Подозрение на не вылеченный вирус

**dearom** · 28.03.2017, 17:06

Добрый день!
Полечили комп Dr Web Cureit он нашел около 300 вирусов, что надо удалил, переместил и вылечил. В планировщике остались задания Kingdom Kit с запуском какой то DLL, я их удалил вручную, но подозрение что что-то осталось есть.
Прошу помочь!
Логи прилагаю.
Спасибо!

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 28.03.2017, 17:09

Уважаемый(ая) dearom, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**Сомнение** · 29.03.2017, 11:36

Добрый день!

Удалите:

Код:

Kinoroom Browser [2015/07/10 14:20:36]-->C:\Program Files\Kinoroom Browser\Uninstall.exe
Genie Cleaner [2016/02/22 11:34:58]-->C:\Program Files\Genie Soft\Genie Cleaner\Uninstall.exe
Genie Wifi [2016/02/22 11:39:28]-->C:\Program Files\Genie Soft\Genie Wifi\Uninstall.exe

Удалите, если не пользуетесь:

Код:

Unity Web Player [2016/12/02 11:02:13]-->C:\Users\_ Arxangel_\AppData\Local\Unity\WebPlayer\Uninstall.exe /CurrentUser

Вам необходимо:

1. Выполнить следующий скрипт в AVZ:

Код:

begin
 QuarantineFile('C:\Windows\system32\drivers\qutmipc.sys', '');
 QuarantineFile('C:\Users\_ Arxangel_\AppData\Roaming\newSI_1021\s_inst.exe', '');
 QuarantineFile('C:\Users\_ Arxangel_\AppData\Roaming\newSI_1007\s_inst.exe', '');
 QuarantineFile('C:\Users\_ Arxangel_\AppData\Roaming\780fde2d-bd93-42d8-bcd1-e07af7e674f4\780fde2d-bd93-42d8-bcd1-e07af7e674f4.exe', '');
 QuarantineFile('C:\Users\_ Arxangel_\AppData\Local\Baidu\BaiduBrowser\7.4.502.1641\bdupdate.exe', '');
 QuarantineFile('C:\Users\_ Arxangel_\AppData\Roaming\Browsers\exe.atemok.bat', '');
 QuarantineFile('C:\Users\_ Arxangel_\AppData\Roaming\Browsers\exe.resworb.bat', '');
 QuarantineFile('C:\Windows\System32\wsaudio.dll', '');
 QuarantineFile('C:\Windows\System32\ihctrl32.dll', '');
 QuarantineFile('C:\Program Files\skinapp\skinapp.exe', '');
 QuarantineFile('C:\Users\_ Arxangel_\AppData\Local\Kingdom Kit\{F2C8BBBB-1719-BD64-A8FF-479551F71337}\{CD4843C7-339D-649E-A56B-8B294F8CBA42}.dll', '');
 DeleteFile('C:\Program Files\skinapp\skinapp.exe', '32');
 DeleteFile('C:\Users\_ Arxangel_\AppData\Roaming\Browsers\exe.resworb.bat', '32');
 DeleteFile('C:\Users\_ Arxangel_\AppData\Roaming\Browsers\exe.atemok.bat', '32');
 DeleteFile('C:\Users\_ Arxangel_\AppData\Local\Amigo\Application\amigo.exe', '32');
 DeleteFile('C:\Users\_ Arxangel_\AppData\Local\Baidu\BaiduBrowser\7.4.502.1641\bdupdate.exe', '32');
 DeleteFile('C:\Users\_ Arxangel_\AppData\Roaming\780fde2d-bd93-42d8-bcd1-e07af7e674f4\780fde2d-bd93-42d8-bcd1-e07af7e674f4.exe', '32');
 DeleteFile('C:\Users\_ Arxangel_\AppData\Roaming\newSI_1007\s_inst.exe', '32');
 DeleteFile('C:\Users\_ Arxangel_\AppData\Roaming\newSI_1021\s_inst.exe', '32');
 DeleteFile('C:\Windows\system32\drivers\qutmipc.sys', '32');
 DeleteFile('C:\Users\_ Arxangel_\AppData\Local\Kingdom Kit\{F2C8BBBB-1719-BD64-A8FF-479551F71337}\{CD4843C7-339D-649E-A56B-8B294F8CBA42}.dll', '32');
 DeleteFileMask('C:\Users\_ Arxangel_\AppData\Roaming\newSI_1021', '*', true);
 DeleteFileMask('C:\Users\_ Arxangel_\AppData\Roaming\newSI_1007', '*', true);
 DeleteFileMask('C:\Users\_ Arxangel_\AppData\Local\Baidu', '*', true);
 DeleteFileMask('C:\Users\_ Arxangel_\AppData\Local\Kingdom Kit', '*', true);
 DeleteDirectory('C:\Users\_ Arxangel_\AppData\Roaming\newSI_1021');
 DeleteDirectory('C:\Users\_ Arxangel_\AppData\Roaming\newSI_1007');
 DeleteDirectory('C:\Users\_ Arxangel_\AppData\Local\Baidu');
 DeleteDirectory('C:\Users\_ Arxangel_\AppData\Local\Kingdom Kit');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'skinapp');
 ExecuteFile('schtasks.exe', '/delete /TN "newSI_1021" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "newSI_1007" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "780fde2d-bd93-42d8-bcd1-e07af7e674f4" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "BdBrowserUpdater" /F', 0, 15000, true);
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 2, true);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.

