Чувствую неладное, найти не могу [not-a-virus:AdWare.Win32.SearchProtect.tv ]

**Strashnoe** · 17.01.2016, 11:18

Здравствуйте, искал драйвер видеокарты - накачал кучу мусора, которую потом долго разгребал(все эти амиго, вк, одноклассники и.д.), сейчас в процессах висит вот это чудо snsj258.tmp и вот только появился 1E.tmp,ns32.tmp.
Всё вроде работает, браузеры немного подтормаживают, видео на сайтах в полноэкранном режиме проседают в фпс. Вобщем есть ощущение, что кто-то работает параллельно.

p/s. Пока делал логи авз, началось - отключал касперский(который ослеп на эту проблему) в браузерах стали открываться вкладки с "Вы победитель" и т.д.

Помогите, пожалуйста.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 17.01.2016, 11:19

Уважаемый(ая) Strashnoe, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**regist** · 17.01.2016, 12:07

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFileF('c:\program files\crossbrowse\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('C:\Program Files\Mobogenie\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Application Data\1E00DB80-1446301378-6201-13A0-00221555F2D2\snsj258.tmp', '');
 QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Application Data\gmsd_ru_005010132\upgmsd_ru_005010132.exe', '');
 QuarantineFile('C:\WINDOWS\system32\searchprotectservice.exe', '');
 DeleteFile('C:\Documents and Settings\Admin\Local Settings\Application Data\1E00DB80-1446301378-6201-13A0-00221555F2D2\snsj258.tmp', '32');
 DeleteFile('C:\Documents and Settings\Admin\Local Settings\Application Data\gmsd_ru_005010132\upgmsd_ru_005010132.exe', '32');
 DeleteFile('C:\WINDOWS\system32\searchprotectservice.exe', '32');
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 DeleteService('bypoduge');
 DeleteFileMask('c:\program files\crossbrowse\', '*', true);
 DeleteFileMask('C:\Program Files\Mobogenie\', '*', true);
 DeleteDirectory('C:\Program Files\Mobogenie\');
 DeleteDirectory('c:\program files\crossbrowse\');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\upgmsd_ru_005010132.exe', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\GoogleChromeAutoLaunch_3EA29FF8A7FDE7D8632F89C9B69100F5', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\mobilegeni daemon', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\PokerStrategy.com SideKick', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\RaidCall', 'command');
BC_ImportALL;
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:

Код:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S1].txt.
Прикрепите отчет к своему следующему сообщению.

**Strashnoe** · 17.01.2016, 12:52

ссылка на анализ .

- - - - -Добавлено - - - - -

Вложения п2-3 и адвКлинер.

**regist** · 17.01.2016, 14:03

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

Код:

begin
 SearchRootkit(true, true);
 SetAVZGuardStatus(True);
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFileF('C:\Program Files\baidu\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('C:\Program Files\Crossbrowse', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('C:\Documents and Settings\Admin\Local Settings\Application Data\mbot_ru_014010131\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('C:\Documents and Settings\Admin\Application Data\AnyProtectEx', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('C:\Documents and Settings\Admin\Application Data\PennyBee', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('C:\Documents and Settings\Admin\Application Data\SimilarSites', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('C:\Documents and Settings\Admin\Application Data\mystartsearch', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFileF('C:\Documents and Settings\Admin\Local Settings\Application Data\GAMESDESKTOP', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFile('C:\Documents and Settings\Admin\Local Settings\Application Data\mbot_ru_014010131\upmbot_ru_014010131.exe', '');
 DeleteFile('C:\WINDOWS\Tasks\Crossbrowse.job', '32');
 DeleteFile('C:\Documents and Settings\Admin\Local Settings\Application Data\mbot_ru_014010131\upmbot_ru_014010131.exe', '32');
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 DeleteFileMask('C:\Program Files\baidu\', '*', true);
 DeleteFileMask('C:\Program Files\Crossbrowse', '*', true);
 DeleteFileMask('C:\Documents and Settings\Admin\Local Settings\Application Data\mbot_ru_014010131\', '*', true);
 DeleteDirectory('C:\Program Files\Crossbrowse');
 DeleteDirectory('C:\Program Files\baidu\');
 DeleteDirectory('C:\Documents and Settings\Admin\Local Settings\Application Data\mbot_ru_014010131\');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\upmbot_ru_014010131.exe', 'command');
BC_ImportALL;
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:

Код:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

Запустите повторно AdwCleaner (by Xplode) (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать")
По окончанию сканирования снимите галочки со следующих строк:
Код:
```
Папка Найдено : C:\WINDOWS\system32\GroupPolicy\Adm
```
Нажмите кнопку "Cleaning" ("Деинсталлировать") и дождитесь окончания удаления.
Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C1].txt.
Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

**Strashnoe** · 17.01.2016, 18:27

После того, как почистил авдКлинер, то удалился ЯндексБраузер.

**regist** · 17.01.2016, 18:38

Сообщение от Strashnoe

После того, как почистил авдКлинер, то удалился ЯндексБраузер.

лог сканирования делали с подключённым интернетом, а удаляли без него. В итоге не смогло подгрузить свежие базы, похоже причина в этом. Яндекс браузер можете восстановить из карантина.

Что с проблемой?

**Strashnoe** · 17.01.2016, 19:16

Сообщение от regist

лог сканирования делали с подключённым интернетом, а удаляли без него. В итоге не смогло подгрузить свежие базы, похоже причина в этом. Яндекс браузер можете восстановить из карантина.

Что с проблемой?

Проблема решилась на 2 действии, помойму. Сейчас процессы чисты, да и работа вроде тоже. Посомтрю завтра ещё денёк, каркать не хочется, но уже огромное спасибо)

**regist** · 17.01.2016, 19:30

сделайте лог HiJackThis 2.0.6 Alfa 1.5

+

Код:

C:\Documents and Settings\Admin\Application Data\Microsoft\Internet Explorer\Quick Launch\Mail.Ru.lnk
C:\Documents and Settings\Admin\Application Data\Microsoft\Internet Explorer\Quick Launch\Интернет.lnk

эти ярлыки если не нужны, то можете удалить.

**CyberHelper** · 17.01.2016, 19:40

Статистика проведенного лечения:

Получено карантинов: 2
Обработано файлов: 11
В ходе лечения обнаружены вредоносные программы:
1. c:\windows\system32\searchprotectservice.exe - not-a-virus:AdWare.Win32.SearchProtect.tv

Чувствую неладное, найти не могу [not-a-virus:AdWare.Win32.SearchProtect.tv ] (заявка № 195870)

Опции темы