Помогите удалить вирус Baidu

[Kiry78]

Не удаляется китайский вирус

CollectionLog-2014.11.19-19.31.zip

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

 

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

 

Здравствуйте! Так загадить себе компьютер еще нужно постараться. Деинсталлируйте что сможете:

 

eDealsPop version 1.0-->"C:\Program Files (x86)\eDealsPop\unins000.exe"
Remote Desktop Access (VuuPC)-->"C:\Users\Юра\AppData\Roaming\VOPackage\uninstall.exe"
rollApp File Opener version 1.3.2-->"C:\Windows\unins001.exe"
sCloudStatusCheck-->"C:\ProgramData\Program status\uninstall.exe"
test version 1.5-->"C:\Program Files (x86)\test\unins000.exe"
Time tasks-->"C:\ProgramData\Schedule\uninstall.exe"
Twilight Pretty Search-->"C:\Program Files (x86)\Twilight Tech\Pretty Search\uninstall.exe"
Weatherbar-->MsiExec.exe /I{29EA77C2-07D6-44B0-B41D-053380B0C6F4}
Weatherbar-->MsiExec.exe /I{BE742AE3-0C95-46CC-B5C8-9F942FDD9360}
Спутник@Mail.Ru-->C:\Program Files (x86)\Mail.Ru\Sputnik\mailrusputnik.exe uninstall
????3.0-->C:\Program Files (x86)\BaiduSd3.0\BaiduSd\3.0.0.4605\uninst.exe

 

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

 

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
  then
   begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
   end;
 ClearQuarantine;
 TerminateProcessByName('c:\program files (x86)\winrst\winrst.exe');
 TerminateProcessByName('c:\programdata\windowsmangerprotect\protectwindowsmanager.exe');
 TerminateProcessByName('c:\programdata\schedule\timetasks.exe');
 TerminateProcessByName('c:\programdata\7654\service.exe');
 TerminateProcessByName('c:\users\Юра\appdata\local\mbrocrprocess\minimalremotewin32.exe');
 TerminateProcessByName('c:\users\Юра\appdata\local\mbrocrprocess\mbrocrprocess.exe');
 TerminateProcessByName('c:\program files (x86)\edealspop\edealspop.exe');
 TerminateProcessByName('c:\program files (x86)\pirrit\autoupdater.exe');
 SetServiceStart('WinRST', 4);
 SetServiceStart('WindowsMangerProtect', 4);
 SetServiceStart('PirritUpdater', 4);
 SetServiceStart('MBROCRProcess.exe', 4);
 SetServiceStart('7654Bao', 4);
 StopService('WinRST');
 StopService('WindowsMangerProtect');
 StopService('PirritUpdater');
 StopService('MBROCRProcess.exe');
 StopService('7654Bao');
 QuarantineFile('C:\PROGRA~3\Mozilla\tsadtol.exe','');
 QuarantineFile('C:\ProgramData\Program status\scheck.exe','');
 QuarantineFile('C:\Users\Юра\AppData\Local\DebugFAT32Public\RegFltrX64.sys','');
 QuarantineFile('c:\program files (x86)\winrst\winrst.exe','');
 QuarantineFile('c:\programdata\windowsmangerprotect\protectwindowsmanager.exe','');
 QuarantineFile('c:\programdata\schedule\timetasks.exe','');
 QuarantineFile('c:\programdata\7654\service.exe','');
 QuarantineFile('c:\users\Юра\appdata\local\mbrocrprocess\minimalremotewin32.exe','');
 QuarantineFile('c:\users\Юра\appdata\local\mbrocrprocess\mbrocrprocess.exe','');
 QuarantineFile('c:\program files (x86)\edealspop\edealspop.exe','');
 QuarantineFile('c:\program files (x86)\pirrit\autoupdater.exe','');
 DeleteFile('c:\program files (x86)\pirrit\autoupdater.exe','32');
 DeleteFile('c:\program files (x86)\edealspop\edealspop.exe','32');
 DeleteFile('c:\users\Юра\appdata\local\mbrocrprocess\mbrocrprocess.exe','32');
 DeleteFile('c:\users\Юра\appdata\local\mbrocrprocess\minimalremotewin32.exe','32');
 DeleteFile('c:\programdata\schedule\timetasks.exe','32');
 DeleteFile('c:\programdata\windowsmangerprotect\protectwindowsmanager.exe','32');
 DeleteFile('c:\program files (x86)\winrst\winrst.exe','32');
 DeleteFile('C:\ProgramData\7654\service.exe','32');
 DeleteFile('C:\Users\Юра\AppData\Local\DebugFAT32Public\RegFltrX64.sys','32');
 DeleteFile('C:\ProgramData\Program status\scheck.exe','32');
 DeleteFile('C:\Windows\Tasks\Digital Sites.job','64');
 DeleteFile('C:\Windows\Tasks\PC SpeedUp Service Deactivator.job','64');
 DeleteFile('C:\Windows\Tasks\RegClean Pro_DEFAULT.job','64');
 DeleteFile('C:\Windows\Tasks\RegClean Pro_UPDATES.job','64');
 DeleteFile('C:\Windows\system32\Tasks\Digital Sites','64');
 DeleteFile('C:\Windows\system32\Tasks\RegClean Pro','64');
 DeleteFile('C:\Windows\system32\Tasks\PC SpeedUp Service Deactivator','64');
 DeleteFile('C:\Windows\system32\Tasks\RegClean Pro_DEFAULT','64');
 DeleteFile('C:\Windows\system32\Tasks\RegClean Pro_UPDATES','64');
 DeleteFile('C:\PROGRA~3\Mozilla\tsadtol.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\vbocwrg','64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','eDealsPop');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','sCloudStatusCheck');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Schedule');
 DeleteService('RegFltrX64');
 DeleteService('9363b2ceb36ae3b.exe');
 DeleteService('8ac6ce23871bf86.exe');
 DeleteService('WinRST');
 DeleteService('WindowsMangerProtect');
 DeleteService('PirritUpdater');
 DeleteService('MBROCRProcess.exe');
 DeleteService('7654Bao');
 DeleteFileMask('C:\ProgramData\Program status', '*', true, ' ');
 DeleteFileMask('C:\Users\Юра\AppData\Local\DebugFAT32Public', '*', true, ' ');
 DeleteFileMask('c:\program files (x86)\winrst', '*', true, ' ');
 DeleteFileMask('c:\programdata\windowsmangerprotect', '*', true, ' ');
 DeleteFileMask('c:\programdata\schedule', '*', true, ' ');
 DeleteFileMask('c:\programdata\7654', '*', true, ' ');
 DeleteFileMask('c:\program files (x86)\edealspop', '*', true, ' ');
 DeleteFileMask('c:\program files (x86)\pirrit', '*', true, ' ');
 DeleteFileMask('C:\Users\Юра\AppData\Roaming\everysale3', '*', true, ' ');     
 DeleteDirectory('C:\ProgramData\Program status');     
 DeleteDirectory('C:\Users\Юра\AppData\Local\DebugFAT32Public');     
 DeleteDirectory('c:\program files (x86)\winrst');     
 DeleteDirectory('c:\programdata\windowsmangerprotect');     
 DeleteDirectory('c:\programdata\schedule');     
 DeleteDirectory('c:\programdata\7654');     
 DeleteDirectory('c:\program files (x86)\edealspop');
 DeleteDirectory('c:\program files (x86)\pirrit');
 DeleteDirectory('C:\Users\Юра\AppData\Roaming\everysale3');     
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteRepair(22);
RebootWindows(false);
end.