Компьютер будет перезагружен.
Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху данной темы.

2. Перетащите лог Check_Browsers_LNK.log из папки с AutoLogger'ом на утилиту ClearLNK, как показано на картинке.
Лог результата работы программы прикрепите в ответном письме.

3. Сделайте и пришлите в ответном сообщении лог AdwCleaner и новый лог AutoLogger'a.

**dearom** · 29.03.2017, 13:37

Готово!
Почему-то при загрузке карантина пишет

"Результат загрузки
Ошибка загрузки. Данный файл уже был загружен"

**Сомнение** · 30.03.2017, 11:46

Удалите все найденное AdwCleaner'ом.
Потребуется перезагрузка компьютера. Лог сформированный после удаления предоставьте в ответном сообщении.

Скачайте Farbar Recovery Scan Tool

и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
Нажмите кнопку Scan.
После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

**dearom** · 30.03.2017, 13:17

Выполнил!

**Сомнение** · 31.03.2017, 13:48

Удалите программы:

Код:

GamesDesktop 033.025010027 (HKLM\...\gmsd_ru_025010027_is1) (Version:  - GAMESDESKTOP) <==== ATTENTION
GamesDesktop 033.120 (HKLM\...\gmsd_ru_120_is1) (Version:  - GAMESDESKTOP) <==== ATTENTION
Kingdom Kit (HKU\S-1-5-21-3459889908-1176084547-2465588112-1000\...\{F7AA8C30-F72A-230B-DCAE-A6F76E293E82}) (Version: 1.9.6 - Component Rest corp) <==== ATTENTION

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

Код:

