что-то жрет всю память [Trojan.Win32.Zapchast.agfr ]

[Boogdan]

Здравствуйте!
Нужна помощь, сегодня случайно словил на свой ноут комплект мейл.ру+вк+одноклассники+китайский антивирус baidu. Вроде бы все удалил, но наверное не до конца, так как сейчас такая проблема - включаю ноут, минут 20 работает нормально, а потом что-то начинает хавать адски физ.память. В диспетчере пишет, что свободной памяти 0 и ноут зависает.
Логи сделать просто не успевают( начинаю сканировать АВЗ и на определённом моменте все зависает(
Подскажите как решить проблему, а то ноут рабочий и вся работа стоит(
Спасибо

[Info_bot]

Уважаемый(ая) Boogdan, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Boogdan]

Поправка!
Не успеваю проанализировать АВЗ только первым способом. Логи 2 и 3 пункта прикрепляю

- - - - -Добавлено - - - - -

Все ещё жду помощи

[Vvvyg]

Выполните скрипт в AVZ:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 QuarantineFile('C:\Users\Богдан\AppData\Roaming\glister\nvm.dll', '');
 DeleteFile('C:\Users\Богдан\AppData\Roaming\glister\nvm.dll', '32');
 DeleteFileMask('C:\Users\Богдан\AppData\Roaming\glister', '*', true);
 DeleteDirectory('C:\Users\Богдан\AppData\Roaming\glister');
 DelBHO('{15DEE173-1BE9-4424-81E0-58A87076E9B1}');
 DelCLSID('{00890530-6A9F-4be2-B1BB-73F01E2BB986}');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'reg_svr');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved', '{00890530-6A9F-4be2-B1BB-73F01E2BB986}');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\baidusdTray', 'command');
BC_ImportDeletedList;
ExecuteSysClean;
 BC_DeleteFile('C:\Windows\system32\DRIVERS\bd0003.sys');
 BC_DeleteFile('C:\Windows\system32\DRIVERS\BDArKit.sys');
 BC_DeleteFile('C:\Windows\system32\DRIVERS\BDFileDefend.sys');
 BC_DeleteFile('C:\Windows\system32\DRIVERS\BDMWrench.sys');
 BC_DeleteFile('C:\Windows\system32\DRIVERS\BdSandBox.sys');
 BC_DeleteSvc('BDKVRTP');
 BC_DeleteSvc('bd0003');
 BC_DeleteSvc('BDArKit');
 BC_DeleteSvc('BDFileDefend');
 BC_DeleteSvc('BDMWrench');
 BC_DeleteSvc('BdSandBox');
 BC_DeleteSvc('bd0001');
 BC_DeleteSvc('bd0002');
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.
Выполните в AVZ скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.

Сделайте лог AdwCleaner (by Xplode).

[Boogdan]

все сделал

[Vvvyg]

Пофиксите в HijackThis (в Windows Vista/7/8 необходимо запускать через правую кнопку мыши Запуск от имени администратора)):

O4 - HKCU\..\Run: [admin] "C:\Users\Богдан\AppData\Roaming\glitz\admin.exe"

Запустите повторно AdwCleaner (by Xplode) (в Windows Vista/7/8 необходимо запускать через правую кнопку мыши от имени администратора)), нажмите кнопку Scan, по окончании сканирования уберите галочки на вкладках Folders и Registry со всех пунктов, где упоминаются Mail.Ru если используете соответствующие программы.

Затем нажмите Cleaning и по окончании удаления перезагрузите систему по требованию программы.

После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[S0].txt, прикрепите к своему следующему сообщению.

Загрузите SecurityCheck by glax24 отсюда и сохраните на Рабочем столе.
Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запуск от имени администратора (если Вы используете Windows Vista/7/
Если увидите предупреждение от фаервола относительно программы SecurityCheck, не блокируйте ее работу.
Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt.

Приложите этот файл к своему следующему сообщению.

[Boogdan]

сделано

[Vvvyg]

Запустите AdwCleaner и нажмите Удалить.

Стоп, ещё не вся зараза...
Выполните скрипт в AVZ:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
ClearQuarantine;
 QuarantineFile('C:\TEMP\956B.tmp\bump.exe', '');
 DeleteFile('C:\TEMP\956B.tmp\bump.exe', '32');
BC_ImportDeletedList;
ExecuteSysClean;
 ExecuteWizard('SCU', 3, 3, true);
BC_Activate;
RebootWindows(true);
end.

омпьютер перезагрузится.
Выполните в AVZ скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Скачайте программу Universal Virus Sniffer и сделайте полный образ автозапуска uVS.

