Самоустанавливающееся ПО, расширения Chrome

[gilly18]

Добрый день, после скачивания торрент-файла с проверенного ресурса, внезапно началось вышеописанное - с перезапуском браузера..
Также открываются новые вкладки, выскакивают установщики непонятных обновлений

[Info_bot]

Уважаемый(ая) gilly18, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 DelCLSID('{754DF2CE-51E8-4895-B53C-6381418B84AE}');
 DelCLSID('{CBDECEF7-7A29-4cbf-A009-2673D82C7BF9}');
 QuarantineFile('C:\ProgramData\TdZmNE\hruDrY5.bat','');
 QuarantineFile('C:\ProgramData\service.exe','');
 QuarantineFile('c:\programdata\msiql.exe','');
 QuarantineFile('C:\Users\M\AppData\Local\ZetaGamesViewer\zetaviewer.exe','');
 QuarantineFile('C:\Users\M\AppData\Local\Mail.Ru\MailRuUpdater.exe','');
 QuarantineFile('C:\Users\M\AppData\Local\ZetaGamesNews\zeta.exe','');
 QuarantineFile('C:\Users\M\AppData\Local\SaveYouTime\config.json','');
 QuarantineFile('C:\Users\M\AppData\Local\SaveYouTime\stub.exe','');
 QuarantineFile('c:\programdata\homepage.exe','');
 QuarantineFile('C:\Users\M\AppData\Roaming\UPUpdata\cessrs.exe','');
 QuarantineFile('D:\Documents\systemfile.exe','');
 SetServiceStart('TSSysKit', 4);
 SetServiceStart('softaal', 4);
 SetServiceStart('QQSysMon', 4);
 SetServiceStart('QMUdisk', 4);
 DeleteService('ContentProtectorDrv');
 SetServiceStart('ContentProtectorDrv', 4);
 SetServiceStart('QMIEProtect', 4);
 SetServiceStart('TAOAccelerator', 4);
 SetServiceStart('TAOKernelDriver', 4);
 SetServiceStart('TFsFlt', 4);
 SetServiceStart('TSDefenseBt', 4);
 SetServiceStart('TsFltMgr', 4);
 SetServiceStart('TSKsp', 4);
 SetServiceStart('TsNetHlp', 4);
 SetServiceStart('TSSK', 4);
 DeleteService('TSSysKit');
 DeleteService('TsNetHlp');
 DeleteService('TSKsp');
 DeleteService('TsFltMgr');
 DeleteService('TAOAccelerator');
 DeleteService('QQSysMon');
 SetServiceStart('ContentProtectorUpdate', 4);
 SetServiceStart('fewiqynizbt', 4);
 SetServiceStart('HSystem', 4);
 SetServiceStart('rowugoqo', 4);
 SetServiceStart('SSFK', 4);
 SetServiceStart('WdMan', 4);
 SetServiceStart('wucotusy', 4);
 SetServiceStart('zutuzuni', 4);
 DeleteService('zutuzuni');
 DeleteService('WdMan');
 DeleteService('SSFK');
 DeleteService('rowugoqo');
 DeleteService('HSystem');
 DeleteService('fewiqynizbt');
 DeleteService('ContentProtectorUpdate');
 DeleteService('ContentProtector');
 QuarantineFile('C:\Windows\system32\drivers\ContentProtectorDrv.sys','');
 QuarantineFile('C:\Program Files\SpaceSoundPro\SpaceSoundPro.dll','');
 TerminateProcessByName('c:\users\m\appdata\local\zetagamesnews\zeta.exe');
 QuarantineFile('c:\users\m\appdata\local\zetagamesnews\zeta.exe','');
 TerminateProcessByName('c:\program files\win_en_77\win_en_77.exe');
 QuarantineFile('c:\program files\win_en_77\win_en_77.exe','');
 TerminateProcessByName('c:\programdata\wwdmw\wdman.exe');
 QuarantineFile('c:\programdata\wwdmw\wdman.exe','');
 QuarantineFile('c:\users\m\appdata\local\sunnyday3\usun.exe','');
 TerminateProcessByName('c:\program files\hdefsoft\ua86au.exe');
 TerminateProcessByName('c:\users\m\appdata\roaming\texteditor\daemon\texteditor.exe');
 QuarantineFile('c:\users\m\appdata\roaming\texteditor\daemon\texteditor.exe','');
 TerminateProcessByName('c:\program files\sfk\ssfk.exe');
 QuarantineFile('c:\program files\sfk\ssfk.exe','');
 TerminateProcessByName('c:\users\m\appdata\local\ffffffff-1456349116-ffff-ffff-ffffffffffff\snsxa271.tmp');
 QuarantineFile('c:\users\m\appdata\local\ffffffff-1456349116-ffff-ffff-ffffffffffff\snsxa271.tmp','');
 TerminateProcessByName('c:\program files\tencent\qqpcmgr\11.3.17201.218\plugins\qmnetmon\qqpcnetflow.exe');
 TerminateProcessByName('c:\program files\tencent\qqpcmgr\11.3.17201.218\qqpcrealtimespeedup.exe');
 TerminateProcessByName('c:\program files\tencent\qqpcmgr\11.3.17201.218\qqpcrtp.exe');
 TerminateProcessByName('c:\program files\tencent\qqpcmgr\11.3.17201.218\qqpctray.exe');
 TerminateProcessByName('c:\program files\ffffffff-1456338096-ffff-ffff-ffffffffffff\jnst9ceb.tmp');
 TerminateProcessByName('c:\program files\ffffffff-1456338096-ffff-ffff-ffffffffffff\knsrfff9.tmpfs');
 QuarantineFile('c:\program files\ffffffff-1456338096-ffff-ffff-ffffffffffff\knsrfff9.tmpfs','');
 QuarantineFile('c:\program files\ffffffff-1456338096-ffff-ffff-ffffffffffff\jnst9ceb.tmp','');
 TerminateProcessByName('c:\program files\ffffffff-1456338096-ffff-ffff-ffffffffffff\hnsp536b.tmp');
 TerminateProcessByName('c:\program files\sound+\idscservice.exe');
