При запуске виндовс автоматически запускается Хром с открытой вкладкой rhereso.ru

[Алекс Ввс]

Поиском по умолчанию сделан mysearh.com и yamdex.ru. Также в автозагрузке стоят Обнови софт, а Касперский находит not-a-virus:AdWare.Win32.ICLoader.irb. Сканировал ADWCleaner-ом, найденное удалил

[Info_bot]

Уважаемый(ая) Алекс Ввс, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[SQ]

Здравствуйте,

AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);  
 TerminateProcessByName('c:\users\мвидео\appdata\roaming\ca671259-1433368822-f545-9ee2-ac9e17403f63\hnsye635.tmp');
 TerminateProcessByName('c:\program files (x86)\ca671259-1437247312-f545-9ee2-ac9e17403f63\knsd5a78.tmp');
 TerminateProcessByName('c:\program files (x86)\ca671259-1433368822-f545-9ee2-ac9e17403f63\knsg54cb.tmp');
 StopService('bd0003');
 StopService('BDArKit');
 StopService('BDKVRTP');
 StopService('fotikole');
 StopService('gefokowe');
 StopService('IHProtect Service');
 StopService('timuneqi');
 StopService('wsafd_1_10_0_19');
 StopService('wsasvc_1.10.0.19');
 StopService('{42f8f729-2fa8-44bb-b01a-28c57a8162c7}w64');
 QuarantineFile('C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe','');
 QuarantineFile('C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdSvc.exe','');
 QuarantineFile('C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdTray.exe','');
 QuarantineFile('C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BDShellExt64.dll','');
 QuarantineFile('C:\Program Files (x86)\CA671259-1433368822-F545-9EE2-AC9E17403F63\knsg54CB.tmp','');
 QuarantineFile('C:\Program Files (x86)\CA671259-1437247312-F545-9EE2-AC9E17403F63\knsd5A78.tmp','');
 QuarantineFile('C:\Program Files (x86)\Edu App\updateEduApp.exe','');
 QuarantineFile('C:\Program Files (x86)\Shop and Save Up\3e333a94-27e8-410b-8033-4d2ada6e2e3e-1-6.exe','');
 QuarantineFile('C:\Program Files (x86)\Shop and Save Up\3e333a94-27e8-410b-8033-4d2ada6e2e3e-1-7.exe','');
 QuarantineFile('C:\Program Files (x86)\Shop and Save Up\3e333a94-27e8-410b-8033-4d2ada6e2e3e-11.exe','');
 QuarantineFile('C:\Program Files (x86)\Shop and Save Up\3e333a94-27e8-410b-8033-4d2ada6e2e3e-5.exe','');
 QuarantineFile('C:\Program Files (x86)\Shop and Save Up\3e333a94-27e8-410b-8033-4d2ada6e2e3e-6.exe','');
 QuarantineFile('C:\Program Files (x86)\Shop and Save Up\3e333a94-27e8-410b-8033-4d2ada6e2e3e-7.exe','');
 QuarantineFile('C:\Program Files (x86)\WordSurfer_1.10.0.19\Service\wsasvc.exe','');
 QuarantineFile('C:\Program Files (x86)\WordSurfer_1.10.0.19\Update\WordSurferAutoUpdateClient.exe','');
 QuarantineFile('C:\Program Files (x86)\XTab\ProtectService.exe','');
 QuarantineFile('C:\Program Files\SpaceSoundPro\SpaceSoundPro.exe','');
 QuarantineFileF('C:\ProgramData\WindowsMangerProtect', '*.exe,*.dll,*.sys', false,'', 0, 0);
 QuarantineFile('C:\Users\мвидео\AppData\Local\18038\Updater.exe','');
 QuarantineFile('C:\Users\мвидео\AppData\Roaming\Browsers\exe.emorhc.bat','');
 QuarantineFile('C:\Users\мвидео\AppData\Roaming\Browsers\exe.erolpxei.bat','');
 QuarantineFile('c:\users\мвидео\appdata\roaming\ca671259-1433368822-f545-9ee2-ac9e17403f63\hnsye635.tmp','');
 QuarantineFile('C:\Users\мвидео\AppData\Roaming\NCEiCbe93oWNzoGFOL.exe','');
 QuarantineFile('C:\Users\мвидео\AppData\Roaming\Ps0HZlubh62fzlIaQtosgn60CR.exe','');
