Постоянно выскакивает реклама в браузерах, открываются новые страницы [Trojan.Win32.BitMiner.ayj ]

[lohudra]

Autologger

[Info_bot]

Уважаемый(ая) lohudra, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\PROGRA~3\64eeb050\597e1538.dll','');
 QuarantineFile('C:\ProgramData\{725F175A-C5F4-A0F1-03BB-3AD898AF744E}\4535F4A9-F29E-4302-CB23-68407FDEB1C7.exe','');
 QuarantineFile('C:\ProgramData\{80732586-37D8-922D-DD31-AE6814F9777D}\4D7E40AF-FAD5-F704-B39A-808CC845653F.exe','');
 QuarantineFile('C:\PROGRA~2\7hx405B\zcr406B.bat','');
 QuarantineFile('C:\Users\NBV\AppData\Local\DateOption\regCheck.vbs','');
 QuarantineFile('C:\Users\NBV\AppData\Local\LastNews\regCheck.vbs','');
 QuarantineFile('C:\Users\NBV\AppData\Local\ValidateLife\regCheck.vbs','');
 QuarantineFile('C:\Users\NBV\AppData\Local\ImmediateHelp\regCheck.vbs','');
 QuarantineFile('C:\Users\NBV\AppData\Local\TestMenu\regCheck.vbs','');
 TerminateProcessByName('c:\programdata\{10d6b775-a77d-00de-9730-8b962b14b8d9}\12a318d8-a508-af73-4943-7d11e6c70729.exe');
 QuarantineFile('c:\programdata\{10d6b775-a77d-00de-9730-8b962b14b8d9}\12a318d8-a508-af73-4943-7d11e6c70729.exe','');
 TerminateProcessByName('c:\programdata\{725f175a-c5f4-a0f1-03bb-3ad898af744e}\4535f4a9-f29e-4302-cb23-68407fdeb1c7.exe');
 QuarantineFile('c:\programdata\{725f175a-c5f4-a0f1-03bb-3ad898af744e}\4535f4a9-f29e-4302-cb23-68407fdeb1c7.exe','');
 TerminateProcessByName('c:\programdata\{80732586-37d8-922d-dd31-ae6814f9777d}\4d7e40af-fad5-f704-b39a-808cc845653f.exe');
 QuarantineFile('c:\programdata\{80732586-37d8-922d-dd31-ae6814f9777d}\4d7e40af-fad5-f704-b39a-808cc845653f.exe','');
 TerminateProcessByName('c:\programdata\{e434cac6-539f-7d6d-d4bf-c73d3fecf11a}\68712874-dfda-9fdf-f003-8f75ff710dd8.exe');
 QuarantineFile('c:\programdata\{e434cac6-539f-7d6d-d4bf-c73d3fecf11a}\68712874-dfda-9fdf-f003-8f75ff710dd8.exe','');
 TerminateProcessByName('c:\users\nbv\appdata\roaming\windowsupdates\windowsupdates.exe');
 QuarantineFile('c:\users\nbv\appdata\roaming\windowsupdates\windowsupdates.exe','');
 DeleteFile('c:\users\nbv\appdata\roaming\windowsupdates\windowsupdates.exe','32');
 DeleteFile('c:\programdata\{e434cac6-539f-7d6d-d4bf-c73d3fecf11a}\68712874-dfda-9fdf-f003-8f75ff710dd8.exe','32');
 DeleteFile('c:\programdata\{80732586-37d8-922d-dd31-ae6814f9777d}\4d7e40af-fad5-f704-b39a-808cc845653f.exe','32');
 DeleteFile('c:\programdata\{725f175a-c5f4-a0f1-03bb-3ad898af744e}\4535f4a9-f29e-4302-cb23-68407fdeb1c7.exe','32');
