На компе куча вирусов. [not-a-virus:RiskTool.Win64.BitCoinMiner.cwo, Trojan.Win32.SelfDel.fzzy ]

[parkour1994]

Как часто бывает, девушка решила что-то скачать. Скачала не то что нужно, и десятки программ хлынули ко мне на комп.
Помогите разобраться, пожалуйста.

Логи прикрепляю, заранее спасибо.

[Info_bot]

Уважаемый(ая) parkour1994, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[parkour1994]

Алло, меня слышно?

[Vvvyg]

Выполните скрипт в AVZ:

begin
 TerminateProcessByName('c:\users\Кисонька\appdata\local\etdctrl\etdctrl.exe');
 TerminateProcessByName('c:\windows\mssecsvc.exe');
 TerminateProcessByName('c:\windows\microsoft\svchost.exe');
 TerminateProcessByName('C:\Windows\Microsoft\svchost.exe.exe');
 TerminateProcessByName('C:\Program Files\UBar\ubar.exe');
 TerminateProcessByName('c:\users\Кисонька\appdata\local\yc\application\yc.exe');
 StopService('mssecsvc2.0');
 StopService('SvcHost Service Host');
 QuarantineFile('c:\users\Кисонька\appdata\local\etdctrl\etdctrl.exe', '');
 QuarantineFile('c:\windows\mssecsvc.exe', '');
 QuarantineFile('c:\windows\microsoft\svchost.exe', '');
 QuarantineFile('C:\Windows\Microsoft\svchost.exe.exe', '');
 QuarantineFile('C:\Program Files\UBar\ubar.exe', '');
 QuarantineFile('c:\users\Кисонька\appdata\local\yc\application\yc.exe', '');
 QuarantineFile('C:\Users\Кисонька\AppData\LocalLow\SearchGo\searchgo.dll', '');
 QuarantineFile('C:\Users\6620~1\AppData\Roaming\curl\curl_7_54.exe', '');
 QuarantineFile('http:\amtomil.ru\f.exe', '');
 QuarantineFile('C:\Users\6620~1\AppData\Roaming\curl\curl.exe', '');
 QuarantineFile('C:\Users\Кисонька\AppData\Roaming\Microsoft\msi.exe', '');
 QuarantineFile('C:\Users\Кисонька\AppData\Local\SearchGo\searchgo.exe', '');
 QuarantineFile('C:\Users\Кисонька\AppData\Local\wupdate\wupdate.exe', '');
 DeleteFile('c:\users\Кисонька\appdata\local\etdctrl\etdctrl.exe', '32');
 DeleteFile('c:\windows\mssecsvc.exe', '32');
 DeleteFile('c:\windows\microsoft\svchost.exe', '32');
 DeleteFile('C:\Windows\Microsoft\svchost.exe.exe', '32');
 DeleteFile('C:\Program Files\UBar\ubar.exe', '32');
 DeleteFile('c:\users\Кисонька\appdata\local\yc\application\yc.exe', '32');
 DeleteFile('C:\Users\Кисонька\AppData\Local\yc\Application\56.0.2924.76\chrome_elf.dll', '32');
 DeleteFile('C:\Users\Кисонька\AppData\Local\yc\Application\56.0.2924.76\chrome_child.dll', '32');
 DeleteFile('C:\Users\Кисонька\AppData\Local\yc\Application\56.0.2924.76\chrome.dll', '32');
 DeleteFile('C:\Users\Кисонька\AppData\Local\yc\Application\56.0.2924.76\libglesv2.dll', '32');
 DeleteFile('C:\Users\Кисонька\AppData\Local\yc\Application\56.0.2924.76\libegl.dll', '32');
 DeleteFile('C:\Users\Кисонька\AppData\LocalLow\SearchGo\searchgo.dll', '32');
 DeleteFile('C:\Users\6620~1\AppData\Roaming\curl\curl_7_54.exe', '32');
 DeleteFile('http:\amtomil.ru\f.exe', '32');
 DeleteFile('C:\Users\6620~1\AppData\Roaming\curl\curl.exe', '32');
 DeleteFile('C:\Users\Кисонька\AppData\Roaming\Microsoft\msi.exe', '32');
 DeleteFile('C:\Users\Кисонька\AppData\Local\SearchGo\searchgo.exe', '32');
 DeleteFile('C:\Users\Кисонька\AppData\Local\wupdate\wupdate.exe', '32');
 DeleteService('mssecsvc2.0');
 DeleteService('SvcHost Service Host');
 DeleteFileMask('c:\users\кисонька\appdata\local\etdctrl', '*', true);
 DeleteFileMask('c:\program files\ubar', '*', true);
 DeleteFileMask('c:\users\кисонька\appdata\local\yc', '*', true);
 DeleteFileMask('c:\users\кисонька\appdata\locallow\searchgo', '*', true);
 DeleteFileMask('c:\users\6620~1\appdata\roaming\curl', '*', true);
 DeleteFileMask('c:\users\кисонька\appdata\local\searchgo', '*', true);
 DeleteFileMask('c:\users\кисонька\appdata\local\wupdate', '*', true);
 DeleteDirectory('c:\program files\ubar');
 DeleteDirectory('c:\users\кисонька\appdata\local\yc');
 DeleteDirectory('c:\users\кисонька\appdata\locallow\searchgo');
 DeleteDirectory('c:\users\6620~1\appdata\roaming\curl');
 DeleteDirectory('c:\users\кисонька\appdata\local\searchgo');
 DeleteDirectory('c:\users\кисонька\appdata\local\wupdate');
 DelBHO('{598AEFC6-DD3C-4A63-9AC3-53FCF6155931}');
 DelBHO('{2BC46CFA-4B00-4193-A7BD-6AD1D0BCB5BC}');
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "curl" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "curls" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "etdctrl" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "MSI" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "SearchGo Task" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "USER_ESRV_SVC_QUEENCREEK" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "wupdate" /F', 0, 15000, true);
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'ycAutoLaunch_25AB3C854CE7E130A0B337314182717A');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'cbyqmxphmg');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.

Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Сделайте новый лог Autologger.

Сделайте лог Malwarebytes AdwCleaner.

Шифровальщик WannaCry был активен во время сбора логов, последствия есть?
MS17-010: Описание обновления безопасности для Windows SMB Server - срочно устанавливайте, причём на всех компьютерах в сети, если их несколько.

[parkour1994]

Прикрепляю логи и Карантин.

[Vvvyg]

Выполните скрипт в AVZ:

begin
ClearQuarantine;
 StopService('AppFrameHost');
 QuarantineFile('C:\Windows\system32\AppFrameHost.exe', '');
 QuarantineFile('C:\Users\Кисонька\AppData\Roaming\Microsoft\msi.exe', '');
 DeleteFile('C:\Windows\system32\AppFrameHost.exe', '32');
 DeleteFile('C:\Users\Кисонька\AppData\Roaming\Microsoft\msi.exe', '32');
 DeleteService('AppFrameHost');
 ExecuteFile('schtasks.exe', '/delete /TN "MSI" /F', 0, 15000, true);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
RebootWindows(true);
end.

Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше все в одном архиве).

[parkour1994]

Сделал, высылаю.

[Vvvyg]

Запустите FRST/FRST64. В окне программы нажмите комбинацию Ctrl+Y - откроется Блокнот. Скопируйте в него следующий код:

