cse в поиске гугл, com surrogate, неудаляющиеся программы [Trojan-Dropper.Win32.Agent.bjsjbu, Trojan.Win32.Wdfload.w ]

**Este2487** · 18.03.2017, 16:53

добрый вечер! не могу удалить вирусы. сбрасывала настройки браузеров, удаляла их и переустанавливала, но остаются те же проблемы: поиск cse.google, непонятная стартовая страница, куча рекламы, медленная прогрузка страниц. пробовала предложенные в интернете способы удаления (через реестр, через безопасный режим, программами AdwCleaner и Malwarebytes). не помогает, да еще и проблемы возникают: то остановка процесса очистки, то сброс поиска, то вообще не устанавливается брандмауэр виндоус.
так же через сонтрл шифт эск видны непонятные процессы, в том числе com surrogate.
есть не удаляющиеся программы, которых я не устанавливала: amulesw, diranalyze.
компьютер тормозит и глючит. часто выскакивает черное системное окошечко, буквально на доли секунды.
помогите!

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 18.03.2017, 16:59

Уважаемый(ая) Este2487, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**Vvvyg** · 19.03.2017, 16:20

Перетащите лог Check_Browsers_LNK.log из папки Autologger на утилиту ClearLNK. Отчёт о работе прикрепите.

Выполните скрипт в AVZ:

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 TerminateProcessByName('c:\windows\temp\gdca9.tmp.exe');
 QuarantineFile('c:\windows\temp\gdca9.tmp.exe', '');
 QuarantineFile('C:\ProgramData\8775b2854b8492y6813\8775b2854b8492y6813.dll', '');
 QuarantineFile('C:\ProgramData\1362K7264K1581X3079\1362K7264K1581X3079.dll', '');
 QuarantineFile('C:\Program Files\Internet Explored\exploreru.exe', '');
 QuarantineFile('C:\Program Files\SDisk Finder\sdiskfinder.exe', '');
 QuarantineFile('C:\Program Files\Pizery\xgretack.exe', '');
 DeleteFile('c:\windows\temp\gdca9.tmp.exe', '32');
 DeleteFile('C:\ProgramData\8775b2854b8492y6813\8775b2854b8492y6813.dll', '32');
 DeleteFile('C:\ProgramData\1362K7264K1581X3079\1362K7264K1581X3079.dll', '32');
 DeleteFile('C:\Program Files\Internet Explored\exploreru.exe', '32');
 DeleteFile('C:\Program Files\SDisk Finder\sdiskfinder.exe', '32');
 DeleteFile('C:\Program Files\Pizery\xgretack.exe', '32');
 DeleteFileMask('c:\programdata\8775b2854b8492y6813', '*', true);
 DeleteFileMask('c:\programdata\1362k7264k1581x3079', '*', true);
 DeleteFileMask('c:\program files\internet explored', '*', true);
 DeleteFileMask('c:\program files\sdisk finder', '*', true);
 DeleteFileMask('c:\program files\pizery', '*', true);
 DeleteDirectory('c:\programdata\8775b2854b8492y6813');
 DeleteDirectory('c:\programdata\1362k7264k1581x3079');
 DeleteDirectory('c:\program files\internet explored');
 DeleteDirectory('c:\program files\sdisk finder');
 DeleteDirectory('c:\program files\pizery');
 ExecuteFile('schtasks.exe', '/delete /TN "1362K7264K1581X3079" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "8775b2854b8492y6813" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Browser" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\DiskOptimizer" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\Browser" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Mirylazat Debuger" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "System Browser" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "{C9B30335-8148-4BF6-840D-6014D37DE8F8}" /F', 0, 15000, true);
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\RunOnce', 'COMP');
BC_ImportALL;
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Выполните в AVZ скрипт:

Код:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Сделайте новый лог Autologger, Ok после запуска нажимайте с зажатой клавишей Shift.

**Este2487** · 19.03.2017, 16:45

не поняла что значит "Сделайте новый лог Autologger, Ok после запуска нажимайте с зажатой клавишей Shift."

**Vvvyg** · 19.03.2017, 17:30

Запустите Autologger и прочтите последнюю строку в появившемся окне, так и сделайте.
И насчёт "Перетащите лог Check_Browsers_LNK.log из папки Autologger на утилиту ClearLNK" - тоже что-то не так пошло. Продолжайте пока так.

**Este2487** · 19.03.2017, 17:47

вот новый лог.
карантин я загрузила.
а что с ClearLNK? заново сделать?

**Vvvyg** · 19.03.2017, 18:21

Не надо, Autologger и его в том числе делает.

