Запуск cmd.exe при загрузке ОС , 2Inf.NET в виде стартовой страницы

[olga220lv]

Здравствуйте.
После установки ребёнком игры "майнкрафт" ноутбук при запуске стал запускать cmd.exe, сам по себе открывается браузер с сайтом 2Inf.NET. При работе в браузере при нажатии на любую его область выкидывает на различные сайты, все порталы пополнились рекламой и всплывающими окнами.
Прогоняла ноутбук антивирусом (AVG Internet Security 2015), антивирус что-то нашёл, но увы результатов это не принесло.
Заранее благодарна за помощь.

[Info_bot]

Уважаемый(ая) olga220lv, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[olga220lv]

Приложила необходимые файлы.

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила оформления запроса о помощи.

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin   
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
  then
   begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
   end;
 ClearQuarantine;
 TerminateProcessByName('c:\users\Ольга\appdata\roaming\funspace\shadow\funspace.update\funspace.update.process.exe');
 QuarantineFile('C:\Users\Ольга\AppData\Local\Microsoft\Windows\system.exe','');
 QuarantineFile('C:\Users\Ольга\AppData\Local\SystemDir\nethost.exe','');
 QuarantineFile('c:\users\Ольга\appdata\roaming\funspace\shadow\funspace.update\funspace.update.process.exe','');
 DeleteFile('c:\users\Ольга\appdata\roaming\funspace\shadow\funspace.update\funspace.update.process.exe','32');
 DeleteFile('C:\Users\Ольга\AppData\Local\SystemDir\nethost.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\nethost task','64');
 DeleteFile('C:\Users\Ольга\AppData\Local\Microsoft\Windows\system.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\SystemScript','64');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','VKMusic update process');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','sionaicfzm');
 DeleteFileMask('C:\Users\Ольга\AppData\Local\SystemDir', '*', true, ' ');
 DeleteFileMask('c:\users\Ольга\appdata\roaming\funspace', '*', true, ' ');
 DeleteDirectory('C:\Users\Ольга\AppData\Local\SystemDir');     
 DeleteDirectory('c:\users\Ольга\appdata\roaming\funspace');             
BC_ImportAll;
ExecuteSysClean;
BC_Activate;     
RebootWindows(false);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Пофиксите следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

O4 - HKCU\..\Run: [VKMusic update process] C:\Users\Ольга\AppData\Roaming\FunSpace\VKMusicUpd\FunSpace.Update.Process.exe
O4 - HKCU\..\Run: [sionaicfzm] cmd /c start http://simsimotkroysia.ru/

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

1. Скачайте CheckBrowserLnk и сохраните архив с утилитой на Рабочем столе
2. Распакуйте архив с утилитой в отдельную папку
3. Запустите checkbrowserlnk.exe
   Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да
4. После окончания работы программы на рабочем столе будет сохранен отчет CheckBrowserLnk.log
5. Прикрепите этот отчет в вашей теме.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что под окном Optional Scan отмечены "List BCD" и "Driver MD5".
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[olga220lv]

Здравствуйте,cmd.exe запускаться перестал, проблема с браузером не исчезла.
Прикладываю необходимый файлы.

[mike 1]

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита:
  

