Вирусы. Всплывающие окна и установка новых программ [not-a-virus:AdWare.Win32.PriceGong.a, not-a-virus:AdWare.Win32.Vitruvian.q ]

[danila-lex]

Добрый день. Прошу помочь, борюсь с новыми - одними и теми же заново-устанавливающимися программами и новыми всплывающими окнами в браузере Opera. Прикрепляю фото с этими назойливыми программами в панеле управления. Так же система при перезагрузке не загружает Explorer - появляется черный экран и окно браузера с рекламой. Спасибо.

[Info_bot]

Уважаемый(ая) danila-lex, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mrak74]

Здравствуйте !!!

отключите антивирусную программу

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
  TerminateProcessByName('c:\program files\wordsurfer_1.10.0.19\service\wsasvc.exe');
  TerminateProcessByName('c:\programdata\rwdsmanpror\wdsmanpro.exe');
  TerminateProcessByName('c:\program files\sfk\ssfk.exe');
  TerminateProcessByName('c:\users\user\appdata\local\smartweb\smartwebhelper.exe');
  TerminateProcessByName('c:\users\user\appdata\local\smartweb\smartwebapp.exe');
  TerminateProcessByName('c:\program files\phraseprofessor_1.10.0.24\service\ppsvc.exe');
  TerminateProcessByName('c:\program files\03d40274-1441192825-0542-ac06-740700080009\knsf7abe.tmp');
  TerminateProcessByName('c:\program files\03d40274-1441192825-0542-ac06-740700080009\hnsi278f.tmp');
  StopService('wsafd_1_10_0_19');
  StopService('ppfd_vt_1_10_0_24');
  StopService('wsasvc_1.10.0.19');
  StopService('WdsManPro');
  StopService('totyseku');
  StopService('SSFK');
  StopService('ppsvc_1.10.0.24');
  QuarantineFile('C:\Users\user\appdata\local\smartweb\__u.exe','');
  QuarantineFile('c:\task.vbs','');
  QuarantineFile('C:\Users\user\AppData\Local\Temp\Updater.exe','');
  QuarantineFile('C:\Users\user\AppData\Local\Junimong\Bin\Junimong.dll','');
  QuarantineFile('C:\Program Files\Crossbrowse\Crossbrowse\Application\crossbrowse.exe','');
  QuarantineFile('C:\Users\user\AppData\Roaming\ASPackage\ASPackage.exe','');
  QuarantineFile('C:\Users\user\AppData\Local\gmsd_ru_005010087\upgmsd_ru_005010087.exe','');
  QuarantineFile('C:\Program Files\gmsd_ru_005010087\gmsd_ru_005010087.exe','');
  QuarantineFile('C:\Users\user\AppData\Roaming\cpuminer\sgminer\start.cmd','');
  QuarantineFile('C:\Windows\system32\drivers\wsafd_1_10_0_19.sys','');
  QuarantineFile('C:\Windows\system32\drivers\ppfd_vt_1_10_0_24.sys','');
  QuarantineFile('C:\Users\user\AppData\Local\SmartWeb\swhk.dll','');
  QuarantineFile('c:\program files\wordsurfer_1.10.0.19\service\wsasvc.exe','');
  QuarantineFile('c:\programdata\rwdsmanpror\wdsmanpro.exe','');
  QuarantineFile('c:\program files\sfk\ssfk.exe','');
  QuarantineFile('c:\users\user\appdata\local\smartweb\smartwebhelper.exe','');
  QuarantineFile('c:\users\user\appdata\local\smartweb\smartwebapp.exe','');
  QuarantineFile('c:\program files\phraseprofessor_1.10.0.24\service\ppsvc.exe','');
  QuarantineFile('c:\program files\03d40274-1441192825-0542-ac06-740700080009\knsf7abe.tmp','');
  QuarantineFile('c:\program files\03d40274-1441192825-0542-ac06-740700080009\hnsi278f.tmp','');
  DeleteFile('C:\Users\user\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Одноклассники.lnk');
  DeleteFile('C:\Users\user\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Вконтакте.lnk');
  DeleteFile('C:\Users\user\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Crossbrowse.lnk');
  DeleteFile('c:\program files\03d40274-1441192825-0542-ac06-740700080009\knsf7abe.tmp','32');
  DeleteFile('C:\Program Files\PhraseProfessor_1.10.0.24\Service\ppsvc.exe','32');
  DeleteFile('C:\Program Files\SFK\SSFK.exe','32');
  DeleteFile('C:\Program Files\03D40274-1441192825-0542-AC06-740700080009\hnsi278F.tmp','32');
  DeleteFile('C:\ProgramData\rWdsManPror\WdsManPro.exe','32');
  DeleteFile('C:\Program Files\WordSurfer_1.10.0.19\Service\wsasvc.exe','32');
