Всплывают окна с иероглифами

[ivanof]

Постоянно всплывают различные окна с иероглифами, антивирус панда выявляет появляющиеся вредоносные объекты.
Курейт уничтожил 7 угроз, но окна с иероглифами продолжают всплывать.

[Info_bot]

Уважаемый(ая) ivanof, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[lex0819]

1. Деинсталлируйте следующее ПО:
- браузер UCBrowser
- Traffic Exchange от компании Microleaves
Для удаления можно использовать программу Revo Uninstaller, она у вас есть.
Revo Uninstaller по окончанию работы предложит зачистить остатки удаляемой программы. В качестве режима сканирования оставьте Умеренный и щелкните Далее. Если в процессе поиска будут найдены остатки программы, - нажмите Удалить, а потом Готово.

2. Пофиксите в HiJackThis, если они там еще есть.
Сама программа HiJackThis находится в папке AutoLogger, в подпапке HiJackThis

O22 - Task (Ready): Grajsp - C:\WINDOWS\system32\msiexec.exe /i hTTp://D2bUH1bF1g584W.clOuDfroNt.net/mmtsk/occup.php?p=ST3500418AS_9VMT1087XXXX9VMT1087&d=20170406 /q
O22 - Task (Ready): KuaiZip_Update - C:\PROGRA~1\6A8C~1\X86\Update.exe
O22 - Task (Ready): Metuswotosy Module - C:\Program Files (x86)\Ategary\xbigiy.exe 55cd7530-f272-48aa-baa8-a5b864f445ed (file missing)
O22 - Task (Ready): Milimili - C:\Program Files (x86)\MIO\MIO.exe -bindurl http://api.suibianmaimaicom.com/st3500418as_9vmt1087xxxx9vmt1087.dat cmd=
O22 - Task (Ready): Traffic Exchange - C:\Program Files (x86)\Microleaves\Traffic Exchange\Online-Guardian.exe 1 11 (file missing)
O22 - Task (Ready): Traffic Exchange Guard - C:\Program Files (x86)\Microleaves\Traffic Exchange\Online-Guardian.exe 1 12 (file missing)
O22 - Task (Ready): Traffic Exchange Guardian - C:\Program Files (x86)\Microleaves\Traffic Exchange\Online-Guardian.exe 1 13 (file missing)
O22 - Task (Ready): Traffic Exchange Updater - C:\Program Files (x86)\Microleaves\Traffic Exchange\Traffic Exchange Updater.exe /silentall -nofreqcheck
O22 - Task (Ready): UCBrowserSecureUpdater - C:\Program Files (x86)\UCBrowser\Security\uclauncher.exe --update-config
O22 - Task (Ready): UCBrowserUpdater - C:\Program Files (x86)\UCBrowser\Application\update_task.exe /update
O22 - Task (Ready): UCBrowserUpdaterCore - C:\Program Files (x86)\UCBrowser\Application\update_task.exe /task=1
O22 - Task (Ready): Windows-PG - C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe C:\Update\psgo\psgo.ps1
O23 - Service R2: KuaizipUpdateChecker - C:\WINDOWS\SysWow64\svchost.exe; "ServiceDll" = C:\Program Files\їмС№\X86\kuaizipUpdateChecker.dll
O23 - Service R2: SNARER - C:\Windows\System32\svchost.exe; "ServiceDll" = C:\Users\Alex\AppData\Roaming\SNARER\Snarer.dll
O23 - Service R2: WinSAPSvc - C:\WINDOWS\SysWow64\svchost.exe; "ServiceDll" = C:\Users\Alex\AppData\Roaming\WinSAPSvc\WinSAP.dll
O23 - Service S2: Install Service(FirefoxDL) - (FirefoxDL) - C:\Users\Alex\AppData\Local\Temp\1\QQBrowser.exe

3. Скачайте ClearLNK и сохраните архив с утилитой на Рабочем столе.
* Распакуйте архив с утилитой в отдельную папку.
* Перенесите файл Check_Browsers_LNK.log из логов на ClearLNK как показано на рисунке

* Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
* Прикрепите этот отчет к своему следующему сообщению.

4. Перезагрузите компьютер вручную.

5. Временно отключите защитное ПО.

