непонятные процессы и сайты казино в браузере

[wirtor]

прошу помочь

[Info_bot]

Уважаемый(ая) wirtor, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[SQ]

Здравствуйте,


AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); 
 QuarantineFile('C:\Users\legio\AppData\Roaming\CDManager\ml.py','');
 QuarantineFile('C:\Users\legio\AppData\Roaming\CDManager\python\pythonw.exe','');
 QuarantineFile('C:\Users\legio\AppData\Roaming\CDManager\updater.py','');
 QuarantineFile('C:\Users\legio\AppData\Roaming\ForceUpdateVOF\ml.py','');
 QuarantineFile('C:\Users\legio\AppData\Roaming\ForceUpdateVOF\python\pythonw.exe','');
 QuarantineFile('C:\Users\legio\AppData\Roaming\ForceUpdateVOF\updater.py','');
 QuarantineFile('C:\Users\legio\AppData\Roaming\SearchAY\app.py','');
 QuarantineFile('C:\Users\legio\AppData\Roaming\SearchAY\ml.py','');
 QuarantineFile('C:\Users\legio\AppData\Roaming\SearchAY\python\pythonw.exe','');
 QuarantineFile('C:\Users\legio\AppData\Roaming\VOF\ml.py','');
 QuarantineFile('C:\Users\legio\AppData\Roaming\VOF\python\pythonw.exe','');
 QuarantineFile('C:\Users\legio\AppData\Roaming\VOF\updater.py','');
 QuarantineFile('C:\Users\legio\AppData\Roaming\Vofer2\IQmanager\app.py','');
 QuarantineFile('C:\Users\legio\AppData\Roaming\Vofer2\IQmanager\ml.py','');
 QuarantineFile('C:\Users\legio\AppData\Roaming\Vofer2\ml.py','');
 QuarantineFile('C:\Users\legio\AppData\Roaming\Vofer2\python\pythonw.exe','');
 QuarantineFile('C:\Users\legio\AppData\Roaming\Vofer2\updater.py','');
 QuarantineFile('C:\Users\legio\AppData\Roaming\aswast\app.py','');
 QuarantineFile('C:\Users\legio\AppData\Roaming\aswast\ml.py','');
 QuarantineFile('C:\Users\legio\AppData\Roaming\aswast\python\pythonw.exe','');
 QuarantineFile('C:\Users\legio\AppData\Roaming\vofer\app.py','');
 QuarantineFile('C:\Users\legio\AppData\Roaming\vofer\ml.py','');
 QuarantineFile('C:\Users\legio\AppData\Roaming\vofer\python\pythonw.exe','');
 DeleteFile('C:\Users\legio\AppData\Roaming\CDManager\ml.py','32');
 DeleteFile('C:\Users\legio\AppData\Roaming\CDManager\python\pythonw.exe','32');
 DeleteFile('C:\Users\legio\AppData\Roaming\CDManager\updater.py','32');
 DeleteFile('C:\Users\legio\AppData\Roaming\ForceUpdateVOF\ml.py','32');
 DeleteFile('C:\Users\legio\AppData\Roaming\ForceUpdateVOF\python\pythonw.exe','32');
 DeleteFile('C:\Users\legio\AppData\Roaming\ForceUpdateVOF\updater.py','32');
 DeleteFile('C:\Users\legio\AppData\Roaming\SearchAY\app.py','32');
 DeleteFile('C:\Users\legio\AppData\Roaming\SearchAY\ml.py','32');
 DeleteFile('C:\Users\legio\AppData\Roaming\SearchAY\python\pythonw.exe','32');
 DeleteFile('C:\Users\legio\AppData\Roaming\VOF\ml.py','32');
 DeleteFile('C:\Users\legio\AppData\Roaming\VOF\python\pythonw.exe','32');
 DeleteFile('C:\Users\legio\AppData\Roaming\VOF\updater.py','32');
 DeleteFile('C:\Users\legio\AppData\Roaming\Vofer2\IQmanager\app.py','32');
 DeleteFile('C:\Users\legio\AppData\Roaming\Vofer2\IQmanager\ml.py','32');
 DeleteFile('C:\Users\legio\AppData\Roaming\Vofer2\ml.py','32');
 DeleteFile('C:\Users\legio\AppData\Roaming\Vofer2\python\pythonw.exe','32');
 DeleteFile('C:\Users\legio\AppData\Roaming\Vofer2\updater.py','32');
 DeleteFile('C:\Users\legio\AppData\Roaming\aswast\app.py','32');
 DeleteFile('C:\Users\legio\AppData\Roaming\aswast\ml.py','32');
 DeleteFile('C:\Users\legio\AppData\Roaming\aswast\python\pythonw.exe','32');
 DeleteFile('C:\Users\legio\AppData\Roaming\vofer\app.py','32');
 DeleteFile('C:\Users\legio\AppData\Roaming\vofer\ml.py','32');
 DeleteFile('C:\Users\legio\AppData\Roaming\vofer\python\pythonw.exe','32');
 ExecuteFile('schtasks.exe', '/delete /TN "CDManager2" /F', 0, 15000, true); 
 ExecuteFile('schtasks.exe', '/delete /TN "ForceUpdateVOF" /F', 0, 15000, true); 
 ExecuteFile('schtasks.exe', '/delete /TN "ForceUpdateVOF2" /F', 0, 15000, true); 
 ExecuteFile('schtasks.exe', '/delete /TN "IQmanager" /F', 0, 15000, true); 
 ExecuteFile('schtasks.exe', '/delete /TN "IQmanager2" /F', 0, 15000, true); 
 ExecuteFile('schtasks.exe', '/delete /TN "SearchAY" /F', 0, 15000, true); 
 ExecuteFile('schtasks.exe', '/delete /TN "SearchAY2" /F', 0, 15000, true); 
 ExecuteFile('schtasks.exe', '/delete /TN "VOF" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "VOF2" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Vofer2" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Vofer22" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "aswast" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "aswast2" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "vofer" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "andyounnewsorgthrones" /F', 0, 15000, true);
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','CDManager');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','ForceUpdateVOF');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','IQmanager');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','SearchAY');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Vofer2');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','aswast');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','vofer');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Подготовьте лог AdwCleaner и приложите его в теме.

