помогите пожалуйста разобраться с вирусами [not-a-virus:AdWare.Win32.Agent.jlfm, not-a-virus:HEUR:AdWare.Win32.Generic ]

[Kolya K]

Сегодня проверил компьютер с помощью детектора на наличие вирусов результат MD5 карантина: 4011280104790B503897D8E17C150B64 вирусы есть. Компьютер тормозит, на Ucoz на панели управления сайта, в логах, был показан IP-адрес Москвы (когда я нахожусь в Ярославской области).Помогите пожалуйста разобраться.

[Info_bot]

Уважаемый(ая) Kolya K, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

Выполните скрипт в AVZ:

begin
 TerminateProcessByName('c:\programdata\viaair\viaair.exe');
 TerminateProcessByName('c:\program files (x86)\common files\a95f8535-bd08-4370-a6e0-814924c0d5f0\updater.exe');
 TerminateProcessByName('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugincontainer.exe');
 TerminateProcessByName('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\5\plugin.exe');
 TerminateProcessByName('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\10\plugin.exe');
 TerminateProcessByName('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\2\plugin.exe');
 TerminateProcessByName('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\12\plugin.exe');
 TerminateProcessByName('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\3\plugin.exe');
 TerminateProcessByName('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\7\plugin.exe');
 TerminateProcessByName('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\8\plugin.exe');
 TerminateProcessByName('c:\users\Николай\appdata\roaming\nssm.exe');
 StopService('Update Mgr CateredtoYou');
 StopService('Service Mgr CateredtoYou');
 StopService('ApplicationHosting');
 QuarantineFile('C:\Program Files (x86)\Catered to You\Extensions\b90183ad-1cf4-4d7b-9461-b89083957547.dll', '');
 QuarantineFile('C:\ProgramData\ApplicationHosting\ApplicationHosting.exe', '');
 QuarantineFile('c:\programdata\viaair\viaair.exe', '');
 QuarantineFile('c:\program files (x86)\common files\a95f8535-bd08-4370-a6e0-814924c0d5f0\updater.exe', '');
 QuarantineFile('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugincontainer.exe', '');
 QuarantineFile('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\5\plugin.exe', '');
 QuarantineFile('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\10\plugin.exe', '');
 QuarantineFile('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\2\plugin.exe', '');
 QuarantineFile('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\12\plugin.exe', '');
 QuarantineFile('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\3\plugin.exe', '');
 QuarantineFile('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\7\plugin.exe', '');
 QuarantineFile('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\8\plugin.exe', '');
 QuarantineFile('c:\users\Николай\appdata\roaming\nssm.exe', '');
 DeleteFile('c:\users\Николай\appdata\roaming\nssm.exe', '32');
 DeleteFile('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\8\plugin.exe', '32');
 DeleteFile('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\7\plugin.exe', '32');
 DeleteFile('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\3\plugin.exe', '32');
 DeleteFile('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\12\plugin.exe', '32');
 DeleteFile('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\2\plugin.exe', '32');
 DeleteFile('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\10\plugin.exe', '32');
 DeleteFile('c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\5\plugin.exe', '32');
 DeleteFile('c:\programdata\viaair\viaair.exe', '32');
 DeleteFile('C:\ProgramData\ApplicationHosting\ApplicationHosting.exe', '32');
 DeleteFile('C:\ProgramData\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugincontainer.exe', '32');
 DeleteFile('C:\Program Files (x86)\Common Files\a95f8535-bd08-4370-a6e0-814924c0d5f0\updater.exe', '32');
 DeleteFile('C:\Program Files (x86)\Catered to You\Extensions\b90183ad-1cf4-4d7b-9461-b89083957547.dll', '32');
 DeleteService('ApplicationHosting');
 DeleteFileMask('C:\Program Files (x86)\Catered to You', '*', true);
 DeleteFileMask('C:\ProgramData\a95f8535-bd08-4370-a6e0-814924c0d5f0', '*', true);
 DeleteFileMask('C:\ProgramData\ApplicationHosting', '*', true);
 DeleteFileMask('c:\programdata\viaair\', '*', true);
 DeleteDirectory('C:\Program Files (x86)\Catered to You');
 DeleteDirectory('C:\ProgramData\a95f8535-bd08-4370-a6e0-814924c0d5f0');
 DeleteDirectory('C:\ProgramData\ApplicationHosting');
 DeleteDirectory('c:\programdata\viaair\');
ExecuteSysClean;
 ExecuteRepair(4);
RebootWindows(true);
end.

