Подхватил вирусов при скачке бесплатного софта, ай нид хелп [not-a-virus:RiskTool.Win32.KuaiZip.a ]

**VHlam111** · 20.03.2017, 19:16

Добрый день,

На этих выходных скачивал бесплатный софт для увеличения громкости звука при просмотре фильма. Итог - мой комп атаковало огромное количество какойто вирусни, вирусная реклама, всплывающие окошки различных сайтов

Стоял Avira, просканировал им, нашел более 1400 вредных файлов, впервые за мою историю пользования компом увидел такую цифру.

Потом просканил какими-то утилитами Malware (точное название сейчас не вспомню) и Dr.WEB curelt. Обе программы нашли еще парочку вирусов.

Потом с помощью программы Dll suite восстановил поврежденные файлы dll, exe (Ошибок было около 900)

Сейчас из явных проблем вижу, что остался вирусный "типа архиватор" kuaizip - это я вижу при нажатии правой кнопки на любой из файл вверху там значок этого архиватора и какието иероглифы. Также периодически выплывает окно - kuaizip.exe запуск программы невозможен, так как на компьютере отсутствует duilib.dll. Попробуйте переустановить программу.

Также всплывает аналогичное окно, где пишут про duilib.dll но только для update.exe

Нуждаюсь в грамотной помощи от специалистов, логи прикладываю

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 20.03.2017, 19:18

Уважаемый(ая) VHlam111, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**regist** · 22.03.2017, 11:20

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

Код:

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Windows\System32\wsaudio.dll', '');
 QuarantineFile('D:\Program Files (x86)\Letasoft Sound Booster\TurboActivate.dll', '');
 QuarantineFile('C:\Windows\System32\ihctrl32.dll', '');
 QuarantineFile('C:\Windows\winstart.bat', '');
 QuarantineFile('C:\Program Files (x86)\Gptykajetain Controls\local64spl.dll', '');
 QuarantineFileF('C:\Program Files (x86)\Gptykajetain Controls\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFile('C:\Windows\adobe flash\adobe.exe', '');
 QuarantineFile('C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Internet Explorer.lnk', '');
 QuarantineFile('C:\Users\User\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Gооgle Сhrоmе.lnk', '');
 QuarantineFile('C:\Users\User\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Lаunсh Intеrnet Ехрlоrеr Вrowser.lnk', '');
 QuarantineFile('C:\Users\User\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Gооgle Chrоme.lnk', '');
 QuarantineFile('C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Accessories\System Tools\Intеrnet Exрlоrеr (No Add-оns).lnk', '');
 QuarantineFile('C:\Users\User\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Intеrnet Ехрlorеr.lnk', '');
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Gооglе Chromе.lnk', '');
 QuarantineFile('C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Орera.lnk', '');
 QuarantineFile('C:\Users\User\AppData\Roaming\Browsers\exe.emorhc.bat', '');
 QuarantineFile('C:\Users\User\AppData\Roaming\Browsers\exe.erolpxei.bat', '');
 QuarantineFile('C:\Users\User\AppData\Roaming\Browsers\exe.rehcnual.bat', '');
 DeleteFile('C:\Windows\System32\wsaudio.dll', '32');
 DeleteFile('C:\Windows\System32\ihctrl32.dll', '32');
 DeleteFile('C:\Users\User\AppData\Roaming\Browsers\exe.emorhc.bat', '');
 DeleteFile('C:\Users\User\AppData\Roaming\Browsers\exe.erolpxei.bat', '');
 DeleteFile('C:\Users\User\AppData\Roaming\Browsers\exe.rehcnual.bat', '');
 DeleteFile('C:\Users\User\AppData\Roaming\Browsers\exe.emorhc.bat', '32');
 DeleteFile('C:\Users\User\AppData\Roaming\Browsers\exe.erolpxei.bat', '32');
 DeleteFile('C:\Windows\winstart.bat', '32');
 DeleteFile('C:\Program Files (x86)\Gptykajetain Controls\local64spl.dll', '32');
 DeleteFile('C:\Windows\adobe flash\adobe.exe', '32');
 DeleteFileMask('C:\Program Files (x86)\Gptykajetain Controls\', '*', true);
 DeleteDirectory('C:\Program Files (x86)\Gptykajetain Controls\');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\wsaudio\Parameters', 'ServiceDll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\ihctrl32\Parameters', 'ServiceDll');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(3);
 ExecuteRepair(4);
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.
ip[/b] из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Перетащите лог Check_Browsers_LNK.log Перетащите лог Check_Browsers_LNK.log из папки AutoLogger\CheckBrowsersLNK на утилиту ClearLNK. Отчёт о работе прикрепите.

