Китайский вирус повредил загрузочные файлы

[webdesigner]

Здравствуйте.
Суть проблемы: Принесли ноутбук, на нем китайский вирус маскирующийся под антивирус, был в автозагрузке. Все меню на иероглифах, после попытки его деинсталлировать ноутбук завис, на нажатия кнопок не реагировал. После отключения питания и последующего включения ноутбук перестал загружать ОС (Win 8.1), предлагает сделать восстановление системы (нужен загрузочный образ). Подключал SSD, на котором установлена ОС внешним к другому ноуту, просканировал через cure it, вирусов не нашел. Такое ощущение что вирус ввел изменения в реестр загрузки либо повредил загрузочные файлы. Еще заразил мне Google Chrome на ноутбуке, к которому я подключил SSD, пришлось его переустанавливать. Раз не могу загрузиться с этого SSD, то не могу выполнить стандартные логи. Но могу просканировать SSD через AVZ подключив к другому ноуту, если это что-то даст вообще. Есть ли вариант с восстановлением загрузки ОС без потери файлов на SSD ? Уж очень не хочется копировать файлы и снова переустанавливать систему.

[Info_bot]

Уважаемый(ая) webdesigner, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[SQ]

Здравствуйте,

При загрузке ОС есть выбор загрузочного меню (безопасного режима или последней удачной загрузки) при нажатие клавиши F8?

[webdesigner]

Нет. Безопасный режим или последнюю удачную загрузку выбрать не дает. Максимум что дает - это восстановление из образа, но в таком случае будут потеряны программы, которые были установлены после установки ОС. Кстати, узнал название того китайского вируса, называется Tencent.

[SQ]

Тут скорее всего Вам следует восстановить меню загрузки, для этого понадобиться установочный диск.

[webdesigner]

Удалось восстановить загрузку с помощью EasyBCD. Но у вируса остаются скрытые файлы, в частности папка C:\ProgrammData\Tencent содержит файлы бэкапа с расширением regtans-ms, которые не удаляются. Можете написать скрипт для AVZ для удаления этой папки ?
Кстати, выполнил сканирование в malwarebytes, нашел 6 вирусных файлов (удалил). Лог из него + логи стандартных скриптов прикрепляю.

[SQ]

Удалось восстановить загрузку с помощью EasyBCD. Но у вируса остаются скрытые файлы, в частности папка C:\ProgrammData\Tencent содержит файлы бэкапа с расширением regtans-ms, которые не удаляются. Можете написать скрипт для AVZ для удаления этой папки ?

Да, только в том случае, если прочитаете правила и приложите все необходимые логи согласно правилам.

[webdesigner]

Так все ж приложено. Или что-то еще не хватает ?

[SQ]

AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); 
 DelBHO('{50F4150A-48B2-417A-BE4C-C83F580FB904}');
 StopService('softaal');
 StopService('SRepairDrv');
 DeleteService('softaal');
 DeleteService('SRepairDrv');
 QuarantineFile('C:\Users\admin\AppData\Local\Temp\R-DriveImage\DrvSnSht64.sys','');
 QuarantineFile('softaal.sys','');
 QuarantineFile('SRepairDrv.sys','');
 DeleteFile('softaal.sys','32');
 DeleteFile('SRepairDrv.sys','32');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 BC_ImportALL;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.



Удалите в MBAM:

PUP.Optional.TSearch, HKU\S-1-5-21-2283466356-1961089393-674740813-1001\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXT\SETTINGS\{6E727987-C8EA-44DA-8749-310C0FBE3C3E}, , [d10838c40f8a21151c154a3da55d58a8], 
PUP.Optional.TSearch, HKU\S-1-5-21-2283466356-1961089393-674740813-1001\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXT\STATS\{6E727987-C8EA-44DA-8749-310C0FBE3C3E}, , [d10838c40f8a21151c154a3da55d58a8], 
PUP.Optional.TorrentSearch, HKLM\SOFTWARE\MICROSOFT\INTERNET EXPLORER\EXTENSIONS\{03AE1B7B-A9E7-4D5A-9D34-89999C31B659}, , [6c6d44b8bbdee94dbc137c0da35fda26], 
PUP.Optional.TorrentSearch, HKLM\SOFTWARE\WOW6432NODE\MICROSOFT\INTERNET EXPLORER\EXTENSIONS\{03AE1B7B-A9E7-4D5A-9D34-89999C31B659}, , [6c6d44b8bbdee94dbc137c0da35fda26], 
PUP.Optional.TorrentSearch, HKLM\SOFTWARE\WOW6432NODE\MICROSOFT\INTERNET EXPLORER\LOW RIGHTS\ELEVATIONPOLICY\{DCFCC2EC-3F33-45A8-8ADF-A6C81F11232F}, , [0ecb5ca0efaae2541cb4acddcd35f40c], 

PUP.Optional.TorrentSearch, C:\Users\admin\AppData\LocalLow\TSearch, , [aa2f0cf0d8c1e254b3dccb2655aea25e], 

PUP.Optional.TorrentSearch, C:\Users\admin\AppData\LocalLow\TSearch\Storage.db, , [aa2f0cf0d8c1e254b3dccb2655aea25e],

- Подготовьте лог AdwCleaner и приложите его в теме.