Не удаляющийся desktoplayer.exe в реестре. [Win32.Rmnet]

**Aleksandr.r7** · 17.02.2018, 14:01

Здравствуйте! Я уже устал с этим бороться, постоянно в реестре появляется desktoplayer.exe, вместо userinit, сканировал разными утилитами, лечил, через время все равно появляется, не могу избавиться от него. При сканировании выявляется Rmnet. Win xp x32

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 17.02.2018, 14:02

Уважаемый(ая) Aleksandr.r7, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**Vvvyg** · 20.02.2018, 06:55

Запустите HijackThis, расположенный в папке Autologger и пофиксите (в Windows Vista/7/8/10 необходимо запускать через правую кнопку мыши Запуск от имени администратора)):

Код:

R4 - SearchScopes: HKCU\Software\Policies\Microsoft\Internet Explorer\SearchScopes\{904C38B6-EC05-488E-9A95-D4A3402446E0} [URL] = http://inet123.ru/?cx=partner-pub-7107628092852806%3Asxiti5-ktqk&cof=FORID%3A10&ie=utf-8&q={searchTerms}&sa=%CF%EE%E8%F1%EA&siteurl=inet123.ru%2F#881 - inet123.ru
F2 - HKLM\..\WinLogon: [UserInit] = c:\windows\system32\userinit.exe,c:\program files\microsoft\desktoplayer.exe
O21 - HKLM\..\ShellIconOverlayIdentifiers: 00avast - {472083B0-C522-11CF-8763-00608CC02F24} - (no file)
O21 - HKLM\..\ShellIconOverlayIdentifiers: TortoiseOverlay - {CBF88FC2-F150-4F29-BC80-CE30EFD1B62C} - (no file)

Выполните скрипт в AVZ:

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 DeleteFile('c:\program files\microsoft\desktoplayer.exe', '32');
 RegKeyParamWrite('HKEY_LOCAL_MACHINE', 'SYSTEM\CurrentControlSet\Services\Eventlog\System\ip100Avista', 'EventMessageFile', 'REG_EXPAND_SZ', '%SystemRoot%\System32\netevent.dll');
BC_ImportALL;
ExecuteSysClean;
 ExecuteRepair(1);
 ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Выполните скрипт в AVZ при наличии доступа в интернет:

Код:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt? прикрепите его к своему сообщению.

**Aleksandr.r7** · 23.02.2018, 22:02

Перезапустил пк, desktoplayer опять появился в C/Program Files/Microsoft. А еще, не подскажите из-за чего зависает мышка и иногда не выключается компьютер? Экран выключается, а системный блок работает.

**Vvvyg** · 23.02.2018, 23:38

Установите все обновления по ссылкам:

MS17-010: Обновления безопасности для Windows SMB Server
http://www.catalog.update.microsoft....px?q=KB4012598

Уязвимость в ядре Windows может допустить повышение уровня полномочий
http://www.microsoft.com/downloads/d...5-b4c1d7c0865c

Обновление для системы безопасности Microsoft Office Word 2007
http://www.microsoft.com/downloads/d...8-6ccfdfa399c5

Обновление для системы безопасности Microsoft Office Word 2003 Compatibility Pack
http://www.microsoft.com/downloads/d...0-4b18081bd536

Затем сделайте новый лог Autologger.

**Aleksandr.r7** · 24.02.2018, 11:30

1)Эта ссылка не работает(Eror 404):
Уязвимость в ядре Windows может допустить повышение уровня полномочий
http://www.microsoft.com/downloads/d...5-b4c1d7c0865c

2)А тут я скачал инсталлятор, но пишет: В системе не найдена ожидаемая версия продукта.
Обновление для системы безопасности Microsoft Office Word 2003 Compatibility Pack
http://www.microsoft.com/downloads/d...0-4b18081bd536

**Vvvyg** · 24.02.2018, 12:36

В принципе, если MS17-010 пофиксили, по минимуму достаточно. Хотя лучше обновлять систему и офис автоматически.
Лог новый делайте.

**Aleksandr.r7** · 24.02.2018, 13:11

Готоово.

**Vvvyg** · 24.02.2018, 13:41

А теперь - лог Autologger, Ok после запуска нажимайте с зажатой клавишей Shift.

**Aleksandr.r7** · 24.02.2018, 15:04

Лог Autologger

**Vvvyg** · 24.02.2018, 15:39

Пролечитесь Dr. Web CureIt в безопасном режиме, проверяйте после диска C: все остальные, включая съёмные, цепляете откуда-то снова и снова.

