Помогите, запуск tmp.exe постоянно меняется имя, открывается granena.ru в яндекс-браузере [Trojan.Win32.SelfDel.eeeb ]

[Валерий Метлин]

Здравствуйте, постоянно то появляется то пропадает файл примерно с такими именами AE7D.tmp.exe в папке %temp%, запускается granena.ru в яндексе, удалил все вроде программы рекламные типа АМИГО и прочие которые случайно установились

[Info_bot]

Уважаемый(ая) Валерий Метлин, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mrak74]

Доброй ночи !!!

Лог не тот приложили, должен быть архив zip с датой проверки, как на рисунке 5, правил.

[Валерий Метлин]

точно вот этот должен быть, сплю

[mrak74]

отключите антивирусную программу

Выполните скрипт в AVZ:(в Windows Vista/7/8/10 программу необходимо запускать через правую кнопку мыши Запуск от имени администратора)):

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
  QuarantineFile('C:\Users\Валерий\appdata\local\powermonitor\powermonitor.exe','');
  QuarantineFile('C:\Users\Валерий\AppData\Roaming\PBot\launchall.py','');
  DeleteFile('C:\Users\Валерий\AppData\Roaming\PBot\launchall.py','32');
  DeleteFile('C:\Users\Валерий\appdata\local\powermonitor\powermonitor.exe','32');
  RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','PBot');
  RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','voiyduysqq');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(3);
RebootWindows(true);
end.

После перезагрузки выполните скрипт:

begin 
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Загрузите quarantine.zip из папки AVZ по красной ссылке вверху темы Прислать запрошенный карантин
- Сделайте повторные логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

[Валерий Метлин]

повторный ЛОГ выполнил, отправляю

- - - - -Добавлено - - - - -

и карантин тоже прислал

- - - - -Добавлено - - - - -

_5nnC6NtRTU.jpg

[mrak74]

Выполните скрипт в AVZ:(в Windows Vista/7/8/10 программу необходимо запускать через правую кнопку мыши Запуск от имени администратора)):

begin
 DeleteFile('C:\Users\Валерий\AppData\Local\PowerMonitor\PowerMonitor.exe','32');
 DeleteFile('C:\WINDOWS\system32\Tasks\PowerMonitor','64');
ExecuteSysClean;
RebootWindows(true);
end.

После перезагрузки.

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Windows Vista/Seven/10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S0].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Валерий Метлин]

теперь этот tmp.exe не изменяется не пропадает, его можно удалить ?

[mrak74]

постоянно то появляется то пропадает файл примерно с такими именами AE7D.tmp.exe в папке %temp%

На запуск XXXX.tmp.exe, где XXXX произвольные символы особо не обращайте внимание, в папке %temp% с такими именами могут работать в фоновом режиме вполне легальные приложения.

- - - - -Добавлено - - - - -

Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S0].txt.

Давайте этот лог посмотрим.

теперь этот tmp.exe не изменяется не пропадает, его можно удалить ?

По этому поводу чуть выше уже отписался.

[Валерий Метлин]

вот отчёт, нашлось 7 каких то ключей

- - - - -Добавлено - - - - -

и как я понял granena.ru установлен как адрес домашней страницы которая сама открывалась хаотично, теперь не открывается

- - - - -Добавлено - - - - -

mrak74, мне в ADWCleaner очистку сделать по этим найденным пунктам ?

[mrak74]

mrak74, мне в ADWCleaner очистку сделать по этим найденным пунктам ?

Смотрел и отвечал в другой теме. Да очищайте.

+
Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Полученные в пп. 4 и 5 логи заархивируйте (в один архив) и прикрепите к сообщению.

[Валерий Метлин]

прикрепляю отчёт

[mrak74]

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  
  

  CreateRestorePoint:
  CloseProcesses:
  GroupPolicy: Restriction - Chrome <======= ATTENTION
  GroupPolicy\User: Restriction <======= ATTENTION
  Task: {DD414192-B17D-4E6C-AD98-DB397447BBC2} - \PowerMonitor -> No File <==== ATTENTION
  FirewallRules: [{A88FB587-A58A-49F3-B416-637F67761390}] => C:\Program Files\UBar\ubar.exe
  EmptyTemp:
  Reboot:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[Валерий Метлин]

вот, по моему проблема устранена

- - - - -Добавлено - - - - -

спасибо большое вам, mrak74

[mrak74]

Пожалуйста !!!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 2
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\users\валерий\appdata\local\powermonitor\powerm onitor.exe - Trojan.Win32.SelfDel.eeeb