CreateRestorePoint:
CloseProcesses:
CustomCLSID: HKU\S-1-5-21-3459889908-1176084547-2465588112-1000_Classes\CLSID\{5A8FF410-F3CE-4844-B31B-F18D911239E8}\InprocServer32 -> C:\Users\_ARXAN~1\AppData\Local\Mail.Ru\GAMECE~1\NPDETE~1.DLL => No File
CustomCLSID: HKU\S-1-5-21-3459889908-1176084547-2465588112-1000_Classes\CLSID\{A2DF06F9-A21A-44A8-8A99-8B9C84F29160}\localserver32 -> C:\Users\_ Arxangel_\AppData\Local\Chromium\Application\45.0.2433.0\delegate_execute.exe (IMALI - N.I. MEDIA LTD) <==== ATTENTION
C:\Users\_ Arxangel_\AppData\Local\Chromium\Application\45.0.2433.0\delegate_execute.exe
Task: {1329CBEE-F72C-4369-8D76-EE6ADD49FFED} - System32\Tasks\Microsoft\Windows\SystemRestore\780fde2d-bd93-42d8-bcd1-e07af7e674f4 => C:\Users\_ Arxangel_\AppData\Roaming\780fde2d-bd93-42d8-bcd1-e07af7e674f4\780fde2d-bd93-42d8-bcd1-e07af7e674f4.exe  <==== ATTENTION
Task: {C073F9F1-E681-42A3-A39D-D8A473536C4A} - \{18FCA299-0A22-431D-BF81-7D4EA186FF74} -> No File <==== ATTENTION
2016-06-28 20:31 - 2014-08-31 16:34 - 00294912 _____ () C:\Users\_ Arxangel_\AppData\Roaming\nssm.exe
AlternateDataStreams: C:\ProgramData\TEMP:1CE11B51 [160]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:1CE11B51 [160]
FirewallRules: [{3987FED6-7DDE-4280-9C0F-CF2388CCC02C}] => (Allow) C:\program files\common files\tencent\qqdownload\130\bugreport_xf.exe
FirewallRules: [{467E2213-502D-4BB3-B475-E261EDA39B79}] => (Allow) C:\program files\common files\tencent\qqdownload\130\bugreport_xf.exe
FirewallRules: [{83B9F7F6-EAD9-42BD-A423-09BB39ABC5FB}] => (Allow) C:\Program Files\Baidu\BaiduSd\4.1.0.7423\BaiduSdUProxy64.exe
FirewallRules: [{2B3B8FE3-082D-416F-81B7-AE9EE95EA089}] => (Allow) C:\Program Files\Baidu\BaiduSd\4.1.0.7423\BaiduSdUProxy64.exe
FirewallRules: [{2A83EE32-4713-485C-B439-873B4A22C524}] => (Allow) C:\Program Files\Baidu\BaiduSd\4.1.0.7423\BaiduSdUProxy64.exe
FirewallRules: [{63A4471A-7AF2-4E16-A265-76B9F3DA4A28}] => (Allow) C:\Program Files\Baidu\BaiduSd\4.1.0.7423\BaiduSdUProxy64.exe
FirewallRules: [{8F81003F-8EE0-4733-AED6-99B1CD36A4BE}] => (Allow) C:\Program Files\Baidu\BaiduSd\4.1.0.7423\BaiduSdUProxy64.exe
FirewallRules: [{3D9B5B14-2006-4DE6-8A56-A5C3C2858B15}] => (Allow) C:\Program Files\Baidu\BaiduSd\4.1.0.7423\BaiduSdUProxy64.exe
FirewallRules: [{3115657C-DFEA-4F38-8A94-1E87F3861726}] => (Allow) C:\program files\common files\tencent\qqdownload\130\bugreport_xf.exe
FirewallRules: [{D2FF4BB5-C285-45E4-806A-8D7C4A7E0AC6}] => (Allow) C:\Users\_ Arxangel_\AppData\Local\Baidu\BaiduBrowser\7.4.502.1641\baidubrowser.exe
FirewallRules: [{0C48B64B-F39C-44C3-9B15-6AAA8CCEE7AF}] => (Allow) C:\Users\_ Arxangel_\AppData\Local\Baidu\BaiduBrowser\7.4.502.1641\baidubrowser.exe
FirewallRules: [{25407A30-6CE4-447F-8F8F-D1289033B961}] => (Allow) C:\Users\_ Arxangel_\AppData\Local\Baidu\BaiduBrowser\7.4.502.1641\baidubrowser.exe
FirewallRules: [{6B65A4B9-2B28-40D7-A235-CCDF9C1031E4}] => (Allow) C:\Users\_ Arxangel_\AppData\Local\Baidu\BaiduBrowser\7.4.502.1641\baidubrowser.exe
FirewallRules: [{3ABDFB78-25AE-46B0-8CB8-126A18769951}] => (Allow) C:\Users\_ Arxangel_\AppData\Local\Baidu\BaiduBrowser\7.4.502.1641\baidubrowser.exe