  SearchScopes: HKU\S-1-5-21-3463515254-3693375673-316930619-1000 -> DefaultScope {A06ED961-D98F-4CF9-A89B-80AB11DB149C} URL = http://go-search.ru/search?q={searchTerms}
  SearchScopes: HKU\S-1-5-21-3463515254-3693375673-316930619-1000 -> {A06ED961-D98F-4CF9-A89B-80AB11DB149C} URL = http://go-search.ru/search?q={searchTerms}
  CHR DefaultSearchKeyword: Default -> gosearch
  CHR DefaultSearchURL: Default -> http://go-search.ru/search?q={searchTerms}
  CHR Extension: (Adobe DTM Switch) - C:\Users\Ольга\AppData\Local\Google\Chrome\User Data\Default\Extensions\nlgdemkdapolikbjimjajpmonpbpmipk [2014-12-20]
  2014-12-19 19:32 - 2014-12-19 19:37 - 00000000 ____D () C:\Users\Ольга\AppData\Roaming\advPlugin
  2014-12-19 19:32 - 2014-12-19 19:32 - 00000000 ____D () C:\Users\Ольга\AppData\Local\Поиcк в Интeрнете
  2014-12-19 19:32 - 2014-12-19 19:32 - 00000000 ____D () C:\Users\Ольга\AppData\Local\Вoйти в Интeрнет 2inf.net
  2014-12-19 17:10 - 2014-12-19 19:36 - 00000000 ____D () C:\Users\Ольга\AppData\Roaming\eTranslator
  2014-12-19 17:10 - 2014-12-19 17:10 - 00000000 __SHD () C:\Users\Ольга\AppData\Local\EmieBrowserModeList
  2014-12-19 17:08 - 2014-12-21 21:08 - 00000000 ____D () C:\Users\Ольга\AppData\Local\SystemDir
  Task: {47C74A73-86FF-4E79-8CF5-329CDD853E0C} - \nethost task No Task File <==== ATTENTION
  Task: {9036DDF8-DA3C-4A7F-9F75-A56EB2BE50C8} - \SystemScript No Task File <==== ATTENTION
  EmptyTemp:
  Reboot:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[olga220lv]

После переустановки браузера проблема с запуском стартовой страницы исчезла.

При запуске фикса в FRST выбило ошибку.

[mike 1]

А файл со скриптом вы сохранили в ту же папку откуда была запущена Farbar Recovery Scan Tool?

[olga220lv]

А файл со скриптом вы сохранили в ту же папку откуда была запущена Farbar Recovery Scan Tool?

Да, как Вы писали в инструкции.

[mike 1]

Попробуйте скрипт выполнить в безопасном режиме.

[olga220lv]

Попробуйте скрипт выполнить в безопасном режиме.

Здравствуйте, выполнила данное действие.
Так же осталась вот такая проблема при удалении истории браузера.
Безымянный.jpg

[mike 1]

• Подготовьте лог OTL by OldTimer, как описано на этой странице.
• Прикрепите полученные логи OTL.txt и Extra.txt к своему следующему сообщению.

[olga220lv]

Прикладываю необходимые файлы.

[mike 1]

• Запустите повторно OTL by OldTimer или OTL.com или OTL.scr.
  
  Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".
  
• В окно Custom Scans/Fixes скопируйте следующую информацию:
  
  

  :Commands
  [CREATERESTOREPOINT]
  
  :processes
  
  :OTL
  [2014.12.30 09:26:53 | 000,000,000 | -HSD | C] -- C:\Users\Ольга\AppData\Local\EmieBrowserModeList
  [2014.10.31 15:47:15 | 000,000,000 | ---D | M] -- C:\Users\Ольга\AppData\Roaming\FunSpace
  
  :Services
  
  :Files
  
  ipconfig /flushdns /c
  
  :Reg
  
  :Commands
  [EMPTYTEMP]
  [purity]
  [Reboot]

• Проверьте, что весь текст скрипта был скопирован / вставлен верно и нажмите кнопку "Run Fix"
• Компьютер перезагрузится.
• После перезагрузки откройте папку "C:\_OTL\MovedFiles", найдите последний .log файл (лог в формате mmddyyyy_hhmmss.log), откройте и прикрепите его в следующее сообщение.

[olga220lv]

Здравствуйте, извините за долгое отсутствие , праздники.)
Прикладываю лог файл.

[mike 1]

Что с проблемой?

[olga220lv]

Реклама исчезла, браузер запускается корректно, история чистая.

[mike 1]

1. Скачайте DelFix и сохраните утилиту на Рабочем столе
2. Запустите DelFix
   Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да
3. В открывшемся окне программы поставьте галочки напротив пунктов Remove desinfection tools и Create registry backup
4. Нажмите на кнопку Run
5. После окончания работы программы автоматически откроется блокнот с отчетом delfix.txt
6. Прикрепите этот отчет в вашей теме.

• Загрузите SecurityCheck by glax24 отсюда и сохраните утилиту на Рабочем столе
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7)
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt