Удаление Games Desktop и его последствий

[VasiliyS]

Здравствуйте!
Попался на вирус Games Desktop. После того как он установился, решил перезагрузить систему. Во время перезагрузки высвечивались какие-то изменения. После чего в Пуске появился ярлык Games Desktop, вместе с ним изменились стартовые страницы браузера, а ярлыки браузеров поменяли названия ( вместо Google Chrome стало Google Chrome(2) ) и стали ссылаться не на свои папки, а на папки с вирусом.
Пытался удалить сам. Сначала снял задачи связанные с вирусом в диспетчере задач. Затем удалил установленную программу gamedesktop (точное название не помню). Следом удалил все что смог найти относящееся к вирусу. В конце проверил с помощью Avast+Adwcleaner+Malwarebytes и удалил все что они нашли.
Уверен, что удалил не полностью(( Помогите пожалуйста

Система Windows 7, x64

[Info_bot]

Уважаемый(ая) VasiliyS, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[regist]

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Users\Dell\AppData\Local\Host installer\1055402208_installcube.exe', '');
 QuarantineFile('C:\Users\Dell\AppData\Roaming\Browsers\exe.emorhc.bat', '');
 QuarantineFile('C:\Users\Dell\AppData\Roaming\Browsers\exe.erolpxei.bat', '');
 DeleteFile('C:\Users\Dell\AppData\Local\Host installer\1055402208_installcube.exe', '32');
 DeleteFile('C:\Users\Dell\AppData\Roaming\Browsers\exe.emorhc.bat', '32');
 DeleteFile('C:\Users\Dell\AppData\Roaming\Browsers\exe.erolpxei.bat', '32');
 ExecuteFile('schtasks.exe', '/delete /TN "Soft installer" /F', 0, 15000, true);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.

После выполнения скрипта компьютер перезагрузится.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

- сделайте лог Check Browsers' LNK by Dragokas & regist. Заархивируйте его и прикрепите к сообщению.

[VasiliyS]

1) Выполнил указанную процедуру вот полученная ссылка http://virusinfo.info/virusdetector/...02B8597EAEE5D5
Закрыл все программы.
2) Отключил на ПК антивирус и фаервол и выполнил скрипт АВЗ.
После выполнения скрипта компьютер начал перезагружаться, но прервался и выбил синий экран с ошибкой. Я выключил компьютер принудительно и снова запустил. Windows показал, что за ошибка была и её подробную информацию (если будет важно прикреплю в следующем письме).
3) Появился архив quarantine.zip в папке с AVZ. При попытке загрузить его в ссылке "Прислать запрошенный карантин", выбивается ошибка "Ошибка загрузки. Данный файл уже был загружен", хотя я его не загружал. На всякий случай прикрепил к письму и quarantine.zip, но он на ПК не открывается(
4) Сделал повторные логи.
5) Сделал логи Check Browsers' LNK.

[regist]

1) - выполните такой скрипт в AVZ

begin
 ClearQuarantine;
 QuarantineFile('C:\Users\Dell\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Gоoglе Chrome.lnk','');
 QuarantineFile('C:\Users\Dell\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Lаunch Intеrnet Exрlоrer Вrowsеr.lnk','');
 QuarantineFile('C:\Users\Dell\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Gоoglе Сhrome.lnk','');
 QuarantineFile('C:\Users\Dell\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Intеrnet Eхplоrеr (2).lnk','');
 QuarantineFile('C:\Users\Dell\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Intеrnet Еxрlоrеr.lnk','');
 QuarantineFile('C:\Users\Dell\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnеt Ехplorеr.lnk','');
 QuarantineFile('C:\Users\Dell\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Intеrnet Ехplоrеr (No Add-ons).lnk','');
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Google Chrome\Gооgle Сhrоme.lnk','');
 QuarantineFile('C:\Users\Dell\AppData\Roaming\Browsers\exe.emorhc.bat','');
 QuarantineFile('C:\Users\Dell\AppData\Roaming\Browsers\exe.erolpxei.bat','');
 DeleteFile('C:\Users\Dell\AppData\Roaming\Browsers\exe.emorhc.bat','');
 DeleteFile('C:\Users\Dell\AppData\Roaming\Browsers\exe.erolpxei.bat','');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы.

2) - Перетащите лог Check_Browsers_LNK.log на утилиту ClearLNK. Отчёт о работе прикрепите.

3)

http://yapages.ru/?from=ic1ua

Вам этот сайт знаком?
Если нет, то профиксите[/url] в HijackThis

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://yapages.ru/?from=ic1ua

[VasiliyS]

1) Выполнил скрипт AVZ и успешно отправил quarantine.zip по ссылке "Прислать запрошенный карантин".
2) Сделал новый лог Check_Browsers_LNK.log и перетащил на утилиту ClearLNK (отчет прикрепил)
3) Да, этот сайт установил мне вирус. Пофиксил его в HijackThis.
Вирус и дальше продолжает открывать рекламу((

[regist]

что с проблемой?