 QuarantineFile('C:\Users\мвидео\AppData\Roaming\vXaIuLbBeJRPdHsDjs.exe','');
 QuarantineFile('C:\Windows\System32\BthHFSrv.dll','');
 QuarantineFile('C:\Windows\system32\DRIVERS\bd0003.sys','');
 QuarantineFile('C:\Windows\system32\DRIVERS\BDArKit.sys','');
 QuarantineFile('C:\Windows\system32\drivers\wsafd_1_10_0_19.sys','');
 QuarantineFile('C:\Windows\system32\drivers\{42f8f729-2fa8-44bb-b01a-28c57a8162c7}w64.sys','');
 QuarantineFile('C:\Windows\system32\drivers\{eb01aed1-bba3-4e72-8323-a77bb027b1d4}Gw64.sys','');
 DeleteFile('C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe','32');
 DeleteFile('C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdSvc.exe','32');
 DeleteFile('C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BaiduSdTray.exe','32');
 DeleteFile('C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\BDShellExt64.dll','32');
 DeleteFile('C:\Program Files (x86)\CA671259-1433368822-F545-9EE2-AC9E17403F63\knsg54CB.tmp','32');
 DeleteFile('C:\Program Files (x86)\CA671259-1437247312-F545-9EE2-AC9E17403F63\knsd5A78.tmp','32');
 DeleteFile('C:\Program Files (x86)\Shop and Save Up\3e333a94-27e8-410b-8033-4d2ada6e2e3e-1-6.exe','32');
 DeleteFile('C:\Program Files (x86)\Shop and Save Up\3e333a94-27e8-410b-8033-4d2ada6e2e3e-1-7.exe','32');
 DeleteFile('C:\Program Files (x86)\Shop and Save Up\3e333a94-27e8-410b-8033-4d2ada6e2e3e-11.exe','32');
 DeleteFile('C:\Program Files (x86)\Shop and Save Up\3e333a94-27e8-410b-8033-4d2ada6e2e3e-5.exe','32');
 DeleteFile('C:\Program Files (x86)\Shop and Save Up\3e333a94-27e8-410b-8033-4d2ada6e2e3e-6.exe','32');
 DeleteFile('C:\Program Files (x86)\Shop and Save Up\3e333a94-27e8-410b-8033-4d2ada6e2e3e-7.exe','32');
 DeleteFile('c:\program files (x86)\wordsurfer_1.10.0.19\service\wsasvc.exe','32');
 DeleteFile('C:\Program Files (x86)\WordSurfer_1.10.0.19\Update\WordSurferAutoUpdateClient.exe','32');
 DeleteFile('C:\Program Files (x86)\XTab\ProtectService.exe','32');
 DeleteFile('C:\Users\мвидео\AppData\Local\18038\Updater.exe','32');
 DeleteFile('C:\Users\мвидео\AppData\Roaming\Browsers\exe.emorhc.bat','32');
 DeleteFile('C:\Users\мвидео\AppData\Roaming\Browsers\exe.erolpxei.bat','32');
 DeleteFile('c:\users\мвидео\appdata\roaming\ca671259-1433368822-f545-9ee2-ac9e17403f63\hnsye635.tmp','32');
 DeleteFile('C:\Users\мвидео\AppData\Roaming\NCEiCbe93oWNzoGFOL.exe','32');
 DeleteFile('C:\Users\мвидео\AppData\Roaming\Ps0HZlubh62fzlIaQtosgn60CR.exe','32');
 DeleteFile('C:\Users\мвидео\AppData\Roaming\vXaIuLbBeJRPdHsDjs.exe','32');
 DeleteFileMask('c:\users\мвидео\appdata\roaming\ca671259-1433368822-f545-9ee2-ac9e17403f63', '*', true, ' ');
 DeleteDirectory('c:\users\мвидео\appdata\roaming\ca671259-1433368822-f545-9ee2-ac9e17403f63');
 DeleteFileMask('C:\Users\мвидео\AppData\Roaming\Browsers', '*', true, ' ');
 DeleteDirectory('C:\Users\мвидео\AppData\Roaming\Browsers');
 DeleteFileMask('C:\Users\мвидео\AppData\Local\18038', '*', true, ' ');
 DeleteDirectory('C:\Users\мвидео\AppData\Local\18038');
 DeleteFileMask('C:\ProgramData\WindowsMangerProtect', '*', true, ' ');
 DeleteDirectory('C:\ProgramData\WindowsMangerProtect');
 DeleteFileMask('C:\Program Files (x86)\XTab', '*', true, ' ');
 DeleteDirectory('C:\Program Files (x86)\XTab');
 DeleteFileMask('C:\Program Files (x86)\WordSurfer_1.10.0.19', '*', true, ' ');
 DeleteDirectory('C:\Program Files (x86)\WordSurfer_1.10.0.19');
 DeleteFileMask('C:\Program Files (x86)\Shop and Save Up', '*', true, ' ');
 DeleteDirectory('C:\Program Files (x86)\Shop and Save Up');
 DeleteFileMask('C:\Program Files (x86)\Baidu', '*', true, ' ');
 DeleteDirectory('C:\Program Files (x86)\Baidu');
 DeleteFileMask('C:\Program Files (x86)\AnyProtectEx', '*', true, ' ');
 DeleteDirectory('C:\Program Files (x86)\AnyProtectEx');
 DeleteFile('C:\Windows\system32\DRIVERS\bd0003.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\BDArKit.sys','32');
 DeleteFile('C:\Windows\system32\drivers\wsafd_1_10_0_19.sys','32');
 DeleteFile('C:\Windows\system32\drivers\{42f8f729-2fa8-44bb-b01a-28c57a8162c7}w64.sys','32');
 DeleteFile('C:\Windows\system32\drivers\{eb01aed1-bba3-4e72-8323-a77bb027b1d4}Gw64.sys','32');
 DeleteFile('C:\Windows\system32\Tasks\3e333a94-27e8-410b-8033-4d2ada6e2e3e-1-6','64');
 DeleteFile('C:\Windows\system32\Tasks\3e333a94-27e8-410b-8033-4d2ada6e2e3e-1-7','64');
 DeleteFile('C:\Windows\system32\Tasks\3e333a94-27e8-410b-8033-4d2ada6e2e3e-11','64');
 DeleteFile('C:\Windows\system32\Tasks\3e333a94-27e8-410b-8033-4d2ada6e2e3e-5','64');
 DeleteFile('C:\Windows\system32\Tasks\3e333a94-27e8-410b-8033-4d2ada6e2e3e-6','64');
 DeleteFile('C:\Windows\system32\Tasks\3e333a94-27e8-410b-8033-4d2ada6e2e3e-7','64');
 DeleteFile('C:\Windows\system32\Tasks\AmiUpdXp','64');
 DeleteFile('C:\Windows\system32\Tasks\WordSurfer Auto Updater 1.10.0.19 Core','64');
 DeleteFile('C:\Windows\system32\Tasks\WordSurfer Auto Updater 1.10.0.19 Pending Update','64');
 DeleteFile('C:\Windows\Tasks\3e333a94-27e8-410b-8033-4d2ada6e2e3e-1-6.job','64');
 DeleteFile('C:\Windows\Tasks\3e333a94-27e8-410b-8033-4d2ada6e2e3e-1-7.job','64');
 DeleteFile('C:\Windows\Tasks\3e333a94-27e8-410b-8033-4d2ada6e2e3e-11.job','64');
 DeleteFile('C:\Windows\Tasks\3e333a94-27e8-410b-8033-4d2ada6e2e3e-5.job','64');
 DeleteFile('C:\Windows\Tasks\3e333a94-27e8-410b-8033-4d2ada6e2e3e-5_user.job','64');
 DeleteFile('C:\Windows\Tasks\3e333a94-27e8-410b-8033-4d2ada6e2e3e-6.job','64');
 DeleteFile('C:\Windows\Tasks\3e333a94-27e8-410b-8033-4d2ada6e2e3e-7.job','64');
 DeleteFile('C:\Windows\Tasks\AmiUpdXp.job','64');
 DeleteFile('C:\Windows\Tasks\APSnotifierPP1.job','64');
 DeleteFile('C:\Windows\Tasks\APSnotifierPP2.job','64');
 DeleteFile('C:\Windows\Tasks\APSnotifierPP3.job','64');
 DeleteFile('C:\Windows\Tasks\NCEiCbe93oWNzoGFOL.job','64');
 DeleteFile('C:\Windows\Tasks\Ps0HZlubh62fzlIaQtosgn60CR.job','64');
 DeleteFile('C:\Windows\Tasks\vXaIuLbBeJRPdHsDjs.job','64');
 DeleteService('bd0003');
 DeleteService('BDArKit');
 DeleteService('BDKVRTP');
 DeleteService('fotikole');
 DeleteService('gefokowe');
 DeleteService('IHProtect Service');
 DeleteService('timuneqi');
 DeleteService('wsafd_1_10_0_19');
 DeleteService('wsasvc_1.10.0.19');
 DeleteService('{42f8f729-2fa8-44bb-b01a-28c57a8162c7}w64');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','xdjqjmuclo');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','baidusdTray');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved','{00890530-6A9F-4be2-B1BB-73F01E2BB986}');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(3);
 ExecuteRepair(4);
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:
Код:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

