Установилась целая пачка мусорного софта. Появились баннеры в браузерах. Не создаются ярлыки браузеров. [not-a-virus:AdWare.Win32.ICLoader.iut ]

[dreamer0x01]

Здравствуйте.
Искал в интеренете достаточно редкий драйвер, вроде как нашел...запустил скаченный exe-файл, и тут все и случилось.
Вместо желаемой установки драйвера - В процессе инсталяции стало что-то невообразимое твориться с ярлыками и панелью быстрого запуска - стали добавляться и сортироваться ярлыки, добавилось куча ярлыков на какие-то игровые сайты, самопроизвольно установилось несколько программ (какая-то "защита компьютера", какой-то "супер анинсталятор", ну и просто ярлыки на какие-то паршивые сайты. ) Причем, инсталяция "драйвера" так и не закончилась, она продолжала идти с компом продолжалось твориться невообразимое.
Я понял, что дело плохо, как смог быстро открыл диспетчер задач и прибил все процессы, показавшимися мне незнакомыми.
Потом полез на сайт drweb и скачал оттуда cureit. Пока скачивал, обнаружил, что в браузерах во-первых показывается всплывающая реклама, в-вторых, везде страницей по умолчанию встал какой-то сайта "pagego" или как-то там похоже назывался.
Запустил cureit, он нашел штук 20 зараженных файлов, я удалил их нафиг. Потом браузерах удалил запуск этих самых страниц. В хроме и мозилле - навсякий случай отключил/удалил все расширения, установленные к ним. (там тоже оказалось много новопоявившейся жути ). Потом запустил msconfig, из автозагрузки поубирал запуск спонтанно установившегося софта, который и туда тоже прописался.
Удалил установленные вместе с "драйвером" программы и их файлы.
Скрипя сердцем отправил комп в перезагрузку...
Перезагрузился.

Вроде комп работает, но видно, что не вся зараза убралась - есть проблемы с запуском браузеров.
Почему-то они не запускаются с ярлыков, где бы я их не создавал - например, при запуске с ярлыка Хрома выдается вот такое сообщение:

Объект "exe.emorch.bat", на который ссылается этот ярлык, изменен или перемещен, и ярлык больше не работает.

При создании ярлыка для мозиллы выдается аналогичное сообщение, но название указывается "exe.xoferif.bat".

Если же браузер запустить не через ярлык, а напрямую запуском исполняемого файла, то тогда запускается нормально.

Посмотрите, пожалуйста. Логи сделал и приложил, как написано в инструкции. Спасибо!

[Info_bot]

Уважаемый(ая) dreamer0x01, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[dreamer0x01]

Поэкспериментировал сегодня еще. Ярлыки не создаются только для браузеров, которые были открыты в момент заражения - то есть Хром и Мозила.
IE и Opera открываются нормально..
Надеюсь, это уточнение чем-то поможет.

Заранее спасибо!

[dreamer0x01]

Скажите, есть ли какая-нибудь надежда на выздоровление?
Или ситуация совсем фиговая....?

[mrak74]

Здравствуйте !!!

отключите антивирусную программу

Выполните скрипт в AVZ:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
  QuarantineFile('C:\Users\Dreamer\AppData\Local\WireframeSketcher\plugins\org.eclipse.gef_3.9.100.201408150207.jar','');
  QuarantineFile('C:\Program Files\CMS3.0\bin\SDK\JOVSDK\JOVSDK.dll','');
  QuarantineFile('C:\Program Files\Gretchko\PTP\uninstall.exe','');
  QuarantineFile('C:\Users\Dreamer\AppData\Local\Hostinstaller\4071173247_installcube.exe','');
 QuarantineFile('C:\Users\Dreamer\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Lаunch Intеrnеt Eхplorеr Вrowsеr.lnk','');
  QuarantineFile('C:\Users\Dreamer\AppData\Roaming\Browsers\exe.erolpxei.bat','');
 DeleteFile('C:\Users\Dreamer\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Lаunch Intеrnеt Eхplorеr Вrowsеr.lnk');
  DeleteFile('C:\Users\Dreamer\AppData\Roaming\Browsers\exe.erolpxei.bat','32');
  DeleteFile('C:\Users\Dreamer\AppData\Roaming\DIGITA~1\UPDATE~1\UPDATE~1.EXE','32');
  DeleteFile('C:\Windows\system32\Tasks\Digital Sites','32');
  DeleteFile('C:\Windows\Tasks\Digital Sites.job','32');
  DelBHO('{8984B388-A5BB-4DF7-B274-77B879E179DB}');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(3);
 ExecuteRepair(13);
RebootWindows(true);
end.

