Помогите!!! [not-a-virus:Downloader.NSIS.Agent.afp ]

[JurokSonic]

Помогите победить extsetup,антивирусная программа видит угрозу,после удаления и проверки системы,опять extsetup подозрителен,судя по всему это не дает стабильную работу расширениям chrome!!!!hijackthis.logvirusinfo_syscheck.zip

[Info_bot]

Уважаемый(ая) JurokSonic, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mrak74]

Здравствуйте !!!

отключите антивирусную программу

Выполните скрипт в AVZ:(в Windows Vista/7/8/10 программу необходимо запускать через правую кнопку мыши Запуск от имени администратора)):

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
  TerminateProcessByName('c:\users\Юрчище!!\appdata\roaming\utorrent\updates\updates\3.4.7_42330\utorrentie.exe');
  TerminateProcessByName('c:\users\Юрчище!!\appdata\roaming\utorrent\updates\3.4.7_42330.exe');
  QuarantineFile('C:\ProgramData\VideoFetcher\VideoFetcher.exe','');
  QuarantineFile('C:\ProgramData\Microsoft\Adobe\Flash Player\078B4A57-FB31-4399-ADE1-F9D5FC4ACCA7\6CCFCA79-C947-4407-9522-236C74D14EAC.exe','');
  QuarantineFile('C:\Users\Юрчище!!\AppData\Roaming\SyManager\launcher.exe','');
  QuarantineFile('C:\Users\Юрчище!!\AppData\Local\Microsoft\Extensions\extsetup.exe','');
  QuarantineFile('c:\users\Юрчище!!\appdata\roaming\utorrent\updates\updates\3.4.7_42330\utorrentie.exe','');
  QuarantineFile('c:\users\Юрчище!!\appdata\roaming\utorrent\updates\3.4.7_42330.exe','');
  DeleteFile('c:\users\Юрчище!!\appdata\roaming\utorrent\updates\updates\3.4.7_42330\utorrentie.exe','32');
  DeleteFile('C:\Users\Юрчище!!\AppData\Roaming\uTorrent\updates\3.4.7_42330.exe','32');
  DeleteFile('C:\Users\Юрчище!!\AppData\Local\Microsoft\Extensions\extsetup.exe','32');
  DeleteFile('C:\ProgramData\VideoFetcher\VideoFetcher.exe','32');
  DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\Media Center\VideoFetcher','64');
  RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','uTorrent');
  RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','extsetup');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteWizard('TSW',2,2,true);
 ExecuteWizard('SCU',2,2,true);
RebootWindows(true);
end.

После перезагрузки выполните скрипт:

begin 
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы Прислать запрошенный карантин
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )

[JurokSonic]

После перезагрузки выполните скрипт:
Код:
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine .zip');
end.

Пишет скрипт выполнен без ошибок!!

[mrak74]

Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы Прислать запрошенный карантин
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )

.
Новые логи + пришлите карантин.

[JurokSonic]

.
Новые логи + пришлите карантин.

я не могу логи прикрепить к сообщению!!!

[mrak74]

Как оформить заявку в разделе "Помогите!" - описание здесь.

я не могу логи прикрепить к сообщению!!!

Первый раз же Вам удалось это сделать ...

[JurokSonic]

Как оформить заявку в разделе "Помогите!" - описание здесь.


Первый раз же Вам удалось это сделать ...

мне опять новую тему создавать?У меня не тут кнопки вложения,а при создания темы была!!!

[mrak74]

мне опять новую тему создавать?У меня не тут кнопки вложения,а при создания темы была!!!

Новых тем не надо. Есть пункт меню "Расширенный режим" ?, если есть зайдите в него, надеюсь там найдете кнопку "вложение".

[JurokSonic]

.
Новые логи + пришлите карантин.

virusinfo_syscheck.ziphijackthis.log

[mrak74]

отключите антивирусную программу

Пофиксите в HijackThis: (в Windows Vista/7/8/10 программу необходимо запускать через правую кнопку мыши Запуск от имени администратора)):

O4 - HKLM\..\Policies\Explorer\Run: [SafeBrowser] "C:\Users\Юрчище!!\AppData\Local\Microsoft\Extensions\extsetup.exe" /S --safebrowser

Выполните скрипт в AVZ:(в Windows Vista/7/8/10 программу необходимо запускать через правую кнопку мыши Запуск от имени администратора)):

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
  QuarantineFile('C:\ProgramData\Microsoft\Adobe\Flash Player\078B4A57-FB31-4399-ADE1-F9D5FC4ACCA7\6CCFCA79-C947-4407-9522-236C74D14EAC.exe','');
  QuarantineFile('C:\Users\Юрчище!!\AppData\Local\Microsoft\Extensions\extsetup.exe','');
  DeleteFile('C:\Windows\system32\Tasks\Microsoft\extsetup','64');
  DeleteFile('C:\Windows\system32\Tasks\Microsoft\SafeBrowser','64');
  DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\A078B4A57-FB31-4399-ADE1-F9D5FC4ACCA7','64');
  DeleteFile('C:\ProgramData\Microsoft\Adobe\Flash Player\078B4A57-FB31-4399-ADE1-F9D5FC4ACCA7\6CCFCA79-C947-4407-9522-236C74D14EAC.exe','32');
  DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\extsetup','64');
  DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\SafeBrowser','64');
  DeleteFile('C:\Users\Юрчище!!\appdata\local\microsoft\extensions\extsetup.exe','32');
  RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','SafeBrowser');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

+

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Windows Vista/Seven/10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S1].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[JurokSonic]

O4 - HKLM\..\Policies\Explorer\Run: [SafeBrowser] "C:\Users\Юрчище!!\AppData\Local\Microsoft\Extensi ons\extsetup.exe
нет такой строки!!!

