Файлы на флешке отображаются в виде ярлыков. [HEUR:Trojan.Win32.Generic ]

[masdk]

Здравствуйте. Здравствуйте. Проблему описал в заголовке темы. В общем в настройках отметил, чтобы скрытые файлы отображались. Всё норм, они отобразились на флешке, почистил флешку (отформатировал), но эта папка (скрытая) с вредоносным файлом всё равно появляется снова и снова после её удаления. Как будто с компа идёт команда на её активацию на флешке.
Второй шаг по инструкции: сканировал....потом раз и пропало окно с программой сканирования и всё... На столе появилась папка с файлами, один из файлов архив rar, я так понимаю, что его и надо прикреплять к данному посту.
Помогите, пожалуйста, уважаемые специалисты.
Заранее огромное спасибо!
С Уважением.

[Info_bot]

Уважаемый(ая) masdk, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила оформления запроса о помощи.

Здравствуйте!

Деинсталлируйте:

File Extractor Packages
Search App by Ask
test version 1.5
Unity Web Player
Служба автоматического обновления программ

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced','HideFileExt', 0);
 QuarantineFile('c:\programdata\{f6c39319-3258-3b9c-1f14-4dbf936870f0}\5b7c4386.exe','');
 DeleteService('qknfd');
 DeleteService('7654JiHe');
 StopService('7654Bao');
 DeleteService('7654Bao');
 TerminateProcessByName('c:\programdata\7654\service.exe');
 QuarantineFile('c:\programdata\7654\service.exe','');
 DeleteFile('c:\programdata\7654\service.exe','32');
 DeleteFile('C:\Windows\system32\drivers\7654JiHe.sys','32');
 DeleteFile('C:\Windows\system32\drivers\qknfd.sys','32');
 DeleteFile('C:\PROGRA~2\SupTab\SEARCH~1.DLL','32');
 DeleteFile('C:\Windows\Tasks\DealPlyLiveUpdateTaskMachineCore.job','32');
 DeleteFile('C:\Windows\Tasks\DealPlyLiveUpdateTaskMachineUA.job','32');
 DeleteFile('C:\Windows\system32\Tasks\DealPlyLiveUpdateTaskMachineCore','64');
 DeleteFile('C:\Windows\system32\Tasks\DealPlyLiveUpdateTaskMachineUA','64');
 DeleteFile('C:\Users\Andrey\AppData\Local\Microsoft\Windows\system.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\SystemScript','64');
 DeleteFile('C:\Windows\system32\Tasks\{6AD3BB29-1A68-A78C-1F14-4DBF936870F0}','64');
 DeleteFile('c:\programdata\{f6c39319-3258-3b9c-1f14-4dbf936870f0}\5b7c4386.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\{B89C57AC-97FE-FFE9-474E-21B4AAC82547}','64');
 DeleteFile('c:\users\andrey\appdata\roaming\{248C7F9C-BFCE-63F9-474E-21B4AAC82547}\8933af03.exe','32');
ExecuteSysClean;
RebootWindows(true);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Сделайте повторные логи по правилам

1. Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
2. Запустите его (в ОС Windows Vista/7/8/8.1/10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Сканировать" и дождитесь окончания сканирования.
3. Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S0].txt.
4. Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[masdk]

Отчет от AdwCleaner прикрепляю.

[mike 1]

1. Запустите повторно AdwCleaner (by Xplode) (в ОС Windows Vista/7/8/8.1/10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan", а по окончанию сканирования нажмите кнопку "Очистить" ("Clean") и дождитесь окончания удаления.
2. Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C0].txt.
3. Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

Подробнее читайте в этом руководстве.

[masdk]

mike 1, да, я уже совершал данную операцию (неоднократно). Вот прикрепляю отчеты.
Через AVZ тоже чистил всё.

[mike 1]

Отчета не видно.

[masdk]

Отчета не видно.

Добавил в предыдущий пост.

- - - - -Добавлено - - - - -

Вот она эта скрытая папка с файлом на флешке. Удаляю по сто раз и всё бесполезно, тут же снова появляется.
Наблюдал через диспетчер задач в процессах, что после операции удаления исчезает и при появлении этого скрытого файла отображается процесс (на несколько секунд) с названием dllhost.