 TerminateProcessByName('c:\program files\spacesoundpro\idscservice.exe');
 QuarantineFile('c:\program files\spacesoundpro\idscservice.exe','');
 QuarantineFile('c:\program files\ffffffff-1456338096-ffff-ffff-ffffffffffff\hnsp536b.tmp','');
 QuarantineFile('c:\windows\temp\ef2f.tmp','');
 QuarantineFile('c:\program files\contentprotector\contentprotector.exe','');
 TerminateProcessByName('c:\program files\contentprotector\contentprotectorupdate.exe');
 QuarantineFile('c:\program files\contentprotector\contentprotectorupdate.exe','');
 TerminateProcessByName('c:\users\m\appdata\local\amigo\application\44.4.2403.3\amigo_cr.exe');
 TerminateProcessByName('c:\users\m\appdata\local\temp\~nsu.tmp\au_.exe');
 QuarantineFile('c:\users\m\appdata\local\temp\~nsu.tmp\au_.exe','');
 DeleteFile('c:\users\m\appdata\local\temp\~nsu.tmp\au_.exe','32');
 DeleteFile('c:\users\m\appdata\local\amigo\application\44.4.2403.3\amigo_cr.exe','32');
 DeleteFile('c:\program files\contentprotector\contentprotectorupdate.exe','32');
 DeleteFile('c:\program files\contentprotector\contentprotector.exe','32');
 DeleteFile('c:\program files\ffffffff-1456338096-ffff-ffff-ffffffffffff\hnsp536b.tmp','32');
 DeleteFile('c:\program files\sound+\idscservice.exe','32');
 DeleteFile('c:\program files\spacesoundpro\idscservice.exe','32');
 DeleteFile('c:\program files\ffffffff-1456338096-ffff-ffff-ffffffffffff\jnst9ceb.tmp','32');
 DeleteFile('c:\program files\ffffffff-1456338096-ffff-ffff-ffffffffffff\knsrfff9.tmpfs','32');
 DeleteFile('c:\program files\tencent\qqpcmgr\11.3.17201.218\plugins\qmnetmon\qqpcnetflow.exe','32');
 DeleteFile('c:\program files\tencent\qqpcmgr\11.3.17201.218\qqpcrealtimespeedup.exe','32');
 DeleteFile('c:\program files\tencent\qqpcmgr\11.3.17201.218\qqpcrtp.exe','32');
 DeleteFile('c:\program files\tencent\qqpcmgr\11.3.17201.218\qqpctray.exe','32');
 DeleteFile('c:\users\m\appdata\local\ffffffff-1456349116-ffff-ffff-ffffffffffff\snsxa271.tmp','32');
 DeleteFile('c:\program files\sfk\ssfk.exe','32');
 DeleteFile('c:\program files\hdefsoft\ua86au.exe','32');
 DeleteFile('c:\programdata\wwdmw\wdman.exe','32');
 DeleteFile('c:\program files\win_en_77\win_en_77.exe','32');
 DeleteFile('c:\users\m\appdata\local\zetagamesnews\zeta.exe','32');
 DeleteFile('C:\Program Files\ContentProtector\LIBEAY32.dll','32');
 DeleteFile('C:\Program Files\ContentProtector\SSLEAY32.dll','32');
 DeleteFile('C:\Program Files\SpaceSoundPro\SpaceSoundPro.dll','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\7z.dll','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\AndroidAssistHelper.dll','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\AndroidServer\1.0.0.509\AndroidDevice.dll','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\AndroidServer\1.0.0.509\DownloadMgr.dll','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\AndroidServer\1.0.0.509\NetworkMgr.dll','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\AndroidServer\1.0.0.509\QQPMIpc.dll','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\AndroidServer\1.0.0.509\Sdkclient.dll','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\arkGraphic.dll','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\CheckSysHung.dll','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\Common.dll','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\communic.dll','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\DlForQd.dll','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\DLProtectComm.dll','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\dr.dll','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\GameUpgrade.dll','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\GarbageCleaner.dll','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\GF.dll','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\GFCustom.dll','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\GFFtsysCustom.dll','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\jgImage.dll','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\jgIOStub.dll','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\MemDefrag.dll','32');
 DeleteFile('c:\program files\tencent\qqpcmgr\11.3.17201.218\qmsysrepprov.dll','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\qmtrayplugin\GameUpgradeTrayPlugin\GameUpgradeTrayPlugin.dll','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\qmtrayplugin\QMAutoTaskPlugin\QMAutoTaskPlugin.dll','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\QMTrayPlugin\QMAutoTaskPlugin\SubPlugins\GameSpeedupExposure.dll','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\QMTrayPlugin\QMAutoTaskPlugin\SubPlugins\GameSpeedupGiftBagMgr.dll','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\QMTrayPlugin\QMAutoTaskPlugin\SubPlugins\OperationFileCloudMgr.dll','32');