  DeleteFile('C:\Program Files\globalUpdate\Update\globalupdate.exe','32');
  DeleteFile('C:\Windows\system32\drivers\ppfd_vt_1_10_0_24.sys','32');
  DeleteFile('C:\Users\user\AppData\Roaming\cpuminer\sgminer\start.cmd','32');
  DeleteFile('C:\Program Files\gmsd_ru_005010087\gmsd_ru_005010087.exe','32');
  DeleteFile('C:\Users\user\AppData\Local\gmsd_ru_005010087\upgmsd_ru_005010087.exe','32');
  DeleteFile('C:\Users\user\AppData\Roaming\ASPackage\ASPackage.exe','32');
  DeleteFile('C:\Program Files\Crossbrowse\Crossbrowse\Application\crossbrowse.exe','32');
  DeleteFile('C:\Users\user\AppData\Local\Amigo\Application\vk.exe','32');
  DeleteFile('C:\Users\user\AppData\Local\Amigo\Application\ok.exe','32');
  DeleteFile('C:\Program Files\AnyProtectEx\AnyProtect.exe','32');
  DeleteFile('C:\Windows\Tasks\APSnotifierPP1.job','32');
  DeleteFile('C:\Windows\Tasks\APSnotifierPP2.job','32');
  DeleteFile('C:\Windows\Tasks\APSnotifierPP3.job','32');
  DeleteFile('C:\Program Files\Crossbrowse\Crossbrowse\Application\utility.exe','32');
  DeleteFile('C:\Windows\Tasks\Crossbrowse.job','32');
  DeleteFile('C:\Windows\Tasks\globalUpdateUpdateTaskMachineCore.job','32');
  DeleteFile('C:\Windows\Tasks\globalUpdateUpdateTaskMachineUA.job','32');
  DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP1','32');
  DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP2','32');
  DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP3','32');
  DeleteFile('C:\Windows\system32\Tasks\Crossbrowse','32');
  DeleteFile('C:\Windows\system32\Tasks\globalUpdateUpdateTaskMachineCore','32');
  DeleteFile('C:\Windows\system32\Tasks\globalUpdateUpdateTaskMachineUA','32');
  DeleteFile('C:\Program Files\PhraseProfessor_1.10.0.24\Update\PhraseProfessorAutoUpdateClient.exe','32');
  DeleteFile('C:\Windows\system32\Tasks\PhraseProfessor Auto Updater 1.10.0.24 Core','32');
  DeleteFile('C:\Windows\system32\Tasks\PhraseProfessor Auto Updater 1.10.0.24 Pending Update','32');
  DeleteFile('C:\Users\user\AppData\Local\Temp\Updater.exe','32');
  DeleteFile('C:\Windows\system32\Tasks\runTask','32');
  DeleteFile('C:\Windows\system32\Tasks\SmartWeb Upgrade Trigger Task','32');
  DeleteFile('c:\task.vbs','32');
  DeleteFile('C:\Windows\system32\Tasks\updateTask','32');
  DeleteFile('C:\Program Files\WordSurfer_1.10.0.19\Update\WordSurferAutoUpdateClient.exe','32');
  DeleteFile('C:\Windows\system32\Tasks\WordSurfer Auto Updater 1.10.0.19 Core','32');
  DeleteFile('C:\Windows\system32\Tasks\WordSurfer Auto Updater 1.10.0.19 Pending Update','32');
  DeleteFile('C:\Windows\system32\Drivers\wsafd_1_10_0_19.sys','32');
  DeleteFile('C:\Users\user\appdata\local\smartweb\smartwebapp.exe','32');
  DeleteFile('C:\Users\user\appdata\local\smartweb\smartwebhelper.exe','32');
  DeleteFile('C:\Users\user\appdata\local\smartweb\swhk.dll','32');
  DeleteFile('C:\Users\user\appdata\local\smartweb\__u.exe','32');
  RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','gpuminer');
  RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','SmartWeb');
  RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','gmsd_ru_005010087');
  RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','upgmsd_ru_005010087.exe');
  RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','Update');
  RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','GoogleChromeAutoLaunch_100535F106431A9BDA15E8895BE69FFB');
  DeleteService('wsafd_1_10_0_19');
  DeleteService('ppfd_vt_1_10_0_24');
  DeleteService('globalUpdatem');
  DeleteService('globalUpdate');
  DeleteService('wsasvc_1.10.0.19');
  DeleteService('WdsManPro');
  DeleteService('totyseku');
  DeleteService('SSFK');
  DeleteService('ppsvc_1.10.0.24');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(4);
 ExecuteWizard('SCU',2,2,true);
RebootWindows(true);
end.

