Проклятая компания майл.ру меня просто душит, я не могу ничего сделать и у меня опускаются руки.

[Argstar]

Я не могу избавиться от вирусной рекламы и софта компании майл.ру. Я слышал и знал о том что они вирусным образом пытаются "заражать" компьютеры своим софтом, но я не знал что настолько сложно его вычистить. Информации в интернете особо по этому нет, всё что можно было сделать я уже сделал.
Это началось в середине июля, я скачал торрент и при запуске он попросился сохранить себя. Я согласился и тут понеслось, но я вычистил майлсру тут же. Прошёлся курейтом, удалил через Revo Uninstaller Pro весь софт и горя не знал, но буквально через неделю повторилась та же ситуация и по сей день вычистить это проклятье я не могу.

Я удалил через софт выше все следы и с помощью антивирусной утилиты от доктор.веб почистил комп, нашёл всякие майл упдейтеры, поискал майл ру в реестре, поискал на компе майл ру, почистил папку темп и через каждые два дня в 17 49 начинается обновление всего этого дерьма по цепочки. И программ становится меньше, но они каким-то образом еще успевают меняться. Например сейчас огромный баннер на весь экран который убирается к счастью легко.
Каждые 2 дня вылетают все программы с авто загрузки. После нескольких таких обновлений я понял что это мой вызов и пошёл с майл.ру на войну. Я удалил всё что только можно удалить, я прошёлся по реестру, я прошёлся полностью по компу и даже скачал клинер и им пытался что-то сделать. После таких махинаций я нашёл ваш форум и через неделю решился Вам написать. Если мне тут не помогут я поменяю винду, а завтра пойду взрывать сраную компанию майлсру.

Извините за мою агрессию, но иначе невозможно, это непозволительно такой компании так поступать. Всё восстанавливается по цепочки, впрочем что мне вам об этом рассказывать? Вы без меня всё прекрасно знаете. Майлру- зло и только вы сможете мне его победить.

[Info_bot]

Уважаемый(ая) Argstar, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Argstar]

Извините я тут новый не знаю где файл прикреплять, поэтому залил на рг всё.
http://rgho.st/7QRR6szdM
http://rgho.st/7qSmcqD6t
http://rgho.st/private/8MsBmlrGH/942...0b31be8224839e
Не нашёл еще у вас тут хайда. В общем пароль http://virusinfo.info/

- - - - -Добавлено - - - - -

Ребят, сильно нужна помощь. Денег много не могу дать, но 150р с киви улетят если поможете мне.

[Vvvyg]

Извините я тут новый не знаю где файл прикреплять, поэтому залил на рг всё.

Кнопка "Расширенный режим" под окном сообщения, прикрепите, как положено.

[Argstar]

Третьего Файла AVZ - virusinfo_syscure.zip у меня нет.

[Vvvyg]

И не надо, если б правила внимательно читали - поняли бы, почему.

Кейлогер D:\Program\Keyboard Tracer\Logger.exe - сами установили?

Выполните скрипт в AVZ:

begin
 QuarantineFile('C:\Windows\svchost.exe', '');
 QuarantineFile('C:\Users\Кирилл\AppData\Local\Amigo\Application\amigo.exe', '');
 QuarantineFile('C:\Users\Кирилл\AppData\Roaming\Adobe\Manager.exe', '');
 DeleteFile('C:\Windows\svchost.exe', '32');
 DeleteFile('C:\Users\Кирилл\AppData\Local\Amigo\Application\amigo.exe', '32');
 DeleteFile('C:\Users\Кирилл\AppData\Roaming\Adobe\Manager.exe', '32');
 DeleteFileMask('c:\users\кирилл\appdata\local\amigo', '*', true);
 DeleteDirectory('c:\users\кирилл\appdata\local\amigo');
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\Multimedia\Manager" /F', 0, 15000, true);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(4);
 ExecuteRepair(3);
RebootWindows(true);
end.

Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Кроме уже установленных, отметьте галочками также "90 Days Files".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).

[Argstar]

1. Учитывая что кейлогер я ставил для себя, то мне выполнять всё что написано выше?
2. Я прочитал главные правила тут http://virusinfo.info/content.php?r=136-pravila и думал что этого хватит для создания темы.

