боролся с вирусом ,но так и не победил

**OniX1** · 21.04.2017, 16:23

Здравствуйте, не могли бы вы проверить моё сообщение.
Моя проблема в том, что вирус устанавливающий приложение firefox не удаляется с моего компьютера при использовании Касперского антивируса, и других антивирусов, он блокирует приложения когда я снова пытаюсь его удалить но он снова через 1-2 дня возвращается.
всё началось с 28.03.2017 у меня был антивирус пробной версии, Касперского я установил после заражения, 1 раз вирус попытался заспамить новыми фалами то-есть создавал много новых файлов.
Я попытался рассказать как можно подробнее о своей проблеме надеюсь вы сможете мне помочь.
сделал всё по инструкции http://virusinfo.info/content.php?r=136-pravila

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 21.04.2017, 16:25

Уважаемый(ая) OniX1, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**Vvvyg** · 23.04.2017, 09:57

Удалите IObit Malware Fighter 4, он и сам по себе бесполезен, а при наличии нормального антивируса - просто вреден.

Удалите браузер Амиго и Advanced SystemCare.

Выполните скрипт в AVZ:

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 TerminateProcessByName('c:\program files\iobit\advanced systemcare\ascservice.exe');
 TerminateProcessByName('c:\program files\iobit\iobit malware fighter\imfsrv.exe');
 StopService('AdvancedSystemCareService10');
 QuarantineFile('c:\users\евгений\appdata\local\kitty\kitty.dll', '');
 QuarantineFile('c:\users\евгений\appdata\local\snare\snarer.dll', '');
 QuarantineFile('c:\programdata\software\apple\apps\notification.dll', '');
 QuarantineFile('c:\users\евгений\appdata\local\snarer\snarer.dll', '');
 QuarantineFile('C:\Program Files\Firefox\bin\FirefoxUpdate.exe', '');
 QuarantineFile('C:\Program Files\IObit\IObit Malware Fighter\IMF.exe', '');
 QuarantineFile('C:\Windows\System32\ihctrl32.dll', '');
 QuarantineFile('C:\Windows\System32\wsaudio.dll', '');
 QuarantineFile('C:\Program Files\IObit\Advanced SystemCare\ASCTray.exe', '');
 QuarantineFile('C:\Program Files\IObit\Advanced SystemCare\ASC.exe', '');
 QuarantineFile('C:\Users\Евгений\AppData\Roaming\SearchAY\ml.py', '');
 QuarantineFile('C:\Users\Евгений\AppData\Roaming\SearchAY\python\pythonw.exe', '');
 QuarantineFile('C:\Update\psgo\psgo.ps1', '');
 QuarantineFile('C:\Windows\c1.exe', '');
 QuarantineFile('C:\Users\Евгений\appdata\roaming\winsapsvc\winsap.dll', '');
 QuarantineFile('C:\Program Files\elex-tech\yac\curlpp.dll', '');
 QuarantineFile('C:\Program Files\elex-tech\yac\libpng.dll', '');
 DeleteFile('c:\users\евгений\appdata\local\kitty\kitty.dll', '32');
 DeleteFile('c:\users\евгений\appdata\local\snare\snarer.dll', '32');
 DeleteFile('c:\programdata\software\apple\apps\notification.dll', '32');
 DeleteFile('c:\users\евгений\appdata\local\snarer\snarer.dll', '32');
 DeleteFile('C:\Program Files\Firefox\bin\FirefoxUpdate.exe', '32');
 DeleteFile('C:\Program Files\IObit\IObit Malware Fighter\IMF.exe', '32');
 DeleteFile('C:\Windows\System32\ihctrl32.dll', '32');
 DeleteFile('C:\Windows\System32\wsaudio.dll', '32');
 DeleteFile('C:\Program Files\IObit\Advanced SystemCare\ASCTray.exe', '32');
 DeleteFile('C:\Program Files\IObit\Advanced SystemCare\ASC.exe', '32');
 DeleteFile('C:\Users\Евгений\AppData\Roaming\SearchAY\ml.py', '32');
 DeleteFile('C:\Users\Евгений\AppData\Roaming\SearchAY\python\pythonw.exe', '32');
 DeleteFile('C:\Update\psgo\psgo.ps1', '32');
 DeleteFile('C:\Windows\c1.exe', '32');
 DeleteFile('C:\Users\Евгений\appdata\roaming\winsapsvc\winsap.dll', '32');
 DeleteFile('C:\Program Files\elex-tech\yac\curlpp.dll', '32');
 DeleteFile('C:\Program Files\elex-tech\yac\libpng.dll', '32');
 DeleteService('IMFservice');
 DeleteService('FirefoxU');
 DeleteFileMask('c:\program files\iobit', '*', true);
 DeleteFileMask('c:\users\евгений\appdata\local\kitty', '*', true);
 DeleteFileMask('c:\users\евгений\appdata\local\snare', '*', true);
 DeleteFileMask('c:\users\евгений\appdata\local\snarer', '*', true);
 DeleteFileMask('c:\program files\firefox', '*', false);
 DeleteFileMask('"c:\program files\mio', '*', true);
 DeleteFileMask('c:\users\евгений\appdata\roaming\searchay', '*', true);
 DeleteFileMask('c:\update\psgo', '*', true);
 DeleteFileMask('c:\program files\elex-tech', '*', true);
 DeleteDirectory('c:\program files\iobit');
 DeleteDirectory('c:\users\евгений\appdata\local\kitty');
 DeleteDirectory('c:\users\евгений\appdata\local\snare');
 DeleteDirectory('c:\users\евгений\appdata\local\snarer');
 DeleteDirectory('c:\program files\firefox');
 DeleteDirectory('"c:\program files\mio');
 DeleteDirectory('c:\users\евгений\appdata\roaming\searchay');
 DeleteDirectory('c:\update\psgo');
 DeleteDirectory('c:\program files\elex-tech');
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "ASC10_SkipUac_Евгений" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Milimili" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "SearchAY" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Windows-PG" /F', 0, 15000, true);
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\AppleNotificationsSrv\Parameters', 'ServiceDll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\ihctrl32\Parameters', 'ServiceDll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Kitty\Parameters', 'ServiceDll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\SNARE\Parameters', 'ServiceDll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\SNARER\Parameters', 'ServiceDll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\wsaudio\Parameters', 'ServiceDll');
BC_ImportALL;
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Выполните в AVZ скрипт:

