Заражен ПК - Не открываются сайты [not-a-virus:WebToolbar.Win32.Agent.axf ]

[Roma-Rex]

Компьютер заражен. Не открываются сайты производителей антивирусов (Др. Веб, Касперский). Проблема есть в любом браузере. Блокируется запуск установленного антивируса (Avira Free). В Безопасном режиме проблемы нет, все ОК.
Помогите вычислить, что стартует вместе с Cистемой и не дает нормально работать.

[Info_bot]

Уважаемый(ая) Roma-Rex, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

Выполните скрипт в AVZ:

begin
 DeleteFile('C:\Users\marina\AppData\Local\Conduit\BackgroundContainer\BackgroundContainer.dll', '32');
 ExecuteFile('schtasks.exe', '/delete /TN "Windows Update Check - 0x59A20726" /F', 0, 15000, true);
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SearchIndexer', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Netprotocol', 'command');
ExecuteSysClean;
 ExecuteRepair(9);
RebootWindows(false);
end.

Компьютер перезагрузится.

Скачайте программу Universal Virus Sniffer и сделайте полный образ автозапуска uVS.

[Roma-Rex]

Добрый день.

К сожалению, все это время не было доступа к компьютеру.
Скрипт выполнил. Образ автозапуска сделал.

Спасибо.

[Vvvyg]

Для начала по той же ссылке скачайте актуальную версию UVS.

Скопируйте скрипт из окна "код" ниже в буфер обмена:

;uVS v3.86.4 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
delref CLHHNKFR.EXE
delref %SystemDrive%\USERS\MARINA\APPDATA\ROAMING\VICENTYAFE\NOTEPAD.EXE
delall %SystemDrive%\USERS\MARINA\APPDATA\ROAMING\OWZCEN323F\SPLWOW64.EXE
zoo %SystemDrive%\USERS\MARINA\APPDATA\LOCAL\CONDUIT\COMMUNITY ALERTS\ALERT.DLL
deldirex %SystemDrive%\USERS\MARINA\APPDATA\LOCAL\CONDUIT
delref %SystemDrive%\PROGRAM FILES (X86)\UTORRENTBAR\PRXTBUTO2.DLL
setdns Беспроводное сетевое соединение 2\4\{8DE36434-0F6A-42E2-AB03-44CAB039757A}\
regt 35
deltmp
delref %SystemDrive%\USERS\MARINA\APPDATA\LOCAL\MEDIAGET2\MEDIAGET.EXE
czoo
restart

Закройте все броузеры, запустите командный файл script.cmd из папки с uVS. Когда откроется окно со скриптом, нажмите "Выполнить".
Компьютер перезагрузится.

Удалите Java(TM) 6 Update 27, это устаревшая версия со множеством критических уязвимостей.

В папке с uVS появится архив ZIP с именем, начинающимся с ZOO_ и далее из даты и времени, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.

Уточните ситуацию на данный момент.

[Roma-Rex]

Все сделал как Вы написали. Скрипт отработал без ошибок. Вот требуемые файлы.
Сайты антивирусов по-прежнему не открываются. Также не удается запустить штатный антивирус Avira.
В "Безопасном режиме" - все ОК.

При обычной загрузке на долю секунды проскакивает какое-то окно, очевидно, запуская что-то что не дает нормально работать.
Кроме того, удалось обнаружить подозрительный файл qpqpdndnn.exe в папке ProgramData.
При попытке удалить этот файл получаю BSOD 0хс0000093.

[Vvvyg]

Сделайте полный образ автозапуска uVS, из безопасного режима с загрузкой сетевых драйверов/Safe Mode with Networking, загрузите на rghost.ru и дайте ссылку в теме.

[Roma-Rex]

Готово. Образ автозапуска, созданный из "Безопасного режима".
http://rghost.ru/7MCX6y624

[Vvvyg]

Из безопасного режима с загрузкой сетевых драйверов выполните скрипт в uVS:

;uVS v3.86.4 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
delref HEMX.EXE
delref %SystemDrive%\USERS\MARINA\APPDATA\LOCAL\MEDIAGET2\MEDIAGET.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\JAVA\JRE6\BIN\JP2SSV.DLL
regt 25
regt 35
winsockreset
delref %SystemDrive%\USERS\MARINA\APPDATA\LOCAL\XPOM\APPLICATION\CHROME.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\CHROME.EXE
delref %SystemDrive%\USERS\MARINA\APPDATA\LOCAL\CONDUIT\COMMUNITY ALERTS\ALERT.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.26.9\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.27.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.11\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.23.9\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.24.7\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.24.15\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.26.9\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.21.145\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.21.115\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.22.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.27.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\GOOGLEUPDATE.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\CONDUIT\COMMUNITY ALERTS\ALERT.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\OPERA\OPERA.EXE
restart

Лог выполнения скрипта приложите.

Похоже, Avira раскорячилась, нужно удалять.

[Roma-Rex]

Готово. Скрипт отработал.
Авиру удалил.

Сейчас сайты открываются и в обычном режиме!
Это победа?

[Vvvyg]

Думаю, да. И виноват был именно антивирус, от вирусов только хвосты в системе были и один adware.

Platform: Windows 7 (WinNT 6.00.3504)
MSIE: Internet Explorer v8.00 (8.00.7600.16766)

Имейте ввиду, что необновлённая 7-ка беспомощна перед зловредами, и антивирус далеко не всегда может помочь. Крайне рекомендовано установить SP1 и все последующие обновления, а также nternet Explorer 11 даже если им не пользуетесь, это критически важный для безопасности компонент Windows.
Что может быть после этого с пиратской системой - сами, наверное, знаете

Выполните рекомендации после лечения.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения обнаружены вредоносные программы:
  
  1. \alert.dll._c40733c56800d12d6f6ce9eccc5bd74c4e258f b8 - not-a-virus:WebToolbar.Win32.Agent.axf ( DrWEB: Adware.Conduit.280 )