[Vvvyg]

1. Выполнять, не трогаю кейлоггер.

2. Там красным по белому написано:

Если у Вас 64-разрядная или серверная операционная система, выполнять п.1 данного раздела не следует. Переходите сразу к п.2.

Т. е. если "Скрипт лечения/карантина и сбора информации для раздела "Помогите!" не делали, файла virusinfo_syscure.zip не будет.

[Argstar]

При включении компа сразу такая ошибка http://prntscr.com/c4zs7a
Пропали программы с автозапуска через мсконфиг не могу выставить программы в автозапуске.
И по поводу правил там красным по белому написано не читать я и не читал, а именно поэтому не знал о третьем файле. Хотя мог бы догадаться, но не читая сложно и нет особого смысла это делать.


Я всё сделал.

[Vvvyg]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

CreateRestorePoint:
HKLM\...\Winlogon: [Userinit] wscript C:\Windows\run.vbs,
HKLM-x32\...\Winlogon: [Userinit] wscript C:\Windows\run.vbs, [X]
AppInit_DLLs: C:\ProgramData\xifs\Lightsoft.dll => No File
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  No File
BootExecute: 
GroupPolicy: Restriction - Chrome <======= ATTENTION
HKU\S-1-5-21-2405096165-3456967928-207759134-1000\Software\Microsoft\Internet Explorer\Main,SearchAssistant = hxxp://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRYEqQao2TxTGptbOxpBNf1_PlM2shTAVs5ND75W0tbD4TpMpjasD-Q4aGB3Bcg1Sw6q5wVykDX7LfHUGGhin9wbUIDhFj6gRXMJoBPcc5L3HtryEYi0cemkZVAN5Hteo1cjkbTc5hSANiHNgVEXRhbArLe8AWlq3YxHQ1xuLGvMWZyWc-jmi07Gdx-W2GGY,&q={searchTerms}
SearchScopes: HKLM-x32 -> ielnksrch URL = hxxp://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRYEqQao2TxTGptbOxpBNf1_PlM2shTAVs5ND75W0tbD4TpMpjasD-Q4aGB3Bcg1Sw6q5wVykDX7LfHUGGhin9wbUIDhFj6gRXMJoBPcc5L3HtryEYi0cemkZVAN5Hteo1cjkbTc5hSANiHNgVEXRhbArLe8AWlq3YxHQ1xuLGvMWZyWc-jmi07Gdx-W2GGY,&q={searchTerms}
SearchScopes: HKU\S-1-5-21-2405096165-3456967928-207759134-1000 -> DefaultScope {ielnksrch} URL = hxxp://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRYEqQao2TxTGptbOxpBNf1_PlM2shTAVs5ND75W0tbD4TpMpjasD-Q4aGB3Bcg1Sw6q5wVykDX7LfHUGGhin9wbUIDhFj6gRXMJoBPcc5L3HtryEYi0cemkZVAN5Hteo1cjkbTc5hSANiHNgVEXRhbArLe8AWlq3YxHQ1xuLGvMWZyWc-jmi07Gdx-W2GGY,&q={searchTerms}
SearchScopes: HKU\S-1-5-21-2405096165-3456967928-207759134-1000 -> {ielnksrch} URL = hxxp://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRYEqQao2TxTGptbOxpBNf1_PlM2shTAVs5ND75W0tbD4TpMpjasD-Q4aGB3Bcg1Sw6q5wVykDX7LfHUGGhin9wbUIDhFj6gRXMJoBPcc5L3HtryEYi0cemkZVAN5Hteo1cjkbTc5hSANiHNgVEXRhbArLe8AWlq3YxHQ1xuLGvMWZyWc-jmi07Gdx-W2GGY,&q={searchTerms}
BHO-x32: No Name -> {8E8F97CD-60B5-456F-A201-73065652D099} -> No File
CHR Extension: (Домашняя страница Mail.Ru) - C:\Users\Кирилл\AppData\Local\Google\Chrome\User Data\ChromeDefaultData\Extensions\ccfifbojenkenpkmnbnndeadpfdiffof [2016-07-14]
CHR Extension: (Fast search v3.5) - C:\Users\Кирилл\AppData\Local\Google\Chrome\User Data\ChromeDefaultData\Extensions\leenkjhmbcgekojlkimcbodmniopgfnp [2016-07-18]
CHR Extension: (Визуальные Закладки Mail.Ru) - C:\Users\Кирилл\AppData\Local\Google\Chrome\User Data\ChromeDefaultData\Extensions\oelpkepjlgmehajehfeicfbjdiobdkfj [2016-07-18]
CHR Extension: (Mail.Ru) - C:\Users\Кирилл\AppData\Local\Google\Chrome\User Data\ChromeDefaultData\Extensions\ojlcebdkbpjdpiligkdbbkdkfjmchbfd [2016-07-18]
CHR Extension: (No Name) - C:\Users\Кирилл\AppData\Local\Google\Chrome\User Data\Profile\Extensions\leenkjhmbcgekojlkimcbodmniopgfnp [2016-07-18]