FirewallRules: [{CAB1F5EB-5F81-4C76-BBD9-E67494599809}] => (Allow) C:\Users\_ Arxangel_\AppData\Local\Baidu\BaiduBrowser\7.4.502.1641\baidubrowser.exe
FirewallRules: [{08EF5A1A-76D3-4F10-A21A-30EB36E54D5E}] => (Allow) C:\Users\_ Arxangel_\AppData\Local\Baidu\BaiduBrowser\7.4.502.1641\bdupdate.exe
FirewallRules: [{015A3239-2B44-4051-93D6-5F6F435145AD}] => (Allow) C:\Users\_ Arxangel_\AppData\Local\Baidu\BaiduBrowser\7.4.502.1641\bdupdate.exe
FirewallRules: [{E7F6AF5E-0D03-468F-A91E-5DF082AE4D1B}] => (Allow) C:\Users\_ Arxangel_\AppData\Local\Baidu\BaiduBrowser\7.4.502.1641\bdupdate.exe
FirewallRules: [{239A9F3F-C084-4150-826E-55E8C7D98B22}] => (Allow) C:\Users\_ Arxangel_\AppData\Local\Baidu\BaiduBrowser\7.4.502.1641\bdupdate.exe
FirewallRules: [{123DC7EC-F168-49D9-B8E9-8AC887CA2E2E}] => (Allow) C:\Users\_ Arxangel_\AppData\Local\Baidu\BaiduBrowser\7.4.502.1641\bdupdate.exe
FirewallRules: [{31B96E24-AEDB-408D-A4E6-69A3F61A1988}] => (Allow) C:\Users\_ Arxangel_\AppData\Local\Baidu\BaiduBrowser\7.4.502.1641\bdupdate.exe
FirewallRules: [{120DB394-DD37-4ADF-AF4C-CD429F98A1CF}] => (Allow) C:\Users\_ Arxangel_\AppData\Local\Baidu\BaiduBrowser\7.4.502.1641\bdcrashreport.exe
FirewallRules: [{25A1CEF2-7AC2-4FFB-9309-828E64E92E1B}] => (Allow) C:\Users\_ Arxangel_\AppData\Local\Baidu\BaiduBrowser\7.4.502.1641\bdcrashreport.exe
FirewallRules: [{4A8A2BF0-A5B7-4B36-8988-69534DE029A1}] => (Allow) C:\Users\_ Arxangel_\AppData\Local\Baidu\BaiduBrowser\7.4.502.1641\bdcrashreport.exe
FirewallRules: [{3A3CC216-B95E-4701-8CBA-92FCD4EB6687}] => (Allow) C:\Users\_ Arxangel_\AppData\Local\Baidu\BaiduBrowser\7.4.502.1641\bdcrashreport.exe
FirewallRules: [{7876C365-3160-4E32-AA86-62E4D1520BE0}] => (Allow) C:\Users\_ Arxangel_\AppData\Local\Baidu\BaiduBrowser\7.4.502.1641\bdcrashreport.exe
FirewallRules: [{78EA5DED-3871-4A9B-8AAF-523247DCB15B}] => (Allow) C:\Users\_ Arxangel_\AppData\Local\Baidu\BaiduBrowser\7.4.502.1641\bdcrashreport.exe
FirewallRules: [{0474910A-9A03-45C7-BC31-449ADFFE9535}] => (Allow) C:\Users\Public\Documents\Tencent\QQGameZone\IEProc.exe
FirewallRules: [{07783DE3-5805-42FC-B959-BF641A5677FC}] => (Allow) C:\Users\Public\Documents\Tencent\QQGameZone\QQGameBoxSvc.exe
FirewallRules: [{E70EDAE5-2D33-4127-B2D3-B311C1B02FFB}] => (Allow) C:\Users\Public\Documents\Tencent\QQGameZone\QQGameZone.exe
FirewallRules: [{E9F06461-A5B6-42D0-9CD8-28B60B613121}] => (Allow) C:\program files\common files\tencent\qqdownload\130\bugreport_xf.exe
FirewallRules: [{76610BD3-01D2-4F24-A013-C1A1A5B130F1}] => (Allow) C:\Program Files\Tencent\QQPCMgr\10.8.16208.227\plugins\WechatBackup\WechatBackup.exe
FirewallRules: [{84B2F6A2-EDD1-48F2-A355-87B16054AC23}] => (Allow) C:\Program Files\Tencent\QQPCMgr\10.8.16208.227\plugins\WechatBackup\WechatBackup.exe
FirewallRules: [{35E5F27A-4612-4512-96CD-0BD1ADC3C441}] => (Allow) C:\program files\common files\tencent\qqdownload\130\bugreport_xf.exe
FirewallRules: [TCP Query User{0F25FEDB-5D5D-40EE-93AF-9905337F6C07}C:\program files\common files\tencent\qqdownload\130\tencentdl.exe] => (Block) C:\program files\common files\tencent\qqdownload\130\tencentdl.exe
