После удаления YTAhelper пропал интернет [not-a-virus:AdWare.Win32.DealPly.brj ]

[Лешк]

Доброго времени суток. Недавно столкнулся с такой проблемой: не внимательно установил бесплатное ПО, после чего на ноутбуке появилась такая "прекрасная программа” как youtube accelerator, или ytahelper и прога заменяющая стартовые страницы браузеров на my start search. И если с уничтожением второго особых проблем не возникло, то первый доставил очень много головной боли. Я как не опытный юзер сначала попытался удалить эти программы через панель инструментов, что не принесло особого результата. Далее была попытка удалить файлы, которые запускают процессы в диспетчер. И очистка по названию всех файлов из реестра. После чего на ноутбуке пропал интернет. Подключение есть но не работает ни одна программа использующая интернет, а все браузеры выдают ошибки подключения. Проверки различными антивирами и утилитам не помогли. Точка восстановления системы есть только на момент после удаления файлов вируса с компьютера, то есть вернуть систему на момент появления вируса на ноуте или до их появления нельзя. Переустановка системы крайне не желательна. Есть ли возможность что то сделать?

[Info_bot]

Уважаемый(ая) Лешк, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

http://virusinfo.info/pravila.html

[Лешк]

Вот логи

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила оформления запроса о помощи.

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
  then
   begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
   end;
 ClearQuarantine;
 QuarantineFile('C:\Program Files (x86)\YouTube Accelerator\ytalsp.dll','');
 QuarantineFile('C:\Users\пк\AppData\Local\Installer\Installiwebar_6792\ins_postInst.exe','');
 QuarantineFile('C:\Program Files (x86)\XTab\ProtectService.exe','');
 DeleteFile('C:\Program Files (x86)\XTab\ProtectService.exe','32');
 DeleteFile('C:\Windows\Tasks\UpdaterEX.job','64');
 DeleteFile('C:\Windows\system32\Tasks\DealPly','64');
 DeleteFile('C:\Windows\system32\Tasks\DSite','64');
 DeleteFile('C:\Windows\system32\Tasks\Installer_iwebar','64');
 DeleteFile('C:\Windows\system32\Tasks\Installer_sense','64');
 DeleteFile('C:\Users\пк\AppData\Local\Installer\Installiwebar_6792\ins_postInst.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\UpdaterEX','64');
 DeleteFile('C:\Windows\system32\Tasks\YTAHelper','64');
 DeleteFile('C:\Windows\system32\Tasks\YTAUpdate','64');
 DeleteFile('C:\Windows\system32\Tasks\YTAUpdate_logon','64');
 DeleteFile('C:\Windows\system32\Tasks\{33B56698-23CD-44B7-8C94-33B0D7CF858C}','64');
 DeleteFile('C:\Program Files (x86)\YouTube Accelerator\ytalsp.dll','32');
 DeleteService('IHProtect Service');  
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(15);     
RebootWindows(false);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
ExecuteAVUpdate;   
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Пофиксите следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.mystartsearch.com/web/?type=ds&ts=1423578544&from=smt&uid=HitachiXHTS725025A9A364_101208PCK204VJK2ZP6JX&q={searchTerms}
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.mystartsearch.com/web/?type=ds&ts=1423578544&from=smt&uid=HitachiXHTS725025A9A364_101208PCK204VJK2ZP6JX&q={searchTerms}
O2 - BHO: YTAHelperBHO - {FCE3FA8B-BA81-467C-81D8-E43C00D1BC71} - (no file)