- Сделайте повторные логи по правилам. Для повторной диагностики запустите снова Autologger.

Скачайте AdwCleaner и сохраните его на Рабочем столе.
Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S0].txt.
Прикрепите отчет к своему следующему сообщению.

**VHlam111** · 22.03.2017, 21:06

Здравствуйте, это по первому пункту:

Карантин успешно загружен.
MD5 карантина: 513E6F0C16C74ADC40242805A162E1FE
Размер в байтах: 30040459

- - - - -Добавлено - - - - -

Через утилиту ClearLNK

- - - - -Добавлено - - - - -

Повторная проверка через Autologger

- - - - -Добавлено - - - - -

При втором пункте по поводу AVZ - Cделал как написано, пошел читать скрипт, и экран ушел в синий экран, пошла перезагрузка, где предложили выбрать обычный или безопасный режим, выбрал обычный и виндовс загрузился (возможно так и должно было быть, пишу на всякий случай)

- - - - -Добавлено - - - - -

Adwcleaner нашел 7 угроз, связанных с Kuaizip

Лог прикладываю

- - - - -Добавлено - - - - -

После всех проверок, при нажатии любых файлов правой кнопкой выше остались остатки Kuaizip

Фото приложил kuaizip.jpg

- - - - -Добавлено - - - - -

https://virusinfo.info/virusdetector...242805A162E1FE

ссылка по отчету

**regist** · 22.03.2017, 22:37

1) От предыдущего скрипта

- Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы.

2) Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

Код:

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 SetServiceStart('F06DEFF2-5B9C-490D-910F-35D3A91196222', 4);
 StopService('F06DEFF2-5B9C-490D-910F-35D3A91196222');
 QuarantineFile('C:\Windows\winstart.bat', '');
 QuarantineFileF('C:\ProgramData\107z234z642l860\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFile('C:\Program Files (x86)\Gptykajetain Controls\local64spl.dll', '');
 QuarantineFileF('C:\Program Files (x86)\Gptykajetain Controls\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFile('C:\Windows\system32\wsaudio.dll', '');
 QuarantineFile('C:\Windows\system32\ihctrl32.dll', '');
 QuarantineFile('C:\Windows\adobe flash\adobe.exe', '');
 DeleteFile('C:\Windows\winstart.bat', '32');
 DeleteFile('C:\Program Files (x86)\Gptykajetain Controls\local64spl.dll', '32');
 DeleteFile('C:\Program Files (x86)\Settings Manager\systemk\x64\systemkmgrc2.cfg', '32');
 DeleteFile('C:\Windows\adobe flash\adobe.exe', '32');
 DeleteFile('C:\Windows\system32\ihctrl32.dll', '32');
 DeleteFile('C:\Windows\System32\wsaudio.dll', '32');
 DeleteService('F06DEFF2-5B9C-490D-910F-35D3A91196222');
 DeleteFileMask('C:\ProgramData\107z234z642l860\', '*', true);
 DeleteFileMask('C:\Program Files (x86)\Gptykajetain Controls\', '*', true);
 DeleteDirectory('C:\ProgramData\107z234z642l860\');
 DeleteDirectory('C:\Program Files (x86)\Gptykajetain Controls\');
 DelBHO('{8dcb7100-df86-4384-8842-8fa844297b3f}');
 DelBHO('{D5FEC983-01DB-414a-9456-AF95AC9ED7B5}');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\VKSaver', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', 'IME');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\wsaudio\Parameters', 'ServiceDll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\ihctrl32\Parameters', 'ServiceDll');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteRepair(3);
 ExecuteRepair(4);
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

3) - Файл quarantine.zip из папки AVZ загрузите по ссылке Прислать запрошенный карантин вверху темы.

4) - Сделайте повторные логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

**VHlam111** · 22.03.2017, 23:04

Выполнено

**regist** · 23.03.2017, 10:57

Сделайте полный образ автозапуска uVS, только программу скачайте отсюда.