FirewallRules: [UDP Query User{3C580EAD-83F9-4BD4-899B-25D593632D4B}C:\program files\common files\tencent\qqdownload\130\tencentdl.exe] => (Block) C:\program files\common files\tencent\qqdownload\130\tencentdl.exe
FirewallRules: [{DD1FC26C-38B9-4A22-B945-1B0798E5C63F}] => (Allow) C:\program files\common files\tencent\qqdownload\131\tencentdl.exe
FirewallRules: [{19F6AB1C-D94F-460A-88FE-CDB5EBC81067}] => (Allow) C:\program files\common files\tencent\qqdownload\131\bugreport_xf.exe
FirewallRules: [{B6F0D788-31A3-4675-A10C-C61E69431B75}] => (Allow) C:\Program Files\Tencent\QQPCMgr\11.6.17645.227\plugins\WechatBackup\WechatBackup.exe
FirewallRules: [{C354FF47-58F8-4C05-BA82-E9C8532D996F}] => (Allow) C:\Program Files\Tencent\QQPCMgr\11.6.17645.227\plugins\WechatBackup\WechatBackup.exe
FirewallRules: [{3B4B1ABA-1F2E-470C-B737-1B492173F2FE}] => (Allow) C:\Program Files\Mobogenie3\mobogenieP2sp.exe
FirewallRules: [{3DC3518E-2277-4443-B16D-95FEB5F00DA9}] => (Allow) C:\Program Files\Mobogenie3\mobogenieP2sp.exe
FirewallRules: [{296672E0-06A9-44F6-8E33-46F1563365ED}] => (Allow) C:\Users\_ Arxangel_\AppData\Local\Amigo\Application\amigo.exe
C:\Users\_ Arxangel_\AppData\Roaming\nssm.exe
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> No File
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
CHR HKU\S-1-5-21-3459889908-1176084547-2465588112-1000\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
HKU\.DEFAULT\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
SearchScopes: HKU\S-1-5-21-3459889908-1176084547-2465588112-1000 -> {C3BBCD0B-9234-4d36-9151-EC49EE32FCE3} URL = hxxp://www.baidu.com/s?wd={searchTerms}&tn=28026190_dg&ie=utf-8
SearchScopes: HKU\S-1-5-21-3459889908-1176084547-2465588112-1000 -> {4AD43A14-AA87-4d4b-A345-B0BC1C61BC76} URL = hxxp://www.google.cn/search?hl=zh-CN&q={searchTerms}
FF ProfilePath: C:\Users\_ Arxangel_\AppData\Roaming\Mozilla\Firefox\Profiles\9h3m9qao.default [2017-03-27]
FF DefaultSearchEngine: Mozilla\Firefox\Profiles\9h3m9qao.default -> istartpageing
FF SelectedSearchEngine: Mozilla\Firefox\Profiles\9h3m9qao.default -> istartpageing
FF Extension: (No Name) - C:\Users\_ Arxangel_\AppData\Roaming\Mozilla\Firefox\Profiles\9h3m9qao.default\Extensions\3a17-d4fc-9edd-f155 [2017-01-23]
FF Extension: (Best Tours) - C:\Users\_ Arxangel_\AppData\Roaming\Mozilla\Firefox\Profiles\9h3m9qao.default\Extensions\@jetpack-easy-turism2.xpi [2016-04-01]
FF Extension: (shopping blast) - C:\Users\_ Arxangel_\AppData\Roaming\Mozilla\Firefox\Profiles\9h3m9qao.default\Extensions\[email protected] [2015-04-06] [not signed]
FF Extension: (No Name) - C:\Users\_ Arxangel_\AppData\Roaming\Mozilla\Firefox\Profiles\9h3m9qao.default\Extensions\3a17-d4fc-9edd-f155 [2017-01-23]
FF Extension: (Best Tours) - C:\Users\_ Arxangel_\AppData\Roaming\Mozilla\Firefox\Profiles\9h3m9qao.default\Extensions\@jetpack-easy-turism2.xpi [2016-04-01]
FF Extension: (shopping blast) - C:\Users\_ Arxangel_\AppData\Roaming\Mozilla\Firefox\Profiles\9h3m9qao.default\Extensions\[email protected] [2015-04-06] [not signed]