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\PROGRA~2\YOUTUB~1\Updater.exe','');
 QuarantineFile('C:\Program Files (x86)\YTAHelper\YTAHelper.exe','');
 QuarantineFile('C:\Users\пк\AppData\Local\Installer\Installsense_25943\ins_postInst.exe','');
 QuarantineFile('C:\Users\пк\AppData\Local\Installer\Installiwebar_6792\ins_postInst.exe','');
 QuarantineFile('C:\Users\7349~1\AppData\Roaming\DealPly\UPDATE~1\UPDATE~1.EXE','');
 QuarantineFile('C:\Users\7349~1\AppData\Roaming\DSite\UPDATE~1\UPDATE~1.EXE','');
 QuarantineFile('C:\Users\7349~1\AppData\Roaming\UPDATE~1\UPDATE~1\UPDATE~1.EXE','');
 DelBHO('{3593C8B9-8E18-4B4B-B7D3-CB8BEB1AA42C}');
 QuarantineFile('C:\Program Files (x86)\XTab\SupTab.dll','');
 QuarantineFile('C:\ProgramData\app.vbe','');
 QuarantineFile('C:\Program Files (x86)\XTab\ProtectService.exe','');
 DeleteService('IHProtect Service');
 DeleteFile('C:\Program Files (x86)\XTab\ProtectService.exe','32');
 DeleteFile('C:\ProgramData\app.vbe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\app','command');
 DeleteFile('C:\Program Files (x86)\XTab\SupTab.dll','32');
 DeleteFile('C:\Users\7349~1\AppData\Roaming\UPDATE~1\UPDATE~1\UPDATE~1.EXE','32');
 DeleteFile('C:\Windows\Tasks\UpdaterEX.job','64');
 DeleteFile('C:\Windows\system32\Tasks\DealPly','64');
 DeleteFile('C:\Windows\system32\Tasks\DSite','64');
 DeleteFile('C:\Users\7349~1\AppData\Roaming\DSite\UPDATE~1\UPDATE~1.EXE','32');
 DeleteFile('C:\Users\7349~1\AppData\Roaming\DealPly\UPDATE~1\UPDATE~1.EXE','32');
 DeleteFile('C:\Windows\system32\Tasks\Installer_iwebar','64');
 DeleteFile('C:\Windows\system32\Tasks\Installer_sense','64');
 DeleteFile('C:\Users\пк\AppData\Local\Installer\Installiwebar_6792\ins_postInst.exe','32');
 DeleteFile('C:\Users\пк\AppData\Local\Installer\Installsense_25943\ins_postInst.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\UpdaterEX','64');
 DeleteFile('C:\Program Files (x86)\YTAHelper\YTAHelper.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\YTAHelper','64');
 DeleteFile('C:\Windows\system32\Tasks\YTAUpdate','64');
 DeleteFile('C:\PROGRA~2\YOUTUB~1\Updater.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\YTAUpdate_logon','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(15); 
RebootWindows(false);
end.

Компьютер перезагрузится.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Обновите базы AVZ

Сделайте новые логи

Сделайте лог полного сканирования МВАМ

[Лешк]

Вот карантин AVZ, логи hijackthis и AVZ

- - - - -Добавлено - - - - -

Лог сканирования MBAB

[thyrex]