Компьютер перезагрузится.
Выполните в AVZ скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Скачайте программу Universal Virus Sniffer и сделайте полный образ автозапуска uVS.

[Kolya K]

готово

[Vvvyg]

Рекомендую деинсталлировать One System Care, как и от других оптимизаторов, от него больше вреда, чем пользы.

Выполните скрипт в uVS:

;uVS v3.86.5 [http://dsrt.dyndns.org]
;Target OS: NTv10.0
v385c
offsgnsave
; C:\USERS\НИКОЛАЙ\APPDATA\ROAMING\NSSM.EXE
addsgn 1A083B9A5583E98CF42BC4E50CD811472562F3DA89FA2C870CBE3931154A21B3366B11163E92D8B5D57F7B602C5623DA2389001E57DAB075744C632043122073 8 NSSM.PUP

chklst
delvir

delref %SystemDrive%\PROGRAM FILES (X86)\CATERED TO YOU\EXTENSIONS\B90183AD-1CF4-4D7B-9461-B89083957547.DLL
deldir %SystemDrive%\PROGRAM FILES (X86)\CATERED TO YOU\EXTENSIONS
delref %SystemDrive%\PROGRAMDATA\VIAAIRS\FF.HP
delref %SystemDrive%\PROGRAMDATA\VIAAIRS\FF.NT
deltmp
restart

Компьютер перезагрузится.

В папке с UVS будет лог выполнения скрипта, текстовый файл с именем из даты и времени выполнения, прикрепите его с своему сообщению.

[Kolya K]

Выполнил. В Google Chrome реклама замучила.

[Vvvyg]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочками также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).

[Kolya K]

устанавливал антивирус spy-hunter с помощью него подчистил реестр,но похоже ещё что-то осталось, потому что в Google Chrome до сих пор вылезает catered to you. Искал через поиск файлы связанные с этим вирусом и удалял их. После работы Google Chrome снова парачка высвечивалась. По удалял приложения в Google Chrome но рекламы всё равно остались. Почему-то spy-hunter часто ругался на изменения DNS. В последний раз сканировал им, а он завис, перед сканированием FRST удалил его.

[Vvvyg]

Деинсталлируйте Mail.Ru Агент 6.5, если не нужен.

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

CreateRestorePoint:
GroupPolicy: Restriction - Chrome <======= ATTENTION
GroupPolicyScripts: Restriction <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
BHO-x32: No Name -> {B69F34DD-F0F9-42DC-9EDD-957187DA688D} -> No File
BHO-x32: No Name -> {BA0C978D-D909-49B6-AFE2-8BDE245DC7E6} -> No File
CHR HKLM-x32\...\Chrome\Extension: [bejnpnkhfgfkcpgikiinojlmdcjimobi] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [geidjeefddhgefeplhdlegoldlgiodon] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pjfkgjlnocfakoheoapicnknoglipapd] - hxxp://clients2.google.com/service/update2/crx
OPR Extension: (Catered to You) - C:\Users\Николай\AppData\Roaming\Opera Software\Opera Stable\Extensions\mmeobkibkkgjhdfcanhgckfhfahaabij [2015-10-31]
S2 gamexpsvc; "C:\Program Files (x86)\GameXPService\gamexpsvc.exe" [X]
S2 LiveUpdateSvc; C:\Program Files (x86)\IObit\LiveUpdate\LiveUpdate.exe [X]
2015-11-03 23:13 - 2015-11-03 23:13 - 00000000 ____D C:\Users\Николай\AppData\Roaming\AMCPromote
2015-11-03 23:13 - 2015-11-03 23:13 - 00000000 ____D C:\Users\Все пользователи\{126CFB2A-3098-4C8B-A9BB-8D922A069FE0}
2015-11-03 21:24 - 2015-11-03 21:24 - 00000000 ____D C:\Users\Николай\AppData\Roaming\ProductData
2015-11-03 21:24 - 2015-11-03 21:24 - 00000000 ____D C:\Users\Николай\AppData\IObit
2015-11-03 21:23 - 2015-11-03 21:26 - 00000000 ____D C:\Users\Николай\AppData\LocalLow\IObit
2015-11-03 21:23 - 2015-11-03 21:26 - 00000000 ____D C:\Users\Все пользователи\ProductData
Task: {90915E65-D96B-4E46-AD74-C2880EB2074D} - System32\Tasks\GameXPService Autoupdate => C:\Program Files (x86)\GameXPService\gamexpsvc.exe
C:\Users\Николай\Desktop\игры\Играть! GameXP.lnk
C:\Users\Николай\AppData\Roaming\Microsoft\Windows\SendTo\МойМир@Mail.ru.lnk
2015-10-24 22:27 - 2015-11-03 21:54 - 00000000 ____D C:\Users\Николай\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\GameXP
EmptyTemp:
Reboot:

