Удаляются файлы с рабочего стола и с папки Downloads

**zdaccess** · 25.02.2016, 17:20

Система windows 10
Пытаюсь помочь другу обезвредить вирус (который явно не вирус, так как ПК был проверен dr.web curelt и nod32), который удаляет прямо на глазах файлы на рабочем столе, а так же в папке Downloads.

Помогаю через Teamviewer, поэтому возможны какие нибудь дополнительные данные.
AVZ просто не работает. Вылетает после запуска скрипта ( как указано в инструкции под номером 2), так и после запуска проверки на вирусы. Скан ошибки прикрепил.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 25.02.2016, 17:21

Уважаемый(ая) zdaccess, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

SQ · 26.02.2016, 17:42

Здравствуйте,

HiJackThis профиксить

Код:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.hao123.com/?tn=90820167_hao_pg
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.hao123.com/?tn=90820167_hao_pg
O4 - HKCU\..\Run: [SoftWebbar] C:\Users\Домашний\AppData\Roaming\SoftWebbar\softwebbar.exe
O23 - Service: Function Lid (celivego) - Unknown owner - (no file)
O23 - Service: Desktop Printer Slug (gogekole) - NVIDIA Corporation - (no file)
O23 - Service: Paste Name (gybucifi) - Google Inc. - (no file)
O23 - Service: Wide Area Network Text Message (kovewixe) - Unknown owner - (no file)
O23 - Service: Terminal Scroll Wheel (lunywydy) - Unknown owner - C:\Program.exe (file missing)
O23 - Service: Presentation Software Satellite (zizusyju) - Unknown owner - C:\Program.exe (file missing)

Скачайте программу Universal Virus Sniffer и сделайте полный образ автозапуска uVS.

**zdaccess** · 27.02.2016, 16:20

Спасибо. Профиксил. Прикрепил полный образ автозапуска

SQ · 27.02.2016, 23:36

Выполните скрипт в uVS:

Код:

;uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv10.0
v385c
BREG
zoo %SystemDrive%\USERS\ДОМАШНИЙ\APPDATA\ROAMING\MICROSOFT\INTERNET EXPLORER\QUICK LAUNCH\INTERNET QUICK ACCESS.LNK
zoo %SystemDrive%\USERS\ДОМАШНИЙ\APPDATA\LOCAL\29630\UPDATER.EXE
delref %SystemDrive%\USERS\ДОМАШНИЙ\APPDATA\LOCAL\29630\UPDATER.EXE
deldir %SystemDrive%\USERS\ДОМАШНИЙ\APPDATA\LOCAL\29630
zoo %SystemDrive%\USERS\41BC~1\APPDATA\LOCAL\TEMP\WINDOWSUPDATEKB12695__7428_IL78052.EXE
delref %SystemDrive%\USERS\41BC~1\APPDATA\LOCAL\TEMP\WINDOWSUPDATEKB12695__7428_IL78052.EXE
deldir %SystemDrive%\USERS\41BC~1\APPDATA\LOCAL\TEMP
zoo %SystemDrive%\USERS\ДОМАШНИЙ\APPDATA\LOCAL\ELKBEKTCC\WKCGDJW0.BAT
delref %SystemDrive%\USERS\ДОМАШНИЙ\APPDATA\LOCAL\ELKBEKTCC\WKCGDJW0.BAT
deldir %SystemDrive%\USERS\ДОМАШНИЙ\APPDATA\LOCAL\ELKBEKTCC
zoo %SystemDrive%\PROGRAM FILES (X86)\0B646307-1451119263-9041-BA19-2C600CD45D5A\HNSG7F42.TMP
zoo %SystemDrive%\PROGRAM FILES (X86)\0B646307-1451119263-9041-BA19-2C600CD45D5A\JNSW663A.TMP
zoo %SystemDrive%\PROGRAM FILES (X86)\0B646307-1451119263-9041-BA19-2C600CD45D5A\KNSZ79F.TMP
delref %SystemDrive%\PROGRAM FILES (X86)\0B646307-1451119263-9041-BA19-2C600CD45D5A\HNSG7F42.TMP
delref %SystemDrive%\PROGRAM FILES (X86)\0B646307-1451119263-9041-BA19-2C600CD45D5A\JNSW663A.TMP
delref %SystemDrive%\PROGRAM FILES (X86)\0B646307-1451119263-9041-BA19-2C600CD45D5A\KNSZ79F.TMP
deldir %SystemDrive%\PROGRAM FILES (X86)\0B646307-1451119263-9041-BA19-2C600CD45D5A
zoo %SystemDrive%\PROGRAM FILES (X86)\GMSD_RU_005010191\GMSD_RU_005010191 - UNINSTALL.EXE
del %SystemDrive%\PROGRAM FILES (X86)\GMSD_RU_005010191\GMSD_RU_005010191 - UNINSTALL.EXE
deldir %SystemDrive%\PROGRAM FILES (X86)\GMSD_RU_005010191
delref %SystemDrive%\PROGRAM FILES (X86)\MTV20151125\MTVIEW.EXE
deldir %SystemDrive%\PROGRAM FILES (X86)\MTV20151125
deldir %SystemDrive%\PROGRAM FILES (X86)\TENCENT\QQPCMGR\11.1.16923.222
deldir %SystemDrive%\PROGRAM FILES (X86)\TENCENT\QQPCMGR\11.3.17201.218
zoo %SystemDrive%\PROGRAM FILES\GROOVER121220150108\CSRCC.EXE
delref %SystemDrive%\PROGRAM FILES\GROOVER121220150108\CSRCC.EXE
deldir %SystemDrive%\PROGRAM FILES\GROOVER121220150108
deltmp
restart

