Вирус Mail.ru и прочая самоустанавливающаяся дрянь [HEUR:Trojan.Win32.Miner.gen, HEUR:Trojan.Win32.Generic]

[_Yuti_]

Здравствуйте, случайно в спешке открыл скачанный файл с интернета, не проверив вирус тоталом. В итоге запустился стандартный процесс установки всякого хлама по типу mail.ru, ZaharLoader, Shadow play и прочее. Заметив такое сразу же полез в диспедчер прерывать установку данного чуда. Позавершил все сторонние процессы, полез в реестр удалять все, что связанно с mail. Из автозапуска убрал все сторонние программы и т.д. В итоге в браузерах висит теперь майл стартовой страницей и периодически через rundll32 запускается процесс pdqjw9d8as123hdk.exe, который просто висит и все. Видимо мне удалось нарушить алгоритм вируса чисткой реестра и прочего. Помогите избавиться полностью от этой дряни

[Info_bot]

Уважаемый(ая) _Yuti_, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[_Yuti_]

Мне помог пользователь с ником "Vicont4063", спасибо ему огромное

[Vvvyg]

Выполните скрипт в AVZ:

begin
 TerminateProcessByName('c:\users\yuti\appdata\local\wservices\pdqjw9d8as123hdk.exe');
 TerminateProcessByName('c:\users\yuti\appdata\local\wservices\svb98s12e.exe');
 TerminateProcessByName('C:\Windows\addins\SmartScreen.exe');
 TerminateProcessByName('c:\windows\systems.exe');
 StopService('AdobeFlashPlayerHash');
 QuarantineFile('C:\Program Files (x86)\Mail.Ru\MailRuUpdater\MailRuUpdater.exe', '');
 QuarantineFile('C:\Program Files (x86)\Mail.Ru\Update Service\mrupdsrv.exe', '');
 QuarantineFile('C:\Program Files (x86)\Smart Application Controller\smappscontroller.exe', '');
 QuarantineFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe', '');
 QuarantineFile('C:\ProgramData\{HRT6ZK0F-S662-SC34-7CCZY195ZH12}\A2SWRF0GBU2S.vbs', '');
 QuarantineFile('C:\ProgramData\{SC340ZI7-7CCZ-FI11-YE64X1ZZHIST}\YE64X1ZZHIST.vbs', '');
 QuarantineFile('C:\ProgramData\{XPRNI1G5-2H5X-5ZVV-OPZ6W40AIDLA}\NVIDIA Web Helper.exe', '');
 QuarantineFile('C:\ProgramData\{XPRNI1G5-AHTR-5ZVV-GZLQQA3H40JJ}\NVIDIA Web Helper.exe', '');
 QuarantineFile('C:\Users\Yuti\AppData\Local\Mail.Ru\MailRuUpdater.exe', '');
 QuarantineFile('C:\Users\Yuti\AppData\Local\Mail.Ru\Sputnik\ie_addon_dll.dll', '');
 QuarantineFile('C:\Users\Yuti\AppData\Local\MediaGet2\mediaget.exe', '');
 QuarantineFile('c:\users\yuti\appdata\local\wservices\pdqjw9d8as123hdk.exe', '');
 QuarantineFile('c:\users\yuti\appdata\local\wservices\svb98s12e.exe', '');
 QuarantineFile('C:\Users\Yuti\AppData\Roaming\Movies\python\pythonw.exe', '');
 QuarantineFile('C:\Users\Yuti\AppData\Roaming\QIPApp\QIPApp.exe', '');
 QuarantineFile('C:\Windows\addins\SmartScreen.exe', '');
 QuarantineFile('c:\windows\systems.exe', '');
 QuarantineFileF('c:\program files (x86)\zaxar', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFileF('c:\users\yuti\appdata\local\wservices', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', false, '', 0 , 0);
 DeleteFile('C:\Program Files (x86)\Mail.Ru\MailRuUpdater\MailRuUpdater.exe', '');
 DeleteFile('C:\Program Files (x86)\Mail.Ru\Update Service\mrupdsrv.exe', '');
 DeleteFile('C:\Program Files (x86)\Smart Application Controller\smappscontroller.exe', '');
 DeleteFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe', '64');
 DeleteFile('C:\ProgramData\{HRT6ZK0F-S662-SC34-7CCZY195ZH12}\A2SWRF0GBU2S.vbs', '');
 DeleteFile('C:\ProgramData\{SC340ZI7-7CCZ-FI11-YE64X1ZZHIST}\YE64X1ZZHIST.vbs', '');
 DeleteFile('C:\ProgramData\{XPRNI1G5-2H5X-5ZVV-OPZ6W40AIDLA}\NVIDIA Web Helper.exe', '');
 DeleteFile('C:\ProgramData\{XPRNI1G5-AHTR-5ZVV-GZLQQA3H40JJ}\NVIDIA Web Helper.exe', '');
 DeleteFile('C:\Users\Yuti\AppData\Local\Mail.Ru\MailRuUpdater.exe', '');