Код:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Запустите HijackThis, расположенный в папке Autologger и пофиксите (в Windows Vista/7/8/10 необходимо запускать через правую кнопку мыши Запуск от имени администратора)):

Код:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.ourluckysites.com/?type=hp&ts=1491369248&z=11cf3f131daf155d9aff7fag4z3t9g9cdq8t7ocq2o&from=che0812&uid=MAXTORXSTM3250310AS_9RY1J94MXXXX9RY1J94M
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ourluckysites.com/?type=hp&ts=1491369248&z=11cf3f131daf155d9aff7fag4z3t9g9cdq8t7ocq2o&from=che0812&uid=MAXTORXSTM3250310AS_9RY1J94MXXXX9RY1J94M
R0 - HKLM\SOFTWARE\Clients\StartMenuInternet\IEXPLORE.EXE\shell\open\command,(default) = C:\Program Files\Internet Explorer\iexplore.exe" http://www.ourluckysites.com/?type=sc&ts=1492422971&z=425f2af7defbe1bbda51bd6gfz5t3obz8o1obt6m1o&from=che0812&uid=MaxtorX6Y080L0_Y3P1Y24E
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.ourluckysites.com/?type=hp&ts=1491369248&z=11cf3f131daf155d9aff7fag4z3t9g9cdq8t7ocq2o&from=che0812&uid=MAXTORXSTM3250310AS_9RY1J94MXXXX9RY1J94M
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.ourluckysites.com/search/?type=ds&ts=1491369248&z=11cf3f131daf155d9aff7fag4z3t9g9cdq8t7ocq2o&from=che0812&uid=MAXTORXSTM3250310AS_9RY1J94MXXXX9RY1J94M&q={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.ourluckysites.com/search/?type=ds&ts=1491369248&z=11cf3f131daf155d9aff7fag4z3t9g9cdq8t7ocq2o&from=che0812&uid=MAXTORXSTM3250310AS_9RY1J94MXXXX9RY1J94M&q={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ourluckysites.com/?type=hp&ts=1491369248&z=11cf3f131daf155d9aff7fag4z3t9g9cdq8t7ocq2o&from=che0812&uid=MAXTORXSTM3250310AS_9RY1J94MXXXX9RY1J94M
R4 - HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{33BB0A4E-99AF-4226-BDF6-49120163DE86} - ourluckysites - http://www.ourluckysites.com/search/?type=ds&ts=1491369248&z=11cf3f131daf155d9aff7fag4z3t9g9cdq8t7ocq2o&from=che0812&uid=MAXTORXSTM3250310AS_9RY1J94MXXXX9RY1J94M&q={searchTerms}
O4 - HKCU\..\Run: [amigo] C:\Users\Евгений\AppData\Local\Amigo\Application\amigo.exe  --no-startup-window
O21 - ShellIconOverlayIdentifiers: 00avast - {472083B0-C522-11CF-8763-00608CC02F24} - (no file)