После перезагрузки выполните скрипт:

begin 
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы Прислать запрошенный карантин
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )

+

1. Скачайте CheckBrowserLnk и сохраните архив с утилитой на Рабочем столе
2. Распакуйте архив с утилитой в отдельную папку
3. Запустите checkbrowserslnk.exe
   Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да
4. После окончания работы программы в папке Log будет сохранен отчет CheckBrowserLnk.log
5. Прикрепите этот отчет в вашей теме.

[dreamer0x01]

Большое вам спасибо за отклик!

Сделал. Карантин отправил через форму, открывающуюся по красной ссылке вверху темы.
Остальные файлы прикладываю с этим сообщением.

[mrak74]

• Скачайте ClearLNK и сохраните архив с утилитой на рабочем столе.
• Распакуйте архив с утилитой в отдельную папку.
• Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке
  
  
  
• Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
• Прикрепите этот отчет к своему следующему сообщению.

[dreamer0x01]

Сделал. Отчет во вложении.

[mrak74]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[dreamer0x01]

Сделал. Ярлыки браузеров, кстати, уже создаются нормально.

[mrak74]

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  
  

  CreateRestorePoint:
  CloseProcesses:
  HKLM\...\Run: [] => [X]
  HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\Run: [AdobeBridge] => [X]
  HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\MountPoints2: {09da8e6a-17df-11e2-91b0-0c6076e45b44} - F:\AutoRun.exe
  HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\MountPoints2: {09da8e7d-17df-11e2-91b0-0c6076e45b44} - F:\AutoRun.exe
  HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\MountPoints2: {0b34e264-e607-11e1-aed9-0c6076e45b44} - F:\AutoRun.exe
  HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\MountPoints2: {0b34e27b-e607-11e1-aed9-0c6076e45b44} - F:\AutoRun.exe
  HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\MountPoints2: {0ded4e68-7ffb-11e1-9a8f-0c6076e45b44} - F:\AutoRun.exe
  HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\MountPoints2: {0ded4e6d-7ffb-11e1-9a8f-0c6076e45b44} - H:\AutoRun.exe
  HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\MountPoints2: {446aa16d-3310-11e5-b13f-0c6076e45b44} - F:\AutoRun.exe
  HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\MountPoints2: {54030b40-386a-11e1-8fb4-806e6f6e6963} - G:\AUTORUN.EXE
  HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\MountPoints2: {60664621-283c-11e2-9bdc-001e101f82a0} - F:\AutoRun.exe
  HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\MountPoints2: {7e3f588c-e609-11e1-9727-0c6076e45b44} - F:\AutoRun.exe
  HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\MountPoints2: {8aa91b54-9ff4-11e1-9f9f-0c6076e45b44} - F:\AutoRun.exe
  HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\MountPoints2: {8aa91b57-9ff4-11e1-9f9f-0c6076e45b44} - F:\AutoRun.exe
  HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\MountPoints2: {ad3a23cb-7fb2-11e1-b45e-0c6076e45b44} - F:\AutoInstall.exe
  HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\MountPoints2: {cb863a6a-8017-11e1-82d7-0c6076e45b44} - F:\AutoRun.exe
  HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\MountPoints2: {cb863a6d-8017-11e1-82d7-0c6076e45b44} - F:\AutoRun.exe
  HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\MountPoints2: {ed813526-1864-11e2-875b-001e101f21c1} - F:\AutoRun.exe
  HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...\MountPoints2: {f4ad50f0-38ae-11e2-9abb-00245416bb17} - F:\AutoRun.exe
  HKU\S-1-5-21-2877184984-2730117990-1089718700-1000\...0c966feabec1\InprocServer32: [Default-shell32] ATTENTION! ====> ZeroAccess?
  ShellIconOverlayIdentifiers: [GDriveSharedOverlay] -> {81539FE6-33C7-4CE7-90C7-1C7B8F2F2D44} =>  No File
  SearchScopes: HKU\S-1-5-21-2877184984-2730117990-1089718700-1000 -> {E88E0043-C9D4-4e33-8555-FEE4F5B63060} URL = hxxp://go.mail.ru/search?q={searchTerms}&utf8in=1&fr=ietb
  SearchScopes: HKU\S-1-5-21-2877184984-2730117990-1089718700-1000 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/search?utf8in=1&fr=ietb&q={SearchTerms}
  BHO: ExplorerWnd Helper -> {10921475-03CE-4E04-90CE-E2E7EF20C814} -> C:\Program Files\IObit\IObit Uninstaller\UninstallExplorer32.dll => No File
  BHO: AVG Safe Search -> {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} -> C:\Program Files\AVG\AVG2012\avgssie.dll => No File
  Toolbar: HKU\S-1-5-21-2877184984-2730117990-1089718700-1000 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
  FF DefaultSearchUrl: hxxp://go.mail.ru/search?fr=fftb&utf8in&q=
  CHR Plugin: (Native Client) - C:\Users\Dreamer\AppData\Local\Google\Chrome\Application\46.0.2490.71\ppGoogleNaClPluginChrome.dll => No File
  CHR Plugin: (Chrome PDF Viewer) - C:\Users\Dreamer\AppData\Local\Google\Chrome\Application\46.0.2490.71\pdf.dll => No File
  CHR Plugin: (Shockwave Flash) - C:\Users\Dreamer\AppData\Local\Google\Chrome\Application\46.0.2490.71\gcswf32.dll => No File
  CHR Plugin: (Shockwave Flash) - C:\Windows\system32\Macromed\Flash\NPSWF32.dll => No File
  CHR Plugin: (MetaProducts NPAPI plugin) - C:\Users\Dreamer\AppData\Local\Google\Chrome\User Data\Default\Extensions\pkijdmeepjhpenmighhaodgfoogncnlk\1.1.1_0\plugin/mpoe.dll => No File
  CHR Plugin: (AVG Internet Security) - C:\Users\Dreamer\AppData\Local\Google\Chrome\User Data\Default\Extensions\jmfkcklnlgedgbglfkkgedjfmejoahla\12.0.0.1901_0\plugins/avgnpss.dll => No File
  CHR Plugin: (Adobe Acrobat) - C:\Program Files\Adobe\Reader 10.0\Reader\Browser\nppdf32.dll => No File
  CHR Plugin: (Google Update) - C:\Users\Dreamer\AppData\Local\Google\Update\1.3.21.111\npGoogleUpdate3.dll => No File
  Task: {CE5C1025-005A-4522-B521-A3D183D37BF9} - System32\Tasks\Express Files Updater => C:\Program Files\ExpressFiles\EFupdater.exe <==== ATTENTION
  EmptyTemp:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[dreamer0x01]