FF Extension: (PhoenixGuard) - C:\Users\_ Arxangel_\AppData\Roaming\Mozilla\Firefox\Profiles\9h3m9qao.default\Extensions\[email protected] [2016-03-25] [not signed]
FF Extension: (Neiron Search Tools) - C:\Users\_ Arxangel_\AppData\Roaming\Mozilla\Firefox\Profiles\9h3m9qao.default\Extensions\[email protected] [2017-01-24]
FF Extension: (Sport Jam) - C:\Users\_ Arxangel_\AppData\Roaming\Mozilla\Firefox\Profiles\9h3m9qao.default\Extensions\[email protected] [2015-05-28] [not signed]
FF Extension: (Popup Currency Converter) - C:\Users\_ Arxangel_\AppData\Roaming\Mozilla\Firefox\Profiles\9h3m9qao.default\Extensions\{1FE48F08-A2AC-44AC-A21C-0556D91C50DA} [2015-03-03] [not signed]
FF Extension: (The Safe Surfing) - C:\Users\_ Arxangel_\AppData\Roaming\Mozilla\Firefox\Profiles\9h3m9qao.default\Extensions\{3B4DE07A-DE43-4DBC-873F-05835FF67DCE} [2015-12-06] [not signed]
FF Extension: (VK Downloader) - C:\Users\_ Arxangel_\AppData\Roaming\Mozilla\Firefox\Profiles\9h3m9qao.default\Extensions\{3C6CF3C0-D800-4B4D-A3D8-8ADE406523B6} [2015-03-14] [not signed]
FF Extension: (Everysale.Net) - C:\Users\_ Arxangel_\AppData\Roaming\Mozilla\Firefox\Profiles\9h3m9qao.default\Extensions\{4d31e4c9-ce86-4b0f-8ffb-56345a8b5f6c}.xpi [2016-03-25] [not signed]
FF Extension: (MirTesen) - C:\Users\_ Arxangel_\AppData\Roaming\Mozilla\Firefox\Profiles\9h3m9qao.default\Extensions\{684D4E6B-E019-4970-8A1A-62A56F2BB2F9} [2016-03-25] [not signed]
FF Extension: (BBerry: helps to save money!) - C:\Users\_ Arxangel_\AppData\Roaming\Mozilla\Firefox\Profiles\9h3m9qao.default\Extensions\{A06E9184-65B3-490A-AF63-E1EC0C4A3307} [2015-03-03] [not signed]
FF HKU\S-1-5-21-3459889908-1176084547-2465588112-1000\...\Firefox\Extensions: [{CB67DDAD-167F-FEEA-606B-7403C403C591}] - C:\Program Files\ver3BlockAndSurf\188.xpi => not found
FF Plugin: @baidu.com/BaiduExpert-npplugin -> C:\Program Files\Common Files\Baidu\BDWebAdapter\2.0.295.0\npBDExNP.dll [2015-06-12] (百度在线网络技术（北京）有限公司)
FF Plugin: @kingsfot.com/npkws -> c:\program files\kingsoft\kingsoft antivirus\npkws.dll [No File]
FF Plugin HKU\S-1-5-21-3459889908-1176084547-2465588112-1000: @mail.ru/GameCenter -> C:\Users\_ Arxangel_\AppData\Local\Mail.Ru\GameCenter\NPDetector.dll [No File]
FF ExtraCheck: C:\Program Files\mozilla firefox\browser\defaults\preferences\my-prefs.js [2015-03-25] <==== ATTENTION (Points to *.cfg file)
CHR HKLM\...\Chrome\Extension: [bejnpnkhfgfkcpgikiinojlmdcjimobi] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [hpcghcdjnehpkdecaflpedhklimnejia] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [pgaidlfgjkmeendhknafahppllbniejm] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [pnooffjhclkocplopffdbcdghmiffhji] - hxxps://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-3459889908-1176084547-2465588112-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [iflppbjnpneiigcbdfjpnkebidmkjmoi] - hxxps://clients2.google.com/service/update2/crx
OPR Extension: (Easy Turist) - C:\Users\_ Arxangel_\AppData\Roaming\Opera Software\Opera Stable\Extensions\bkpfkonjimefcmikegpgjkkdmnndkhdd [2016-03-28]