Поместите в карантин МВАМ все, кроме

Files: 32
Trojan.Agent, C:\Program Files (x86)\REDEMAX\CS System\Counter-Strike 1.6 Online Edition\cstrike\config\Installation\CS1.6_Windows2000.exe, , [cf432eec8802053110dee119669ae917], 
Trojan.VirTool, C:\Skyrim\steam_api.dll, , [39d96baf0a801521f6e3c30530d2c937], 
Trojan.Agent, C:\Games\State of Decay\redist\steam_api.dll, , [e72b45d53258ec4a34cbf975b54c08f8], 
RiskWare.Tool.CK, C:\Users\????\Desktop\??N????µN? ??N?N????? (???»?µ??N??µ??)\???§??????\??N????·?°\??N??µ?±?° ???????·?°\?»N????·?° ??N?N??????° 5113\2 ??N?N?N?\??N????·?µN????°)\keygen.exe, , [050db2687317f93d6ae64943e2204cb4], 
Trojan.Agent.DF, C:\Users\????\Desktop\??N????µN? ??N?N????? (???»?µ??N??µ??)\???§??????\???§??????\??N?N??±?° (???µ ????N?)\?˜??N???N????°N??????°\????????a??1\Project2.exe, , [65adc555eb9f56e0b9c1bb4338c803fd], 
Trojan.Agent.DF, C:\Users\????\Desktop\??N????µN? ??N?N????? (???»?µ??N??µ??)\???§??????\???§??????\??N?N??±?° (???µ ????N?)\?˜??N???N????°N??????°\????????a??3\?·?°???°N??°11\Project2.exe, , [35dda9710a80cf67d7a346b86a968b75], 
Trojan.Agent.DF, C:\Users\????\Desktop\??N????µN? ??N?N????? (???»?µ??N??µ??)\???§??????\???§??????\??N?N??±?° (???µ ????N?)\?˜??N???N????°N??????°\????????a??3\?·?°???°N??°15\Project2.exe, , [fc1683974d3d26109fdb12ec619f02fe], 
Trojan.Agent.DF, C:\Users\????\Desktop\??N????µN? ??N?N????? (???»?µ??N??µ??)\???§??????\???§??????\??N?N??±?° (???µ ????N?)\?˜??N???N????°N??????°\????????a??3\?·?°???°N??°19\Project2.exe, , [80922af06723191ded8d3cc28f71649c], 
Trojan.Agent.DF, C:\Users\????\Desktop\??N????µN? ??N?N????? (???»?µ??N??µ??)\???§??????\???§??????\??N?N??±?° (???µ ????N?)\?˜??N???N????°N??????°\????????a??3\?·?°???°N??°3\Project2.exe, , [bc5621f9aae0d95d3a404db1669a0000], 
Trojan.Agent.DF, C:\Users\????\Desktop\??N????µN? ??N?N????? (???»?µ??N??µ??)\???§??????\???§??????\??N?N??±?° (???µ ????N?)\?˜??N???N????°N??????°\????????a??3\?·?°???°N??°7\Project2.exe, , [18fa86948efcca6cf7832dd19b65659b], 
Trojan.Agent.DF, C:\Users\????\Desktop\??N????µN? ??N?N????? (???»?µ??N??µ??)\???§??????\???§??????\??N?N??±?° (???µ ????N?)\?˜??N???N????°N??????°\????????(??)\N??°N????µN??°N??°N?N?\7\Project2.exe, , [a072d743f991a2947802b747fd03e51b], 
Trojan.Agent.DF, C:\Users\????\Desktop\??N????µN? ??N?N????? (???»?µ??N??µ??)\???§??????\???§??????\??N?N??±?° (???µ ????N?)\?˜??N???N????°N??????°\????????(??)\N??°N????µN??°N??°N?N?\7\7.11\Project2.exe, , [18fa6eacc8c22e08acce03fb8c74639d], 
Trojan.Agent.DF, C:\Users\????\Desktop\??N????µN? ??N?N????? (???»?µ??N??µ??)\???§??????\???§??????\??N?N??±?° (???µ ????N?)\?˜??N???N????°N??????°\????????(??)\N??°N????µN??°N??°N?N?\7\7.15\Project2.exe, , [060cc951b6d440f6c9b19d619070d12f], 
RiskWare.Tool.HCK, C:\Users\????\Desktop\??N????µN? ??N?N????? (???»?µ??N??µ??)\???§??????\???§???????«??\???????˜??\2009\2009-N?86\KeyGens\xf-acad9-32-BITS.exe, , [100206143b4f280e55bc791447bb8c74], 
RiskWare.Tool.CK, C:\Users\????\Desktop\??N????µN? ??N?N????? (???»?µ??N??µ??)\???§??????\???§???????«??\???????˜??\2009\2009-N?86\KeyGens\xf-acad9-64-BITS.exe, , [aa68e03a5d2db383fa373a515ca68977], 
Trojan.Dropper.PGen, C:\N?N?N????????????? ??N?????N??°??N?\distrib\ACDSee Pro 2.5.333\keygen.exe, , [16fc8298ddad1f1770b235440df3cd33], 
Trojan.Dropped, C:\N?N?N????????????? ??N?????N??°??N?\Install\CD_DVD\DTools\hidcon.exe, , [46ccf624f09a1c1a842768d7f012cc34], 
Trojan.Dropped, C:\N?N?N????????????? ??N?????N??°??N?\Install\Filemanager\OO.exe, , [17fb0812ed9d9e983d6e3e01b15146ba], 
Trojan.Dropped, C:\N?N?N????????????? ??N?????N??°??N?\Install\Graphics\Snagit.exe, , [58bac05ad6b4c2749a11162938ca28d8], 
Trojan.Dropped, C:\N?N?N????????????? ??N?????N??°??N?\Install\Video\#1DVDRipper.exe, , [40d248d24a406cca96152718ae546898], 
PUP.RiskWareTool.CK, C:\N?N?N????????????? ??N?????N??°??N?\?°??N???????N?N?N?N?\NOD32 2.70.39 Admin RUS\NOD32.FiX.v2.1-nsane.exe, , [bf53aa70d9b15bdb13c1379eb550fc04],

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\users\7349~1\appdata\roaming\update~1\update~1\ update~1.exe - not-a-virus:AdWare.Win32.DealPly.brj ( BitDefender: Trojan.GenericKDV.1261968 )