CHR HKLM\...\Chrome\Extension: [fcgnigmofekcllgbiejhmigggmgehkip] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [flliilndjeohchalpbbcdekjklbdgfkk] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [fcgnigmofekcllgbiejhmigggmgehkip] - hxxps://clients2.google.com/service/update2/crx
2016-08-06 17:48 - 2016-08-09 17:49 - 00000000 ____D C:\Program Files (x86)\Mail.Ru
2016-07-31 17:57 - 2016-07-31 17:57 - 00000001 _RHOT C:\Users\Кирилл\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\SpaceSoundPro 1.0
2016-07-31 17:57 - 2016-07-31 17:57 - 00000001 _RHOT C:\ProgramData\xifs
2016-07-31 17:57 - 2016-07-31 17:57 - 00000001 _RHOT C:\Program Files\SpaceSoundPro
2016-07-31 17:57 - 2016-07-31 17:57 - 00000001 _RHOT C:\Program Files (x86)\Zaxar
2016-07-31 17:57 - 2016-07-31 17:57 - 00000001 _RHOT C:\Program Files (x86)\03000200-1469544567-0500-0006-000700080009
2016-07-27 17:47 - 2016-07-31 17:57 - 00000001 _RHOT C:\Users\Кирилл\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Одноклассники.lnk
2016-07-27 17:47 - 2016-07-31 17:57 - 00000001 _RHOT C:\Users\Кирилл\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Вконтакте.lnk
2016-07-26 21:01 - 2016-07-26 21:01 - 00000000 ____D C:\ProgramData\xifss
2016-07-26 17:59 - 2016-07-26 17:59 - 00000000 ____D C:\ProgramData\Ronzaps
2016-07-26 17:58 - 2016-07-27 20:12 - 00000000 ____D C:\Users\Все пользователи\CloudPrinter
2016-07-26 17:57 - 2016-07-26 17:57 - 00000000 ____D C:\extensions
2016-07-18 16:47 - 2016-07-18 16:58 - 00000000 ____D C:\ProgramData\ProductData
2016-07-31 17:57 - 2016-07-31 17:57 - 0000001 _RHOT () C:\Program Files\SpaceSoundPro
2016-07-31 17:57 - 2016-07-31 17:57 - 0000001 _RHOT () C:\Program Files (x86)\03000200-1469544567-0500-0006-000700080009
2016-07-31 17:57 - 2016-07-31 17:57 - 0000001 _RHOT () C:\Program Files (x86)\Zaxar
2016-07-26 17:59 - 2016-07-26 17:59 - 7105536 _____ () C:\Users\Кирилл\AppData\Roaming\agent.dat
2016-07-26 17:58 - 2016-07-26 17:58 - 0054272 _____ () C:\Users\Кирилл\AppData\Roaming\ApplicationHosting.dat
2016-07-26 17:58 - 2016-07-26 17:58 - 0072718 _____ () C:\Users\Кирилл\AppData\Roaming\Biglam.tst
2016-07-26 17:59 - 2016-07-26 17:59 - 0070752 _____ () C:\Users\Кирилл\AppData\Roaming\Config.xml
2016-07-26 17:58 - 2016-07-26 17:58 - 0019536 _____ () C:\Users\Кирилл\AppData\Roaming\InstallationConfiguration.xml
2016-07-26 17:58 - 2016-07-26 17:58 - 0129024 _____ () C:\Users\Кирилл\AppData\Roaming\Installer.dat
2016-08-09 16:26 - 2016-08-10 18:47 - 0000175 _____ () C:\Users\Кирилл\AppData\Roaming\licecap.ini
2016-07-26 17:58 - 2016-07-26 17:58 - 0126464 _____ () C:\Users\Кирилл\AppData\Roaming\lobby.dat
2016-07-26 17:58 - 2016-07-26 17:59 - 0005568 _____ () C:\Users\Кирилл\AppData\Roaming\md.xml
2016-07-26 17:59 - 2016-07-26 17:59 - 0126464 _____ () C:\Users\Кирилл\AppData\Roaming\noah.dat
2016-07-26 17:59 - 2016-07-26 17:59 - 1881838 _____ () C:\Users\Кирилл\AppData\Roaming\Over-Fresh.tst
2016-07-26 17:59 - 2016-07-26 17:59 - 0001150 _____ () C:\Users\Кирилл\AppData\Roaming\uninstall_temp.ico
2016-07-26 17:59 - 2016-07-26 17:59 - 0041472 _____ () C:\Users\Кирилл\AppData\Local\lexikix.dat
2016-07-26 17:59 - 2016-07-26 17:59 - 0000187 _____ () C:\Users\Кирилл\AppData\Local\lexikix.exe.config
AlternateDataStreams: C:\ProgramData\TEMP:41ADDB8A [147]
AlternateDataStreams: C:\ProgramData\TEMP:A064CECC [278]
EmptyTemp:
Reboot:

