Постоянно выскакивает черный экран с командной строкой [not-a-virus:HEUR:AdWare.Win32.Generic, not-a-virus:HEUR:AdWare.Win32.Adposhel.gen ]

**Rakshasi** · 06.03.2018, 10:07

Добрый день! Во время работы начал постоянно выскакивать черный экран с командной строкой. Появляется и исчезает самостоятельно. В диспетчере задач загрузка ЦП 100%, бОльшая часть занята работой службы regserv32, расположенной по адресу C:\Windows\SysWOW64. Просьба помочь в решении проблемы. Заранее спасибо. Папку, созданную по инструкции, прилагаю.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 06.03.2018, 10:08

Уважаемый(ая) Rakshasi, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**Vvvyg** · 09.03.2018, 13:06

Выполните скрипт в AVZ:

Код:

begin
 QuarantineFile('C:\PROGRA~3\6d535c2a\7729c908.dll', '');
 QuarantineFile('C:\Users\Lenovo\AppData\Local\9EBE90~1\{7729C~1', '');
 QuarantineFile('C:\Users\Lenovo\AppData\Local\9EBE90~1\{7729C~1.', '');
 QuarantineFile('C:\Users\Lenovo\appdata\roaming\qipapp\qipapp.exe', '');
 DeleteFile('C:\PROGRA~3\6d535c2a\7729c908.dll', '32');
 DeleteFile('C:\Users\Lenovo\AppData\Local\9EBE90~1\{7729C~1', '32');
 DeleteFile('C:\Users\Lenovo\AppData\Local\9EBE90~1\{7729C~1.', '32');
 DeleteFile('C:\Users\Lenovo\appdata\roaming\qipapp\qipapp.exe', '32');
 ExecuteFile('schtasks.exe', '/delete /TN "{7E087F47-0504-7A7D-0B11-0D797E7F1179}" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "{C4B89AF7-1EBC-E0C9-F78A-B5AEF39EF105}" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "60C12250-C01C-7329-D004-8BB9786D9286" /F', 0, 15000, true);
 DeleteFileMask('c:\users\lenovo\appdata\local\9ebe90~1', '*', true);
 DeleteFileMask('C:\Users\Lenovo\AppData\Local\Mail.Ru', '*', true);
 DeleteDirectory('c:\users\lenovo\appdata\local\9ebe90~1');
 DeleteDirectory('C:\Users\Lenovo\AppData\Local\Mail.Ru');
 DelBHO('{8E8F97CD-60B5-456F-A201-73065652D099}');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.

Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Сделайте новый лог такой версией Autologger.

**Rakshasi** · 09.03.2018, 13:43

Загрузила карантин, однако при попытке сделать новый лог той версией программы, которую указали вы, выскакивает следующее сообщение: "Сбой обновления баз. Пожалуйста, проверьте подключение к интернету. Возможно, файрвол блокирует попытку утилиты обновить базы. Если обновить базы не получилось, пожалуйста, скачайте свежую версию автосборщика логов." Как поступить?Безымянный.png

**Vvvyg** · 09.03.2018, 14:13

Эта версия в принципе не обновляет базы, если после нажатия "Прервать" работа программы прекратится, сделайте лог старой.

**Rakshasi** · 09.03.2018, 14:27

Сделала

**Vvvyg** · 09.03.2018, 14:44

Выполните скрипт в AVZ:

Код:

begin
 ClearQuarantine;
 QuarantineFile('C:\ProgramData\{763555F8-C19E-E253-FF88-F1F72929B695}\4344944C-F4EF-23E7-75A5-780BF18451F0.exe', '');
 DeleteFile('C:\ProgramData\{763555F8-C19E-E253-FF88-F1F72929B695}\4344944C-F4EF-23E7-75A5-780BF18451F0.exe', '32');
 ExecuteFile('schtasks.exe', '/delete /TN "{22DD89F4-9576-3E5F-0839-BC4A942C061A}" /F', 0, 15000, true);
 DeleteFileMask('c:\programdata\{763555f8-c19e-e253-ff88-f1f72929b695}', '*', false);
 DeleteDirectory('c:\programdata\{763555f8-c19e-e253-ff88-f1f72929b695}');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
RebootWindows(false);
end.

Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

**Rakshasi** · 09.03.2018, 15:31

При попытке отправить архив карантина пишет "Ошибка загрузки. Данный файл уже был загружен"

**Vvvyg** · 09.03.2018, 16:10

Делайте логи Farbar Recovery Scan Tool.

**Rakshasi** · 09.03.2018, 16:12

Вот логи

**Vvvyg** · 09.03.2018, 20:05

Рекомендую удалить QIP Internet Guardian.