Выполните скрипт в AVZ:

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 ClearQuarantine;
 QuarantineFile('C:\Users\Светик\AppData\Roaming\Wherksqiry\Plojertgrerwole.dll', '');
 QuarantineFile('C:\ProgramData\8775b2854b8492y6813\8775b2854b8492y6813.dll', '');
 QuarantineFile('C:\Users\Public\DiskCleaner\sdiskfinder.exe', '');
 QuarantineFile('C:\Program Files\Bot.exe', '');
 DeleteFile('C:\windows\Tasks\8775b2854b8492y6813.job', '32');
 DeleteFile('C:\Program Files\Bot.exe', '32');
 DeleteFile('C:\Users\Светик\AppData\Roaming\Wherksqiry\Plojertgrerwole.dll', '32');
 DeleteFile('C:\ProgramData\8775b2854b8492y6813\8775b2854b8492y6813.dll', '32');
 DeleteFile('C:\Users\Public\DiskCleaner\sdiskfinder.exe', '32');
 DeleteFileMask('c:\users\светик\appdata\roaming\wherksqiry', '*', true);
 DeleteFileMask('c:\programdata\8775b2854b8492y6813', '*', true);
 DeleteFileMask('c:\users\public\diskcleaner', '*', true);
 DeleteFileMask('C:\Program Files\Mirylazat Debuger', '*', true);
 DeleteFileMask('C:\Program Files\MIO', '*', true);
 DeleteDirectory('C:\Program Files\Mirylazat Debuger');
 DeleteDirectory('C:\Program Files\MIO');
 DeleteDirectory('c:\users\светик\appdata\roaming\wherksqiry');
 DeleteDirectory('c:\programdata\8775b2854b8492y6813');
 DeleteDirectory('c:\users\public\diskcleaner');
 ExecuteFile('schtasks.exe', '/delete /TN "8775b2854b8492y6813" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "DirAnalyzer" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "SDisk Finder" /F', 0, 15000, true);
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks', '{A93D5D5C-FFDC-11E6-B921-64006A5CFC23}');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Выполните в AVZ скрипт:

Код:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Сделайте новый лог Autologger, Ok после запуска нажимайте с зажатой клавишей Shift.

Сделайте лог Malwarebytes AdwCleaner.

**Este2487** · 19.03.2017, 19:44

карантин не загружается. пишет:
"Результат загрузки
Ошибка загрузки. Данный файл уже был загружен". или я может уже окончательно запуталась и забыла, что его прикрепляла)))
новый лог и отчет прикрепила

**Vvvyg** · 19.03.2017, 20:47

Запустите утилиту ClearLNK. Скопируйте текст ниже в окно утилиты и нажмите "Лечить".

Код:

>>>  "C:\Users\Светик\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer (2).lnk"      -> ["D:\Program Files\Internet Explorer\iexplore.exe"]
>>>  "C:\Users\Светик\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer (3).lnk"      -> ["D:\Program Files\Internet Explorer\iexplore.exe"]
>>>  "C:\Users\Светик\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer (4).lnk"      -> ["D:\Program Files\Internet Explorer\iexplore.exe"]
>>>  "C:\Users\Светик\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer.lnk"          -> ["D:\Program Files\Internet Explorer\iexplore.exe"]
>>>  "C:\Users\Светик\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Opera beta.lnk"       -> ["C:\Program Files\Opera beta\launcher.exe"]
>>>  "C:\Users\Светик\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Opera.lnk"  -> ["C:\Program Files\Opera\launcher.exe"]
>>>  "C:\Users\Default\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\Trend Micro\Trend Micro Titanium.lnk"  -> ["C:\Program Files\Trend Micro\Titanium\UIFramework\uiWinMgr.exe"]

Отчёт о работе прикрепите.

Сообщите, что с проблемами.

**Este2487** · 19.03.2017, 21:23

вроде все хорошо, все работает.
а что мне делать со съемным жестким диском, которым я пользовалась, когда проблемы уже начались? да еще и вставляла его в стационарный компьютер. там тоже начинается такая же фигня. и с флэшками.

**Vvvyg** · 19.03.2017, 22:04

Выполните в AVZ скрипт:

Код:

begin
ExecuteRepair(19);
ExecuteWizard('TSW',2,2,true);
RebootWindows(false);
end.

После перезагрузки подключите съёмный диск (без опасений, только ничего на нём не открывайте). Сообщите букву диска.

**Este2487** · 19.03.2017, 22:22

я все сделала. диск F.
надо отчет какой-то?

**Vvvyg** · 19.03.2017, 22:38

Скачайте и распакуйте программу Universal Virus Sniffer.

Запустите файл Start.exe из папки с программой Universal Virus Sniffer. Когда появится окно программы, выберите "Запустить под текущим пользователем".
Скопируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):

Код:

ADDDIR F:
CRIMG

В главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.
После завершения процедуры, которая займёт от 10 минут до получаса образ автозапуска будет автоматически упакован в архив 7Z, имя которого, если Вы не изменяли его при сохранении, будет такого вида:
ИМЯКОМПЬЮТЕРА_ГГГГ-ММ-ДД_ЧЧ-ММ-СС.7z - т. е имя компьютера и далее дата и время создания образа.
Прикрепите его к своему сообщению. Если файл не влезет во вложения - загрузите его в доступное облачное хранилище или на файлообменник (rghost.ru, например) и дайте ссылку в личном сообщении.

**Este2487** · 19.03.2017, 23:46

готово

**Vvvyg** · 20.03.2017, 07:14

Шифровальщик, похоже, на этом диске поработал, а опасного ничего нет.