 DeleteFile('C:\Users\Yuti\AppData\Local\Mail.Ru\MailRuUpdater.exe', '64');
 DeleteFile('C:\Users\Yuti\AppData\Local\Mail.Ru\Sputnik\ie_addon_dll.dll', '');
 DeleteFile('C:\Users\Yuti\AppData\Local\MediaGet2\mediaget.exe', '64');
 DeleteFile('c:\users\yuti\appdata\local\wservices\pdqjw9d8as123hdk.exe', '');
 DeleteFile('c:\users\yuti\appdata\local\wservices\svb98s12e.exe', '');
 DeleteFile('C:\Users\Yuti\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Mail.Ru.lnk');
 DeleteFile('C:\Users\Yuti\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Mail.Ru.lnk');
 DeleteFile('C:\Users\Yuti\AppData\Roaming\Movies\python\pythonw.exe', '');
 DeleteFile('C:\Users\Yuti\AppData\Roaming\Movies\python\pythonw.exe', '64');
 DeleteFile('C:\Users\Yuti\AppData\Roaming\QIPApp\QIPApp.exe', '64');
 DeleteFile('C:\Windows\addins\SmartScreen.exe', '');
 DeleteFile('c:\windows\systems.exe', '');
 ExecuteFile('schtasks.exe', '/delete /TN "1UG6DIZE3UTHJF" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "CheckControllerUpdatesUA" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "CP8Z9ZN3KMVU03" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "HBUF9RUJSJHJ0V7O4L" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "MailRuUpdater" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Movies" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Movies2" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "MQPV9J07RG37SOW1AJ" /F', 0, 15000, true);
 DeleteService('AdobeFlashPlayerHash');
 DeleteService('mrupdsrv');
 DeleteService('Updater.Mail.Ru');
 DeleteService('ZAM');
 DeleteFileMask('c:\program files (x86)\mail.ru', '*', true);
 DeleteFileMask('c:\program files (x86)\smart application controller', '*', true);
 DeleteFileMask('c:\program files (x86)\zaxar', '*', true);
 DeleteFileMask('c:\programdata\{hrt6zk0f-s662-sc34-7cczy195zh12}', '*', false);
 DeleteFileMask('c:\programdata\{sc340zi7-7ccz-fi11-ye64x1zzhist}', '*', false);
 DeleteFileMask('c:\programdata\{xprni1g5-2h5x-5zvv-opz6w40aidla}', '*', false);
 DeleteFileMask('c:\programdata\{xprni1g5-ahtr-5zvv-gzlqqa3h40jj}', '*', false);
 DeleteFileMask('c:\users\yuti\appdata\local\mail.ru', '*', true);
 DeleteFileMask('c:\users\yuti\appdata\local\mediaget2', '*', true);
 DeleteFileMask('c:\users\yuti\appdata\local\wservices', '*', false);
 DeleteFileMask('c:\users\yuti\appdata\roaming\qipapp', '*', true);
 DeleteDirectory('c:\program files (x86)\mail.ru');
 DeleteDirectory('c:\program files (x86)\smart application controller');
 DeleteDirectory('c:\program files (x86)\zaxar');
 DeleteDirectory('c:\programdata\{hrt6zk0f-s662-sc34-7cczy195zh12}');
 DeleteDirectory('c:\programdata\{sc340zi7-7ccz-fi11-ye64x1zzhist}');
 DeleteDirectory('c:\programdata\{xprni1g5-2h5x-5zvv-opz6w40aidla}');
 DeleteDirectory('c:\programdata\{xprni1g5-ahtr-5zvv-gzlqqa3h40jj}');
 DeleteDirectory('c:\users\yuti\appdata\local\mail.ru');
 DeleteDirectory('c:\users\yuti\appdata\local\mediaget2');
 DeleteDirectory('c:\users\yuti\appdata\local\wservices');
 DeleteDirectory('c:\users\yuti\appdata\roaming\qipapp');
 DelBHO('{8E8F97CD-60B5-456F-A201-73065652D099}');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\MailRuUpdater', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\MediaGet2', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Movies', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\QIPApp', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ZaxarLoader', 'command');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(3);
 ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.

Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Скачайте, распакуйте и запустите утилиту ClearLNK. Скопируйте текст ниже в окно утилиты и нажмите "Лечить".