[mike 1]

С папкой чуть позже будем разбираться.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
5. Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[masdk]

Прикрепляю. Программа создала два отчета Addition и FRST. Последний прикрепить к сообщению не удалось, т.к. размер файла превышает допустимый размер для загрузки сюда.

[mike 1]

Упакуйте в архив.

[masdk]

Архив.

[mike 1]

Уведомление

Скрипт выполняйте в безопасном режиме!

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

1. Временно выгрузите антивирус, файрволл и прочее защитное ПО.
2. Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
   

   CreateRestorePoint:
   CloseProcesses:
   HKLM\...\Run: [baidusdTray] => "C:\Program Files (x86)\BaiduSd3.0\BaiduSd\3.0.0.4605\baidusdTray.exe"  -stmd=3
   HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Restriction <==== ATTENTION
   HKU\S-1-5-21-545498429-4251378554-2263727525-1000\...\Run: [DevidAgent] => C:\Users\Andrey\Desktop\DevIDagent.exe /autorun
   HKU\S-1-5-21-545498429-4251378554-2263727525-1000\...\Run: [mrupdsrv] => "C:\Users\Andrey\AppData\Local\Mail.Ru\Update Service\mrupdsrv.exe" --u
   HKU\S-1-5-21-545498429-4251378554-2263727525-1000\...\Run: [{6AD3BB29-1A68-A78C-1F14-4DBF936870F0}] => c:\programdata\{f6c39319-3258-3b9c-1f14-4dbf936870f0}\5b7c4386.exe [245760 2017-10-01] ()
   HKU\S-1-5-21-545498429-4251378554-2263727525-1000\...\Run: [DellSystemDetect] => C:\Users\Andrey\AppData\Local\Apps\2.0\ZHNDXOQH.62H\Z4PMPK91.M78\dell..tion_e30b47f5d4a30e9e_0005.000d_4ab2a66cfade09be\DellSystemDetect.exe [276776 2015-01-15] (Dell)
   HKU\S-1-5-21-545498429-4251378554-2263727525-1000\...\Winlogon: [Shell] C:\Windows\explorer.exe [2871808 2011-02-25] (Microsoft Corporation) <==== ATTENTION
   AppInit_DLLs: C:\PROGRA~2\SupTab\SEARCH~2.DLL => No File
   BootExecute: autocheck autochk * sdnclean64.exe
   GroupPolicy-x32: Restriction - Chrome <==== ATTENTION
   AutoConfigURL: [S-1-5-21-545498429-4251378554-2263727525-1000] => hxxp://erinope.com/recfor/today2.ruy
   ManualProxies: 0hxxp://erinope.com/recfor/today2.ruy
   RemoveProxy:
   FF Extension: (Домашняя страница Mail.Ru) - C:\Users\Andrey\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2017-05-09]
   FF Extension: (Поиск@Mail.Ru) - C:\Users\Andrey\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2017-05-09]
   FF Extension: (Спутник @Mail.Ru) - C:\Users\Andrey\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{37964A3C-4EE8-47b1-8321-34DE2C39BA4D} [2015-10-13] [not signed]
   FF Extension: (Adobe Flash Player) - C:\Users\Andrey\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{e4a8a97b-f2ed-450b-b12d-ee082ba24782}.xpi [2014-09-30] [not signed]
   R2 BDSGRTP; C:\Program Files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.645\BaiduProtect.exe [1940072 2014-12-04] (百度在线网络技术（北京）有限公司)
   S2 BDKVRTP; "C:\Program Files (x86)\BaiduSd3.0\BaiduSd\3.0.0.4605\baidusdSvc.exe" -r [X]
   S2 BDMRTP; "C:\Program Files (x86)\BaiduAn3.0\BaiduAn\3.0.0.3971\baiduAnSvc.exe" -r [X]
   R1 bd0001; C:\Windows\System32\DRIVERS\bd0001.sys [181072 2014-12-07] (Baidu)
   R1 bd0001; C:\Windows\SysWOW64\DRIVERS\bd0001.sys [202576 2014-12-12] (Baidu)
   S1 bd0002; C:\Windows\SysWOW64\DRIVERS\bd0002.sys [196424 2014-12-12] (Baidu)
