Диск постоянно на 100% [not-a-virus:AdWare.BAT.Clicker.af, HEUR:Trojan.WinLNK.StartPage.gend]

[antoshka111]

Создаю вторую тему, потому что забыл сделать и добавить результаты сканирования


При запуске любых программ диск загружается до 100%. Большую нагрузку дает процесс system. Даже, если нагрузка 1 мб/c - 100%. Подозрительных процессов нет. Раньше такого не было, а теперь почти каждый день (наверное, уже год). Перепробовал все способы из интернета. И отключал службы, и дефрагментацию, и на вирусы проверял, которых нет. Вот случайно нашел вас сайт. Может благодаря вам найду решение проблемы, вдруг у меня скрытый майнер.

[Info_bot]

Уважаемый(ая) antoshka111, спасибо за обращение на наш форум!

Помощь при заражении компьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста, поддержите проект.

[Sandor]

Здравствуйте!

Вы собрали логи устаревшей версией. Удалите Autologger и созданную им папку вместе с содержимым. Скачайте актуальную версию (по ссылке из правил) и повторите CollectionLog.

[antoshka111]

Сейчас все сделаю

- - - - -Добавлено - - - - -

Готово

[Sandor]

Временно отключите защитное ПО.
Выполните скрипт в AVZ:

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Users\user\AppData\Local\amigo.bat', '');
 QuarantineFile('C:\Users\user\AppData\Local\ok.bat', '');
 QuarantineFile('C:\Users\user\AppData\Local\Temp\Rar$EXa0.012\parsecd.exe', '');
 QuarantineFile('C:\Users\user\AppData\Local\vk.bat', '');
 QuarantineFile('C:\Users\user\AppData\Local\Yandex\browser.bat', '');
 QuarantineFile('C:\Users\user\AppData\Roaming\Config\hostdl.exe', '');
 QuarantineFile('C:\Users\user\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\ImplicitAppShortcuts\8f57cda0423b7962\Yandex.lnk', '');
 QuarantineFile('C:\Users\user\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\ImplicitAppShortcuts\8f57cda0423b7962\Yаndех.lnk', '');
 QuarantineFile('C:\Users\user\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Yаndех.lnk', '');
 QuarantineFile('C:\Users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Yandex\Yаndех.lnk', '');
 QuarantineFile('C:\Users\user\Desktop\Рабочий стол\Yаndех.lnk', '');
 QuarantineFile('C:\Users\user\Desktop\Рабочий стол\ДОКУМЕНТЫ\Амиго.lnk', '');
 QuarantineFile('C:\Users\user\Desktop\Рабочий стол\ДОКУМЕНТЫ\Вконтакте.lnk', '');
 QuarantineFile('C:\Users\user\Desktop\Рабочий стол\ДОКУМЕНТЫ\документы\Одноклассники.lnk', '');
 DeleteSchedulerTask('WindowsSupport');
 DeleteFile('C:\Users\user\AppData\Local\amigo.bat', '');
 DeleteFile('C:\Users\user\AppData\Local\ok.bat', '');
 DeleteFile('C:\Users\user\AppData\Local\Temp\Rar$EXa0.012\parsecd.exe', '32');
 DeleteFile('C:\Users\user\AppData\Local\Temp\Rar$EXa0.012\parsecd.exe', '64');
 DeleteFile('C:\Users\user\AppData\Local\vk.bat', '');
 DeleteFile('C:\Users\user\AppData\Local\Yandex\browser.bat', '');
 DeleteFile('C:\Users\user\AppData\Roaming\Config\hostdl.exe', '64');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Parsec.App.0', '32');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'Parsec.App.0', '64');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

Компьютер перезагрузится.


Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.


Файл CheckBrowserLnk.log
из папки

...\AutoLogger\CheckBrowserLnk

перетащите на утилиту ClearLNK.
Отчёт о работе в виде файла ClearLNK-<Дата>.log прикрепите к вашему следующему сообщению.


Сделайте повторные логи по правилам. (CollectionLog)

[antoshka111]

Сделал

[Sandor]

• Скачайте AdwCleaner (by Malwarebytes) и сохраните его на Рабочем столе.
• Запустите его (необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[Sxx].txt (где x - любая цифра).
• Прикрепите отчет к своему следующему сообщению.

[antoshka111]

Прикрепил.

- - - - -Добавлено - - - - -

Также появились предустановленные программы (может быть нужно)

[Sandor]

Предустановленные не трогайте, т.е. не отмечайте галочками. Остальное чистим:

1.