>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ZaxarGameBrowser\ZaxarGameBrowser.lnk"    -> ["C:\Program Files (x86)\Zaxar\ZaxarGameBrowser.exe"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ZaxarGameBrowser\ZaxarUpdate.lnk"         -> ["C:\Program Files (x86)\Zaxar\ZaxarLoader.exe"]
>>>  "C:\Users\Yuti\Desktop\Новая папка\Олег\прочее\Новая папка (3)\DOSBox 0.74.lnk"       -> ["C:\Program Files (x86)\DOSBox-0.74\DOSBox.exe"  =>> -userconf]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\by.xatab\ЗапуститьFar Cry Primal.lnk"     -> ["C:\Games\Far Cry Primal\bin\FCPrimal.exe"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\by.xatab\Удалить Far Cry Primal.lnk"      -> ["C:\Games\Far Cry Primal\unins000.exe"]
>>>  "C:\Users\Yuti\Desktop\Winmine.lnk"           -> ["C:\Users\Yuti\AppData\Roaming\QIPApp\QIPApp\Winmine.exe"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\by.xatab\Удалить Grand Theft Auto V.lnk"  -> ["C:\Games\Grand Theft Auto V\unins000.exe"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Smart Application Controller\Smart Application Controller.lnk"          -> ["C:\Program Files (x86)\Smart Application Controller\smappscontroller.exe"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\by.xatab\Запустить Prey.lnk"    -> ["C:\Games\Prey\Binaries\Danielle\x64\Release\Prey.exe"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\by.xatab\Удалить Prey.lnk"      -> ["C:\Games\Prey\unins000.exe"]
>>>  "C:\Users\Yuti\Desktop\Новая папка\Олег\теоретическая механика\КР\Динамика (очн)\RGR_D1.PIF"    -> ["C:\Курсовая работа\Динамика\RGR_D1.EXE"]
>>>  "C:\Users\Yuti\AppData\Local\Microsoft\Windows\GameExplorer\{5E8E55EC-8DEC-489B-8C60-0C6BD0844A2F}\PlayTasks\0\Играть.lnk"    -> ["C:\Program Files (x86)\Harry Potter and The Goblet of Fire\gof_f.exe"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\AMD\OverDrive\OverDrive Users Guide.lnk"  -> ["C:\Program Files (x86)\AMD\OverDrive\AMD_OverDrive_Users_Guide.chm"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\by.xatab\ЗапуститьPro Evolution Soccer 2017.lnk"    -> ["C:\Games\Pro Evolution Soccer 2017\PES2017.exe"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\by.xatab\Удалить Pro Evolution Soccer 2017.lnk"     -> ["C:\Games\Pro Evolution Soccer 2017\unins000.exe"]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\by.xatab\Запустить What Remains of Edith Finch.lnk"           -> ["C:\Games\What Remains of Edith Finch\FinchGame\Binaries\Win64\FinchGame.exe"  =>> SAVEWINPOS=1]
>>>  "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\by.xatab\Удалить What Remains of Edith Finch.lnk"   -> ["C:\Games\What Remains of Edith Finch\unins000.exe"]
>>>  "C:\Users\Yuti\Desktop\A360 Drive.lnk"        -> ["C:\Users\yangga\AppData\Local\Autodesk\Autodesk Sync\Cloud\xiaoqiang001"]
- "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\OVGorskiy.ru.URL"  ->                       hxxp://ovgorskiy.ru/
- "C:\Users\Yuti\Links\Искать в Интернете.url"  ->                    hxxps://go.mail.ru/?fr=explrspt
- "C:\Users\Yuti\Desktop\Искать в Интернете.url"  ->                  hxxps://go.mail.ru/?sct=1&fr=ni&gp=811550
-  "C:\Users\Yuti\Favorites\Mail.Ru.url"  ->                        hxxps://vvv.mail.ru/cnt/7861
- "C:\Users\Yuti\Favorites\OVGorskiy.ru.url"  ->                      hxxp://ovgorskiy.ru/
- "C:\Users\Yuti\Favorites\Искать в Интернете.url"  ->                hxxps://go.mail.ru/?fr=iespt

Отчёт о работе прикрепите.

Сделайте новый лог такой версией Autologger.

Сделайте лог Malwarebytes AdwCleaner.

[_Yuti_]

Спасибо большое, вот логи

[Vvvyg]

Удалите всё найденное в AdwCleaner, дождитесь окончания удаления и перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[C0].txt, прикрепите к своему следующему сообщению.
Очистите кэш и cookies-файлы браузеров и сообщите, что с проблемами.

[_Yuti_]

Спасибо, проблема исчезла

[Vvvyg]

Запустите AdwCleaner, меню Настройки - Удалить AdwCleaner - выберите Удалить.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 6
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\programdata\{xprni1g5-ahtr-5zvv-gzlqqa3h40jj}\nvidia web helper.exe - HEUR:Trojan.Win32.Generic ( AVAST4: Win32:Malware-gen )
  2. c:\programdata\{xprni1g5-2h5x-5zvv-opz6w40aidla}\nvidia web helper.exe - HEUR:Trojan.Win32.Generic ( AVAST4: Win32:Malware-gen )
  3. c:\windows\addins\smartscreen.exe - HEUR:Trojan.Win32.Miner.gen ( AVAST4: Win64:Malware-gen )
  4. c:\windows\systems.exe - HEUR:Trojan.Win32.Agent.gen ( AVAST4: Win32:Malware-gen )