 DeleteFile('C:\ProgramData\Tencent\TSVulFw\TSVulFW.DAT','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\xImage.dll','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\xGraphic32.dll','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\UDiskShellExt.dll','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\TSZip.dll','32');
 DeleteFile('C:\Windows\system32\drivers\ContentProtectorDrv.sys','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\QMIEProtect.sys','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\QMUdisk.sys','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\QQSysMon.sys','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\softaal.sys','32');
 DeleteFile('C:\Windows\system32\Drivers\TAOAccelerator.sys','32');
 DeleteFile('C:\Windows\system32\Drivers\TAOKernel.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\TSDefenseBt.sys','32');
 DeleteFile('C:\Windows\system32\drivers\TsFltMgr.sys','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\TSKsp.sys','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\TsNetHlp.sys','32');
 DeleteFile('C:\Windows\System32\tssk.sys','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\TSSysKit.sys','32');
 DeleteFile('D:\Documents\systemfile.exe','32');
 DeleteFile('C:\Users\M\AppData\Roaming\UPUpdata\cessrs.exe','32');
 DeleteFile('c:\programdata\lightgate.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','QQPCTray');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','HomePageHelper');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','LightGate');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','sun3');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','cessrs.exe -start');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','SystemClose');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','win_en_77');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Sound+');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','SpaceSoundPro');
 DeleteFile('C:\Users\M\AppData\Local\SaveYouTime\stub.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','SaveYouTime');
 DeleteFile('C:\Users\M\AppData\Local\SaveYouTime\config.json','32');
 DeleteFile('C:\Users\M\AppData\Local\ZetaGamesNews\zeta.exe','32');
 DeleteFile('C:\Users\M\AppData\Local\ZetaGamesViewer\zetaviewer.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','amigo');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','ZetaGamesViewer');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MailRuUpdater');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','ZetaGamesNews');
 DeleteFile('c:\programdata\msiql.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','msiql');
 DeleteFile('C:\ProgramData\service.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved','{CBDECEF7-7A29-4cbf-A009-2673D82C7BF9}');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved','{754DF2CE-51E8-4895-B53C-6381418B84AE}');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\plugins\FileSmash\QMSoftExt.dll','32');
 DeleteFile('C:\Program Files\Tencent\QQPCMgr\11.3.17201.218\QMContextUninstall.dll','32');
 DeleteFile('C:\ProgramData\paboefy\jRumaDwUt0.bat','32');
 DeleteFile('C:\ProgramData\TdZmNE\hruDrY5.bat','32');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением в Вашей теме.

Сделайте лог CheckBrowsers' Lnk

Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи

[gilly18]

Все сделала, прикладываю новые логи
* Вечером вроде все было нормально, браузер открылся с предустановленными мной вкладками, утром же открылась страница интернет-казино...

[thyrex]

Скачайте ClearLNK и сохраните архив с утилитой на Рабочем столе.
1. Распакуйте архив с утилитой в отдельную папку.
2. Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке

3. Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
4. Прикрепите этот отчет к своему следующему сообщению.


Сделайте лог полного сканирования МВАМ

[gilly18]

Что делать с обнаруженными MBAM угрозами?

[gilly18]

Прошу прощения, вы не могли бы посмотреть логи? Вроде бы все в порядке и нормально работает, но хотелось бы удостовериться

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Полученные в пп. 4 и 5 логи заархивируйте (в один архив) и прикрепите к сообщению.