   R1 bd0004; C:\Windows\System32\DRIVERS\bd0004.sys [170312 2014-11-28] (Baidu)
   R2 BDArKit; C:\Windows\System32\Drivers\BDArKit.SYS [152392 2014-12-26] (Baidu Technology)
   R1 BDMWrench; C:\Windows\System32\DRIVERS\BDMWrench.sys [130888 2014-12-23] (Baidu)
   S2 BDMNetMon; system32\DRIVERS\BDMNetMon.sys [X]
   S1 BDMWrench_x64; system32\DRIVERS\BDMWrench_x64.sys [X]
   S1 BDSafeBrowser; system32\drivers\BDSafeBrowser.sys [X]
   2017-10-01 12:01 - 2017-10-01 12:01 - 000000000 ____D C:\Users\Все пользователи\{FBEEDBC8-7A89-36B1-1F14-4DBF936870F0}
   2017-10-01 12:01 - 2017-10-01 12:01 - 000000000 ____D C:\ProgramData\{FBEEDBC8-7A89-36B1-1F14-4DBF936870F0}
   2017-10-01 00:42 - 2017-04-12 18:26 - 000003040 _____ C:\Windows\System32\Tasks\{6AD3BB29-1A68-A78C-1F14-4DBF936870F0}
   2017-10-01 00:42 - 2017-04-12 18:26 - 000000000 ____D C:\Users\Все пользователи\{F6C39319-3258-3B9C-1F14-4DBF936870F0}
   2017-10-01 00:42 - 2017-04-12 18:26 - 000000000 ____D C:\ProgramData\{F6C39319-3258-3B9C-1F14-4DBF936870F0}
   2017-10-01 00:35 - 2014-09-20 17:22 - 000000000 ____D C:\Users\Все пользователи\7654
   2017-10-01 00:35 - 2014-09-20 17:22 - 000000000 ____D C:\ProgramData\7654
   2017-09-30 20:17 - 2017-04-02 23:23 - 000000000 ____D C:\Users\Andrey\AppData\Roaming\WindowsUpdate
   2013-07-28 00:47 - 2013-07-28 00:47 - 000050968 _____ (cake bake) C:\Program Files (x86)\WCDesktop.Updater.exe
   2016-09-29 16:27 - 2016-09-29 16:27 - 000000128 ____H () C:\Users\Andrey\AppData\Roaming\ecf00c38dc807e105d881c433a6b455dd2c606b6
   2013-12-18 23:48 - 2016-08-25 00:48 - 000000203 _____ () C:\Users\Andrey\AppData\Roaming\WB.CFG
   2013-07-24 22:26 - 2013-07-24 22:26 - 000000005 _____ () C:\Users\Andrey\AppData\Roaming\WBPU-TTL.DAT
   2013-07-27 09:23 - 2017-04-09 09:48 - 000007606 _____ () C:\Users\Andrey\AppData\Local\resmon.resmoncfg
   2016-09-29 16:27 - 2016-09-29 16:27 - 000000128 ____H () C:\ProgramData\ecf00c38dc807e105d881c433a6b455dd2c606b6
   2013-12-29 11:00 - 2013-12-29 11:00 - 000005033 _____ () C:\ProgramData\mtbjfghn.xbe
   Task: {D21A4D2F-E73D-41B5-B3B0-F772044AFEBD} - \{B89C57AC-97FE-FFE9-474E-21B4AAC82547} -> No File <==== ATTENTION
   AlternateDataStreams: C:\ProgramData:iSpring Solutions [128]
   AlternateDataStreams: C:\Users\All Users:iSpring Solutions [128]
   AlternateDataStreams: C:\Users\Все пользователи:iSpring Solutions [128]
   AlternateDataStreams: C:\ProgramData\Application Data:iSpring Solutions [128]
   AlternateDataStreams: C:\ProgramData\Reprise:wupeogjxlctlfudivq`qsp`28hfm [0]
   AlternateDataStreams: C:\ProgramData\Reprise:wupeogjxldtlfudivq`qsp`27hfm [0]
   AlternateDataStreams: C:\ProgramData\Temp:58D8F144 [150]
   AlternateDataStreams: C:\ProgramData\Temp:82F50D1C [482]
   AlternateDataStreams: C:\Users\Andrey\Application Data:iSpring Solutions [128]
   AlternateDataStreams: C:\Users\Andrey\AppData\Roaming:iSpring Solutions [128]
   AlternateDataStreams: C:\Users\Все пользователи\Application Data:iSpring Solutions [128]
   AlternateDataStreams: C:\Users\Все пользователи\Reprise:wupeogjxlctlfudivq`qsp`28hfm [0]
   AlternateDataStreams: C:\Users\Все пользователи\Reprise:wupeogjxldtlfudivq`qsp`27hfm [0]
   AlternateDataStreams: C:\Users\Все пользователи\Temp:58D8F144 [150]
   AlternateDataStreams: C:\Users\Все пользователи\Temp:82F50D1C [482]
   EmptyTemp:

3. Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
4. Обратите внимание, что компьютер будет перезагружен.
5. Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

Сделайте новые логи FRST.txt, Addition.txt

[masdk]

Прикрепляю файл. Кстати, когда сохранял код в блокноте - отобразилось вот такое окошко (скрин).

[masdk]

Новые логи FRST и Addition.

- - - - -Добавлено - - - - -

Фикслог

- - - - -Добавлено - - - - -

Подключил флешку, удалил оттуда скрытую папку с файлом, закачал файлы и теперь они не скрываются!) Ура!
Огромное спасибо!
Скину денег Вам на проект.

- - - - -Добавлено - - - - -

У меня ещё же вопрос остался, совсем забыл. У второго компьютера в квартире точно такая же проблема. Его можно тоже излечить?

- - - - -Добавлено - - - - -

Только вот побочный эффект появился - не могу зайти на почту @yandex.ru через гугл хром. Через оперу захожу, а через гугл хром не заходит. Удалил его, установил новый, но не помогло.

[mike 1]

По второму компьютеру создайте отдельную тему.

1. Для удаления утилит, которые использовались в лечении скачайте DelFix и сохраните утилиту на Рабочем столе
2. Запустите DelFix
   Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да
3. В открывшемся окне программы поставьте галочки напротив пунктов Remove desinfection tools и Create registry backup
4. Нажмите на кнопку Run

• Для профилактики и защиты от повторных заражений загрузите SecurityCheck by glax24 отсюда и сохраните утилиту на Рабочем столе
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7)
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Прикрепите отчет в вашей теме

- - - - -Добавлено - - - - -

Только вот побочный эффект появился - не могу зайти на почту @yandex.ru через гугл хром

2FA случайно не включена?

[masdk]

2FA случайно не включена?

Нет, защиту никакую не подключал.
Вот такое сообщение на странице отображается, после того как пытается войти.

[Vvvyg]

Выполните скрипт в AVZ:

begin
 QuarantineFile('C:\Users\Andrey\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Новый текстовый документ.vbs', '');
 DeleteFile('C:\Users\Andrey\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Новый текстовый документ.vbs', '32');
 DeleteService('Sdssfsvrsizat');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
RebootWindows(false);
end.

Компьютер перезагрузится.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

[mike 1]

DeleteFile('C:\Users\Andrey\AppData\Roaming\Micros oft\Windows\Start Menu\Programs\Startup\Новый текстовый документ.vbs', '32');

Это легальный файл, который не стоит удалять. При включении компьютера приветствует пользователя.

[____________________________ Меню "Пуск" ____________________________]

- "C:\Users\Andrey\AppData\Roaming\Microsoft\Windows \Start Menu\Programs\Startup\Новый текстовый документ.vbs" -> Set sapi=CreateObject("sapi.spvoice")¶ sapi.Speak "Privet, Andrey Natasha" (cp: 20127) (MD5:8DB6840A9C3B8F4DC61BE63295B5C804)

- - - - -Добавлено - - - - -

Вот такое сообщение на странице отображается, после того как пытается войти.

Покажите трассировку до сайта passport.yandex.ru (команда tracert в командной строке)

[masdk]

После прописи логина и пароля в адресной строке отображается следующее (скрин 1). Далее, когда появляется текст (скрин в предыдущем посту), в адресной строке отображается (скрин 2).

- - - - -Добавлено - - - - -

Сделал диагностику неполадок Windows, в общем проблема нашлась и устранилась автоматически!

- - - - -Добавлено - - - - -

mike 1, огромное спасибо за помощь!