Загружаются неизвестные программы [not-a-virus:AdWare.Win32.Agent.kdcm ]

[mearcair]

Уже долгое время практически ежедневно происходит загрузка и запуск разных экзешников, после чисток трояны находятся, удаляются, и затем все повторяется. Месяц назад программы загружались скопом одновременно (различные Zaxar и Амиго в том числе), после удаления подозрительных задач из планировщика и установки др.веба стало порядка четырех запросов от брандмауэра в день из папки Temp; некоторые (как WinSnare) все равно устанавливаются, несмотря на защиту.

[Info_bot]

Уважаемый(ая) mearcair, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[SQ]

Здравствуйте,

AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); 
 TerminateProcessByName('C:\Windows\Temp\DPTF\esif_assist_64.exe');
 StopService('BangcarSU');
 StopService('BirdjobSU');
 StopService('FirefoxU');
 StopService('PearhasSU');
 StopService('ed2kidle');
 DeleteService('BangcarSU');
 DeleteService('BirdjobSU');
 DeleteService('FirefoxU');
 DeleteService('PearhasSU');
 DeleteService('ed2kidle');
 QuarantineFile('C:\Program Files (x86)\Firefox\bin\FirefoxUpdate.exe','');
 QuarantineFile('C:\Program Files (x86)\MIO\MIO.exe','');
 QuarantineFile('C:\Program Files (x86)\amuleCexx\ed2k.exe','');
 QuarantineFile('C:\ProgramData\Apple\Apps\config.dll','');
 QuarantineFile('C:\ProgramData\RenewalService\Service.exe','');
 QuarantineFile('C:\Users\RIOTTO~1\AppData\Local\Temp\1\BaofengUpdate_U.exe','');
 QuarantineFile('C:\Users\RIOTTO~1\AppData\Local\Temp\3\BaofengUpdate_U.exe','');
 QuarantineFile('C:\Users\riottoday\AppData\Roaming\WinSAPSvc\WinSAP.dll','');
 QuarantineFile('C:\Users\riottoday\AppData\Roaming\WinSnare\WinSnare.dll','');
 QuarantineFile('C:\Users\riottoday\AppData\Roaming\phoenix.engine.v01.212711\of.18.exe','');
 QuarantineFile('C:\Users\riottoday\appdata\roaming\winsapsvc\winsap.dll','');
 QuarantineFile('C:\Windows\Temp\DPTF\esif_assist_64.exe','');
 QuarantineFile('uaclauncher.exe','');
 DeleteFile('C:\Program Files (x86)\Firefox\bin\FirefoxUpdate.exe','32');
 DeleteFile('C:\Program Files (x86)\MIO\MIO.exe','32');
 DeleteFile('C:\Program Files (x86)\amuleCexx\ed2k.exe','32');
 DeleteFile('C:\ProgramData\Apple\Apps\config.dll','32');
 DeleteFile('C:\ProgramData\RenewalService\Service.exe','32');
 DeleteFile('C:\Users\RIOTTO~1\AppData\Local\Temp\1\BaofengUpdate_U.exe','32');
 DeleteFile('C:\Users\RIOTTO~1\AppData\Local\Temp\3\BaofengUpdate_U.exe','32');
 DeleteFile('C:\Users\riottoday\AppData\Roaming\WinSAPSvc\WinSAP.dll','32');
 DeleteFile('C:\Users\riottoday\AppData\Roaming\WinSnare\WinSnare.dll','32');
 DeleteFile('C:\Users\riottoday\appdata\roaming\winsapsvc\winsap.dll','32');
 ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\Diagnosis\RenewalService" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Milimili" /F', 0, 15000, true);
 DeleteFile('C:\Windows\Temp\DPTF\esif_assist_64.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Apps_Cfg\Parameters','ServiceDll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\WinSAPSvc\Parameters','ServiceDll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\WinSnare\Parameters','ServiceDll');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(3);
 ExecuteRepair(4);
 ExecuteRepair(9);
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Подготовьте лог AdwCleaner и приложите его в теме.