[VasiliyS]

К сожалению, проблема осталась( Вирус все так же продолжает открывать очень много рекламы

- - - - -Добавлено - - - - -

Начинает ужасно заваливать рекламой. Иногда выкидывает на страницы с установкой и не разрешает выходить пока не установлю. Приходится закрывать через Диспетчер задач.
Может можно сделать ещё какие нибудь проверки?( Если да, то скажите пожалуйста какие

[regist]

Скачайте Malwarebytes' Anti-Malware. Установите (во время установки откажитесь от использования бесплатного тестового периода), обновите базы (во время обновления откажитесь от загрузки и установки новой версии), выберите "Perform Full Scan" ("Полное сканирование"), нажмите "Scan" ("Сканирование"), после сканирования - Ok - Show Results ("Показать результаты") - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему посту.
Самостоятельно ничего не удаляйте!!!
Если лог не открылся, то найти его можно в следующей папке:

%appdata%\Malwarebytes\Malwarebytes Anti-Malware\Logs

Файл требующегося лога имеет имя mbam-log-[data] (time).txt, например: MBAM-log-2014-10-14 (12-18-10).txt
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM.

- - - - -Добавлено - - - - -

+ скачайте отсюда Оперу и проверьте проблему в ней.

[VasiliyS]

Сделал все как Вы описали. Лог прикрепил к письму.
Скачал оперу. Вроде рекламе не дает высвечиваться но постоянно спрашивает о прерывании не подписанных серверов. И постоянно просит установить какую-то программу, хотя в свойствах я проверил, что используется последняя версия оперы.


Смотрю, что лог у MBAM угроз не обнаружил. Не уверен, что этот вопрос по теме, но все же могу ли я просто вернуть виндовс к заводским настройкам?
Ноутбук совсем новый, и там никаких моих важных данных нету. Поможет ли "Панель управления" -> Восстановление системы -> Расширенные методы восстановления -> "Использовать образ системы для восстановления" ? В моем компьютере кроме диска "C", изначально были созданы ещё два - один на 500 мб (с папкой recovery), а второй на 9,76 гб (с файлом install.wim). Я просто не решился восстанавливать так, ибо не был уверен, что файл install.wim и есть образом системы.

[regist]

- Сделайте аппаратный сброс настроек роутера на заводские, введите правильные настройки, смените пароль на роутере.
- Очистите кеш и куки браузеров

Проверяйте работу в Интернете

[VasiliyS]

У меня кабельный интернет, поэтому роутера нету.
Первые минут 15 все было нормально, но все равно почистил кеш и куки как было написано.
Следом прочистил ещё и с помощью CCleaner.
Через 15 минут все равно начала появляться реклама и всплывающие страницы из которых можно выйти только через диспетчер задач.

[regist]

Есть возможность проверить работу другого компьютера через вашу точку доступа?

+ Выполните скрипт в AVZ:

var
STR : TStringList;
CMDFile: string;
begin
ExecuteFile('ipconfig.exe', '/flushdns', 0, 15000, true);
STR := TStringList.Create;
STR.Add('ipconfig /all > diag.log');
STR.Add('ping vk.com >> diag.log');
STR.Add('tracert vk.com >> diag.log');
STR.Add('nslookup vk.com 8.8.8.8>> diag.log');
STR.SaveToFile(GetAVZDirectory + 'diag.cmd');
CMDFile:= GetAVZDirectory + 'diag.cmd';
ExecuteFile(CMDFile, '', 0, 200000, true);
ExecuteFile('cmd.exe', '/u /c type diag.log > diag1.log', 0, 10000, true);
DeleteFile(GetAVZDirectory + 'diag.log');
DeleteFile(GetAVZDirectory + 'diag.cmd');
end.

После его работы в папке с AVZ появится файл diag1.log, прикрепите его к своему следующему сообщению.

- - - - -Добавлено - - - - -

но постоянно спрашивает о прерывании не подписанных серверов. И постоянно просит установить какую-то программу

скрины, что за сообщения можно увидеть? В частности, что за программу просит поставить.

[VasiliyS]

Извините, не хватило уже сил дойти до конца(
Нажал просто на переустановку windows в функциях восстановления. Конечно не сразу заметил и удалил папку windows.old после переустановки, но вроде все заработало нормально и вирус ушел.

Спасибо Вам большое за Ваш труд и сайт!

[regist]

Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Советы и рекомендации после лечения компьютера

[VasiliyS]

Кстати уже после переустановки заметил, что мне в chrome было добавлено расширение для автоматической установки без моего подтверждения. Может и тут я оплошал, что не заметил раньше его и не удалил. Вдруг эта информация кому-то поможет кто будет читать это)

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 6
• В ходе лечения вредоносные программы в карантинах не обнаружены