Нахватал вирусни с левых торрентов [UDS:DangerousObject.Multi.Generic, Trojan.Win32.SelfDel.fwld ]

[piecework]

Ребята, приветствую!
Помогите с удалением вирусни.
Скачал фотошоп ломаный и понеслось.
Куча вирусни. Постоянно открываются левые окна, закрывается браузер и прочие прелести в виде включения видеорекламы в браузере.
В браузере открывает по умолчанию страницу http://workno.ru/?utm_source=uoua03&...utm_d=20170715

Прошу поддержки.

[Info_bot]

Уважаемый(ая) piecework, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Video and Audio Plugin UBar
YoutubeAdBlock

удалите через Установку программ

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Program Files (x86)\YiuAskU2\EUJHowC.dll','');
 QuarantineFile('C:\Users\Piecework\AppData\Roaming\Microsoft\msi.exe','');
 QuarantineFile('C:\Users\Piecework\AppData\Roaming\curl\curl_7_54.exe','');
 QuarantineFile('C:\Users\Piecework\AppData\Roaming\curl\curl.exe','');
 QuarantineFile('C:\Program Files (x86)\YiuAskU\nISNhLA.dll','');
 TerminateProcessByName('c:\program files (x86)\yiuaskie\mnu8ofaum.exe');
 DelBHO('{2C6A44CB-AD42-4731-A544-3FBD3D83AB5B}');
 QuarantineFile('C:\Program Files (x86)\YiuAskIE\ktr9tIj.dll','');
 QuarantineFile('C:\Users\Piecework\AppData\Roaming\fiibkhokmfkkadmpaigijmgmlfenpchk\ml.py','');
 SetServiceStart('UbarPolicyProvider', 4);
 DeleteService('UbarPolicyProvider');
 SetServiceStart('SvcHost Service Host', 4);
 DeleteService('SvcHost Service Host');
 SetServiceStart('Ea3Host', 4);
 DeleteService('Ea3Host');
 TerminateProcessByName('c:\users\piecework\appdata\local\yc\application\yc.exe');
 QuarantineFile('c:\users\piecework\appdata\local\yc\application\yc.exe','');
 TerminateProcessByName('C:\Program Files\UBar\UbarService.exe');
 QuarantineFile('C:\Program Files\UBar\UbarService.exe','');
 TerminateProcessByName('C:\Program Files\UBar\ubar.exe');
 QuarantineFile('C:\Program Files\UBar\ubar.exe','');
 TerminateProcessByName('C:\Windows\Microsoft\svchost.exe.exe');
 QuarantineFile('C:\Windows\Microsoft\svchost.exe.exe','');
 TerminateProcessByName('C:\Windows\Microsoft\svchost.exe');
 QuarantineFile('C:\Windows\Microsoft\svchost.exe','');
 QuarantineFile('c:\program files (x86)\yiuaskie\mnu8ofaum.exe','');
 TerminateProcessByName('C:\Windows\System32\Ea3Host.exe');
 QuarantineFile('C:\Windows\System32\Ea3Host.exe','');
 DeleteFile('C:\Windows\System32\Ea3Host.exe','32');
 DeleteFile('C:\Windows\Microsoft\svchost.exe','32');
 DeleteFile('C:\Windows\Microsoft\svchost.exe.exe','32');
 DeleteFile('C:\Program Files\UBar\ubar.exe','32');
 DeleteFile('C:\Program Files\UBar\UbarService.exe','32');
 DeleteFile('c:\users\piecework\appdata\local\yc\application\yc.exe','32');
 DeleteFile('C:\Users\Piecework\AppData\Roaming\fiibkhokmfkkadmpaigijmgmlfenpchk\ml.py','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','GoogleChromeAutoLaunch_658253F607F32ED3A165EFF0037ADBBF');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','fiibkhokmfkkadmpaigijmgmlfenpchk');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','ycAutoLaunch_FBD4BE74C60F1B2EDA690AEDF5256CF9');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','codddbumcw');
 DeleteFile('C:\Program Files (x86)\YiuAskIE\ktr9tIj.dll','32');
 DeleteFile('c:\program files (x86)\yiuaskie\mnu8ofaum.exe','32');
 DeleteFile('C:\Program Files (x86)\YiuAskU\nISNhLA.dll','32');
 DeleteFile('C:\WINDOWS\Tasks\2C6A44CB-AD42-4731-A544-3FBD3D83AB5B.job','32');
 DeleteFile('C:\WINDOWS\system32\Tasks\2C6A44CB-AD42-4731-A544-3FBD3D83AB5B','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\2C6A44CB-AD42-4731-A544-3FBD3D83AB5B2','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\curl','64');
 DeleteFile('C:\Users\Piecework\AppData\Roaming\curl\curl.exe','32');
 DeleteFile('C:\Users\Piecework\AppData\Roaming\curl\curl_7_54.exe','32');
 DeleteFile('C:\WINDOWS\system32\Tasks\curls','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\fiibkhokmfkkadmpaigijmgmlfenpchk','64');
 DeleteFile('C:\Users\Piecework\AppData\Roaming\Microsoft\msi.exe','32');
 DeleteFile('C:\WINDOWS\system32\Tasks\MSI','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\U2_2C6A44CB-AD42-4731-A544-3FBD3D83AB5B','64');
 DeleteFile('C:\Program Files (x86)\YiuAskU2\EUJHowC.dll','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger

[piecework]

Спасибо! Логи прилагаю. Карантин также приложил.

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[piecework]

Архив с логами прилагаю

[thyrex]

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
GroupPolicy: Restriction - Chrome <==== ATTENTION
BHO: YoutubeAdBlock -> {2C6A44CB-AD42-4731-A544-3FBD3D83AB5B} -> C:\Program Files (x86)\YiuAskIE\t9WlcCyc.dll => No File
CHR StartupUrls: Default -> "hxxp://www.google.com/","hxxp://www.istartsurf.com/?type=hp&ts=1447432453&z=286db8ba0a1b26e8398dce4gcz5z7m7z7c3o9o5e8q&from=cor&uid=SAMSUNGXMZMPA016HMCD-000L1_S11BNEACB01449","hxxp://mail.ru/cnt/10445?gp=811009"
CHR Extension: (Adblock Plus) - C:\Users\Piecework\AppData\Local\Google\Chrome\User Data\Default\Extensions\cfhdojbkjhnklbpkdaibdccddilifddb [2017-07-16]
CHR Extension: (Блокировщик Рекламы Для Ютуба™) - C:\Users\Piecework\AppData\Local\Google\Chrome\User Data\Default\Extensions\nhgokgcnplbfnkjpejjgafogeecgaini [2017-07-16]
CHR HKU\S-1-5-21-962045732-4012997713-2919529679-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [lmjegmlicamnimmfhcmpkclmigmmcbeh] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [bhjhnafpiilpffhglajcaepjbnbjemci] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [epgjfmblhacacphaljkdcjllkomdcjpc] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [hcadgijmedbfgciegjomfpjcdchlhnif] - hxxps://clients2.google.com/service/update2/crx
2017-07-16 02:42 - 2017-07-16 02:42 - 00002072 _____ C:\Users\Piecework\Desktop\Вoйти в Интeрнет.lnk
2017-07-16 02:38 - 2017-07-16 11:38 - 00000000 ____D C:\Users\Piecework\AppData\Local\wutphost
2017-07-16 01:59 - 2017-07-16 01:59 - 00000000 ____D C:\Users\Piecework\AppData\Local\Войны престолов
2017-07-16 01:45 - 2017-07-16 01:45 - 00000000 ____D C:\Users\Piecework\AppData\Local\Вoйти в Интeрнет
2017-07-16 01:43 - 2017-07-16 03:27 - 00000000 ____D C:\Users\Piecework\AppData\Local\yc
2017-07-16 01:43 - 2017-07-16 01:43 - 00920784 _____ C:\WINDOWS\system32\Ea3Host.exe
2017-07-16 01:37 - 2017-07-16 01:37 - 00001668 _____ C:\Users\Piecework\Desktop\Поиcк в Интeрнете.lnk
2017-07-16 01:37 - 2017-07-16 01:37 - 00000000 ____D C:\Users\Piecework\AppData\Local\Поиcк в Интeрнете
2017-07-16 01:35 - 2017-07-16 01:45 - 00000000 ____D C:\Users\Piecework\AppData\Local\Amigo
2017-07-16 01:33 - 2017-07-16 16:35 - 00000000 ____D C:\Users\Piecework\AppData\Roaming\curl