**Aleksandr.r7** · 24.02.2018, 17:53

Пока идет сканирование, зависает мышь. Вирус наверно блокирует ee (USB) =(

**Vvvyg** · 24.02.2018, 19:33

Лучше до завершения не работать на компьютере вообще.

**Aleksandr.r7** · 24.02.2018, 20:45

Я включаю поиск вирусов и ухожу. Когда возвращаюсь двигаю мышку(мышка новая), она не работает. Может дело в комплектующем пк? И когда выключаю пк он продолжает работать, только экран отключается, иногда вообще перезапускается. Может дело в материнке?

**Vvvyg** · 24.02.2018, 21:14

Проблема аппаратная налицо. Но и вирус надо долечить.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (лучше оба в одном архиве).

**Aleksandr.r7** · 24.02.2018, 22:01

Отчеты

**Vvvyg** · 24.02.2018, 23:16

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

Код:

CreateRestorePoint:
HKLM\...\Winlogon: [Userinit] c:\windows\system32\userinit.exe,c:\program files\microsoft\desktoplayer.exe
CHR HKLM\...\Chrome\Extension: [aeembeejekghkopiabadonpmfpigojok] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [bgbgnhmfbcifpkjofoojfplmfkmaiadn] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [bgcifljfapbhgiehkjlckfjmgeojijcb] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [bgknpfancpeamejmcooedljjnaddldhg] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [bgomnbpelpcdicbnicimghcecemjpbef] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [bpgangmffjcofiknibcmfjionicohfgj] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [cegdomhocaeoedbdpfolmgjkjaijfomo] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [glcimepnljoholdmjchkloafkggfoijh] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [gndaciceccgapjhpniecknjlmmlanaem] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [icanjjkadceebmhanpekkofdhclnoijl] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [kppacdmmddediahklmcgkgdhhoojemmd] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [lanabbpahpjnaljebnpgkjemcbkepiak] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [nbifdkmdojgmpmopdebnjcobekgdoncn] - hxxps://clients2.google.com/service/update2/crx
S1 ZAM; \??\C:\WINDOWS\System32\drivers\zam32.sys [X]
S1 ZAM_Guard; \??\C:\WINDOWS\System32\drivers\zamguard32.sys [X]
S3 EsgScanner; system32\DRIVERS\EsgScanner.sys [X]
2015-01-29 14:01 - 2015-01-29 14:01 - 000000664 _____ () C:\Documents and Settings\Admin\Local Settings\Application Data\d3d9caps.tmp
2016-02-10 23:27 - 2016-02-11 15:28 - 000000150 _____ () C:\Documents and Settings\All Users\Application Data\{262E20B8-6E20-4CEF-B1FD-D022AB1085F5}.dat
2018-02-10 19:54 - 2017-09-08 19:26 - 000000000 ____D C:\Documents and Settings\Admin\Application Data\Babylon
ContextMenuHandlers1: [7-Zip] -> {23170F69-40C1-278A-1000-000100020000} =>  -> No File
ContextMenuHandlers1: [AIMP] -> {1F77B17B-F531-44DB-ACA4-76ABB5010A28} =>  -> No File
ContextMenuHandlers3: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> No File
ContextMenuHandlers4: [7-Zip] -> {23170F69-40C1-278A-1000-000100020000} =>  -> No File
ContextMenuHandlers4: [AIMP] -> {1F77B17B-F531-44DB-ACA4-76ABB5010A28} =>  -> No File
ContextMenuHandlers5: [ACE] -> {5E2121EE-0300-11D4-8D3B-444553540000} =>  -> No File
Reboot:

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!
Отключите до перезагрузки антивирус, закройте все браузеры, в FRST нажмите один раз Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Сделайте лог сканирования МВАМ.

**Aleksandr.r7** · 25.02.2018, 14:55

Сканирования МВАМ долгое, максимум к 30 минутам доходит и зависает мышка. Наверно не получиться удалить из-за этой проблемы с мышкой =( Щас попробую по отдельности каждый диск.

**Vvvyg** · 25.02.2018, 15:02

Видимо, не мышка виснет, а компьютер зависает.

Новый лог FRST сделайте.

**Aleksandr.r7** · 25.02.2018, 16:55

Новый лог. Нет, когда мышка зависает клавиатура работает. Мне когда-то мастер говорил что у меня проблемы с Южным мостом . Я вот заметил, зависла мышка(она по USB), я вставил флешку и ничего не происходит, тоесть USB порты отключаются. А клава работает из-за того что она не по USB подключена, а в дефолтный разьем.

Не удаляющийся desktoplayer.exe в реестре. [Win32.Rmnet] (заявка № 217768)

Опции темы