Проблема mybackdoor.net [not-a-virus:AdWare.Win32.AdSubscribe.bev, not-a-virus:AdWare.Win32.AdSubscribe.et ]

[Helens]

Здравствуйте! Столкнулась с проблемой mybackdoor.net, постоянно перенаправляет на другие страницы, не открывает mail.ru и другие сайты. Прошу помочь, заранее спасибо! Логи прикладываю.

[Info_bot]

Уважаемый(ая) Helens, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[regist]

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

begin
  ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
SetAVZPMStatus(false);
  QuarantineFile('C:\Documents and Settings\Лена\Application Data\AdRiver\AdRiver.dll','');
  QuarantineFile('byXRkKbb.dll','');
  QuarantineFile('C:\WINDOWS\system32\tsfkjhd.dll','');
  DeleteFile('C:\WINDOWS\system32\tsfkjhd.dll');
  DeleteFile('byXRkKbb.dll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteWizard('TSW',2,3,true);
 SetAVZPMStatus(false);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

Профиксите в HijackThis

O2 - BHO: (no name) - {1977FD42-C956-40D0-B76B-E9E6A5C63F7C} - (no file)
O2 - BHO: (no name) - {3049C3E9-B461-4BC5-8870-4C09146192CA} - (no file)
O2 - BHO: (no name) - {4305EB0A-FD5E-4EE1-8EFA-347635102ED3} - (no file)
O2 - BHO: (no name) - {481424C6-3D35-415F-A08B-CEDDBA45E989} - (no file)
O2 - BHO: (no name) - {6849A765-D77C-4C8B-8B99-E901EC7B7288} - (no file)
O2 - BHO: (no name) - {6D794CB4-C7CD-4c6f-BFDC-9B77AFBDC02C} - (no file)
O2 - BHO: (no name) - {8100BB33-2CA2-4900-8988-2F37D3BEF196} - (no file)
O2 - BHO: (no name) - {849D5535-A518-433D-892D-5C71D400B750} - (no file)
O2 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)
O2 - BHO: (no name) - {8EFC8807-75AD-4510-B356-AA211BC92ED3} - (no file)
O2 - BHO: (no name) - {B325CABA-0CA6-42AB-8B3C-38067A14AA0C} - (no file)
O2 - BHO: (no name) - {CF272101-7F6E-4CF2-9453-B4C5D2FC32C0} - (no file)
O3 - Toolbar: Яндекс.Бар - {91397D20-1446-11D4-8AF4-0040CA1127B6} - (no file)
O24 - Desktop Component 0: (no name) - (no file)
O24 - Desktop Component 1: (no name) - file:///C:/DOCUME~1/AC0D~1/LOCALS~1/Temp/msohtml1/01/clip_image002.jpg
O24 - Desktop Component 2: (no name) - file:///C:/DOCUME~1/AC0D~1/LOCALS~1/Temp/msohtml1/01/clip_image002.gif

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)


постарайтесь сделать логи из обычного режима.

- - - Добавлено - - -

+ в Hosts строчки сами дописали ?

[Helens]

карантин загрузила. повторные логи прикрепляю

[regist]

AdRiver - not-a-virus:AdWare.Win32.AdSubscribe.et такую программу вы устанавливали ?

не ответили

+ в Hosts строчки сами дописали ?

[Helens]

Не устанавливала

[regist]

Отключите AVZPM !

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\WINDOWS\system32\tsfkjhd.dll','');
  QuarantineFileF('C:\Documents and Settings\Лена\Application Data\AdRiver\','*', true,'',0 ,0);
 DeleteFileMask('C:\Documents and Settings\Лена\Application Data\AdRiver\', '*', true);
 DeleteDirectory('C:\Documents and Settings\Лена\Application Data\AdRiver\',' ');
 DeleteFile('C:\WINDOWS\system32\tsfkjhd.dll');
 DeleteFile('C:\Documents and Settings\Лена\Application Data\AdRiver\AdRiver.dll');
 DelCLSID('{6B830884-20E3-4AB6-B672-2629F0F72071}');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved','{6B830884-20E3-4AB6-B672-2629F0F72071}');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
 ExecuteWizard('SCU', 2, 3, true);
 ExecuteRepair(13);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log) в обычном режиме (не безоспасном)

[Helens]

строчки не дописывала.
карантин отправила, логи здесь

[regist]

проверьте такой файл у вас есть ?

C:\WINDOWS\system32\pmnljJCu

hijackthis - старый лог прикрепили.

[Helens]

Файлов с таким именем не обнаружено.
По поводу лога возможно. Вот исправила

[regist]

Выполните скрипт в AVZ

begin
 DeleteFile('C:\WINDOWS\system32\pmnljJCu');
ExecuteSysClean;
RebootWindows(false);
end.

что с проблемой ?

[Helens]

Всё отлично работает! Проблема решена. Спасибо за оперативную помощь

[regist]

- Откройте файл ScanVuln.txt. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

Советы и рекомендации после лечения компьютера

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 29
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\\documents and settings\\лена\\application data\\adriver\\adriver.dll - not-a-virus:AdWare.Win32.AdSubscribe.et ( DrWEB: BackDoor.BlackHole.3666, BitDefender: Gen:Adware.AdRiver.1 )
  2. c:\\documents and settings\\лена\\application data\\adriver\\feed\\feed.xml - not-a-virus:AdWare.Win32.AdSubscribe.bev
  3. c:\\windows\\system32\\tsfkjhd.dll - Trojan.Win32.Cidox.qui ( DrWEB: Trojan.Mayachok.17994, BitDefender: Gen:Variant.Kazy.117219 )