CreateRestorePoint:
Tcpip\..\Interfaces\{BB67FAB0-CD65-4AC7-BBD0-BB4315B705D8}: [NameServer] 52.56.51.39,178.132.6.57,46.101.28.31,82.202.226.203,193.238.153.54
SearchScopes: HKU\S-1-5-21-2971730060-1528131440-2195473362-1000 -> DefaultScope {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={searchTerms}&fr=ntg&product_id=%7B4A1A5302-093C-4CD0-95A7-8B2CD25591FB%7D&gp=831127
SearchScopes: HKU\S-1-5-21-2971730060-1528131440-2195473362-1000 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={searchTerms}&fr=ntg&product_id=%7B4A1A5302-093C-4CD0-95A7-8B2CD25591FB%7D&gp=831127
CHR StartupUrls: Default -> "hxxp://mail.ru/cnt/10445?gp=831123"
CHR HomePage: Default -> distrinline.com
CHR HKLM-x32\...\Chrome\Extension: [bfdfkpmnpnokkjocgimlgmjhhokkbnoh] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [damkpleomkdhknamfiiopjapahooeegi] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [indjgiebmakhmnaplnlnanodkfiejfjd] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [jecppljlbjojndhjnkcmphdklpbkbahl] - hxxps://clients2.google.com/service/update2/crx
2017-08-14 01:51 - 2017-08-14 01:51 - 000000000 ____D C:\Users\Кисонька\.zaxargamesteam
2017-08-14 01:50 - 2017-08-14 01:50 - 000000000 ____D C:\Users\Кисонька\.ZaxarGameBrowser
2017-08-14 01:51 - 2017-08-14 01:51 - 000000000 ____D C:\Users\Кисонька\.zaxargamesteam
2017-08-14 01:50 - 2017-08-14 01:50 - 000000000 ____D C:\Users\Кисонька\.ZaxarGameBrowser
2017-08-14 00:01 - 2017-08-14 00:01 - 000969024 _____ C:\Windows\system32\AppFrameHost.exe
2017-08-14 00:01 - 2017-08-14 00:01 - 000000000 ____D C:\Users\Кисонька\AppData\Local\yc
2017-08-13 23:58 - 2017-08-14 22:53 - 000000000 ____D C:\Users\Кисонька\AppData\Local\etdctrl
2017-07-20 16:16 - 2017-08-13 16:57 - 003514368 ____S C:\Windows\qeriuwjhrf
2017-07-21 15:13 - 2017-07-08 23:05 - 000000445 _____ C:\Windows\system32\Drivers\etc\hosts.ics
2017-08-13 23:51 - 2017-08-13 23:51 - 001754080 __RSH () C:\Users\Кисонька\AppData\Roaming\Microsoft\msi.exe
Task: {CA6D454B-994A-425F-81E8-62EFC152CC54} - System32\Tasks\MSI => C:\Users\Кисонька\AppData\Roaming\Microsoft\msi.exe [2017-08-13] ()
C:\Users\Кисонька\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk 
C:\Users\Кисонька\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Вoйти в Интeрнeт.lnk
FirewallRules: [{F27486AA-95B1-4B04-B92D-5BFE5B645A43}] => (Allow) C:\Program Files\UBar\ubar.exe
FirewallRules: [{267A98B3-354D-4863-AE8E-D41816297A27}] => (Allow) C:\Users\Кисонька\AppData\Local\yc\Application\yc.exe
CMD: ipconfig /flushdns
Reboot:

Сохраните (Ctrl+S) и закройте.
В FRST нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

[parkour1994]

На комбинации клавиш ничего не работала.
Ни на игрек, ни на ктрл + S.

Создал блокнот с подходящим названием, и закинул ваш код.

Итог смотрите.

[Vvvyg]

Что с проблемой?

[parkour1994]

Всё так же, без изменений.

[Vvvyg]

Скачайте утилиту Universal Virus Sniffer отсюда и сделайте полный образ автозапуска uVS.

[parkour1994]

Не могу добавить файл, ибо у меня кончилось место в менеджере загрузок.
Можно их как-то очистить?

- - - - -Добавлено - - - - -

Было сложно, но я это сделал.
Прикрепляю отчёт.

[Vvvyg]

Вирусов нет, возможно, какие-то расширения шалят.

Скопируйте скрипт ниже в буфер обмена (выделить и нажать Ctrl-C):

;uVS v4.0.9 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v400c
deltmp
;---------command-block---------
delref HTTP://MAIL.RU/CNT/10445?GP=831123
delref %SystemDrive%\USERS\КИСОНЬКА\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\JECPPLJLBJOJNDHJNKCMPHDKLPBKBAHL\12.0.35_0\NEW TAB PAGE
delref %SystemDrive%\USERS\КИСОНЬКА\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\BFDFKPMNPNOKKJOCGIMLGMJHHOKKBNOH\12.0.37_0\SEARCH
apply
restart

Запустите файл start.exe из папки с uVS, выберите "Запустить под текущим пользователем", в главном меню программы - Скрипты -> выполнить скрипт из буфера обмена.
Компьютер перезагрузится.

Если не поможет - отключите расширения в Chrome, в первую очередь связанные с соцсетями. Если не пропадёт реклама - отключайте все, подключайте по одному, проверяйте эффект. Понять, какое виновато можно только перебором.
Сообщите результат.

[parkour1994]

Ничего не помогло.
Всё осталось так же.
Кроме адблока ничего не стоит из расширений.

[Vvvyg]

Удалите Adblock, его как раз часто подменяют.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 5
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\users\6620~1\appdata\roaming\curl\curl_7_54.exe - UDS:DangerousObject.Multi.Generic
  2. c:\windows\microsoft\svchost.exe - Trojan.Win32.SelfDel.fzzy
  3. c:\windows\microsoft\svchost.exe.exe - not-a-virus:RiskTool.Win64.BitCoinMiner.cwo
  4. c:\windows\mssecsvc.exe - Trojan-Ransom.Win32.Wanna.m ( BitDefender: Gen:Variant.Symmi.53623 )