Запустите файл Start.exe из папки с программой Universal Virus Sniffer. Когда появится окно программы, выберите "Запустить под текущим пользователем".
Скопируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):

Код:

;uVS v3.87.9 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v388c
delref HTTP://GO.MAIL.RU/DISTIB/EP/?PRODUCT_ID=%7BB2D5A059-9A97-4F83-8D62-97B45587ECB1%7D&GP=832111
delref %SystemDrive%\USERS\СВЕТИК\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\CHROMEDEFAULTDATA\EXTENSIONS\PHKDCINMMLJBLPNKOHLIPAIODLONPINF\11.0.3_0\ПОИСК MAIL.RU
delref %SystemDrive%\USERS\СВЕТИК\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\CHROMEDEFAULTDATA\EXTENSIONS\ODIJCGAFKHPOBJLNFDGIACPDENPMBGME\11.0.4_0\ДОМАШНЯЯ СТРАНИЦА MAIL.RU
delref %SystemDrive%\USERS\СВЕТИК\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\CHROMEDEFAULTDATA\EXTENSIONS\OILHEBPJHNJAEGHEDPJNMAJAJLCFDJGC\10.0.6_0\БЫСТРЫЙ ПОИСК
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DCCFIFBOJENKENPKMNBNNDEADPFDIFFOF%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DOELPKEPJLGMEHAJEHFEICFBJDIOBDKFJ%26INSTALLSOURCE%3DONDEMAND%26UC
delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DOJLCEBDKBPJDPILIGKDBBKDKFJMCHBFD%26INSTALLSOURCE%3DONDEMAND%26UC
delref %SystemDrive%\USERS\СВЕТИК\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\CHROMEDEFAULTDATA\EXTENSIONS\CCFIFBOJENKENPKMNBNNDEADPFDIFFOF\11.0.26_0\ДОМАШНЯЯ СТРАНИЦА MAIL.RU
delref %SystemDrive%\USERS\СВЕТИК\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\CHROMEDEFAULTDATA\EXTENSIONS\OELPKEPJLGMEHAJEHFEICFBJDIOBDKFJ\7.1.30_0\ВИЗУАЛЬНЫЕ ЗАКЛАДКИ MAIL.RU
delref %SystemDrive%\USERS\СВЕТИК\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\CHROMEDEFAULTDATA\EXTENSIONS\OJLCEBDKBPJDPILIGKDBBKDKFJMCHBFD\12.0.11_0\ПОИСК MAIL.RU
zoo F:\МУЗЫКА ВОВЫ\STEVEN HALPERN COLLECTION\1994 - RADIANCE\[email protected]
delref %SystemDrive%\PROGRAM FILES\VK OK ADBLOCKIE\GGRT1L.EXE
delref D:\PROGRAM FILES\INTERNET EXPLORER\IEXPLORE.EXE
zoo F:\МУЗЫКА ВОВЫ\МУЗЫКА\АРИЯ - КИПЕЛОВ MP3\15 - АРИЯ (& МАСТЕР) - TRIBUTE TO HARLEY-DAVIDSON 2 (2001)\TRIBUTE TO HARLEY-DAVIDSON [email protected]
zoo F:\МУЗЫКА ВОВЫ\МУЗЫКА\[email protected]
zoo F:\МУЗЫКА ВОВЫ\МУЗЫКА\МОЯ МУЗЫКА!!!!!!!\ПОПСА\[email protected]
czoo

В главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.

В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

**Este2487** · 20.03.2017, 09:02

карантин готов.
да, шифровальщик в позапрошлом году залез.
на другом компьютере в браузере постоянно устанавливается какой-то вофер и сэйфвэб. расширения в хроме. и программа не удаляется vof. получается, что там вирус пойман в интернете, а не передан через съемные носители?
если мы с этим компьютером закончили, то можно я зайду с того компа и сделаю там сканирование автологером? или нужно создавать новую тему?

**Vvvyg** · 20.03.2017, 19:29

Новый компьютер - новая тема.

**Este2487** · 20.03.2017, 20:22

Спасибо за помощь!!!

**CyberHelper** · 20.03.2017, 20:32

Статистика проведенного лечения:

Получено карантинов: 3
Обработано файлов: 31
В ходе лечения обнаружены вредоносные программы:
1. c:\program files\internet explored\exploreru.exe - Trojan-Spy.Win32.Agent.jjdo
2. c:\program files\sdisk finder\sdiskfinder.exe - Trojan-Dropper.Win32.Agent.bjsjbu
3. c:\programdata\8775b2854b8492y6813\8775b2854b8492y 6813.dll - Trojan.Win32.Wdfload.aj
4. c:\users\public\diskcleaner\sdiskfinder.exe - Trojan-Dropper.Win32.Agent.bjsjbu
5. c:\windows\temp\gdca9.tmp.exe - Trojan.Win32.Wdfload.w

Рекомендации:

Обнаружены троянские программы класса Trojan-PSW/Trojan-Spy - настоятельно рекомендуется поменять все пароли !

cse в поиске гугл, com surrogate, неудаляющиеся программы [Trojan-Dropper.Win32.Agent.bjsjbu, Trojan.Win32.Wdfload.w ] (заявка № 210351)

Опции темы