• Запустите повторно AdwCleaner (by Malwarebytes) (программу необходимо запускать через правую кн. мыши от имени администратора).
• В меню Параметры включите дополнительно в разделе Действия по базовому восстановлению:
  
  • Сбросить политики IE
  • Сбросить политики Chrome
• В меню Информационная панель нажмите Сканировать.
• По окончании нажмите кнопку Карантин и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[Cxx].txt (где x - любая цифра).
• Прикрепите отчет к своему следующему сообщению.
• (Обратите внимание - C и S - это разные буквы).

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.


2.
Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

[antoshka111]

Прикрепил.

[Sandor]

Примите к сведению - после выполнения скрипта все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  CreateRestorePoint:
  HKU\S-1-5-21-534460308-4259481965-4104908205-1002\...\MountPoints2: {18ffe98c-4f82-11e3-be73-24fd52210433} - "D:\AutoRun.exe" 
  HKU\S-1-5-21-534460308-4259481965-4104908205-1002\...\MountPoints2: {2575c687-b7eb-11e3-be76-001e101f47b6} - "D:\AutoRun.exe" 
  HKU\S-1-5-21-534460308-4259481965-4104908205-1002\...\MountPoints2: {4c91415a-18ce-11e4-be81-24fd52210433} - "D:\AutoRun.exe" 
  HKU\S-1-5-21-534460308-4259481965-4104908205-1002\...\MountPoints2: {56b56b93-613d-11e9-80c7-24fd52210433} - "D:\HiSuiteDownLoader.exe" 
  HKU\S-1-5-21-534460308-4259481965-4104908205-1002\...\MountPoints2: {57d6e2c4-c9ab-11e5-bfb6-001e101f3334} - "D:\AutoRun.exe" 
  HKU\S-1-5-21-534460308-4259481965-4104908205-1002\...\MountPoints2: {771d0209-2b5e-11e6-bfc5-24fd52210433} - "D:\iLinker.exe" 
  HKU\S-1-5-21-534460308-4259481965-4104908205-1002\...\MountPoints2: {9595d256-f6b6-11e8-80b8-24fd52210433} - "D:\HiSuiteDownLoader.exe" 
  HKU\S-1-5-21-534460308-4259481965-4104908205-1002\...\MountPoints2: {b33dbb97-0392-11e4-be7e-24fd52210433} - "D:\AutoRun.exe" 
  HKU\S-1-5-21-534460308-4259481965-4104908205-1002\...\MountPoints2: {bf75ac38-b727-11e3-be75-24fd52210433} - "D:\AutoRun.exe" 
  HKU\S-1-5-21-534460308-4259481965-4104908205-1002\...\MountPoints2: {bf75ac78-b727-11e3-be75-24fd52210433} - "D:\AutoRun.exe" 
  HKU\S-1-5-21-534460308-4259481965-4104908205-1002\...\MountPoints2: {bffb8b63-8701-11ea-8128-24fd52210433} - "D:\HiSuiteDownLoader.exe" 
  HKU\S-1-5-21-534460308-4259481965-4104908205-1002\...\MountPoints2: {fe831e0e-81c4-11e6-bfd1-001e101febe4} - "D:\AutoRun.exe" 
  IFEO\taskmgr.exe: [Debugger] 
  GroupPolicy: Restriction - Chrome <==== ATTENTION
  GroupPolicy\User: Restriction ? <==== ATTENTION
  CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
  Toolbar: HKU\S-1-5-21-534460308-4259481965-4104908205-1002 -> No Name - {093F479D-712E-46CD-9E06-62E734A05F68} -  No File
  CHR HomePage: Default -> search.ask.com/?gct=hp
  CHR StartupUrls: Default -> "hxxps://www.google.com/","hxxps://www.google.com/"
  CHR DefaultSearchURL: Default -> hxxp://www.search.ask.com/web?q={searchTerms}
  CHR DefaultSearchKeyword: Default -> search.ask.com
  CHR DefaultSuggestURL: Default -> hxxp://ssmsp.ask.com/query?sstype=prefix&li=ff&q={searchTerms}
  HKU\.DEFAULT\...\StartMenuInternet\ChromeHTML: -> C:\Program Files (x86)\Fanlook\Application\chrome.exe <==== ATTENTION
  HKU\S-1-5-21-534460308-4259481965-4104908205-1002\...\StartMenuInternet\ChromeHTML: -> C:\Program Files (x86)\Dohat\Application\chrome.exe <==== ATTENTION
  HKU\S-1-5-18\...\StartMenuInternet\ChromeHTML: -> C:\Program Files (x86)\Fanlook\Application\chrome.exe <==== ATTENTION
  S1 QMUdisk; \??\C:\Program Files (x86)\Tencent\QQPCMgr\10.10.16434.218\QMUdisk64.sys [X]
  2015-07-06 21:27 - 2015-08-04 12:07 - 000000121 ____H () C:\Program Files (x86)\opera.bat
  2015-07-06 21:27 - 2017-05-07 19:32 - 000866424 _____ (Opera Software) C:\Program Files (x86)\оpеrа.bаt.exe
  2014-11-07 22:00 - 2014-11-07 22:00 - 000000139 ____H () C:\Users\user\AppData\Local\ok.bat
  2014-11-07 22:00 - 2014-11-07 22:00 - 000000139 ____H () C:\Users\user\AppData\Local\vk.bat
  bl (HKLM-x32\...\{2A075BB4-E976-4278-BF3F-E5C6945D84C0}) (Version: 1.0.0 - Your Company Name) Hidden
  ph (HKLM-x32\...\{185F9795-9663-4F13-9EF9-307A282ADB5A}) (Version: 1.0.0 - Your Company Name) Hidden
  ContextMenuHandlers1: [IObitUnstaler] -> {B19ED566-D419-470b-B111-3C89040BC027} =>  -> No File
  ContextMenuHandlers4: [IObitUnstaler] -> {B19ED566-D419-470b-B111-3C89040BC027} =>  -> No File
  ContextMenuHandlers6: [IObitUnstaler] -> {B19ED566-D419-470b-B111-3C89040BC027} =>  -> No File
  AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [470]
  AlternateDataStreams: C:\Users\user\AppData\Local\Temp:SHPY0aAZPRpQ59nNX1ILJLB [2278]
  FirewallRules: [{3CAC24BD-3D67-4934-A8A5-B4B7CDF4FC14}] => (Allow) LPort=3389
  FirewallRules: [{BF6E3D42-D003-4CB3-B3C7-5DE9B8F927BB}] => (Allow) C:\Program Files (x86)\Remote Mouse\RemoteMouse.exe => No File
  FirewallRules: [{8B09AF80-A3FC-4F1B-95EE-7925B0EA25B2}] => (Allow) C:\Program Files (x86)\Remote Mouse\RemoteMouse.exe => No File
  FirewallRules: [{D5E5A37E-8953-4EC9-B04B-07763F32D0A6}] => (Allow) C:\Program Files (x86)\Remote Mouse\RemoteMouseCore.exe => No File
  FirewallRules: [{B10722AC-3E9F-4997-A84F-93BE0ADE4EE5}] => (Allow) C:\Program Files (x86)\Remote Mouse\RemoteMouseCore.exe => No File
  ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
  EmptyTemp:
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

