Не могу удалить вирус MPC Cleaner!

[Byba]

Компьютер заражен вирусом MPC Cleaner. Я удалила папку MPC Cleaner из Program Files при помощи программ Unlocker и IObit Unlocker.
После перезагрузки компьютера в папке C:\Windows\System32\drivers появляются файлы MPCBase.sys и MPCKpt.sys.
В реестре осталась папка MPC, но ее удалить не получается даже если захожу под учетной записью Администратора и пытаюсь присвоить себе полные права на нее. Мне все равно "Отказано в доступе".
Также в диспетчере задач есть служба MPC Core Protect Service, в свойствах стоит автоматический запуск, изменить что-либо в них я не могу - "Отказано в доступе".
Пожалуйста, помогите!

[Info_bot]

Уважаемый(ая) Byba, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

Деинсталлируйте:

Кнопка "Яндекс" на панели задач
Служба автоматического обновления программ

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила оформления запроса о помощи.

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteService('{9edd0ea8-2819-47c2-8320-b007d5996f8a}Gw');
 DeleteService('TSSYSKIT');
 DeleteService('TSSK');
 DeleteService('tsnethlp');
 DeleteService('TSKSP');
 DeleteService('softaal');
 DeleteService('QQSysMon');
 DeleteService('QQPCHelper');
 DeleteService('QMUdisk');
 DeleteService('QMIEProtect');
 StopService('TAOKernelDriver');
 StopService('TSDefenseBt');
 DeleteService('TSDefenseBt');
 DeleteService('TAOKernelDriver');
 StopService('MPCKpt');
 StopService('MPCBase');
 DeleteService('MPCKpt');
 DeleteService('MPCBase');
 DeleteService('MPCProtectService');
 DeleteFile('C:\Program Files\MPC Cleaner\MPCProtectService.exe','32');
 DeleteFile('C:\windows\System32\drivers\MPCBase.sys','32');
 DeleteFile('C:\windows\system32\DRIVERS\MPCKpt.sys','32');
 DeleteFile('C:\windows\system32\Drivers\TAOKernel.sys','32');
 DeleteFile('C:\windows\system32\DRIVERS\TSDefenseBt.sys','32');
 DeleteFile('C:\windows\system32\drivers\{9edd0ea8-2819-47c2-8320-b007d5996f8a}Gw.sys','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\TSSysKit.sys','32');
 DeleteFile('C:\windows\system32\tssk.sys','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\TsNetHlp.sys','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\TSKsp.sys','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\softaal.sys','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\QQSysMon.sys','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\QQPCHelper.sys','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\QMUdisk.sys','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\QMIEProtect.sys','32');
 DeleteFile('C:\ProgramData\service.exe','32');
ClearHostsFile;
ExecuteSysClean;
BC_ImportAll;
RebootWindows(false);
end.

Внимание! Будет выполнена перезагрузка компьютера.

Пофиксите следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

O3 - HKLM\..\Toolbar: (no name) - {8E5E2654-AD2D-48bf-AC2D-D17F00898D06} - (no file)
O17 - HKLM\System\CCS\Services\Tcpip\..\{340370B8-7078-47AE-98FA-7F509EE2EF32}: NameServer = 104.197.191.4
O17 - HKLM\System\CCS\Services\Tcpip\..\{3610DEE3-E5DA-4CA4-9BB2-109CC1E458A0}: NameServer = 104.197.191.4
O17 - HKLM\System\CCS\Services\Tcpip\..\{361AF10E-BF23-47BC-9BD3-7E2EA06B49A1}: NameServer = 104.197.191.4
O17 - HKLM\System\CCS\Services\Tcpip\..\{6A70D64E-BBDB-4DA5-96E3-1C2D2CB829A7}: NameServer = 104.197.191.4
O17 - HKLM\System\CCS\Services\Tcpip\..\{87B73DB1-1248-4932-ACDD-C6F449C92B23}: NameServer = 104.197.191.4
O17 - HKLM\System\CCS\Services\Tcpip\..\{95F91239-7687-46A6-8C14-A079915B7817}: NameServer = 104.197.191.4
O17 - HKLM\System\CCS\Services\Tcpip\..\{A22FD571-3710-49EB-A7D6-EA542B79E2D2}: NameServer = 104.197.191.4
O17 - HKLM\System\CCS\Services\Tcpip\..\{DA28D320-B1A9-4D28-9288-AE909B848138}: NameServer = 104.197.191.4
O17 - HKLM\System\CCS\Services\Tcpip\..\{F9697038-F5C6-46FA-9531-788FA8E5391A}: NameServer = 104.197.191.4
O17 - HKLM\System\CCS\Services\Tcpip\..\{e29ac6c2-7037-11de-816d-806e6f6e6963}: NameServer = 104.197.191.4
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{340370B8-7078-47AE-98FA-7F509EE2EF32}: NameServer = 104.197.191.4
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{3610DEE3-E5DA-4CA4-9BB2-109CC1E458A0}: NameServer = 104.197.191.4
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{361AF10E-BF23-47BC-9BD3-7E2EA06B49A1}: NameServer = 104.197.191.4
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{6A70D64E-BBDB-4DA5-96E3-1C2D2CB829A7}: NameServer = 104.197.191.4
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{87B73DB1-1248-4932-ACDD-C6F449C92B23}: NameServer = 104.197.191.4
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{95F91239-7687-46A6-8C14-A079915B7817}: NameServer = 104.197.191.4
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{A22FD571-3710-49EB-A7D6-EA542B79E2D2}: NameServer = 104.197.191.4
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{DA28D320-B1A9-4D28-9288-AE909B848138}: NameServer = 104.197.191.4
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{F9697038-F5C6-46FA-9531-788FA8E5391A}: NameServer = 104.197.191.4
O17 - HKLM\System\ControlSet002\Services\Tcpip\..\{e29ac6c2-7037-11de-816d-806e6f6e6963}: NameServer = 104.197.191.4