Выполните скрипт AVZ.
Сама программа AVZ находится в папке AutoLogger, в подпапке AVZ.

begin
 TerminateProcessByName('c:\program files (x86)\ucbrowser\application\ucbrowser.exe'); //ADS
 StopService('UCBrowserSvc');
 DeleteService('UCBrowserSvc');
 StopService('ucdrv');
 DeleteService('ucdrv');
 StopService('KuaiZipDrive');
 DeleteService('KuaiZipDrive');
 QuarantineFileF('C:\Users\Alex\appdata\roaming\winsapsvc','*.exe,*.dll', false, '', 0, 0);
 QuarantineFileF('C:\Update\psgo','*', false, '', 0, 0);
 QuarantineFileF('C:\Program Files (x86)\MIO','*.exe,*.dll', false, '', 0, 0);
 QuarantineFileF('C:\Program Files (x86)\Metuswotosy Module','*.exe,*.dll', false, '', 0, 0);
 QuarantineFileF('C:\Users\Alex\AppData\Roaming\SNARER','*.exe,*.dll', false, '', 0, 0);
 QuarantineFile('C:\Program Files\їмС№\X86','*.exe,*.dll', false, '', 0, 0);
 QuarantineFile('C:\Program Files (x86)\UCBrowser\Security:ucdrv-x64.sys',''); //ADS
 QuarantineFile('C:\WINDOWS\system32\drivers\KuaiZipDrive.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\cryptfd.sys','');
 QuarantineFile('C:\WINDOWS\system32\drivers\7BC76FC1.sys','');
 DelCLSID('{65122CB0-EA0F-47DF-A953-017170ED12F9}');
 DeleteFile('C:\WINDOWS\system32\drivers\7BC76FC1.sys','32');
 DeleteFile('C:\WINDOWS\system32\drivers\cryptfd.sys','32');
 DeleteFile('C:\WINDOWS\system32\drivers\KuaiZipDrive.sys','32');
 DeleteFile('C:\Program Files (x86)\UCBrowser\Security:ucdrv-x64.sys','32'); //ADS
 DeleteFileMask('C:\Program Files\їмС№\X86','*',true);
 DeleteDirectory('C:\Program Files\їмС№\X86');
 DeleteFileMask('C:\Program Files\їмС№','*',true);
 DeleteDirectory('C:\Program Files\їмС№');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\SNARER\Parameters','ServiceDll');
 DeleteFileMask('C:\Users\Alex\AppData\Roaming\SNARER','*',true);
 DeleteDirectory('C:\Users\Alex\AppData\Roaming\SNARER');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\WinSAPSvc\Parameters','ServiceDll');
 DeleteFileMask('C:\Users\Alex\AppData\Roaming\WinSAPSvc','*',true);
 DeleteDirectory('C:\Users\Alex\AppData\Roaming\WinSAPSvc');
 DeleteFileMask('C:\Program Files (x86)\Metuswotosy Module','*',true);
 DeleteDirectory('C:\Program Files (x86)\Metuswotosy Module');
 ExecuteFile('schtasks.exe', '/delete /TN "Milimili" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "Windows-PG" /F', 0, 15000, true);
 DeleteFileMask('C:\Update\psgo','*',true);
 DeleteDirectory('C:\Update\psgo');
 DeleteFileMask('C:\Program Files (x86)\MIO','*',true);
 DeleteDirectory('C:\Program Files (x86)\MIO');
 DeleteFileMask('C:\Program Files (x86)\UCBrowser','*',true);
 DeleteDirectory('C:\Program Files (x86)\UCBrowser');
 DeleteFile('C:\WINDOWS\Tasks\UCBrowserUpdater.job','32');
 DeleteFile('C:\WINDOWS\Tasks\UCBrowserUpdaterCore.job','32');
 ExecuteFile('schtasks.exe', '/delete /TN "UCBrowserUpdater" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "UCBrowserUpdaterCore" /F', 0, 15000, true);
ExecuteSysClean;
ExecuteWizard('TSW',2,3,true);
ExecuteWizard('SCU',2,2,true);
RebootWindows(true);
end.

Компьютер перезагрузится.
Выполните скрипт AVZ.

begin
 CreateQurantineArchive(GetAVZDirectory +'quarantine.zip');
end.

Пришлите архив карантина из папки AVZ в следующем сообщении.

6. Сделайте новые логи программой Autologger и пришлите их.

7. Сделайте лог утилитой AdwCleaner и пришлите его.

8. Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.