug3Byamue2s4b [89]
AlternateDataStreams: C:\Users\mtv\Documents\паспорт3.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
AlternateDataStreams: C:\Users\mtv\Documents\полисы1.jpeg:3or4kl4x13tuuug3Byamue2s4b [89]
AlternateDataStreams: C:\Users\mtv\Documents\полисы1.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
AlternateDataStreams: C:\Users\mtv\Documents\полисы2.jpeg:3or4kl4x13tuuug3Byamue2s4b [89]
AlternateDataStreams: C:\Users\mtv\Documents\полисы2.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
AlternateDataStreams: C:\Users\mtv\Documents\ПОН17КПД-Промсвязьбанк.jpeg:3or4kl4x13tuuug3Byamue2s4b [103]
AlternateDataStreams: C:\Users\mtv\Documents\ПОН17КПД-Промсвязьбанк.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
AlternateDataStreams: C:\Users\mtv\Documents\ПОН17КПД.jpeg:3or4kl4x13tuuug3Byamue2s4b [103]
AlternateDataStreams: C:\Users\mtv\Documents\ПОН17КПД.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
AlternateDataStreams: C:\Users\mtv\Documents\русаков-1.jpeg:3or4kl4x13tuuug3Byamue2s4b [89]
AlternateDataStreams: C:\Users\mtv\Documents\русаков-1.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
AlternateDataStreams: C:\Users\mtv\Documents\русаков-2.jpeg:3or4kl4x13tuuug3Byamue2s4b [89]
AlternateDataStreams: C:\Users\mtv\Documents\русаков-2.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
AlternateDataStreams: C:\Users\mtv\Documents\свидетельства.jpeg:3or4kl4x13tuuug3Byamue2s4b [89]
AlternateDataStreams: C:\Users\mtv\Documents\свидетельства.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
AlternateDataStreams: C:\Users\mtv\Documents\Седрус1.jpeg:3or4kl4x13tuuug3Byamue2s4b [89]
AlternateDataStreams: C:\Users\mtv\Documents\Седрус1.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
AlternateDataStreams: C:\Users\mtv\Documents\Седрус2.jpeg:3or4kl4x13tuuug3Byamue2s4b [89]
AlternateDataStreams: C:\Users\mtv\Documents\Седрус2.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
AlternateDataStreams: C:\Users\mtv\Documents\Срукувф-2.jpeg:3or4kl4x13tuuug3Byamue2s4b [89]
AlternateDataStreams: C:\Users\mtv\Documents\Срукувф-2.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
AlternateDataStreams: C:\Users\mtv\Documents\Срукувф.jpeg:3or4kl4x13tuuug3Byamue2s4b [89]
AlternateDataStreams: C:\Users\mtv\Documents\Срукувф.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
AlternateDataStreams: C:\Users\mtv\Documents\точинвест-1.jpeg:3or4kl4x13tuuug3Byamue2s4b [89]
AlternateDataStreams: C:\Users\mtv\Documents\точинвест-1.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
AlternateDataStreams: C:\Users\mtv\Documents\точинвест-2.jpeg:3or4kl4x13tuuug3Byamue2s4b [89]
AlternateDataStreams: C:\Users\mtv\Documents\точинвест-2.jpeg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:054B9966 [139]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:B0177106 [133]
EmptyTemp:
Reboot:
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!
Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

**Dr By** · 10.01.2017, 17:56

не знаю, удалось ли закачать файл?
в панели управления при нажатии на SafeFinder кнопки удалить, ничего не происходит, только закрывается параллельно IE

**Vvvyg** · 10.01.2017, 18:52

Удалось.

Скачайте программу Universal Virus Sniffer и сделайте полный образ автозапуска uVS.
Если не влезет во вложения - выложите на облачное хранилище или файлообменник и дайте ссылку.

**Dr By** · 10.01.2017, 19:39

выложил https://1drv.ms/u/s!AlFeNxmXhhrKgj_aQKpCaX1G0JG4

**Vvvyg** · 10.01.2017, 21:26

MS OneDrive не может проверить это на вирусы и скачать никакими силами не даёт

Можно в другое место?

**Dr By** · 11.01.2017, 01:34

https://drive.google.com/file/d/0B8H...ew?usp=sharing - давайте с гугла попробуем

**Vvvyg** · 11.01.2017, 07:15

Скопируйте скрипт из окна "код" ниже в буфер обмена:

Код:

;uVS v3.87.8 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v388c
delref %SystemDrive%\PROGRAM FILES (X86)\NRACULTGHVUSP\PJLSYSTEM.DLL
delref HTTP://WWW.MAIL.RU/MRA?LANG=RU
delref %SystemDrive%\PROGRAM FILES\ЇМС№\X64\KZIPSHELL.DLL
deldir %SystemDrive%\PROGRAM FILES (X86)\NRACULTGHVUSP
uidel  "C:\Program Files (x86)\Common Files\Inchhold\uninstall.exe" shuz -f "C:\Program Files (x86)\Common Files\Inchhold\uninstall.dat" -a uninstallme A74B1568-8D30-420D-8C3F-1205E7DBF786 DeviceId=e133eca2-f553-e488-4c7e-e31bd5424381 BarcodeId=51198003 ChannelId=3 DistributerName=APSFWakeNet
deldir C:\Program Files (x86)\Common Files\Inchhold
delref KUAIZIP SHELL EXTENSION\[CLSID]
delref %SystemDrive%\USERS\MTV\APPDATA\ROAMING\WIJACULTFEREK\FERGASPLIJERLE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\WESTWOODONLINE\WOLBROWSER.DLL
delref %SystemDrive%\USERS\MTV\APPDATA\ROAMING\ICQM\ICQSETUP.EXE
deltmp
restart

Закройте все броузеры, запустите командный файл script.cmd из папки с uVS. Когда откроется окно со скриптом, нажмите "Выполнить".
Компьютер перезагрузится.

В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.

Сообщите, какие проблемы остались.

**Dr By** · 11.01.2017, 08:20

даже не знаю, вроде всё ок. по крайней мере внешне. кроме того что IE с открытой только этой страницей жрёт 5-11% проца и около 150мб памяти, но, я так понимаю, это его особенность?
спасибо большое за помощь

**Vvvyg** · 11.01.2017, 19:16

Да не должен бы IE столько кушать. Если его без надстроек запустить?

**Dr By** · 12.01.2017, 16:02

запущен без надстроек, ест также, по 180 мб на каждую открытую вкладку

скачал сборник вирусов [HEUR:Trojan.Win32.Generic ] (заявка № 207854)

Опции темы