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, закройте все браузеры, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Сообщите, что с проблемой.

[Kolya K]

Нашёл рассадник Catered to you. Я недавно установил графический редактор Gimp и одновременно с ним браузер Оперу и похоже это расширение в Google Chrome. Чистил компьютер программами hitmanpro и Malwarebytes Anti-malware и регистр вычистился и ещё вирус в загрузках нашёл. Стоял в системе Malwarebytes Anti-malware, когда я запустил Gimp, стали размещаться в системе вирусы. Удалил Gimp, удалил Google Chrome и стал искать всё что связано с ним по всем папкам, нашёл даже папку "Хром". После установил заново Google Chrome и эта назойливая реклама пропала. Только по запарке системные файлы Thumbs на рабочем столе удалил, грозит ли это чем? Установил несколько возможно скоро нужных мне программ. Сейчас система притормаживает. Проверил детектором: вроде всё норм, только на Adguard немного красного.

[Vvvyg]

Нашёл рассадник Catered to you. Я недавно установил графический редактор Gimp и одновременно с ним браузер Оперу

Что ещё раз подтверждает простую истину: не надо искать программы, особенно бесплатные, нужно качать их с официальных сайтов. Которые выдаются, кстати, в первых строках поисковиков.

Удалите папку C:\FRST со всем содержимым.

Выполните рекомендации после лечения.

[Kolya K]

спасибо большое вы мне очень помогли.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 12
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\program files (x86)\catered to you\extensions\b90183ad-1cf4-4d7b-9461-b89083957547.dll - not-a-virus:AdWare.NSIS.BrowseFox.f
  2. c:\program files (x86)\common files\a95f8535-bd08-4370-a6e0-814924c0d5f0\updater.exe - not-a-virus:HEUR:AdWare.Win32.Generic
  3. c:\programdata\applicationhosting\applicationhosti ng.exe - not-a-virus:AdWare.Win32.Agent.jlfm ( AVAST4: Win32:Adware-gen [Adw] )
  4. c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugincontainer.exe - not-a-virus:HEUR:AdWare.Win32.Generic
  5. c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\10\plugin.exe - not-a-virus:HEUR:AdWare.Win32.Generic
  6. c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\12\plugin.exe - not-a-virus:HEUR:AdWare.Win32.Generic
  7. c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\2\plugin.exe - not-a-virus:HEUR:AdWare.Win32.Generic
  8. c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\3\plugin.exe - not-a-virus:HEUR:AdWare.Win32.Generic
  9. c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\5\plugin.exe - not-a-virus:AdWare.Win32.BrowseFox.btzx
  10. c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\7\plugin.exe - not-a-virus:HEUR:AdWare.Win32.Generic
  11. c:\programdata\a95f8535-bd08-4370-a6e0-814924c0d5f0\plugins\8\plugin.exe - not-a-virus:HEUR:AdWare.Win32.Generic
  12. c:\programdata\viaair\viaair.exe - not-a-virus:AdWare.Win32.Agent.jlir ( AVAST4: Win32:Adware-gen [Adw] )