OPR Extension: (NetFilterPRO) - C:\Users\_ Arxangel_\AppData\Roaming\Opera Software\Opera Stable\Extensions\cfmnkhhioonhiehehedmnjibmampjiab [2015-07-03]
OPR Extension: (SearchWay) - C:\Users\_ Arxangel_\AppData\Roaming\Opera Software\Opera Stable\Extensions\fgldnknlljnfcfgchdijbjmmkdkmnabn [2017-01-23]
OPR Extension: (No Name) - C:\Users\_ Arxangel_\AppData\Roaming\Opera Software\Opera Stable\Extensions\fneleoohaagcejefkfmanhhdoboipapk [2015-03-07]
OPR Extension: (Ultimate Discounter) - C:\Users\_ Arxangel_\AppData\Roaming\Opera Software\Opera Stable\Extensions\hnbekdjpdldejohkmdonijjglpohocgo [2015-06-12]
OPR Extension: (No Name) - C:\Users\_ Arxangel_\AppData\Roaming\Opera Software\Opera Stable\Extensions\iffdplkiijdjejhgkcfnopnfdnlnhhlp [2015-03-03]
OPR Extension: (The Safe Surfing) - C:\Users\_ Arxangel_\AppData\Roaming\Opera Software\Opera Stable\Extensions\kcknbenjnkkjknphmnidanjifbgphjke [2015-09-19]
OPR Extension: (Quick Searcher) - C:\Users\_ Arxangel_\AppData\Roaming\Opera Software\Opera Stable\Extensions\kigmoblgooahdmdibodmcnffgnejlndh [2015-06-07]
OPR Extension: (No Name) - C:\Users\_ Arxangel_\AppData\Roaming\Opera Software\Opera Stable\Extensions\mafpbclkdiejmpjnmioihcafdnlbmkco [2015-07-03]
OPR Extension: (Neiron Search Tools) - C:\Users\_ Arxangel_\AppData\Roaming\Opera Software\Opera Stable\Extensions\neclhebkjhajagboegcjjhfmkmpgonmf [2015-07-03]
OPR Extension: (PhoenixGuard v2.0 - бесплатный антивирус) - C:\Users\_ Arxangel_\AppData\Roaming\Opera Software\Opera Stable\Extensions\nkooappjeoniffjmoplbagpngedkckpl [2015-07-03]
OPR Extension: (No Name) - C:\Users\_ Arxangel_\AppData\Roaming\Opera Software\Opera Stable\Extensions\nlgdemkdapolikbjimjajpmonpbpmipk [2015-07-03]
OPR Extension: (CinemaPlus12bV11.02) - C:\Users\_ Arxangel_\AppData\Roaming\Opera Software\Opera Stable\Extensions\pkbffhpdalaceholagpcomhnigjjdfdb [2015-02-11]
OPR Extension: (uSearch) - C:\Users\_ Arxangel_\AppData\Roaming\Opera Software\Opera Stable\Extensions\plaklkejpgggcflhigfkhogdmmljpapm [2015-07-02]
U2 clr_optimization_v1.02; C:\Users\_ Arxangel_\AppData\Roaming\nssm.exe [294912 2014-08-31] () [File not signed]
S4 ihctrl32; %SystemRoot%\System32\ihctrl32.dll [X]
S3 wsaudio; %SystemRoot%\System32\wsaudio.dll [X]
2015-03-27 09:45 - 2015-07-16 14:06 - 0000122 ____H () C:\Program Files\Launcher.bat
2015-03-27 09:45 - 2009-12-01 17:06 - 0450560 ____H () C:\Program Files\Lаunсhеr.bаt.exe
2015-03-31 11:14 - 2015-03-31 11:14 - 0004387 _____ () C:\Users\_ Arxangel_\AppData\Roaming\6TwQdwfZg8xTBebo6WUj7
2015-07-03 14:08 - 2015-07-03 14:08 - 0000042 _____ () C:\Users\_ Arxangel_\AppData\Roaming\8943618C157CB8
2015-03-31 11:14 - 2015-03-31 11:14 - 0004387 _____ () C:\Users\_ Arxangel_\AppData\Roaming\gbxZlmalEv2m8h
2016-04-22 17:37 - 2016-04-22 17:37 - 0000016 _____ () C:\ProgramData\mntemp
2016-04-22 17:37 - 2016-04-22 17:37 - 0004131 _____ () C:\ProgramData\rxsmznjf.zcp
2015-07-10 14:24 - 2015-07-16 14:06 - 0000156 ____H () C:\Users\_ Arxangel_\AppData\Local\kometa.bat

Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
Обратите внимание, что компьютер будет перезагружен.

**dearom** · 31.03.2017, 14:11

Fixlog приложил.
При удалении kingdom kit выходит ошибка которая на скрине
Поиск по диску по имени ничего не дал

**Сомнение** · 31.03.2017, 14:37

У Вас установлен:

Код:

Uninstall Tool [20150607]-->"D:\Uninstall Tool\unins000.exe"

Попробуйте с помощью данной программы удалить остатки Kingdom Kit.

**dearom** · 31.03.2017, 14:50

Сомнение, удалил!

**Сомнение** · 31.03.2017, 15:06

Сделайте и пришлите в ответном сообщении лог MBAM.

**dearom** · 31.03.2017, 17:11

Готово

**Сомнение** · 31.03.2017, 17:22

Удалите все найденное MBAM.

**dearom** · 01.04.2017, 18:07

Выполнил!

**Сомнение** · 01.04.2017, 18:43

Какие-то проблемы с компьютером присутствуют ?

**dearom** · 01.04.2017, 18:46

Сомнение, да вроде все нормально, лишнего не видно.

**Сомнение** · 02.04.2017, 13:56

Выполните скрипт в AVZ:

Код:

var
LogPath : string;
ScriptPath : string;
begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';
   if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else
begin
     if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath)
else begin
        ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
        exit;
       end;
   end;
  if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После работы скрипта, в блокноте откроется файл avz_log.txt со ссылкам на обновление Вашей системы и критичных к безопасности программ, которые нужно загрузить и обновить в первую очередь.
Подробнее также читайте здесь - http://virusinfo.info/showthread.php?t=121902

**dearom** · 02.04.2017, 15:48

Сомнение, спасибо!

Подозрение на не вылеченный вирус (заявка № 210679)

Опции темы