HiJackThis профиксить

R3 - URLSearchHook: (no name) - {0633EE93-D776-472f-A0FF-E1416B8B2E3D} - (no file)
O4 - HKLM\..\RunOnce: [{036585F4-1A27-4D28-AD4F-8941AE9344B1}] cmd.exe /C start /D "C:\Users\4CE7~1\AppData\Local\Temp" /B {036585F4-1A27-4D28-AD4F-8941AE9344B1}.cmd

- Подготовьте лог AdwCleaner и приложите его в теме.

- Сделайте лог Check Browsers' LNK и приложите его в теме.

[Алекс Ввс]

Пофиксил хайДжеком. нашел только одну из тех строк. приложил логи

[SQ]

[*]Скачайте ClearLNK и сохраните архив с утилитой на рабочем столе.[*]Распакуйте архив с утилитой в отдельную папку.[*]Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке


[*]Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.[*]Прикрепите этот отчет к своему следующему сообщению.[/list]

- Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
  
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Алекс Ввс]

Добрый вечер,спасибо за ваше внимание, простите за задержку. Сделал все как просили

[SQ]

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  CloseProcesses:
  HKLM-x32\...\Run: [gmsd_en_027010034] => [X]
  HKU\S-1-5-21-1050706988-3238424816-3990343676-1001\...\Run: [**1=>28 !>DB<*>] => "C:\Program Files (x86)\Obnovi Soft\ObnoviSoft.exe" -startup <===== ATTENTION (Value Name with invalid characters)
  GroupPolicy: Group Policy on Chrome detected <======= ATTENTION
  CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
  Toolbar: HKLM - Astroburn Toolbar - {EFEED92A-A33D-4873-BA8F-32BAA631E54D} - C:\Program Files (x86)\Astroburn Toolbar\ABToolbar64.dll No File
  FF Plugin-x32: @baidu.com/BaidusdDetectNPPlugin -> C:\Program Files (x86)\Baidu\BaiduSd\3.0.0.4605\explugin\npBaiduSDDetectPlug.dll No File
  CHR HKLM-x32\...\Chrome\Extension: [ilamgbdaebkbpkkmfmmfbnaamkhijdek] - https://clients2.google.com/service/update2/crx
  CHR HKLM-x32\...\Chrome\Extension: [ofdgafmdegfkhfdfkmllfefmcmcjllec] - https://clients2.google.com/service/update2/crx
  CHR HKLM-x32\...\Chrome\Extension: [pgaidlfgjkmeendhknafahppllbniejm] - https://clients2.google.com/service/update2/crx
  CHR HKLM-x32\...\Chrome\Extension: [pnooffjhclkocplopffdbcdghmiffhji] - https://clients2.google.com/service/update2/crx
  StartMenuInternet: (HKLM) OperaStable - C:\Program Files (x86)\Opera\Launcher.exe http://www.mystartsearch.com/?type=sc&ts=1437249215&z=e51ec57c7341a5856a1b0b5gaz2c0mcoez8t5e4t6e&from=cmi&uid=ST1000LM024XHN-M101MBB_S32XJ9AF910208
  S2 Update Edu App; "C:\Program Files (x86)\Edu App\updateEduApp.exe" [X]
  2015-07-19 13:30 - 2015-07-19 13:30 - 00613255 _____ (CMI Limited) C:\Users\мвидео\AppData\Local\nsr8D86.tmp
  2015-07-19 11:55 - 2015-07-19 11:55 - 00613255 _____ (CMI Limited) C:\Users\мвидео\AppData\Local\nsq1042.tmp
