Файл c расширением scr и куча рекламы

[Марина Комарова]

Здравствуйте, не так давно, по глупости, открыл файл scr. Потом нашел информацию о нем, что файлы с таким расширением могут устанавливать удаленный доступ к моему пк. Все бы ничего, но удивительным образом потерял доступ к платежной системе(не знаю что с ней, сейчас пытаюсь через поддержку восстановить). Кроме этого, обнаружил у себя в автозагрузках программу teamviewer(сам не устанавливал).
Прошу помощи в решение проблемы.
Кроме этого куча рекламы в браузерах, если можно тоже помогите в решение проблемы.

Нашел у себя лог сканированием за вчера за 23-00. Все таки какой то "умник" пользуется.
Если требуется пришлю лог, выручайте.

[Info_bot]

Уважаемый(ая) Марина Комарова, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Team Viewer у Вас нет. Просто вирус под нее маскируется

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\ket\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Skype.exe','');
 QuarantineFile('c:\program files\microsoft\bingdesktop\bingdesktopupdater.exe','');
 TerminateProcessByName('c:\users\ket\appdata\roaming\adobeupdate\adobeupdater.exe');
 QuarantineFile('c:\users\ket\appdata\roaming\adobeupdate\adobeupdater.exe','');
 DeleteFile('c:\users\ket\appdata\roaming\adobeupdate\adobeupdater.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\mobilegeni daemon','command');
 DeleteFile('C:\Users\ket\AppData\Local\Yandex\YandexBrowser\Application\browser.url','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','AdobeUpdater');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\AdobeUpdater','command');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте новые логи

Сделайте такой лог

[Марина Комарова]

Сделал логи.

[thyrex]

Карантин где?

Исправляйте ярлыки

C:\Users\ket\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk
C:\Users\ket\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk
C:\Users\ket\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Opera.lnk
C:\Users\ket\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome (2).lnk
C:\Users\ket\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome (3).lnk
C:\Users\ket\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome (4).lnk
C:\Users\ket\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk
C:\Users\ket\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer (2).lnk
C:\Users\ket\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Internet Explorer.lnk
C:\Users\ket\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Mozilla Firefox.lnk
C:\Users\ket\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Opera (2).lnk
C:\Users\ket\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Opera.lnk
C:\Users\ket\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Амиго (2).lnk
C:\Users\ket\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Амиго (3).lnk
C:\Users\ket\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Амиго.lnk
C:\Users\ket\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Амиго.lnk

[Марина Комарова]

Загрузил карантин. Ярлыки исправил баннеры все равно остались.

[Макcим]

Проверьте файлы из списка на VirusTotal. Ссылку на результаты укажите в сообщении.

C:\Program Files\Microsoft\BingDesktop\BingDesktopUpdater.exe
C:\Windows\system32\DRIVERS\oem-drv86.sys
C:\Program Files\Clownfish\Clownfish.exe
C:\Windows\avastSS.scr
C:\Users\ket\Desktop\Keygen-FFF.exe

Выполните скрипт в AVZ

begin
ExecuteWizard('TSW',2,3,true);
end.

[Марина Комарова]

Пишет на некоторых что файл уже проверялся.

[Макcим]

Просто копируете из адресной строки браузера и вставляете в сообщение. "Копировать - вставить". И так по каждому файлу.

[thyrex]

Пишет на некоторых что файл уже проверялся.

Выберите повторную проверку

[Марина Комарова]

C:\Program Files\Microsoft\BingDesktop\BingDesktopUpdater.exe - файл уже проверялся
https://www.virustotal.com/ru/file/f...is/1406827808/
C:\Program Files\Clownfish\Clownfish.exe - файл уже проверялся
C:\Windows\avastSS.scr - в окне пишет вычисление хеш-суммы и так уже 20 минут
C:\Users\ket\Desktop\Keygen-FFF.exe - не могу найти этот файл.

[thyrex]

Ссылку не на тот файл привели

[Марина Комарова]

https://www.virustotal.com/ru/file/6...is/1406830136/
https://www.virustotal.com/ru/file/3...is/1406830250/

Извините не понял, на какой файл я не ту ссылку дал?

[thyrex]

Сделайте лог полного сканирования МВАМ

[Макcим]

+ Выполните скрипт в AVZ

begin
 ClearQuarantine;
 QuarantineFile('C:\Windows\avastSS.scr','');
 QuarantineFile('C:\Users\ket\Desktop\Keygen-FFF.exe','');
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Загрузите файл quarantine.zip из папки AVZ по красной ссылке "Прислать запрошенный карантин" вверху темы.

[Марина Комарова]

Карантин загрузил!
Лог полного сканирования МВАМ прилагаю

[thyrex]

Поместите в карантин МВАМ только

PUP.Optional.Softonic.A, HKU\S-1-5-21-1491377145-381625207-205054009-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-0\SOFTWARE\SOFTONIC\Universal Downloader, , [7d24eab6fc7f1224d32c09def210e61a], 

PUP.Optional.Conduit.A, C:\Users\ket\AppData\Local\Google\Chrome\User Data\Default\Preferences, Good: (), Bad: (      "startup_urls": [ "http://mail.ru/cnt/10444", "http://search.conduit.com/?ctid=CT3323737&octid=EB_ORIGINAL_CTID&SearchSource=55&CUI=&UM=4&UP=SP937121D5-2F06-431E-B1DA-56366C69947A&SSPV=", "http://www.msn.com/?pc=BDT5&ocid=BDT5DHP" ],), ,[435e7e22aad1171f28fcaa428b797d83]

[Марина Комарова]

Простите, как это сделать? куда именно код вставить?
Открыть лог и вписать то что вы прислали?

[thyrex]

Запустите МВАМ, дождитесь окончания сканирования и выберите только для указанных пунктов действие Карантин

[Марина Комарова]

Сделал для 2х файлов, но баннеры остались.