вирус вымогатель

[patzjyk]

В браузере всплывало окно о том что владелец ноутбука распространяю детскую порнографию(не успел сделать скриншот) и есть 12 часов, пока не отправят запрос в соответствующие службы.
Просканировал всё с помощью KVRT, нашло 6 объектов, удалил их, но решил перестраховаться, возможно что то ещё осталось. Высылаю логи.

[Info_bot]

Уважаемый(ая) patzjyk, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

Браузер Амиго не нужен, надеюсь?

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).

[patzjyk]

Браузер Амиго не нужен. Во вложении запрошенные файлы

[Vvvyg]

Удалите программу Virtual Rest.

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

(Mail.Ru) C:\Program Files (x86)\Mail.Ru\MailRuUpdater\MailRuUpdater.exe
CreateRestorePoint:
HKLM-x32\...\Run: [rec_en_77] => [X]
GroupPolicy: Restriction - Chrome <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
Tcpip\..\Interfaces\{5CCE328C-4C64-4D3F-9045-9FDC60C61933}: [NameServer] 0.0.0.0 0.0.0.0
Tcpip\..\Interfaces\{BC6E613C-5E94-4862-9415-882D95379584}: [NameServer] 0.0.0.0 0.0.0.0
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = hxxp://websearch.webisawsome.info/?pid=2273&r=2014/02/22&hid=3320277863030915752&lg=EN&cc=UA&unqvl=49
HKU\S-1-5-21-3791080006-1786251842-4143744160-1000\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=8c9d23d8f7b312a3c9a86acdfa519e27&text={searchTerms}
HKU\S-1-5-21-3791080006-1786251842-4143744160-1000\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=8c9d23d8f7b312a3c9a86acdfa519e27&text={searchTerms}
URLSearchHook: HKU\S-1-5-21-3791080006-1786251842-4143744160-1000 - (No Name) - {0633EE93-D776-472f-A0FF-E1416B8B2E3D} - No File
SearchScopes: HKLM -> DefaultScope {9BB47C17-9C68-4BB3-B188-DD9AF0FD22} URL = hxxp://dts.search-results.com/sr?src=ieb&appid=329&systemid=2&sr=0&q={searchTerms}
SearchScopes: HKLM -> {9BB47C17-9C68-4BB3-B188-DD9AF0FD22} URL = hxxp://dts.search-results.com/sr?src=ieb&appid=329&systemid=2&sr=0&q={searchTerms}
SearchScopes: HKLM-x32 -> DefaultScope {BB74DE59-BC4C-4172-9AC4-73315F71CFFE} URL = hxxp://websearch.webisawsome.info/?l=1&q={searchTerms}&pid=2273&r=2014/02/22&hid=3320277863030915752&lg=EN&cc=UA&unqvl=49
SearchScopes: HKLM-x32 -> {9BB47C17-9C68-4BB3-B188-DD9AF0FD22} URL = hxxp://dts.search-results.com/sr?src=ieb&appid=329&systemid=2&sr=0&q={searchTerms}
SearchScopes: HKLM-x32 -> {BB74DE59-BC4C-4172-9AC4-73315F71CFFE} URL = hxxp://websearch.webisawsome.info/?l=1&q={searchTerms}&pid=2273&r=2014/02/22&hid=3320277863030915752&lg=EN&cc=UA&unqvl=49
SearchScopes: HKU\S-1-5-21-3791080006-1786251842-4143744160-1000 -> DefaultScope {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={SearchTerms}&product_id=%7B92D6F830-215A-424F-A89A-4308EE72C1E2%7D&gp=820336
SearchScopes: HKU\S-1-5-21-3791080006-1786251842-4143744160-1000 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3C} URL = hxxp://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=8c9d23d8f7b312a3c9a86acdfa519e27&text={searchTerms}
SearchScopes: HKU\S-1-5-21-3791080006-1786251842-4143744160-1000 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3D} URL = hxxp://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=8c9d23d8f7b312a3c9a86acdfa519e27&text=
SearchScopes: HKU\S-1-5-21-3791080006-1786251842-4143744160-1000 -> {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9} URL = hxxp://www.delta-search.com/?q={searchTerms}&affID=119828&tt=260213_ynew&babsrc=SP_ss&mntrId=7aebcc1b0000000000007edd08cb13e8
SearchScopes: HKU\S-1-5-21-3791080006-1786251842-4143744160-1000 -> {327FAD63-5604-422C-B21B-DFF76D582FFD} URL = hxxp://www.search.ask.com/web?tpid=ORJ-SPE&o=APN11406&pf=V7&p2=%5EBBE%5EOSJ000%5EYY%5EUA&gct=&itbv=12.15.5.30&apn_uid=075A826B-CA7C-4398-9EEF-58E0E209B956&apn_ptnrs=BBE&apn_dtid=%5EOSJ000%5EYY%5EUA&apn_dbr=ie_10.0.9200.17054&doi=2014-09-03&trgb=IE&q={searchTerms}&psv=&pt=tb
SearchScopes: HKU\S-1-5-21-3791080006-1786251842-4143744160-1000 -> {61EB20A4-D4D5-4276-A2C9-DCCE8CE9F633} URL = 
SearchScopes: HKU\S-1-5-21-3791080006-1786251842-4143744160-1000 -> {6552C7DD-90A4-4387-B795-F8F96747DE19} URL = hxxp://www.icq.com/search/results.php?q={searchTerms}&ch_id=osd