 

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

 

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

 

quarantine.zip из папки AVZ отправьте через данную форму.

1. Выберите тип запроса "Запрос на исследование вредоносного файла".

2. В окне "Подробное описание возникшей ситуации" наберите "Выполняется запрос хэлпера".

3. Прикрепите файл карантина

4. Введите изображенное на картинке число и нажмите "Далее".

5. Если размер карантина превышает 15 Мб, то карантин отправьте по адресу newvirus@kaspersky.com

 Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Пофиксите следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.sweet-page.com/?type=hp&ts=1414490041&from=cor&uid=HitachiXHDS721050CLA360_JP1572FR23LAZK23LAZKX
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=b2652e293ad25c959a1a088fa99017cc&text={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=b2652e293ad25c959a1a088fa99017cc&text={searchTerms}
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.sweet-page.com/?type=hp&ts=1414490041&from=cor&uid=HitachiXHDS721050CLA360_JP1572FR23LAZK23LAZKX
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.sweet-page.com/?type=hp&ts=1414490041&from=cor&uid=HitachiXHDS721050CLA360_JP1572FR23LAZK23LAZKX
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.sweet-page.com/web/?type=ds&ts=1414490041&from=cor&uid=HitachiXHDS721050CLA360_JP1572FR23LAZK23LAZKX&q={searchTerms}
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.sweet-page.com/web/?type=ds&ts=1414490041&from=cor&uid=HitachiXHDS721050CLA360_JP1572FR23LAZK23LAZKX&q={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.sweet-page.com/?type=hp&ts=1414490041&from=cor&uid=HitachiXHDS721050CLA360_JP1572FR23LAZK23LAZKX
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.sweet-page.com/web/?type=ds&ts=1414490041&from=cor&uid=HitachiXHDS721050CLA360_JP1572FR23LAZK23LAZKX&q={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.sweet-page.com/web/?type=ds&ts=1414490041&from=cor&uid=HitachiXHDS721050CLA360_JP1572FR23LAZK23LAZKX&q={searchTerms}
R3 - URLSearchHook: (no name) - {0633EE93-D776-472f-A0FF-E1416B8B2E3D} - (no file)
O2 - BHO: BDHOOK - {15DEE173-1BE9-4424-81E0-58A87076E9B1} - C:\Program Files (x86)\BaiduSd3.0\BaiduSd\3.0.0.4605\websafe\WebMonBHO.dll
O2 - BHO: Weatherbar - {17177FAA-3830-43D3-A70B-FDE532676B1E} - C:\Program Files (x86)\tooldev342\Weatherbar\TracersToolbarBHO_x86.dll
O2 - BHO: (no name) - {95B7759C-8C7F-4BF1-B163-73684A933233} - (no file)
O2 - BHO: websaver - {a5f14da6-d12f-446d-a1fc-af72416cb771} - C:\ProgramData\websaver\t51NFisBOCLyRG.dll
O2 - BHO: IEExtension.Extension - {d40c654d-7c51-4eb3-95b2-1e23905c2a2d} - mscoree.dll (file missing)
O4 - HKLM\..\Run: [eDealsPop] "C:\Program Files (x86)\eDealsPop\eDealsPop.exe"
O4 - HKLM\..\Run: [Schedule] "C:\ProgramData\Schedule\timetasks.exe"
O4 - HKLM\..\Run: [sCloudStatusCheck] "C:\ProgramData\Program status\scheck.exe"
O4 - HKLM\..\Run: [baidusdTray] "C:\Program Files (x86)\BaiduSd3.0\BaiduSd\3.0.0.4605\BaiduSdTray.exe"  -stmd=3

 

 

Скачайте ComboFix здесь и сохраните в корень диска С. 

 

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.

 

2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.

Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe. Например: temp.exe

 

Подробнее в "ComboFix. Руководство по применению."