 DeleteFile('c:\programdata\{10d6b775-a77d-00de-9730-8b962b14b8d9}\12a318d8-a508-af73-4943-7d11e6c70729.exe','32');
 DeleteFile('C:\Users\NBV\AppData\Local\TestMenu\regCheck.vbs','32');
 DeleteFile('C:\Users\NBV\AppData\Local\ImmediateHelp\regCheck.vbs','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','windowsupdates');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','importantupdates');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','TestMenu');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','TestMenu5');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','ImmediateHelp');
 DeleteFile('C:\Users\NBV\AppData\Local\ValidateLife\regCheck.vbs','32');
 DeleteFile('C:\Users\NBV\AppData\Local\LastNews\regCheck.vbs','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','LastNews');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','ValidateLife');
 DeleteFile('C:\Users\NBV\AppData\Local\DateOption\regCheck.vbs','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\DateOption5','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\FileSystemOptions','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\FileSystemOptions5','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\FilterOptions','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\FilterOptions5','command');
 DeleteFile('C:\PROGRA~2\7hx405B\zcr406B.bat','32');
 DeleteFile('C:\Windows\system32\Tasks\f9c38018558b45909ae7861f48cbcb4c','64');
 DeleteFile('C:\Windows\system32\Tasks\Translator Command Helper','64');
 DeleteFile('C:\Windows\system32\Tasks\{080C7D47-7F7A-050C-0911-7E7D080F117A}','64');
 DeleteFile('C:\ProgramData\{80732586-37D8-922D-DD31-AE6814F9777D}\4D7E40AF-FAD5-F704-B39A-808CC845653F.exe','32');
 DeleteFile('C:\ProgramData\{725F175A-C5F4-A0F1-03BB-3AD898AF744E}\4535F4A9-F29E-4302-CB23-68407FDEB1C7.exe','32');
 DeleteFile('C:\PROGRA~3\64eeb050\597e1538.dll','32');
 DeleteFile('C:\Windows\system32\Tasks\{61E5FD46-D64E-4AED-F32B-7DA621F97490}','64');
 DeleteFile('C:\Windows\system32\Tasks\{9AE90F90-2D42-B83B-F1DE-1DB241CB1A48}','64');
 DeleteFile('C:\Windows\system32\Tasks\{A04FC095-BA43-F23E-0557-520FD72A7621}','64');
 DeleteFile('C:\Windows\system32\Tasks\{D3733231-64D8-859A-8D17-EA020ED3C56D}','64');
 DeleteFile('C:\Windows\system32\Tasks\{E439A914-5392-1EBF-7114-45D745773686}','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением темы.

Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger

[lohudra]

Новый лог

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[lohudra]

Логи, ie также автоматически запускается с рекламой

[thyrex]

Ace Stream Media 3.1.16.1
Adblock Plus for IE
Adblock Plus для IE

удалите через Установку программ

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
Task: {0E5991A0-1332-495A-8AC4-61B2A91F3C04} - \{E439A914-5392-1EBF-7114-45D745773686} -> No File <==== ATTENTION
Task: {353D33CE-133C-41D4-8591-B8E1BE36F305} - System32\Tasks\NvTmMon_{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8} => C:\Program Files (x86)\NVIDIA Corporation\Update Core\NvTmMon.exe [2017-06-28] (NVIDIA Corporation)
Task: {3CB8D1AA-EE81-4905-B7D1-077DA2F7912B} - \{9AE90F90-2D42-B83B-F1DE-1DB241CB1A48} -> No File <==== ATTENTION
Task: {3EC31487-F09D-419E-804C-AEF0A1689095} - \{A04FC095-BA43-F23E-0557-520FD72A7621} -> No File <==== ATTENTION
Task: {6D1AB150-DE1E-4D31-967E-F0D446B6E199} - \Microsoft\Windows\Windows Activation Technologies\ValidationTaskDeadline -> No File <==== ATTENTION
Task: {70060DC8-BA46-4D8B-BAB3-F00836CA1EBE} - \{080C7D47-7F7A-050C-0911-7E7D080F117A} -> No File <==== ATTENTION
Task: {8D98E5FB-A3B8-461B-851D-D9DB5FD2329F} - \f9c38018558b45909ae7861f48cbcb4c -> No File <==== ATTENTION
Task: {955C305D-48E4-4F81-82D6-D368122B0244} - \{61E5FD46-D64E-4AED-F32B-7DA621F97490} -> No File <==== ATTENTION
Task: {A8966B4E-AB74-48D5-8A8B-9610F2FAE19F} - \Current Request Helper -> No File <==== ATTENTION
Task: {B5787E19-4DDC-473B-B225-629FBCD951B1} - \Microsoft\Windows\Windows Activation Technologies\ValidationTask -> No File <==== ATTENTION
Task: {B777A517-301D-461F-802E-D0D46673E41E} - \{D3733231-64D8-859A-8D17-EA020ED3C56D} -> No File <==== ATTENTION
Task: {BBA54735-3493-4AAB-9AF8-44A7378892AD} - System32\Tasks\7runewscombops => "C:\Program Files\Internet Explorer\iexplore.exe" 7runews.com/bops <==== ATTENTION
AlternateDataStreams: C:\ProgramData\TEMP:2B19EBF3 [106]
AlternateDataStreams: C:\ProgramData\TEMP:47626ACA [396]
AlternateDataStreams: C:\ProgramData\TEMP:9D1B94FD [169]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:2B19EBF3 [106]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:47626ACA [396]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:9D1B94FD [169]
MSCONFIG\startupreg: AceStream => C:\Users\NBV\AppData\Roaming\ACEStream\engine\ace_engine.exe
MSCONFIG\startupreg: DateOption => 
MSCONFIG\startupreg: DateOption5 => 
MSCONFIG\startupreg: FileSystemOptions => C:\Users\NBV\AppData\Local\FileSystemOptions\regCheck.vbs www.minipigping.com/?rnd=135 1 1200000
MSCONFIG\startupreg: FileSystemOptions5 => C:\Users\NBV\AppData\Local\FileSystemOptions\regCheck.vbs www.minipigping.com/?rnd=135 1 1500000
MSCONFIG\startupreg: FilterOptions => C:\Users\NBV\AppData\Local\FilterOptions\regCheck.vbs www.regtestproc.com/?rnd=135 1 600000
MSCONFIG\startupreg: FilterOptions5 => C:\Users\NBV\AppData\Local\FilterOptions\regCheck.vbs www.regtestproc.com/?rnd=135 1 900000
BHO: Adblock Plus for IE Browser Helper Object -> {FFCB3198-32F3-4E8B-9539-4324694ED664} -> C:\Program Files\Adblock Plus for IE\AdblockPlus64.dll [2015-09-22] (Eyeo GmbH)
BHO-x32: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> No File
BHO-x32: [email protected] -> {8E8F97CD-60B5-456F-A201-73065652D099} -> C:\Users\NBV\AppData\Local\Mail.Ru\Sputnik\ie_addon_dll.dll => No File
BHO-x32: AlterGeoBHO Class -> {9BFBA68E-E21B-458E-AE12-FE85E903D2C0} -> C:\ProgramData\AlterGeo\Update for Html5 geolocation provider\npHtml5loc.dll => No File
BHO-x32: Визуальные закладки -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> C:\Program Files (x86)\Yandex\FastDial\fastdial.dll => No File
BHO-x32: Adblock Plus for IE Browser Helper Object -> {FFCB3198-32F3-4E8B-9539-4324694ED664} -> C:\Program Files\Adblock Plus for IE\AdblockPlus32.dll [2015-09-22] (Eyeo GmbH)