Сделал.

[mrak74]

Проблемы решены ?

[dreamer0x01]

Кстати. Я нашел у себя тот самый файлик "инсталятора драйвера", при запуске которого произошло заражение - лежит в корзине.
Если нужен, могу запаковать под паролем и прислать для изучения.

[mrak74]

Если нужен, могу запаковать под паролем и прислать для изучения.

В zip архив с паролем virus пришлите по красной ссылке вверху темы Прислать запрошенный карантин. Спасибо !!!

А с проблемой то что ?

[dreamer0x01]

Проблемы решены ?

Да! Стало лучше еще после вашего сообщения 10:56, но опасался, что где-то еще осталось, поэтому дожидался окончания "процедур".

Большущее вам спасибо! Очень выручили. Уже было отчаялся и собрался винт переформатить и весь софт переставить... А тут Вы пришли и помогли. Успехов вам в вашем непростом деле и отличного настроения!

- - - - -Добавлено - - - - -

В zip архив с паролем virus пришлите по красной ссылке вверху темы Прислать запрошенный карантин.

Отправил. Надеюсь, поможет в лечении других случаев и в обновлении баз.

Еще раз большое спасибо вам.

[mrak74]

Советы и рекомендации после лечения компьютера

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 19
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\users\dreamer\appdata\roaming\browsers\exe.erol pxei.bat - Trojan.BAT.StartPage.nu ( DrWEB: BAT.Hosts.147 )
  2. \driversetup_2015.exe - not-a-virus:AdWare.Win32.ICLoader.iut ( AVAST4: Win32:Adware-gen [Adw] )