[antoshka111]

А можно как-нибудь сохранить историю и куки?

[Sandor]

Не желательно. Но если так уж надо, уберите из скрипта строку
EmptyTemp:

[antoshka111]

А если убрать эту строку, то выход из аккаунтов тоже не будет?

[Sandor]

Не будет.

[antoshka111]

готово

[Sandor]

Исключения в Защитнике для подобных папок

C:\Program Files (x86)\YpuAskUn

специально задавали?

[antoshka111]

Нет, ничего не задавал, убрал строку, которую вы сказали и все

[Sandor]

Тогда еще один скрипт.

• Отключите до перезагрузки антивирус.
• Выделите следующий код:
  

  Start::
  CreateRestorePoint:
  DeleteValue:HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|"C:\Program Files (x86)\YpuAskUn"
  DeleteValue:HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|"C:\Program Files (x86)\YueAckU"
  DeleteValue:HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|"C:\Program Files (x86)\YtuAskU2"
  DeleteValue:HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|"C:\Program Files (x86)\YeuAskIE"
  DeleteValue:HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths|"C:\Users\user\AppData\Roaming\Opera Software\Opera Stable\Extensions\clliemkgoekbejfjjaodogdfimdgapdf"
  Reboot:
  End::

• Скопируйте выделенный текст (правой кнопкой - Копировать).
• Запустите FRST (FRST64) от имени администратора.
• Нажмите Fix один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

[antoshka111]

Готово