BrowserModifier:Win32/CouponRuc на Windows 8.1 x64

[andrew70]

Постоянно появляется вирус BrowserModifier:Win32/CouponRuc. Windows Defender находит, удаляет, но потом вирус появляется снова.

[Info_bot]

Уважаемый(ая) andrew70, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила оформления запроса о помощи.

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
 QuarantineFile('C:\Program Files (x86)\sUUrfkeepIIt\AWIIRI50GkXR44.dll','');
 DelBHO('{df39a49c-074f-43ad-b188-40c21deac96a}');
 DelBHO('{A7B36040-8216-408E-BCF1-DC4FE9F3FE84}');
 DelBHO('{9b95ab1c-e686-436f-8096-35b0e2f3659a}');
 DelBHO('{5415d520-1470-4241-a8d8-46b72d4208ca}');
 DeleteService('wpnfd_1_10_0_4');
 DeleteFile('C:\WINDOWS\system32\drivers\wpnfd_1_10_0_4.sys','32');
 DeleteFile('C:\Program Files (x86)\sUUrfkeepIIt\AWIIRI50GkXR44.dll','32');
 DeleteFile('C:\Program Files (x86)\deoalpeaKo\bEPB3sTaLa9aT4.dll','32');
 DeleteFile('C:\Program Files (x86)\FFinaEDeealuSSofet\8z4sgLdIe3rHFx.dll','32');
 DeleteFile('C:\Program Files (x86)\DiesuccountLuoccator\juCPKw33IJbWPq.dll','32');
 DeleteFile('C:\WINDOWS\system32\Tasks\Advanced System Protector','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\DoctorPC_Popup','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\LaunchSignup','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\ReimageUpdater','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\{230B87BF-C2FB-4C13-B0B6-83FC849FF18E}','64');
ExecuteSysClean;
RebootWindows(true);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[andrew70]

Все сделал

[mike 1]

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

[andrew70]

Готово.

[mike 1]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[andrew70]

Готово

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  CloseProcesses:
  CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
  BHO: lleSs2pAAy -> {3b9e94b4-8c1d-4639-9095-61e89b664de1} -> C:\Program Files (x86)\lleSs2pAAy\RVQb7pA5J79pj3.x64.dll No File
  Toolbar: HKU\S-1-5-21-2955981970-1769833893-4009010118-1001 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
  2014-12-15 10:25 - 2014-12-15 10:25 - 1545696 _____ (end) C:\Users\Andrey5s\AppData\Roaming\ZRT.exe
  C:\Users\Andrey5s\fsc.exe
  C:\Users\Andrey5s\nbt.exe
  EmptyTemp:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[andrew70]

Сделал

[mike 1]

Больше плохого не видно.

[andrew70]

Больше плохого не видно.

Хорошо, спасибо!

А зачем у меня вот эти файлы удалили? Подозрения на них были? Я так то пользуюсь этими генераторами.

C:\Users\Andrey5s\fsc.exe
C:\Users\Andrey5s\nbt.exe

[mike 1]

Имена у файлов странные. Вообще они не удалены, а перемещены. Восстановить их можете из папки C:\FRST\Quarantine\C:\Users\Andrey5s

[andrew70]

Хорошо, спасибо! Все понял, у меня эти файлы отдельно сохранены. Просто уточнил.

[mike 1]

1. Для удаления утилит, которые использовались в лечении скачайте DelFix и сохраните утилиту на Рабочем столе
2. Запустите DelFix
   Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да
3. В открывшемся окне программы поставьте галочки напротив пунктов Remove desinfection tools и Create registry backup
4. Нажмите на кнопку Run
5. После окончания работы программы автоматически откроется блокнот с отчетом delfix.txt
6. Прикрепите этот отчет в вашей теме.

• Для профилактики и защиты от повторных заражений загрузите SecurityCheck by glax24 отсюда и сохраните утилиту на Рабочем столе
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7)
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите отчет в вашей теме