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, закройте все браузеры, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Сообщите, что с проблемой.

[Argstar]

Что ж вы не сказали, что очистится хром и все вкладки? Я закладки не создаю и всё держу в открытых вкладках и у меня там было много важной инфы.

Ошибки нет и за это Спасибо. А что с мсконфиг? Можно как-то вернуть нужные программы в автозагрузку, которые были до заражения майлсру?

[Vvvyg]

Закройте Google Chrome.
Нажмите комбинацию клавиш Win-R, введите в окне:

%LOCALAPPDATA%\Google\Chrome\User Data

и нажмите Enter. В открывшемся окне правой кнопкой мыши на папке Default ->"Свойства" -> "Предыдущие версии". Выберите версию, созданную при запуске программы FRST (около 14:58 сегодня) и нажмите "Восстановить". Вкладки восстановятся.

А что именно с MSConfig? Верните отключенное в автозагрузку, препятствий не вижу.

[Argstar]

Спасибо большое всё получилось. По поводу майлру - с ними всё кончено? Больше их говнософта нет?
А по поводу мсконфига там нет всех приложений, которые были до заражения. И в настройках софта поставить запуститься вместе с виндовс нет. Вот я и спрашиваю что мне делать, переустановка поможет?

[Vvvyg]

Посмотрите, в папке

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup-

нет ярлыков приложений, которые были в автозагрузке? Если есть - переместите в

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup

Или создайте ярлыки в папке

%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup

Сделайте лог AdwCleaner (by Xplode).

[Argstar]

Спасибо сделаю.
А что по поводу майл ру, он окончательно повержен? Сегодня не было вроде бы никаких установок.

[Vvvyg]

Возможно, какие-то хвосты и остались. AdwCleaner покажет.

[Argstar]

Я скачал программу выше, сохранил ее на раб стол как было написано. Запустил от имени админа и нажал сканировать. Он нашёл две угрозы и когда скан доходил до конца я увидел эту ошибку и программа закрылась http://image.prntscr.com/image/14949...3edde7630d.png
Надеюсь вы простите мне то, что я скидываю скриншот ссылкой, а не прикрепляю к сообщению.

Эээм тут такое дело, я перезапустил комп и попробовал еще раз. В общем он нашел 92 угрозы, а потом опять так же ошибка.

[Vvvyg]

Инструменты -> Настройки - режим установите "Отладка" и попробуйте снова.

[Argstar]

Та же ошибка.

[Vvvyg]

Попробуйте в безопасном режиме.