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

Код:

CreateRestorePoint:
CHR Profile: C:\Users\Lenovo\AppData\Local\Google\Chrome\User Data\System Profile [2018-02-09]
CHR HKU\S-1-5-21-1456712034-1213639228-4192590930-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [ddadgcdmddljmpkpinkalnepdepplpkj] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [bhjhnafpiilpffhglajcaepjbnbjemci] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [hcadgijmedbfgciegjomfpjcdchlhnif] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [lhemechcanjmilllmccjbjldonmnnjjj] - hxxps://clients2.google.com/service/update2/crx
2018-03-02 16:49 - 2018-03-02 16:49 - 000000000 ____D C:\ProgramData\{6da42335-512c-0}
2018-03-02 16:49 - 2018-03-02 16:49 - 000000000 ____D C:\ProgramData\{2a7b13bc-412c-1}
2018-03-07 16:57 - 2018-03-07 16:57 - 000000000 ____D C:\ProgramData\aeb58af6-3f77-0
2018-02-08 10:13 - 2018-02-08 10:13 - 000000000 ____D C:\ProgramData\{0b633c63-512c-0}
2018-02-08 10:12 - 2018-02-08 10:12 - 000000000 ____D C:\ProgramData\{3f5e562d-512c-0}
2018-02-08 10:15 - 2018-01-22 09:04 - 000000000 ____D C:\ProgramData\{2e6d282c-712c-0}
2018-02-08 10:14 - 2018-01-22 09:04 - 000000000 ____D C:\ProgramData\{3f150114-712c-1}
Task: {EEE82BE0-2C74-49A2-9D7A-05BF0E3B2D88} - \KMSAuto -> No File <==== ATTENTION
Reboot:

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!
Отключите до перезагрузки антивирус, закройте все браузеры, в FRST нажмите один раз Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Сообщите, что с проблемами.

**Rakshasi** · 09.03.2018, 22:11

Qip Guardian удален, черный экран не выскакивает, но со времени создания поста при загрузке любого сайта начали появляться рекламные окна. Они по-прежнему имеют место быть.

**Vvvyg** · 10.03.2018, 00:29

В каком браузере - Chrome, Opera?

**Rakshasi** · 10.03.2018, 00:34

В обоих одинаковая картина

**Vvvyg** · 10.03.2018, 00:51

Отключите все расширения в браузерах, если пропадёт реклама - подключайте по одному, проверяйте эффект. Расширения часто подменяют, какое именно - понять можно только перебором.
Сообщите результат.

**Rakshasi** · 10.03.2018, 01:18

В Опере расширение было всего одно (AdGuard Антибаннер), изначально отключенное. В Хроме отключила все, проблема сохраняется.

**Vvvyg** · 10.03.2018, 13:00

Запустите HijackThis, расположенный в папке Autologger и пофиксите (в Windows Vista/7/8/10 необходимо запускать через правую кнопку мыши Запуск от имени администратора)):

Код:

O17 - HKLM\System\CCS\Services\Tcpip\..\{071e73cc-d71b-48c3-a7ea-e8896890971b}: [NameServer] = 82.163.142.178
O17 - HKLM\System\CCS\Services\Tcpip\..\{071e73cc-d71b-48c3-a7ea-e8896890971b}: [NameServer] = 82.163.143.176
O17 - HKLM\System\CCS\Services\Tcpip\..\{18fe91f2-dcd9-494e-8286-1cc1599c52db}: [NameServer] = 82.163.142.178
O17 - HKLM\System\CCS\Services\Tcpip\..\{18fe91f2-dcd9-494e-8286-1cc1599c52db}: [NameServer] = 82.163.143.176
O17 - HKLM\System\CCS\Services\Tcpip\..\{8b1375ff-d60c-4d2c-b702-6137ae464bd6}: [NameServer] = 82.163.142.178
O17 - HKLM\System\CCS\Services\Tcpip\..\{8b1375ff-d60c-4d2c-b702-6137ae464bd6}: [NameServer] = 82.163.143.176
O17 - HKLM\System\CCS\Services\Tcpip\..\{c9ee7ce3-881b-40e8-aa02-c3e321574d3a}: [NameServer] = 82.163.142.178
O17 - HKLM\System\CCS\Services\Tcpip\..\{c9ee7ce3-881b-40e8-aa02-c3e321574d3a}: [NameServer] = 82.163.143.176
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: [NameServer] = 82.163.142.178
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: [NameServer] = 82.163.143.176

Выполните скрипт в AVZ:

Код:

begin
ExecuteRepair(21);
ExecuteFile('ipconfig.exe', '/flushdns', 0, 15000, true);
ExecuteWizard('SCU',2,2,true);
RebootWindows(false);
end.

Компьютер перезагрузится.

Очистите кеш и cookie:
в Хроме
в Opera: Настройки -> Безопасность -> Очистить историю посещений. Поставьте галочки "Файлы сookie и прочие данные сайтов", "Кэшированные изображения и файлы" и выберите "Уничтожить указанные элементы за следующий период:" "За последнюю неделю".

Сообщите, что с проблемой.

**Rakshasi** · 10.03.2018, 13:25

Большое спасибо, теперь все хорошо!

**Vvvyg** · 10.03.2018, 17:04

Удалите папку C:\FRST со всем содержимым.

Выполните рекомендации после лечения.

**CyberHelper** · 10.03.2018, 17:14

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 4
В ходе лечения обнаружены вредоносные программы:
1. c:\progra~3\6d535c2a\7729c908.dll - not-a-virus:HEUR:AdWare.Win32.Generic
2. c:\users\lenovo\appdata\local\9ebe90~1\{7729c~1 - not-a-virus:HEUR:AdWare.Win32.Adposhel.gen
3. c:\users\lenovo\appdata\local\9ebe90~1\{7729c~1. - not-a-virus:HEUR:AdWare.Win32.Adposhel.gen

Постоянно выскакивает черный экран с командной строкой [not-a-virus:HEUR:AdWare.Win32.Generic, not-a-virus:HEUR:AdWare.Win32.Adposhel.gen ] (заявка № 217996)

Опции темы