  2015-07-19 11:54 - 2015-07-19 11:54 - 00613255 _____ (CMI Limited) C:\Users\мвидео\AppData\Local\nst662D.tmp
  2015-07-19 00:31 - 2015-07-19 00:31 - 00628688 _____ (CMI Limited) C:\Users\мвидео\AppData\Local\nsd66FA.tmp
  2015-07-18 23:54 - 2015-07-18 23:53 - 00613255 _____ (CMI Limited) C:\Users\мвидео\AppData\Local\nsr6B20.tmp
  2015-07-18 23:21 - 2015-07-20 18:23 - 00000000 ____D C:\Program Files (x86)\CA671259-1437247312-F545-9EE2-AC9E17403F63
  2015-07-18 22:13 - 2015-07-20 18:23 - 00000000 ____D C:\Program Files (x86)\CA671259-1433368822-F545-9EE2-AC9E17403F63
  2015-07-19 15:15 - 2015-06-04 02:00 - 00000000 ____D C:\Users\мвидео\AppData\Roaming\CA671259-1433368822-F545-9EE2-AC9E17403F63
  2015-07-19 13:52 - 2015-06-04 02:51 - 00000000 ____D C:\Program Files (x86)\1d13c3be-4b3b-4289-b952-cf8a8fb82ed3
  2015-07-18 23:15 - 2015-06-04 02:10 - 00000000 ____D C:\ProgramData\Baidu
  2015-04-19 16:20 - 2015-04-19 16:20 - 0005872 _____ () C:\Users\мвидео\AppData\Roaming\Ps0HZlubh62fzlIaQtosgn60CR
  2015-04-19 16:20 - 2015-04-19 16:20 - 0005872 _____ () C:\Users\мвидео\AppData\Roaming\vXaIuLbBeJRPdHsDjs
  2015-07-19 00:31 - 2015-07-19 00:31 - 0628688 _____ (CMI Limited) C:\Users\мвидео\AppData\Local\nsd66FA.tmp
  2015-07-19 11:55 - 2015-07-19 11:55 - 0613255 _____ (CMI Limited) C:\Users\мвидео\AppData\Local\nsq1042.tmp
  2015-07-18 23:54 - 2015-07-18 23:53 - 0613255 _____ (CMI Limited) C:\Users\мвидео\AppData\Local\nsr6B20.tmp
  2015-07-19 13:30 - 2015-07-19 13:30 - 0613255 _____ (CMI Limited) C:\Users\мвидео\AppData\Local\nsr8D86.tmp
  2015-07-19 11:54 - 2015-07-19 11:54 - 0613255 _____ (CMI Limited) C:\Users\мвидео\AppData\Local\nst662D.tmp
  2014-10-17 03:30 - 2014-10-17 03:30 - 0000000 ____H () C:\ProgramData\DP45977C.lfl
  Task: {CDD0C039-2AB8-4D91-8EC7-33632E476AA4} - \{D864E631-0F1D-430D-9138-F0A0D03CC0BA} No Task File <==== ATTENTION
  Task: {F4C8B957-38AF-4386-8572-728111ACF482} - \{91F00659-D8A3-4BCC-A478-23D94250AF05} No Task File <==== ATTENTION
  [-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\StartupApproved\Run32\baidusdTray]
  FirewallRules: [{F5D07133-B174-4907-8C65-0FF84A3249F2}] => (Allow) C:\program files (x86)\common files\baidu\bddownload\109\bddownloader.exe
  EmptyTemp:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите.
• Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

[Алекс Ввс]

Сделано

[SQ]

Что с проблемой?

[Алекс Ввс]

Вроде все стабилизировалось. Монжо будет обратиться с еще одной машиной? Там примерно такая же проблема. Спасибо Вам огромное за ваш труд!

[SQ]

Монжо будет обратиться с еще одной машиной?

Да, только не в данном топике, а создайте новый.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения вредоносные программы в карантинах не обнаружены