Если после фикса пропадет Интернет, впишите в настройки DNS адреса, выданные Вам провайдером (см. договор или звоните в их техподдержку).

Сделайте повторные логи по правилам

[Byba]

Все сделала!

[mike 1]

1. Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
2. Запустите его (в ОС Windows Vista/7/8/8.1/10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Сканировать" и дождитесь окончания сканирования.
3. Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S1].txt.
4. Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Byba]

Сделано!

[mike 1]

1. Запустите повторно AdwCleaner (by Xplode) (в ОС Windows Vista/7/8/8.1/10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan", а по окончанию сканирования нажмите кнопку "Очистить" ("Clean") и дождитесь окончания удаления.
2. Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C0].txt.
3. Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

Подробнее читайте в этом руководстве.

[Byba]

Сделано!

[mike 1]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
5. Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Byba]

Готово!

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

1. Временно выгрузите антивирус, файрволл и прочее защитное ПО.
2. Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
   

   CreateRestorePoint:
   CloseProcesses:
   HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Restriction <==== ATTENTION
   GroupPolicy: Restriction - Chrome <==== ATTENTION
   GroupPolicy\User: Restriction ? <==== ATTENTION
   CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
   FF Extension: (No Name) - C:\Users\Любочка\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2016-01-26] [not signed]
   C:\Users\Любочка\AppData\Local\Google\Chrome\User Data\Default\Extensions\fgikemaeelgbhjnhnnahcpkjpafaeion
   C:\Users\Любочка\AppData\Local\Google\Chrome\User Data\Default\Extensions\ooebklgpfnbcnpokahmdidgbmlcdepkm
   C:\Users\Любочка\AppData\Local\Google\Chrome\User Data\Default\Extensions\ppoilmfkbpckodoifdlkmkepcajfjmhl
   C:\Users\Любочка\AppData\Roaming\Opera Software\Opera Stable\Extensions\fgikemaeelgbhjnhnnahcpkjpafaeion
   S2 MPCProtectService; "C:\Program Files\MPC Cleaner\MPCProtectService.exe" [X] <==== ATTENTION
   R0 MPCBase; C:\windows\System32\drivers\MPCBase.sys [29032 2017-12-18] (DotC United Inc) <==== ATTENTION
   R1 MPCKpt; C:\windows\System32\DRIVERS\MPCKpt.sys [52968 2017-12-18] (DotC United Inc) <==== ATTENTION
   C:\windows\System32\DRIVERS\MPCKpt.sys
   C:\windows\System32\drivers\MPCBase.sys
   S3 TAOAccelerator; \??\C:\windows\system32\Drivers\TAOAccelerator.sys [X]
   S3 TFsFlt; system32\Drivers\TFsFlt.sys [X]
   S0 TsFltMgr; system32\drivers\TsFltMgr.sys [X]
   S1 {9edd0ea8-2819-47c2-8320-b007d5996f8a}w; system32\drivers\{9edd0ea8-2819-47c2-8320-b007d5996f8a}w.sys [X]
   2012-12-10 16:03 - 2012-12-10 16:03 - 000033134 _____ () C:\Users\Любочка\AppData\Roaming\UserTile.png
   2011-01-15 13:22 - 2011-01-15 13:22 - 000012407 _____ () C:\Users\Любочка\AppData\Local\Bron.tok.A12.em.bin
   2010-07-26 17:29 - 2014-01-21 16:25 - 000008704 _____ () C:\Users\Любочка\AppData\Local\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini
   2011-01-15 13:13 - 2011-01-15 13:13 - 000000051 _____ () C:\Users\Любочка\AppData\Local\Kosong.Bron.Tok.txt
   2011-01-15 13:07 - 2011-01-15 13:07 - 000012407 _____ () C:\Users\Любочка\AppData\Local\ListHost12.txt
   2010-09-29 14:54 - 2010-09-29 14:54 - 000140288 _____ (GnuWin32 <http://gnuwin32.sourceforge.net>) C:\Users\Любочка\AppData\Local\pcre3.dll
   2017-12-13 21:27 - 2017-12-13 21:27 - 000000017 _____ () C:\Users\Любочка\AppData\Local\resmon.resmoncfg
   2011-01-15 13:36 - 2011-01-15 13:36 - 000012407 _____ () C:\Users\Любочка\AppData\Local\Update.12.Bron.Tok.bin
   ContextMenuHandlers6: [QMContextUninstall] -> {CBDECEF7-7A29-4cbf-A009-2673D82C7BF9} =>  -> No File
   Task: {516F54DC-8F80-47D3-BA2C-FAECDCB72E28} - \Tonjua -> No File <==== ATTENTION
   EmptyTemp:

3. Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
4. Обратите внимание, что компьютер будет перезагружен.
5. Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

[Byba]

Сделала! Архив не был создан.

[mike 1]

Повторите логи frst.txt, addition.txt

[Byba]

Повторила!

[mike 1]

Крепкий орешек

Скачайте ComboFix здесь и сохраните в корень диска С.

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.

2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe. Например: temp.exe

Подробнее в "ComboFix. Руководство по применению."

[Byba]

Не то слово, я уже замучилась с ним.

Так, я скачала Combofix в папку C и запустила. Сначала все по инструкции идет, потом, в момент когда запускается синее окошко, вылезает ошибка. Я прикрепила принт скрин. Если нажать "да" - программа сама удаляется из папки и ничего не происходит. Если нажать "нет" - программа в папке остается, но все равно ничего не происходит дальше. Я пробовала переименовать файл - та же история.

[mike 1]

Попробуйте в безопасном режиме запустить утилиту.

[Byba]

Не получается, та же ошибка

[mike 1]

Уведомление

Скрипт выполняйте в безопасном режиме!

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

1. Временно выгрузите антивирус, файрволл и прочее защитное ПО.
2. Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
   

   CreateRestorePoint:
   S2 MPCProtectService; "C:\Program Files\MPC Cleaner\MPCProtectService.exe" [X] <==== ATTENTION
   R0 MPCBase; C:\windows\System32\drivers\MPCBase.sys [29032 2017-12-18] (DotC United Inc) <==== ATTENTION
   R1 MPCKpt; C:\windows\System32\DRIVERS\MPCKpt.sys [52968 2017-12-18] (DotC United Inc) <==== ATTENTION
   C:\windows\System32\drivers\MPCBase.sys
   C:\windows\System32\DRIVERS\MPCKpt.sys
   2017-12-18 23:33 - 2017-12-18 23:33 - 000052968 _____ (DotC United Inc) C:\windows\system32\Drivers\MPCKpt.sys
   2017-12-18 23:33 - 2017-12-18 23:33 - 000029032 _____ (DotC United Inc) C:\windows\system32\Drivers\MPCBase.sys
   2012-12-10 16:03 - 2012-12-10 16:03 - 000033134 _____ () C:\Users\Любочка\AppData\Roaming\UserTile.png
   2011-01-15 13:22 - 2011-01-15 13:22 - 000012407 _____ () C:\Users\Любочка\AppData\Local\Bron.tok.A12.em.bin
   2010-07-26 17:29 - 2014-01-21 16:25 - 000008704 _____ () C:\Users\Любочка\AppData\Local\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini
   2011-01-15 13:13 - 2011-01-15 13:13 - 000000051 _____ () C:\Users\Любочка\AppData\Local\Kosong.Bron.Tok.txt
   2011-01-15 13:07 - 2011-01-15 13:07 - 000012407 _____ () C:\Users\Любочка\AppData\Local\ListHost12.txt
   2010-09-29 14:54 - 2010-09-29 14:54 - 000140288 _____ (GnuWin32 <http://gnuwin32.sourceforge.net>) C:\Users\Любочка\AppData\Local\pcre3.dll
   2017-12-13 21:27 - 2017-12-13 21:27 - 000000017 _____ () C:\Users\Любочка\AppData\Local\resmon.resmoncfg
   2011-01-15 13:36 - 2011-01-15 13:36 - 000012407 _____ () C:\Users\Любочка\AppData\Local\Update.12.Bron.Tok.bin
   ContextMenuHandlers3: [QMContextUninstall] -> {CBDECEF7-7A29-4cbf-A009-2673D82C7BF9} =>  -> No File
   EmptyTemp:
   Reboot:

3. Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
4. Обратите внимание, что компьютер будет перезагружен.
5. Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

После выполнения скрипта сделайте новые логи из обычного режима.

[Byba]

Все сделала!