[Boogdan]

Карантин не могу прислать, так как:
Результат загрузки
Ошибка загрузки. Данный файл уже был загружен

Лог Universal Virus Sniffer прикрепил

[Vvvyg]

Выполните скрипт в uVS:

;uVS v3.85.21 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
delall %SystemDrive%\PROGRAM FILES\BAIDU\BAIDUSD\3.0.0.4605\EXPLUGIN\NPBAIDUSDDETECTPLUG.DLL
delall %SystemDrive%\PROGRAM FILES\COMMON FILES\BAIDU\BDDOWNLOAD\108\BDCOMPROXY.DLL
delref %SystemDrive%\USERS\БОГДАН\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\PROFILE 1\EXTENSIONS\PGAIDLFGJKMEENDHKNAFAHPPLLBNIEJM\3.0.2_0\ВИЗУАЛЬНЫЕ ЗАКЛАДКИ MAIL.RU
delref %SystemDrive%\USERS\БОГДАН\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\PROFILE 1\EXTENSIONS\MFMJPFOGGIKOLKFILOFBPGCNHDCGAHIB\3.0.2_0\ДОМАШНЯЯ СТРАНИЦА MAIL.RU
delref %SystemDrive%\USERS\БОГДАН\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\PROFILE 1\EXTENSIONS\PFJGIBHMCGNCMJHDODPAOLFBJPJJAJAL\3.0.2_0\ПОИСК MAIL.RU
delref HTTP://MAIL.RU/CNT/10445?GP=OPENPART3
delref HTTP://GO.MAIL.RU/SEARCH?FR=NTG&Q=
delref %SystemDrive%\PROGRAM FILES\OPERA\LAUNCHER.EXE
delref %SystemDrive%\PROGRAM FILES\OPERA\OPERA.EXE
delref {8984B388-A5BB-4DF7-B274-77B879E179DB}\[CLSID]
delref %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\LOCALLOW\UNITY\WEBPLAYER\LOADER\UNITYWEBPLUGINAX.OCX
delref %SystemDrive%\TEMP\CATCHME.SYS
deltmp
restart

Компьютер перезагрузится.

Service Pack не установлен Внимание! Скачать обновления
Internet Explorer 8.0.7600.16385 Внимание! Скачать обновления
Контроль учётных записей пользователя отключен
^Рекомендуется включить: Win+R ввести UserAccountControlSettings и Enter^
Запрос на повышение прав для администраторов отключен
Автоматическое обновление отключено

Java 7 Update 45 v.7.0.450 Внимание! Скачать обновления

Adobe Flash Player 11 ActiveX v.11.9.900.152 Внимание! Скачать обновления
Adobe Flash Player 12 Plugin v.12.0.0.70 Внимание! Скачать обновления

Mozilla Firefox 30.0 (x86 ru) v.30.0 Внимание! Скачать обновления
Google Chrome v.40.0.2214.93 Внимание! Скачать обновления

Настоятельно рекомендуется устранить найденные уязвимости.

[Boogdan]

Смотрите выполнил скрипт, виндовс перезагрузился, потом как включился открываю хром и там 3 подряд оповещания, что какое-то приложение пытается установить вам расширение mail.ru, ну и соответственно принять или удалить. Я поудалял. Это норма, что оно выскочило?

И еще вот это нужно делать?
Запустите AdwCleaner и нажмите Удалить.

[Vvvyg]

Смотрите выполнил скрипт, виндовс перезагрузился, потом как включился открываю хром и там 3 подряд оповещания, что какое-то приложение пытается установить вам расширение mail.ru, ну и соответственно принять или удалить. Я поудалял. Это норма, что оно выскочило?

Не очень.
Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочками также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа.
Прикрепите эти три файла к своему следующему сообщению (можно все в одном архиве).

И еще вот это нужно делать?
Запустите AdwCleaner и нажмите Удалить.

Нужно. Чтобы потом не путаться в логах и заведомо иметь актуальную версию AdwCleaner - если снова понадобится.

[Boogdan]