Сделайте новый лог такой версией Autologger.

Сделайте лог Malwarebytes AdwCleaner.

**OniX1** · 23.04.2017, 22:18

Сделал всё по инструкции, кроме отправки файла quarantine.zip на ссылку "Прислать запрошенный карантин"
пишет "Ошибка загрузки. Данный файл уже был загружен"

**Vvvyg** · 23.04.2017, 22:28

Удалите всё найденное в AdwCleaner, дождитесь окончания удаления и перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C0].txt, прикрепите к своему следующему сообщению.

Выполните скрипт в AVZ:

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 QuarantineFile('c:\programdata\microsoft\windows\gameexplorer\resources.dll', '');
 DeleteFile('c:\programdata\microsoft\windows\gameexplorer\resources.dll', '32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'amigo');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\GameExplorerUpdate\Parameters', 'ServiceDll');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Выполните в AVZ скрипт:

Код:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

**OniX1** · 24.04.2017, 05:07

Сделал всё по инструкции
вы попросили скинуть файл AdwCleaner[C0].txt но там дата изменения 29.03.2017 я засомневалась ,и прикрепил несколько файлов которые были созданы недавно 24.04.2017.

**Vvvyg** · 24.04.2017, 07:13

Проблема решена?

**OniX1** · 24.04.2017, 12:34

Я думаю подождать 2 или 3 дня, чтобы убедиться что всё в порядке. Я напишу в ответе к этой теме если будут проблемы, ну а пока спасибо за помощь.

**Vvvyg** · 24.04.2017, 18:57

Хорошо. Пока сделайте такой лог.

Загрузите, распакуйте на Рабочий стол и запустите SecurityCheck by glax24 & Severnyj.
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запуск от имени администратора (если Вы используете Windows Vista/7/8/10).
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt.

Приложите этот файл к своему следующему сообщению.

**OniX1** · 27.04.2017, 08:31

Cделал по инструкции.
я нашол 2 файла которые создаются когда я запускаю браузер, а потом пропадают когда я закрываю браузер, ещё пытались блокировать доступ когда пытался сделать проверку вашим файлом вот название тех файлов
1)etilqs_gMjKeCtwdaIflIX
2)etilqs_N0vqxMkUW3UMiyl
Но я не думаю что это поможет.
Также я нашол фаил PDM:Trojan.Win32.Generic но его нельзя удалить касперским антивирусом пишется что это легальная программа, я начал искать этот файл но не нашол так как папки в которой он есть нет, касперский пишет что эта вредоносная программа находиться в памяти процессора.

**Vvvyg** · 27.04.2017, 19:50

Файлы etilqs_* создаёт Chrome, это нормально.

Запрос на повышение прав для администраторов отключен
^Рекомендуется включить: Win+R ввести UserAccountControlSettings и Enter^

Рекомендую ознакомиться со статьёй Так ли страшен контроль учетных записей (UAC)? и включить.

Автоматическое обновление отключено
Дата установки обновлений: 2015-11-07 17:10:13

Суда по тому, что система HomeBasic, наверняка лицензионная, и обновлять её не только нужно, но и можно. Если Вы до сих пор думаете, что это вредно - загляните в эту тему там обновление системы и Java помогло в решеии проблемы. Кстати, у себя обновите до Java 8 Update 131 - или удалите, если не знаете, для каких именно приложений она нужна.

Adobe Flash Player 17 ActiveX v.17.0.0.169 Внимание! Скачать обновления
Adobe Flash Player 24 PPAPI v.24.0.0.221 Внимание! Скачать обновления

Продукты Adobe нужно либо обновлять автоматически, либо не пользоваться ими вовсе, регулярно в них находят критические уязвимости, через которые распространяются трояны.