[wirtor]

При попытке загрузить карантин пишет: "Ошибка загрузки. Данный файл уже был загружен". На всякий случай прикладываю и его.
Спасибо за ответ. Сразу скажу, что не дождался и 7 числа подчистил программками: Malwarebytes, HijackThis, adwcleaner.

[SQ]

- Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
  
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[wirtor]

Отчет Farbar Recovery Scan Tool

[SQ]

• Закройте и сохраните все открытые приложения.
• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  CloseProcesses:
  CHR Extension: (Tampermonkey) - C:\Users\legio\AppData\Local\Google\Chrome\User Data\Default\Extensions\dhdgffkkebhmkfjojejmpbldmpobfkfo [2017-03-06]
  CHR Extension: (friGate CDN - бесперебойный доступ к сайтам) - C:\Users\legio\AppData\Local\Google\Chrome\User Data\Default\Extensions\mbacbcfdfaapbcnlnbmciiaakomhkbkb [2017-02-27]
  S3 GPU-Z; \??\C:\Users\legio\AppData\Local\Temp\GPU-Z.sys [X] <==== ATTENTION
  Folder: C:\Users\legio\AppData\Local\akumuichinoana
  2017-02-15 12:54 - 2017-02-15 12:54 - 6283632 _____ (Microsoft Corporation) C:\Users\comba\AppData\Local\Temp\InstallSilverlight.EXE
  2017-02-15 12:54 - 2017-02-15 12:54 - 0402704 _____ (Nero AG) C:\Users\comba\AppData\Local\Temp\Silverlight.EXE
  AlternateDataStreams: C:\ProgramData\TEMP:4FC01C57 [282]
  AlternateDataStreams: C:\Users\Все пользователи\TEMP:4FC01C57 [282]
  HKU\S-1-5-21-385437028-2644620140-630683888-1001\...\StartupApproved\StartupFolder: => "Vofer2.lnk"
  HKU\S-1-5-21-385437028-2644620140-630683888-1001\...\StartupApproved\StartupFolder: => "ForceUpdateVOF.lnk"
  HKU\S-1-5-21-385437028-2644620140-630683888-1001\...\StartupApproved\StartupFolder: => "CDManager.lnk"
  HKU\S-1-5-21-385437028-2644620140-630683888-1001\...\StartupApproved\StartupFolder: => "vofer.lnk"
  HKU\S-1-5-21-385437028-2644620140-630683888-1001\...\StartupApproved\StartupFolder: => "VOF.lnk"
  HKU\S-1-5-21-385437028-2644620140-630683888-1001\...\StartupApproved\Run: => "aswast"
  HKU\S-1-5-21-385437028-2644620140-630683888-1001\...\StartupApproved\Run: => "IQmanager"
  HKU\S-1-5-21-385437028-2644620140-630683888-1001\...\StartupApproved\Run: => "Vofer2"
  HKU\S-1-5-21-385437028-2644620140-630683888-1001\...\StartupApproved\Run: => "CDManager"
  HKU\S-1-5-21-385437028-2644620140-630683888-1001\...\StartupApproved\Run: => "ForceUpdateVOF"
  HKU\S-1-5-21-385437028-2644620140-630683888-1001\...\StartupApproved\Run: => "SearchAY"
  HKU\S-1-5-21-385437028-2644620140-630683888-1001\...\StartupApproved\Run: => "vofer"
  Reboot:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите.
• Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[wirtor]

Лог-файл

[SQ]

Сообщите, что с проблемой?

[wirtor]

Основная проблема решена, спасибо за помощь.

- - - - -Добавлено - - - - -

Возможно, вы сталкивались с такой проблемой: время от времени (довольно редко), "возникает невидимое окно", из-за которого нажатия мышкой на любую область экрана ни к чему не приводят. Решаю данную проблему вызвав меню безопасности (ctrl+alt+del) и ткнув мышкой в любую область. Даже малейшего понятия не имею от чего это может происходить. При работе на ноутбуке такая проблема не возникает. В основном использую тот же софт, что и на стационаре. Началось давно, переустановка windows данную проблему не решает.

[SQ]

Покажите скрин проблемы.

[wirtor]

В этом и проблема, что показать нечего, просто бац и клики мышки в любую область ничего не дают, в панеле задач ничего не появляется.

[SQ]

Скачайте программу Universal Virus Sniffer и сделайте полный образ автозапуска uVS.

[wirtor]

Образ автозапуска

[SQ]

Выполните скрипт в uVS:

;uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv10.0
v385c
OFFSGNSAVE
BREG
delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DDHDGFFKKEBHMKFJOJEJMPBLDMPOBFKFO%26INSTALLSOURCE%3DONDEMAND%26UC
delref %SystemDrive%\USERS\LEGIO\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\DHDGFFKKEBHMKFJOJEJMPBLDMPOBFKFO\4.2.7_0\TAMPERMONKEY
zoo %SystemDrive%\USERS\COMBA\APPDATA\LOCAL\TEMP\WCT241A.TMP
deltmp
restart

[wirtor]

Скрипт выполнил. Прилагаю архив, в соответствие с инструкцией.

[SQ]

Сделайте лог полного сканирования МВАМ