**VHlam111** · 23.03.2017, 18:56

Выполнил

**regist** · 23.03.2017, 20:48

Выполните скрипт в uVS

Код:

;uVS v3.87.10 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v388c
BREG
delall %SystemDrive%\PROGRAM FILES (X86)\YOUTUBE ADBLOCKIE\0VJLIDXI.DLL
delall %SystemDrive%\PROGRAMDATA\107Z234Z642L860\107Z234Z642L860.DLL
deldir %SystemDrive%\PROGRAM FILES\ЇМС№\X64\LANG
delref %SystemDrive%\USERS\USER\APPDATA\ROAMING\PAWATION\DAPASY.DLL
delall HTTP://GO.MAIL.RU/DISTIB/EP/?PRODUCT_ID=%7B422DA622-039B-4DFD-B13A-0A8F1B90F437%7D&GP=811022
zoo %SystemDrive%\PROGRAM FILES\ЇМС№\X64\KZIPSHELL.DLL
bl CDF4D23DF41D8B1CB3F03BFF160684DF 524696
delall %SystemDrive%\PROGRAM FILES\ЇМС№\X64\KZIPSHELL.DLL
deldir %SystemDrive%\PROGRAM FILES\ЇМС№\X86
delall %SystemDrive%\PROGRAMDATA\PLUSDAXS\FF.HP
delall %SystemDrive%\PROGRAMDATA\PLUSDAXS\FF.NT
delall %SystemDrive%\USERS\USER\APPDATA\LOCAL\KEMGADEOJGLIBFLOMICGNFEOPKDFFLNK
deldir %SystemDrive%\USERS\USER\APPDATA\ROAMING\KUAIZIP
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.21.115\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.22.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.22.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.23.9\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.23.9\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.24.15\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.24.15\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.24.7\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.24.7\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.11\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.11\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.25.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.26.9\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.26.9\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.27.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.27.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.1\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.1\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.13\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.13\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.15\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.28.15\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.1\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.1\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.29.5\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.30.3\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.30.3\PSMACHINE_64.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE.DLL
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\UPDATE\1.3.31.5\PSMACHINE_64.DLL
delall KUAIZIP SHELL EXTENSION\[CLSID]
delall %SystemDrive%\PROGRAM FILES (X86)\YOUTUBE ADBLOCKIE\LN8ZEBX.DLL
delall %SystemDrive%\PROGRAM FILES (X86)\YOUTUBE ADBLOCKIE\UUZI1F0L.EXE
delall %SystemDrive%\PROGRAM FILES\MY WEB SHIELD\MWESHIELDUP.EXE
czoo
restart

что с проблемой?

**VHlam111** · 23.03.2017, 21:04

Файл ZOO загрузил

Что имеется на данный момент, иероглифы от kuaizip при нажатии правой кнопки пропали - это радует
Также периодически на рабочем столе всплывало уменьшенное окно с рекламой (картинки и китайские иероглифы) - пока тоже его не видел

**regist** · 23.03.2017, 22:51

Проблема решена?

**VHlam111** · 23.03.2017, 23:57

Да, проблема решена, спасибо большое за помощь!

**regist** · 24.03.2017, 18:14

Выполните скрипт в AVZ при наличии доступа в интернет:

Код:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Советы и рекомендации после лечения компьютера

**VHlam111** · 24.03.2017, 19:34

Cпасибо, была найдена одна уязвимость, был установлен
Security Update for Microsoft XML Core Services 4.0 Service Pack 3 (KB2758694)

Спасибо за квалифицированную помощь

**CyberHelper** · 24.03.2017, 19:44

Статистика проведенного лечения:

Получено карантинов: 2
Обработано файлов: 6
В ходе лечения обнаружены вредоносные программы:
1. c:\windows\adobe flash\adobe.exe - Trojan-Clicker.Win32.VB.ipy ( BitDefender: Trojan.Generic.9325529 )
2. c:\windows\system32\wsaudio.dll - not-a-virus:AdWare.Win32.Esprot.alo
3. \kzipshell.dll._ecbe02fdab71e9c4544b5fe5c8f90bae01 21ecff - not-a-virus:RiskTool.Win32.KuaiZip.a

Подхватил вирусов при скачке бесплатного софта, ай нид хелп [not-a-virus:RiskTool.Win32.KuaiZip.a ] (заявка № 210416)

Опции темы