- Подготовьте лог AdwCleaner и приложите его в теме.

- Сделайте лог Check Browsers' LNK и приложите его в теме.

**zdaccess** · 04.03.2016, 13:55

Сделал

SQ · 04.03.2016, 15:14

Скачайте ClearLNK и сохраните архив с утилитой на рабочем столе.
Распакуйте архив с утилитой в отдельную папку.
Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке
Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
Прикрепите этот отчет к своему следующему сообщению.

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

**zdaccess** · 10.03.2016, 17:48

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

Удалил адвклинер. Не понял через что делать отчет. Прикрепляю отчет clearlnk

SQ · 11.03.2016, 00:36

Сообщение от zdaccess

Удалил адвклинер. Не понял через что делать отчет.

По ссылки ознакомьтесь с инструкцией "Как удалить найденное в AdwCleaner?"

**zdaccess** · 30.03.2016, 12:43

С1 процесс удаления
S2 после удаления

SQ · 30.03.2016, 15:06

- Скачайте Farbar Recovery Scan Tool

и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
Нажмите кнопку Scan.
После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

**zdaccess** · 31.03.2016, 17:14

Не могу залить эти файлы сюда в облаке https://cloud.mail.ru/public/ZJmx/TGZVSo1LL

SQ · 31.03.2016, 20:56

Удалите старые вложения Мой кабинет => Вложения

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

Код:

CreateRestorePoint:
CloseProcesses:
GroupPolicy: Restriction - Chrome <======= ATTENTION
GroupPolicy-x32: Restriction - Chrome <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
CHR HKU\S-1-5-21-1290600236-3390983077-890927575-1001\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
FF HKLM\...\Firefox\Extensions: [{B29ACECA-29F5-44CC-9C35-8B41C3EFC23D}] - C:\Program Files\groover121220150108\Firefox\{B29ACECA-29F5-44CC-9C35-8B41C3EFC23D}.xpi => not found
FF HKLM-x32\...\Firefox\Extensions: [{B29ACECA-29F5-44CC-9C35-8B41C3EFC23D}] - C:\Program Files\groover121220150108\Firefox\{B29ACECA-29F5-44CC-9C35-8B41C3EFC23D}.xpi => not found
FF HKLM-x32\...\Firefox\Extensions: [[email protected]] - C:\Program Files (x86)\Hewlett-Packard\SmartPrint\QPExtension => not found
CHR HKU\S-1-5-21-1290600236-3390983077-890927575-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [dmpojjilddefgnhiicjcmhbkjgbbclob] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [eioddfaepdoeifbhjphfefgipcjcdieo] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [iflppbjnpneiigcbdfjpnkebidmkjmoi] - hxxps://clients2.google.com/service/update2/crx
S2 celivego; no ImagePath
S2 gogekole; no ImagePath
S2 gybucifi; no ImagePath
S2 kovewixe; no ImagePath
S2 pefomisy; no ImagePath
C:\Users\袛芯屑邪褕薪懈泄\AppData\Local\TEMP\TempQMSystemSetup_11.1.16923.222_48298438(1).exe
C:\Users\袛芯屑邪褕薪懈泄\AppData\Local\TEMP\TempQMSystemSetup_11.1.16923.222_48298438(2).exe
C:\Users\袛芯屑邪褕薪懈泄\AppData\Local\TEMP\TempQMSystemSetup_11.1.16923.222_48298438(3).exe
C:\Users\袛芯屑邪褕薪懈泄\AppData\Local\TEMP\TempQMSystemSetup_11.1.16923.222_48298438(4).exe
C:\Users\袛芯屑邪褕薪懈泄\AppData\Local\TEMP\TempQMSystemSetup_11.1.16923.222_48298438(5).exe
C:\Users\袛芯屑邪褕薪懈泄\AppData\Local\TEMP\TempQMSystemSetup_11.1.16923.222_48298438(6).exe
C:\Users\袛芯屑邪褕薪懈泄\AppData\Local\TEMP\TempQMSystemSetup_11.1.16923.222_48298438(7).exe
C:\Users\袛芯屑邪褕薪懈泄\AppData\Local\TEMP\TempQMSystemSetup_11.1.16923.222_48298438(8).exe
C:\Users\袛芯屑邪褕薪懈泄\AppData\Local\TEMP\TempQMSystemSetup_11.1.16923.222_48298438.exe
C:\Users\袛芯屑邪褕薪懈泄\AppData\Local\TEMP\TempQQPhoneManager-5.5.1_710201.4892.pa(1).exe
C:\Users\袛芯屑邪褕薪懈泄\AppData\Local\TEMP\TempQQPhoneManager-5.5.1_710201.4892.pa(2).exe
C:\Users\袛芯屑邪褕薪懈泄\AppData\Local\TEMP\TempQQPhoneManager-5.5.1_710201.4892.pa(3).exe
C:\Users\袛芯屑邪褕薪懈泄\AppData\Local\TEMP\TempQQPhoneManager-5.5.1_710201.4892.pa(4).exe
C:\Users\袛芯屑邪褕薪懈泄\AppData\Local\TEMP\TempQQPhoneManager-5.5.1_710201.4892.pa(5).exe
C:\Users\袛芯屑邪褕薪懈泄\AppData\Local\TEMP\TempQQPhoneManager-5.5.1_710201.4892.pa(6).exe
C:\Users\袛芯屑邪褕薪懈泄\AppData\Local\TEMP\TempQQPhoneManager-5.5.1_710201.4892.pa(7).exe
C:\Users\袛芯屑邪褕薪懈泄\AppData\Local\TEMP\TempQQPhoneManager-5.5.1_710201.4892.pa.exe
CustomCLSID: HKU\S-1-5-21-1290600236-3390983077-890927575-1001_Classes\CLSID\{0E270DAA-1BE6-48F2-AC49-FB65298E18C5}\InprocServer32 -> %%systemroot%%\system32\shell32.dll => No File
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run\Sound+]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run32\ QQPCTray]
EmptyTemp:
Reboot:

Запустите FRST и нажмите один раз на кнопку Fix и подождите.
Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
Обратите внимание, что компьютер будет перезагружен.

**zdaccess** · 01.04.2016, 14:31

Прикрепил

SQ · 01.04.2016, 19:52

Что с проблемой?

**zdaccess** · 03.04.2016, 15:28

Комментарий пострадавшей стороны
Ну вот собственно я снова сегодня включила комп, и снова рабочий стол девственно чист. Там ничего важного не было. Были просто куча файлов, с которыми я работала вчера, они все пересохранены на облачных сервисах, но сам факт имеет место быть

Может есть какие то системные настройки по удалению некоторых папок. Или может есть планировщик

SQ · 03.04.2016, 22:40

Сообщение от zdaccess

Комментарий пострадавшей стороны
Ну вот собственно я снова сегодня включила комп, и снова рабочий стол девственно чист. Там ничего важного не было. Были просто куча файлов, с которыми я работала вчера, они все пересохранены на облачных сервисах, но сам факт имеет место быть

Может есть какие то системные настройки по удалению некоторых папок. Или может есть планировщик

В лечение не затрагивались пользовательские данные, только вредоносное ПО и мусор.
- Уточните пожалуйста какие файлы пропали?
- Возможно файлы пропали до лечения?
- Проявляется ли проблема на данный момент?

**zdaccess** · 05.04.2016, 13:09

Пропадают файлы, которые остаюстся на рабочем столе. Последний раз рабочий стол самоочистился 2 апреля.
Это уже было после вашего вмешательства

SQ · 05.04.2016, 14:38

- Приложите новый логи FRST (FRST.txt и Additional.txt)

**zdaccess** · 14.04.2016, 13:11

Есть одна маленькая зацепка. Файлы пропадают только тогда, когда отключается фотошоп. http://take.ms/oNHLp

Удаляются файлы с рабочего стола и с папки Downloads (заявка № 197533)

Опции темы