Вирусы в браузере [Trojan.MSIL.Agent.aakvi]

**mike 1** · 18.02.2015, 17:49

Сделайте лог HiJackThis.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Wedmak** · 19.02.2015, 17:08

Сделал.

**mike 1** · 20.02.2015, 00:28

Пофиксите следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

Код:

O2 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)
O2 - BHO: (no name) - {A7DF592F-6E2A-45C4-9A87-4BD217D714ED} - (no file)
O2 - BHO: (no name) - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - (no file)
O4 - HKLM\..\Run: [WinCheck] C:\Users\Пользователь\AppData\Local\wincheck\wincheck.exe

Сделайте новый лог

**Wedmak** · 20.02.2015, 12:27

Сделал, но строки не удаляются.

**mike 1** · 20.02.2015, 13:44

От имени Администратора запускаете HiJackThis?

**Wedmak** · 20.02.2015, 17:47

Да, конечно.

**mike 1** · 20.02.2015, 20:37

Скачайте Farbar Recovery Scan Tool

и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Убедитесь, что под окном Optional Scan отмечены "List BCD" и "Driver MD5".
Нажмите кнопку Scan.
После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

**Wedmak** · 24.02.2015, 16:50

Выполнил.
(у меня в менеджере вложений подходит к концу выделенное пространство. Можно удалять старые файлы?)

**mike 1** · 24.02.2015, 19:07

Можно удалять старые файлы?

Да. Мой кабинет => Вложения

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

Код:

CreateRestorePoint:
HKLM-x32\...\Run: [WinCheck] => C:\Users\Пользователь\AppData\Local\wincheck\wincheck.exe
HKU\S-1-5-21-4089980803-3195541541-2592835429-1000\...\Run: [AdobeBridge] => [X]
C:\Users\Пользователь\AppData\Local\wincheck
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
2015-02-17 13:17 - 2015-02-17 13:17 - 00000742 __RSH () C:\Users\Все пользователи\ntuser.pol
2015-02-17 13:17 - 2015-02-17 13:17 - 00000742 __RSH () C:\ProgramData\ntuser.pol
2011-12-15 13:04 - 2011-12-19 13:59 - 0000088 __RSH () C:\ProgramData\0B3282168C.sys
2011-12-15 13:04 - 2011-12-19 14:00 - 0002516 ___SH () C:\ProgramData\KGyGaAvL.sys
2014-07-02 17:10 - 2014-07-02 17:10 - 0000040 _____ () C:\Program Files\{AACE8122-B27D-421C-A5BB-95060941AFD7}.sys
C:\Users\Пользователь\thumbdb.bat
AlternateDataStreams: C:\ProgramData\TEMP:D282699C
AlternateDataStreams: C:\Users\Все пользователи\TEMP:D282699C
EmptyTemp:
Reboot:

Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
Обратите внимание, что компьютер будет перезагружен.

Сделайте новый лог HiJackThis.

**Wedmak** · 26.02.2015, 15:42

Выполнил. Пробовал менять автозапуск в msconfig, та же картина, не могу изменить ничего.

**mike 1** · 26.02.2015, 18:06

Сделайте новый лог HiJackThis.

...

**Wedmak** · 27.02.2015, 14:10

Сделал лог.

**mike 1** · 27.02.2015, 17:25

Скачайте ComboFix здесь и сохраните в корень диска С.

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.

2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe. Например: temp.exe

**Wedmak** · 28.02.2015, 11:08

Программа отработала.

**mike 1** · 28.02.2015, 12:05

Скопируйте текст ниже в Блокнот и сохраните как файл с названием CFScript.txt в корень диска С.

Код:

KillAll::

File::

Driver::

Folder::
c:\users\Пользователь\AppData\Local\EmieBrowserModeList

Registry::

FileLook::

DirLook::
C:\Device

Reboot::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

**Wedmak** · 03.03.2015, 12:44

После отработки программы в корне диска С лог-файла, как и файла скрипта нет. Остается только сама программа. Пробовал 3 раза.

**mike 1** · 03.03.2015, 18:36

Попробуйте в безопасном режиме выполнить скрипт.

**Wedmak** · 04.03.2015, 10:25

Пробовал в безопасном режиме, пробовал с диска D. Та же самая картина - нет лог файла и файл скрипта исчезает.

**mike 1** · 04.03.2015, 14:51

Удалите вручную тогда эти папки:

c:\users\Пользователь\AppData\Local\EmieBrowserMod eList
C:\Device

**Wedmak** · 04.03.2015, 15:46

Первой папки уже нет, вторую удалил.
Автозапуск все равно не меняется.

Вирусы в браузере [Trojan.MSIL.Agent.aakvi] (заявка № 177325)

Опции темы

Похожие темы

Chrome сам закрывается + вкладка с левым сайтом [Trojan-Downloader.MSIL.Agent.hqd, Trojan.MSIL.Agent.fnfy ]

Перенаправление на левый сайт при открытии браузера! [Trojan-Downloader.MSIL.Agent.hqd, Trojan.MSIL.Agent.fnfy ]

Карантин 05E46CBDF420B29934B0B71E5997F272 [Trojan-Downloader.MSIL.Agent.hqd, Trojan.MSIL.Agent.fnfy]

Реклама в браузере Chrome [Trojan.MSIL.Agent.aaiez ]

Реклама в браузере [Trojan-Clicker.MSIL.Agent.hh ]

Ваши права в разделе