ContextMenuHandlers01: [MyPhoneExplorer] -> {A372C6DF-7A85-41B1-B3B0-D1E24073DCBF} =>  -> No File
ContextMenuHandlers01: [WinRAR32] -> {B41DB860-8EE4-11D2-9906-E49FADC173CA} =>  -> No File
ContextMenuHandlers05: [igfxcui] -> {3AB1675A-CCFF-11D2-8B20-00A0C93CB1F4} =>  -> No File
ContextMenuHandlers05: [igfxDTCM] -> {9B5F5829-A529-4B12-814A-E81BCB8D93FC} =>  -> No File
ContextMenuHandlers06: [WinRAR32] -> {B41DB860-8EE4-11D2-9906-E49FADC173CA} =>  -> No File
Task: {12E03B0B-C25E-4AD1-B3A4-D07A58AEA179} - \2C6A44CB-AD42-4731-A544-3FBD3D83AB5B2 -> No File <==== ATTENTION
Task: {13347A80-225D-4F09-848B-4C6A6E3B44D3} - \curls -> No File <==== ATTENTION
Task: {49A74B06-862C-469B-AC7D-DDDB3A175FF8} - \curl -> No File <==== ATTENTION
Task: {6A11F4DE-A664-4D8F-8142-ED1E84E3C1D3} - \MSI -> No File <==== ATTENTION
Task: {C91871C5-AB82-471A-885C-AA3E3255157D} - \U2_2C6A44CB-AD42-4731-A544-3FBD3D83AB5B -> No File <==== ATTENTION
FirewallRules: [{042ED18E-33F2-429A-8191-A79770826DD9}] => (Allow) C:\Users\Piecework\AppData\Local\Amigo\Application\amigo.exe
FirewallRules: [{70DC8101-1393-4CB3-BDE5-F5E615F729B8}] => (Allow) C:\Program Files\UBar\ubar.exe
FirewallRules: [{F1486DB9-79DB-4F80-BD70-F529A921ADE7}] => (Allow) C:\Users\Piecework\AppData\Local\yc\Application\yc.exe
Reboot:

2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание, что будет выполнена перезагрузка компьютера.

[piecework]

Требуемый лог прилагаю

[thyrex]

Проблема решена?

[piecework]

К сожалению пока нет. Реклама выпадает в произвольном порядке в браузере

[piecework]

Вечер добрый!
Можно ли ожидать дальнейшей поддержки по моему запросу?

[thyrex]

Помощь оказывается добровольно в свободное от основных занятий время.

Отключите ВСЕ установленные расширения для браузеров и проверьте проблему.

[piecework]

thyrex, спасибо большое за поддержку. Вероятно проблема возникала действительно из-за некоего расширения в браузере.
Удалил подозрительные - проблема решилась. Спасибо большое за поддержку! Тикет можно закрывать.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 6
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\users\piecework\appdata\roaming\microsoft\msi.e xe - UDS:DangerousObject.Multi.Generic
  2. c:\windows\microsoft\svchost.exe - Trojan.Win32.SelfDel.fwld
  3. c:\windows\microsoft\svchost.exe.exe - not-a-virus:RiskTool.Win64.BitCoinMiner.csg