FF Extension: (Ace Stream Web Extension) - C:\Users\NBV\AppData\Roaming\ACEStream\extensions\awe\firefox\acewebextension_unlisted.xpi [2017-07-12]
CHR Extension: (Adblock Plus) - C:\Users\NBV\AppData\Local\Google\Chrome\User Data\dtithershboyjerotion\Extensions\cfhdojbkjhnklbpkdaibdccddilifddb [2016-12-02]
CHR HKU\S-1-5-21-373623261-2949339627-1615149869-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [mjbepbhonbojpoaenhckjocchgfiaofo] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [cpegcopcfajiiibidlaelhjjblpefbjk] - hxxp://clients2.google.com/service/update2/crx
CHR crx: C:\Program Files (x86)\Google\Chrome\Application\44.0.2403.125\default_apps\search.crx [2015-07-25]
CHR crx: C:\Program Files (x86)\Google\Chrome\Application\39.0.2171.99\default_apps\search.crx [2015-01-09]
S2 BstHdUpdaterSvc; C:\Program Files (x86)\BlueStacks\HD-UpdaterService.exe [X]
S3 NvStreamNetworkSvc; "C:\Program Files\NVIDIA Corporation\NvStreamSrv\NvStreamNetworkService.exe" [X]
S2 NvStreamSvc; "C:\Program Files\NVIDIA Corporation\NvStreamSrv\NvStreamService.exe" [X]
S2 Web client service; C:\Program Files (x86)\Disco Browser\srvagent.exe /start [X]
2017-08-01 18:55 - 2017-08-01 18:55 - 000000001 _RHOT C:\Users\NBV\AppData\Local\rightchose
2017-07-31 20:02 - 2017-07-31 20:02 - 000000001 _RHOT C:\Users\NBV\AppData\Local\FilterOptions
2017-07-31 20:02 - 2017-07-31 20:02 - 000000001 _RHOT C:\Users\NBV\AppData\Local\FileSystemOptions
2017-07-31 20:02 - 2017-07-31 20:02 - 000000001 _RHOT C:\Users\NBV\AppData\Local\DateOption
2017-07-29 09:43 - 2017-07-29 09:43 - 001655496 _____ C:\Windows\SysWOW64\26E5knASqymL.exe
2017-07-09 18:13 - 2017-07-09 18:13 - 000000001 _RHOT C:\Users\NBV\AppData\Roaming\Microleaves
2017-07-09 18:13 - 2017-07-09 18:13 - 000000001 _RHOT C:\Users\NBV\AppData\Local\AdvinstAnalytics
2017-07-09 18:13 - 2017-07-09 18:13 - 000000001 _RHOT C:\Program Files (x86)\Microleaves
2017-07-09 18:12 - 2017-07-09 18:12 - 000000000 ____D C:\Users\NBV\AppData\Roaming\windowsupdates
2017-07-09 17:36 - 2017-07-09 17:50 - 000003564 _____ C:\Windows\System32\Tasks\7runewscombops
2017-07-07 19:43 - 2017-07-07 19:43 - 000000001 _RHOT C:\Users\NBV\AppData\Roaming\Enigma Software Group
2017-07-07 19:43 - 2017-07-07 19:43 - 000000001 _RHOT C:\Program Files\Enigma Software Group
2017-06-05 23:43 - 2017-06-06 00:41 - 000000000 ___HD C:\_acestream_cache_
2017-06-05 23:39 - 2017-08-02 06:47 - 000000000 ____D C:\Users\NBV\AppData\Roaming\.ACEStream
2017-06-05 23:36 - 2017-06-05 23:36 - 000001951 _____ C:\Users\NBV\Desktop\Ace Player.lnk
2017-06-05 23:36 - 2017-06-05 23:36 - 000000000 ____D C:\Users\NBV\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Ace Stream Media
2017-06-05 23:36 - 2017-06-05 23:36 - 000000000 ____D C:\Users\NBV\AppData\LocalLow\.ACEStream
2017-06-05 23:35 - 2017-06-05 23:40 - 000000000 ____D C:\Users\NBV\AppData\Roaming\ACEStream
2017-06-05 23:25 - 2017-06-05 23:26 - 083381280 _____ C:\Users\NBV\Downloads\Ace_Stream_Media_3.1.16.1.exe
Reboot:

2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание, что будет выполнена перезагрузка компьютера.

[lohudra]

Лог FRST

[thyrex]

Что с проблемой?

[lohudra]

IE перестал вылезать, но надо еще последить за системой.
Кажется какие-то ссылки на рекламу еще остались, если покопаться в папке C:\Windows\system32\Tasks\
Обязательно отпишу

[lohudra]

В Tasks видел: 7runews.com, но теперь все чистенько!
Как закрыть все уязвимости? Какие приложения обновить?

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 1
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\users\nbv\appdata\roaming\windowsupdates\window supdates.exe - Trojan.Win32.BitMiner.ayj ( BitDefender: Gen:Application.Heur2.@FW@bWJ8Cdgib )