GameXP Точка доступа Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
Skype Click to Call v.8.5.0.9167 Внимание! Панель для браузера. Может замедлять работу браузера и иметь проблемы с нарушением конфиденциальности.
Hamster PDF Reader 2.0.0.27 v.2.0.0.27 Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.

Это тоже не просто так рекомендуется.

**OniX1** · 28.04.2017, 13:19

всё сделал, осталась одна проблема это файл C:\users\евгений\appdata\local\temp\1\kokoko.dll этот файл в касперском антивирусе уже у меня давно я не могу его удалить он находится в памяти процессора

**Vvvyg** · 28.04.2017, 18:04

Скачайте утилиту Universal Virus Sniffer отсюда и сделайте полный образ автозапуска uVS.

**OniX1** · 29.04.2017, 07:56

всё сделал

**Vvvyg** · 29.04.2017, 10:17

Поподробнее, что означает "этот файл в касперском антивирусе уже у меня давно"? По логам его не видно, может, в карантине?

**OniX1** · 29.04.2017, 21:16

каспреский антивирус предупреждал меня что этот файл может быть опасен, но утилита AVZ и UVS не видит его но касперский видит его но ничего не может с ним сделать так как это легальная программа, это единственная проблема которая у меня осталась с остальным вы мне помогли
предупреждение об этом файле появилось несколько дней назад где-то в четверг

**Vvvyg** · 29.04.2017, 21:40

Отключите до перезагрузки антивирус и выполните скрипт в AVZ:

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 DeleteFile('C:\users\евгений\appdata\local\temp\1\kokoko.dll', '32');
BC_ImportALL;
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(false);
end.

Компьютер будет перезагружен автоматически.

Сообщите,что с проблемой.

**OniX1** · 30.04.2017, 12:45

Сделал, проверил утилитой AVZ, UVS, adwcleanr сделал полную проверку в касперском нашол вирус после полной проверки удалил
(файл) не
обработан;C:\AdwCleaner\quarantine\files\zadnoiwff fkjbppklpqtcvoanggommtj.back;C:\AdwCleaner\quarant ine\files\zadnoiwfffkjbppklpqtcvoanggommtj.back;HE UR:Trojan.Win32.Generic;

Так же у меня вопрос нужно ли удалять файлы в AdwCleaner? Просто там накопилось много файлов на подобие этого

Обнаружен объект
(файл);C:\AdwCleaner\quarantine\files\ctfhuwtnamqx wnzjecunsksngzxlbmxc\nss\softokn3.dll;C:\AdwCleane r\quarantine\files\ctfhuwtnamqxwnzjecunsksngzxlbmx c\nss\softokn3.dll;not-a-virus:NetTool.Win64.NetFilter.jd;Информация

В отчёте касперского написано Not-a-virus; WebToolbar.win32.Safesurfing.e
и подобных файлов в папке AdwCleaner полно.
Также в подробном отчёте касперского антивируса были обнаружены файлы такого типа

Обнаружен объект (файл);D:\Users\Евгений\AppData\Roaming\Opera Software\Opera Stable\Extensions\kcknbenjnkkjknphmnidanjifbgphjke \14.18_0\npapi\npsafe_surfing.dll;D:\Users\Евгений \AppData\Roaming\Opera Software\Opera Stable\Extensions\kcknbenjnkkjknphmnidanjifbgphjke \14.18_0\npapi\npsafe_surfing.dll;not-a-virus:WebToolbar.Win32.Safesurfing.e;Информация

Их около 10 было обнаруженно во время полной проверки дисководов. Я сканировал только диск C и все дисководы которые были у меня

**Vvvyg** · 30.04.2017, 21:12

Удалите папку C:\Adwcleaner, чтобы зря антивирус не ругался. Ну и вопрос - антивирус Касперского только находит зловреды, а удалять не может?

**OniX1** · 01.05.2017, 16:47

сделал полную проверку в каспере, ничего нет хотя меня предупреждает каспер что C:\users\евгений\appdata\local\temp\1\kokoko.dll "Легальная программа, которая может быть использована злоумышленником для нанесения вреда компьютеру или данным пользователя" Я нажал перейти к файлу но его нет, я так же проверил утилитой AVZ, UVS, Adwcleanr ничего не нашли я думаю все вирусы были удаленны, я думаю это предупреждение ошибка