[mrak74]

O4 - HKLM\..\Policies\Explorer\Run: [SafeBrowser] "C:\Users\Юрчище!!\AppData\Local\Microsoft\Extensi ons\extsetup.exe
нет такой строки!!!

Хорошо. Ждем лог AdwCleaner.

[JurokSonic]

Хорошо. Ждем лог AdwCleaner.

AdwCleaner[S1].txt

[mrak74]

Удалите в AdwCleaner всё. Отчет после удаления прикрепите.

+
Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[JurokSonic]

Удалите в AdwCleaner всё. Отчет после удаления прикрепите.

+
Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

AdwCleaner[S1].txtFRST.txtAddition.txt

[mrak74]

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  
  

  CreateRestorePoint:
  CloseProcesses:
  HKLM\...\Policies\Explorer: [NoInternetOpenWith] 1
  HKU\S-1-5-21-439877409-2100601352-4137299466-1000\...\Policies\Explorer: [NoResolveSearch] 1
  HKU\S-1-5-21-439877409-2100601352-4137299466-1000\...\Policies\Explorer: [LinkResolveIgnoreLinkInfo] 1
  HKU\S-1-5-21-439877409-2100601352-4137299466-1000\...\Policies\Explorer: [NoLowDiskSpaceChecks] 1
  CHR HomePage: Default -> hxxp://%66%65%65%64.%73%6E%61%70%64%6F.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBUTxkij9_B3MFFm7cT1rWoLzQqN1c98AQBZMu3QvSvTGddv2Sqa5p2ATsqMk2-o_xdAixMfygIJnfOWUvXT6QZJ5IjfjxbidmSl09PSQWfdoYFw1vB5m-i142M_8PJ6mrh_VLJG9XfA2pWL7NV0h3bbDQYw7Z-c7QzWRIFyBdMsXSqfpT2KQU,
  CHR StartupUrls: Default -> "hxxp://google.ru/","hxxp://mail.ru/cnt/10445?gp=820521","hxxp://www.hohosearch.com/?mode=nnnb&ptid=amz&uid=2984DE13D143CBFEE52CB2C07405AB46&v=20160425&ts=AHEqAHQpBHEnAk..","hxxp://mail.ru/cnt/10445?gp=821622","hxxp://mail.ru/cnt/10445?gp=811009"
  CHR Extension: (Dream Afar New Tab) - C:\Users\Юрчище!!\AppData\Local\Google\Chrome\User Data\Default\Extensions\henmfoppjjkcencpbjaigfahdjlgpegn [2016-06-16]
  CHR Extension: (电脑管家上网防护) - C:\Users\Юрчище!!\AppData\Local\Google\Chrome\User Data\Default\Extensions\ooebklgpfnbcnpokahmdidgbmlcdepkm [2016-06-16]
  OPR Extension: (Smart Browser™) - C:\Users\Юрчище!!\AppData\Roaming\Opera Software\Opera Stable\Extensions\bhmpnibiagopmobamhlgaghkojlcjnfn [2016-05-27]
  OPR Extension: (Smart Browser™) - C:\Users\Юрчище!!\AppData\Roaming\Opera Software\Opera Stable\Extensions\mefhakmgclhhfbdadeojlkbllmecialg [2016-05-29]
  OPR Extension: (Smart Browser™) - C:\Users\Юрчище!!\AppData\Roaming\Opera Software\Opera Stable\Extensions\ocggccaacacpienfcgmgcihoombokbbj [2016-05-25]
  Task: {2E52BFCE-B5FB-4E23-8A89-07AAEC65CC22} - System32\Tasks\Microsoft\Windows\Multimedia\FreeVPN => C:\Users\Юрчище!!\AppData\Roaming\FreeVPN\FreeVPN.exe <==== ATTENTION
  Task: {94B8A1A9-A163-41AB-8257-31C8D338BA5F} - \Microsoft\Windows\A078B4A57-FB31-4399-ADE1-F9D5FC4ACCA7 -> No File <==== ATTENTION
  Task: {9531D86F-6EED-4C4F-AB5D-A07403FA6D67} - \Microsoft\Windows\Windows Activation Technologies\ValidationTaskDeadline -> No File <==== ATTENTION
  Task: {D3544053-471C-4C33-99E1-B76302F97611} - \Microsoft\Windows Defender\MpIdleTask -> No File <==== ATTENTION
  Task: {F3543749-02E5-44FA-9F62-EE24283D5DE1} - \Microsoft\Windows Defender\MP Scheduled Scan -> No File <==== ATTENTION
  Task: {FDE646FB-DDE9-4D82-B7DA-58F5E94426F2} - \Microsoft\Windows\Windows Activation Technologies\ValidationTask -> No File <==== ATTENTION
  EmptyTemp:
  Reboot:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[JurokSonic]

Программа создаст лог-файл Fixlog.txt
компьютер не перезагрузился,но файл создался!!!
Fixlog.txt

[mrak74]

Перезагрузите компьютер. Запустите повторно Farbar Recovery Scan Tool через правую кнопку мыши Запуск от имени администратора, нажмите на кнопку Fix, надеюсь повторно фикс пройдет нормально. Сообщите что и как, если появится новый Fixlog.txt приложите его к теме. Прежний Fixlog.txt можете удалить, он не получился.

[JurokSonic]

Перезагрузите компьютер.
Fixlog.txt