прикрепляю логи

[Vvvyg]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

CreateRestorePoint:
CloseProcesses:
SearchScopes: HKU\S-1-5-21-1485280063-2597048751-2304792302-1000 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = http://go.mail.ru/search?q={SearchTerms}&fr=ntg
FF DefaultSearchEngine: РџРѕРёСЃРє@Mail.Ru
FF SelectedSearchEngine: РџРѕРёСЃРє@Mail.Ru
FF SearchPlugin: C:\Users\Богдан\AppData\Roaming\Mozilla\Firefox\Profiles\u1jlw2z0.default\searchplugins\mailru.xml [2015-04-27]
FF Extension: Визуальные закладки @Mail.Ru - C:\Users\Богдан\AppData\Roaming\Mozilla\Firefox\Profiles\u1jlw2z0.default\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2015-04-27]
CHR HomePage: Profile 1 -> hxxp://www.mail.ru/cnt/7821
CHR StartupUrls: Profile 1 -> "hxxp://mail.ru/cnt/7993/"
CHR HKLM\...\Chrome\Extension: [mfmjpfoggikolkfilofbpgcnhdcgahib] - https://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [pfjgibhmcgncmjhdodpaolfbjpjjajal] - https://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [pgaidlfgjkmeendhknafahppllbniejm] - https://clients2.google.com/service/update2/crx
2014-05-08 16:57 - 2014-05-08 16:57 - 6103040 _____ () C:\Program Files\GUT8359.tmp
Task: {1227C704-CB31-48B8-A4DD-2397FD98FAB8} - \{769F14A6-565E-4F13-88A6-15CEF39370EE} No Task File <==== ATTENTION
Task: {1A4FA9C5-19B0-49A4-BD27-5669BB1D7440} - \{5AD16540-EFD2-4193-9703-B1277347D0F1} No Task File <==== ATTENTION
Task: {2488F830-FAA3-44A7-9D17-AAFCCD743653} - \{EAF9B644-49F4-4570-81EE-E3FDD0310C9D} No Task File <==== ATTENTION
Task: {28B293FE-7640-4BB5-8E21-B03B92B59A0F} - \{91AF4927-FAF2-475A-8804-1D9633D07EE6} No Task File <==== ATTENTION
Task: {31DEFD24-C204-4B92-AA81-9E0EE08F661B} - \{F8EC0051-1F29-46D3-B2C5-C49ED22DEB82} No Task File <==== ATTENTION
Task: {3954D936-E4A5-4CCE-BFF6-1680AA993916} - \{0391D7D1-BC57-45C9-90FE-5A22FA49C9C2} No Task File <==== ATTENTION
Task: {3CFD12F9-7701-4F0F-9925-80501B197351} - \{77502E26-1A08-4FEC-914D-287CE26C7310} No Task File <==== ATTENTION
Task: {42AAECEC-2268-4E8E-8E50-16206357F004} - \{CFC333A9-B342-4105-B52F-0BD558B78C0D} No Task File <==== ATTENTION
Task: {911A4861-9E85-487A-B679-DE48042A5620} - \{D82667CF-7AB8-4808-BDAD-BFADC5A353F5} No Task File <==== ATTENTION
Task: {ACAD2BEA-3108-402F-9FE1-D1DEBEDB6130} - \{77B1AC79-C8EC-47A3-9796-7DC1EDE09B4E} No Task File <==== ATTENTION
Task: {BB8A7609-5B8C-4B2F-B2C4-7DC345A7D5CA} - \{2D732210-A547-44E2-B24F-3187827B9E67} No Task File <==== ATTENTION
Task: {BD5F8560-ECDA-4157-BD8F-2D481552ED24} - \Opera scheduled Autoupdate 1418297451 No Task File <==== ATTENTION
Task: {C859C631-9189-4B00-9B2F-7B5718D3D9DF} - \{13E8ACD1-1537-4648-B4F4-752685EB96B3} No Task File <==== ATTENTION
Task: {E4528E50-58F4-4750-9838-1435DD78E549} - \{DECC3053-928B-4637-BB2C-487CBBF8BDC9} No Task File <==== ATTENTION
Task: {E5B000B4-3C03-482F-93BD-BD7B3CC0DD02} - \Steam-S-1-8-22-9865GUI No Task File <==== ATTENTION
AlternateDataStreams: C:\ProgramData\TEMP:41ADDB8A
AlternateDataStreams: C:\ProgramData\TEMP:A064CECC
AlternateDataStreams: C:\ProgramData\TEMP:A423462F
AlternateDataStreams: C:\ProgramData\TEMP:C8B8CEBD
Shortcut: C:\Users\Public\Desktop2BA0CD04\百度杀毒.lnk
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\baidusdTray" /f
FirewallRules: [{51F19B36-E16B-45C7-9ACB-350776E29220}] => (Allow) C:\Windows\AppPatch\jpzqvbr.dat
FirewallRules: [{E98869A0-C2CB-479B-9C0F-8290BB371992}] => (Allow) C:\Windows\AppPatch\jpzqvbr.dat
FirewallRules: [{7CDA3ABA-135D-439F-87D2-39BE5869686D}] => (Allow) C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdSvc.exe
FirewallRules: [{7DF252A2-3EC2-4230-8E5C-4D743A1E8990}] => (Allow) C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdSvc.exe
FirewallRules: [{0C930906-CD3B-43D4-9479-DCE7FC518470}] => (Allow) C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdSvc.exe
FirewallRules: [{6ED87BCA-31A0-43FF-A5CA-C4ECB6B2734F}] => (Allow) C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdSvc.exe
FirewallRules: [{F2538266-6CCA-460B-8956-D4900F931062}] => (Allow) C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdSvc.exe
FirewallRules: [{64D8F72F-D7B6-4558-84B7-F2ABAB8389F5}] => (Allow) C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdSvc.exe