После перезагрузки выполните скрипт:

begin 
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы Прислать запрошенный карантин
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )

[danila-lex]

Выполнил скрипты.
Карантин отправил.
Логи прикрепил.

[mrak74]

Пофиксите в HijackThis: (в Windows Vista/7/8 необходимо запускать через правую кнопку мыши Запуск от имени администратора)):

R3 - URLSearchHook: (no name) - {0633EE93-D776-472f-A0FF-E1416B8B2E3D} - (no file)
O4 - HKLM\..\Run: [gmsd_ru_005010088] "C:\Program Files\gmsd_ru_005010088\gmsd_ru_005010088.exe"
O4 - HKLM\..\RunOnce: [upgmsd_ru_005010088.exe] C:\Users\user\AppData\Local\gmsd_ru_005010088\upgmsd_ru_005010088.exe -runonce
O4 - HKCU\..\Run: [amigo] C:\Users\user\AppData\Local\Amigo\Application\amigo.exe --no-startup-window

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
  TerminateProcessByName('c:\program files\gmsd_ru_005010088\gmsd_ru_005010088.exe');
  QuarantineFile('C:\Users\user\AppData\Local\gmsd_ru_005010088\upgmsd_ru_005010088.exe','');
  QuarantineFile('c:\program files\gmsd_ru_005010088\gmsd_ru_005010088.exe','');
  DeleteFile('C:\Program Files\gmsd_ru_005010088\gmsd_ru_005010088.exe','32');
  DeleteFile('C:\Users\user\AppData\Local\gmsd_ru_005010088\upgmsd_ru_005010088.exe','32');
  DelBHO('{0633EE93-D776-472f-A0FF-E1416B8B2E3D}');
  RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','gmsd_ru_005010088');
  RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\RunOnce','upgmsd_ru_005010088.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )

+

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[danila-lex]

Все сделал, отчеты в приложении.

[mrak74]

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

[danila-lex]

Сделал как Вы сказали.
Появились три файла в логах программы, прикрепил их.

[mrak74]

- Откройте файл ScanVuln.txt. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

Что с проблемой ?

[danila-lex]

Уязвимости устранены. Проблема перестала проявляться!!! Спасибо огромное!!!

[mrak74]

Советы и рекомендации после лечения компьютера

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 62
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\program files\gmsd_ru_005010087\gmsd_ru_005010087.exe - not-a-virus:AdWare.Win32.Eorezo.afob
  2. c:\program files\wordsurfer_1.10.0.19\service\wsasvc.exe - not-a-virus:AdWare.Win32.Vitruvian.q
  3. c:\users\user\appdata\local\gmsd_ru_005010087\upgm sd_ru_005010087.exe - not-a-virus:AdWare.Win32.Eorezo.afob
  4. c:\users\user\appdata\local\smartweb\smartwebapp.e xe - not-a-virus:AdWare.Win32.PriceGong.a ( DrWEB: Adware.Shopper.845 )
  5. c:\users\user\appdata\local\smartweb\smartwebhelpe r.exe - not-a-virus:AdWare.Win32.PriceGong.a ( DrWEB: Adware.Shopper.845 )
  6. c:\users\user\appdata\local\smartweb\swhk.dll - not-a-virus:AdWare.Win32.PriceGong.a ( DrWEB: Adware.Shopper.845, AVAST4: Win32:BHO-AOK [Adw] )