[mearcair]

Cпасибо! Прикрепляю отчет:

[SQ]

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

[mearcair]

Повторные удаления ничего не дают:

[SQ]

- Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
  
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[mearcair]

Спасибо, прикрепляю:

[SQ]

• Закройте и сохраните все открытые приложения.
• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  CloseProcesses:
  HKLM-x32\...\Run: [sun11] => [X]
  ShellExecuteHooks: No Name - {02635D80-A738-11E6-8C1E-64006A5CFC23} -  -> No File
  Edge HomeButtonPage: HKU\S-1-5-21-3620156991-55537719-4232963076-1001 -> hxxp://www.startpageing123.com/?type=hp&ts=1487763059&z=228ef78921c07d2a1979be4g0zfb9mbm1q3c9g6o0g&from=ggg0221&uid=ST500LT012-1DG142_S3PYG7YQXXXXS3PYG7YQ
  CHR HomePage: Profile 1 -> hxxp://www.funnysearching.com/
  CHR StartupUrls: Profile 1 -> "hxxp://www.yoursearching.com/?type=hp&ts=1456171879&z=56b479506b8eb5caaadc1fbg0z9weq5g7m7g8b0b5g&from=free&uid=ST500LT012-1DG142_S3PYG7YQXXXXS3PYG7YQ","hxxp://www.yoursearching.com/?type=hp&ts=1457867608&z=9035c1ce347a1a4c4ecb4bbg6z8wdm7b5q9m2q1gdz&from=free&uid=ST500LT012-1DG142_S3PYG7YQXXXXS3PYG7YQ","hxxp://www.hohosearch.com/?mode=nnnb&ptid=fss&uid=B684CABE873688042107EF3EC4ED09D5&v=20160323&ts=AHEpCHQsCHQnBE..","hxxp://www.trotux.com/?z=82ad4bb2c278ca09cf64383gezfb7edcec7g6z8z8c&from=ftp&uid=ST500LT012-1DG142_S3PYG7YQXXXXS3PYG7YQ&type=hp","hxxp://mail.ru/cnt/7993/"
  2016-05-24 14:29 - 2016-05-24 14:29 - 0000016 _____ () C:\ProgramData\mntemp
  2016-05-24 14:29 - 2016-05-24 14:29 - 0004131 _____ () C:\ProgramData\rxsmznjf.z
  2017-03-20 02:23 - 2017-03-20 02:23 - 0000000 ____D () C:\Users\riottoday\AppData\Local\Temp\NotificationController.dll
  2017-03-20 02:23 - 2017-03-20 02:23 - 0000000 ____D () C:\Users\riottoday\AppData\Local\Temp\ntdll.dll
  2017-03-20 02:23 - 2017-03-20 02:23 - 0000000 ____D () C:\Users\riottoday\AppData\Local\Temp\TwinUI.dll
  HKLM\...\StartupApproved\Run: => "WINCOMQG1"
  Reboot:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите.
• Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[mearcair]

Прикрепляю:

upd: на всякий добавил лог AdwCleaner

[SQ]

Сообщите, что с проблемой?

[mearcair]

Adw показывает, что Хром заражен :с
лог:

[SQ]

Уточните пожалуйста, у Вас chrome синзронизирован?

[mearcair]

Да, три устройства под одним профилем: проблемный ноут (вин10), стационарный пк (вин7) и андроид-смартфон.

[SQ]

Если отключить синхронизацию и удалить угрозу, проблема воспроивзодиться?

[mearcair]

Спасибо! Удалено все, кроме одной угрозы:

[SQ]

Пробуйте удалить и приложить новые логи FRST.

[mearcair]

Прикладываю

[SQ]

Сообщите, что с проблемой?

[mearcair]

Синхронизация отключена, результаты все равно: http://take.ms/z5KAA

Можно ли следующим сообщением прикрепить логи со второго зараженного устройства, или лучше создать отдельную тему?