FirewallRules: [{EFD23CD3-0ABE-419F-BA20-03DD493123AB}] => (Allow) C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSd.exe
FirewallRules: [{3860387C-C247-460B-8979-D28FF9D07C0E}] => (Allow) C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSd.exe
FirewallRules: [{59D7D27E-4E08-4AAD-9676-AA3EC1109F5D}] => (Allow) C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSd.exe
FirewallRules: [{CA78B67A-0AF2-44A7-AE80-E354B03888F2}] => (Allow) C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSd.exe
FirewallRules: [{F320BC48-EE63-480A-AEA6-7712FB383FCD}] => (Allow) C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSd.exe
FirewallRules: [{5E33C574-8F65-4AC6-9153-9B234491727F}] => (Allow) C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSd.exe
FirewallRules: [{DDB74A82-7DED-4A9A-91F1-DBF6DD8DEA5C}] => (Allow) C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdTray.exe
FirewallRules: [{0EBA48E2-1DA3-4D63-8ADA-F89B079C895D}] => (Allow) C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdTray.exe
FirewallRules: [{F48E481F-5CDC-4EB6-B66E-7F6C8686D81E}] => (Allow) C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdTray.exe
FirewallRules: [{DB08A5A7-218E-47AB-B5A0-9F3AA5497E86}] => (Allow) C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdTray.exe
FirewallRules: [{0E21455B-4519-4BE9-8E27-DF6E422B60AE}] => (Allow) C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdTray.exe
FirewallRules: [{6D3C61DF-59B8-4D33-A25F-B8FE38BA52AD}] => (Allow) C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdTray.exe
FirewallRules: [{A179192B-D6FD-492F-A93A-53D572C705F3}] => (Allow) C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdUpdate.exe
FirewallRules: [{7975FA18-C323-418A-AE07-B51E1729711E}] => (Allow) C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdUpdate.exe
FirewallRules: [{4B689954-B368-4CB5-864B-745E7303332D}] => (Allow) C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdUpdate.exe
FirewallRules: [{EFFFBC05-8FE2-4FE7-9ECC-04265423D06F}] => (Allow) C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdUpdate.exe
FirewallRules: [{BAFB7708-0547-4CA7-AAE7-C60DC7DD37C2}] => (Allow) C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdUpdate.exe
FirewallRules: [{B85CF61E-5EB3-4039-BFD9-0B656200FC17}] => (Allow) C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdUpdate.exe
FirewallRules: [{3935CD03-75AE-4DA1-8A9D-0E99849B58E1}] => (Allow) C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdBugRpt.exe
FirewallRules: [{E464A358-582F-4057-9D13-3833999F593C}] => (Allow) C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdBugRpt.exe
FirewallRules: [{F6B6AF35-1675-4119-8761-BB8488B2E737}] => (Allow) C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdBugRpt.exe
FirewallRules: [{A971732C-DD96-4775-AE96-6DD1C092EDD7}] => (Allow) C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdBugRpt.exe
FirewallRules: [{544AE1BF-7CAC-4E05-813B-AE02F00BA156}] => (Allow) C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdBugRpt.exe
FirewallRules: [{531EB6C2-A8AB-4A25-A01D-F768C05ADA86}] => (Allow) C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdBugRpt.exe
FirewallRules: [{5A668173-3B45-4081-A986-B8A2F587E187}] => (Allow) C:\program files\common files\baidu\bddownload\108\bddownloader.exe
C:\Users\Богдан\AppData\Roaming\Microsoft\Office\Последние файлы\=.docx.LNK
EmptyTemp:
Reboot:

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Сообщите, что с проблемой.

[Boogdan]

все сделал.
Только когда комп перезагрузился и когда я зашел в хром, повыкидывало со всех сайтов, на которые был войден и выбило окошко:
"Файл настроек поврежден. Хром не может восстановить ваши параметры"
В опере тоже со всех сайтов доступы повыкидало

А сама изначальная проблема на самом деле пропала еще после того как в АВЗ скрипт ваш первый выполнил. Ну в том плане, что теперь хоть не зависает

[Vvvyg]

Удалите папку C:\FRST со всем содержимым.

Выполните рекомендации после лечения.

[Boogdan]

хорошо сейчас.
Я так понимаю это все да?
Спасибо Вам тогда огромное!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\users\богдан\appdata\roaming\glister\nvm.dll - Trojan.Win32.Zapchast.agfr ( DrWEB: Trojan.Gleam.4, AVAST4: Win32:Malware-gen )