SearchScopes: HKU\S-1-5-21-3791080006-1786251842-4143744160-1000 -> {9BB47C17-9C68-4BB3-B188-DD9AF0FD22} URL = hxxp://dts.search-results.com/sr?src=ieb&appid=329&systemid=2&sr=0&q={searchTerms}
SearchScopes: HKU\S-1-5-21-3791080006-1786251842-4143744160-1000 -> {BB74DE59-BC4C-4172-9AC4-73315F71CFFE} URL = hxxp://websearch.webisawsome.info/?l=1&q={searchTerms}&pid=2273&r=2014/02/22&hid=3320277863030915752&lg=EN&cc=UA&unqvl=49
SearchScopes: HKU\S-1-5-21-3791080006-1786251842-4143744160-1000 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={SearchTerms}&product_id=%7B92D6F830-215A-424F-A89A-4308EE72C1E2%7D&gp=820336
FF DefaultSearchEngine: Поиск@Mail.Ru
FF DefaultSearchEngine,S: WebSearch
FF SearchEngineOrder.1: WebSearch
FF SearchEngineOrder.1,S: WebSearch
FF SelectedSearchEngine: Поиск@Mail.Ru
FF SelectedSearchEngine,S: WebSearch
FF HKLM-x32\...\Firefox\Extensions: [[email protected]] - C:\Program Files (x86)\MediaWatchV1\MediaWatchV1home5381\ff => not found
FF HKLM-x32\...\Firefox\Extensions: [[email protected]] - C:\Program Files (x86)\MediaBuzzV1\MediaBuzzV1mode9043\ff => not found
FF HKLM-x32\...\Firefox\Extensions: [[email protected]] - C:\Program Files (x86)\RichMediaViewV1\RichMediaViewV1release181\ff => not found
CHR HomePage: Default -> hxxp://www.oursurfing.com/?type=hp&ts=1449234334&z=5c034d977de1d8f5073e372g6zcz6t0o7cdzbc4c8g&from=tt4u&uid=HitachiXHTS545032B9SA00_100220PBPC081DCA3EJLX
CHR StartupUrls: Default -> "hxxp://www.oursurfing.com/?type=hp&ts=1449234334&z=5c034d977de1d8f5073e372g6zcz6t0o7cdzbc4c8g&from=tt4u&uid=HitachiXHTS545032B9SA00_100220PBPC081DCA3EJLX"
CHR HKLM-x32\...\Chrome\Extension: [ijgjpkijnmgoekkcnlkablcfmchlpafe] - C:\Program Files (x86)\MediaWatchV1\MediaWatchV1home5381\ch\MediaWatchV1home5381.crx <not found>
CHR HKLM-x32\...\Chrome\Extension: [nhaofeoaeifekjppmpecjhknoknjgmnc] - C:\Program Files (x86)\RichMediaViewV1\RichMediaViewV1release181\ch\RichMediaViewV1release181.crx <not found>
CHR HKLM-x32\...\Chrome\Extension: [nmnkbinbfehlkagflpmcgcfhdnegdjcl] - C:\Program Files (x86)\MediaBuzzV1\MediaBuzzV1mode9043\ch\MediaBuzzV1mode9043.crx <not found>
R2 Updater.Mail.Ru; C:\Program Files (x86)\Mail.Ru\MailRuUpdater\MailRuUpdater.exe [6118672 2016-02-24] (Mail.Ru)
S1 chtsihix; \??\C:\Windows\system32\drivers\chtsihix.sys [X]
S1 nethfdrv; \??\C:\Windows\system32\drivers\nethfdrv.sys [X]
2016-02-27 12:33 - 2013-03-11 20:57 - 00000000 ____D C:\Users\SONY\AppData\Local\Mail.Ru
C:\Program Files (x86)\Mail.Ru
Task: {9B96F368-4715-439B-94C0-AEDC9316DEA8} - System32\Tasks\WindowsUpdater => C:\Users\SONY\AppData\Roaming\WindowsUpdater\Updater.exe
Task: {EB02381F-D652-4B1C-894A-712498C62C51} - \Microsoft\Windows\MUI\LPRemove -> No File <==== ATTENTION
FirewallRules: [{525CAECF-CDB4-4855-A2C7-CD75513CFFA4}] => (Allow) C:\program files (x86)\common files\baidu\bddownload\107\bddownloader.exe
FirewallRules: [{F5DCA977-BDF1-4478-9D5A-951D174D602E}] => (Allow) C:\Users\SONY\AppData\Local\Amigo\Application\amigo.exe
FirewallRules: [{17FBF503-D8E6-4EA9-AD91-099BB7E0297F}] => (Allow) C:\Users\SONY\AppData\Local\Temp\is-DSATK.tmp\setup30927.tmp
FirewallRules: [{BC79E62B-4616-435A-ABAC-01BB3AEC0652}] => (Allow) C:\Users\SONY\AppData\Local\Temp\is-DSATK.tmp\setup30927.tmp
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\amigo" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Guard.Mail.ru.gui" /f
Reg: reg delete "HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\test" /f
CMD: ipconfig /flushdns
EmptyTemp:
Reboot:

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, закройте все браузеры, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Сообщите, что с проблемой.

[patzjyk]

Ситуация не повторилась пока что. Лог во вложении

[Vvvyg]

AV: Dr.Web Security Space (Disabled - Out of date) {43B072E9-61D5-D2DF-0530-CE16F6F72D60}

Антивирус, который не обновляется - хуже, чем никакого, т. к. даёт ложное ощущение безопасности.

Обновите Google Chrome до последней версии.
Java 8 обновите до Java 8 Update 73.
Обновите Internet Explorer до 11-й версии, даже если им не пользуетесь, это критически важный для безопасности компонент Windows.

Запустите AdwCleaner и нажмите Деинсталлировать (Uninstall).

Удалите папку C:\FRST со всем содержимым.

Выполните рекомендации после лечения.

[patzjyk]

Спасибо, поставил НОД32 и всё проделал как Вы и сказали.