Перейти к содержанию
Правила раздела

вирус Baidu

Sotec

От Sotec
в Помощь в удалении вирусов

 Share

Рекомендуемые сообщения

Sotec Новичок

Sotec

Опубликовано
Опубликовано

Появились 3 неудаляемые папки  в C:\Program Files (x86):    BaiduSd3.0, BaiduAn3.0, Baidu, в трее висит также значок программмы. Ничем удалить не получается.

CollectionLog-2014.11.22-10.08.zip

Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано
Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.
 
Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.
 
Здравствуйте! 
 
Пофиксите следующие строчки в HiJackThis (некоторые строки могут отсутствовать).
 
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=0f9aae0d0f3d9ebcc55c0e29b95980af&text={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=0f9aae0d0f3d9ebcc55c0e29b95980af&text={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=0f9aae0d0f3d9ebcc55c0e29b95980af&text=
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=0f9aae0d0f3d9ebcc55c0e29b95980af&text=
O4 - HKLM\..\Run: [baidusdTray] "C:\Program Files (x86)\BaiduSd3.0\BaiduSd\3.0.0.4605\BaiduSdTray.exe"  -stmd=3
 
  • Скачайте ClearLNK и сохраните архив с утилитой на рабочем столе.
  • Распакуйте архив с утилитой в отдельную папку.
  • Перенесите Check_Browsers_LNK.log из папки Автологгера на ClearLNK как показано на рисунке
 
move.gif
 
  • Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
  • Прикрепите этот отчет к своему следующему сообщению.
 

Скачайте ComboFix здесь и сохраните в корень диска С. 
 
1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
 
2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe. Например: temp.exe
 
 

 

Ссылка на комментарий
Поделиться на другие сайты
Sotec Новичок

Sotec

Опубликовано
  • Автор
Опубликовано

Здравствуйте! Выполнил ваши указания, ситуация не изменилась.

 

Лог:

ComboFix 14-11-18.01 - Sotec 22.11.2014  11:28:39.1.4 - x64
Microsoft Windows 7 Максимальная   6.1.7601.1.1251.7.1049.18.8175.6326 [GMT 2:00]
Running from: C:\ComboFix.exe
AV: Kaspersky Internet Security *Disabled/Updated* {C3113FBF-4BCB-4461-D78D-6EDFEC9593E5}
FW: Kaspersky Internet Security *Disabled* {FB2ABE9A-01A4-4539-FCD2-C7EA1246D49E}
SP: Kaspersky Internet Security *Disabled/Updated* {7870DE5B-6DF1-4BEF-ED3D-55AD9712D958}
SP: Windows Defender *Enabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
.
.
(((((((((((((((((((((((((((((((((((((((   Other Deletions   )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\users\Sotec\AppData\Local\Temp\mcse32_00.dll
c:\users\Sotec\AppData\Local\Temp\mcse64_00.dll
c:\users\Sotec\AppData\Local\Temp\mcse64_01.dll
c:\windows\setup.exe
c:\windows\SysWow64\drivers\hwinterface.sys
c:\windows\TEMP\sdk8\Cache\avengine.dll.cf76373cb9a583c9603a47377e180985 . . . . Failed to delete
c:\windows\TEMP\sdk8\Cache\kavbase.kdl.7aa539a1cbbfb4baa644b9866f4bcf4b . . . . Failed to delete
c:\windows\TEMP\sdk8\Cache\kavsys.kdl.3cbce9162519ae9d590238cb927fbb55 . . . . Failed to delete
c:\windows\TEMP\sdk8\Cache\kjim.kdl.515c9bc6da1b5b7f42860347f720ee10 . . . . Failed to delete
c:\windows\TEMP\sdk8\Cache\klavemu.kdl.b6b6dd223ad2aad28374217a028b59b0 . . . . Failed to delete
c:\windows\TEMP\sdk8\Cache\qscan.kdl.94c366b442c3accc919782ce5f0d7fd0 . . . . Failed to delete
.
.
(((((((((((((((((((((((((((((((((((((((   Drivers/Services   )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
-------\Legacy_BD0001
-------\Legacy_BD0002
-------\Service_bd0001
-------\Service_bd0002
.
.
(((((((((((((((((((((((((   Files Created from 2014-10-22 to 2014-11-22  )))))))))))))))))))))))))))))))
.
.
2014-11-22 09:35 . 2014-11-20 05:17    56136    ----a-w-    c:\windows\system32\drivers\BDMWrench_x64.sys
2014-11-22 07:52 . 2014-11-22 08:06    7168    ----a-w-    c:\windows\SysWow64\drivers\utezmjk3.sys
2014-11-22 07:38 . 2014-11-22 07:38    --------    d-----w-    c:\users\Sotec\AppData\Roaming\Baidu
2014-11-22 04:20 . 2014-11-22 06:53    13312    ----a-w-    c:\windows\SysWow64\drivers\vdezmjk3.sys
2014-11-21 19:57 . 2014-11-21 19:57    --------    d-sh--w-    c:\users\Sotec\AppData\Local\EmieBrowserModeList
2014-11-21 19:57 . 2014-11-22 07:05    --------    d-----w-    c:\windows\AF54923662584AC6A0435B5B89C6EB61.TMP
2014-11-21 19:54 . 2014-11-21 20:00    --------    d-----w-    c:\program files (x86)\Enigma Software Group
2014-11-21 19:53 . 2014-11-21 19:53    --------    d-----w-    c:\program files (x86)\Common Files\Wise Installation Wizard
2014-11-21 17:08 . 2014-11-21 17:08    --------    d-----w-    c:\users\Sotec\AppData\Roaming\Enigma Software Group
2014-11-21 17:08 . 2014-11-21 17:08    22704    ----a-w-    c:\windows\system32\drivers\EsgScanner.sys
2014-11-21 17:08 . 2014-11-21 17:08    --------    d-----w-    c:\program files\Enigma Software Group
2014-11-21 16:22 . 2014-11-02 04:20    11632448    ----a-w-    c:\programdata\Microsoft\Windows Defender\Definition Updates\{4640AFD6-0C85-4AAD-8748-9AD9B46B61A1}\mpengine.dll
2014-11-20 14:45 . 2014-11-20 14:45    --------    d-----w-    c:\programdata\Kaspersky SDK
2014-11-20 05:52 . 2014-11-20 05:52    --------    d-----w-    c:\program files (x86)\BaiduAn3.0
2014-11-20 05:44 . 2014-11-11 12:23    144712    ----a-w-    c:\windows\system32\drivers\BDArKit.sys
2014-11-20 05:18 . 2014-11-20 05:17    67400    ----a-w-    c:\windows\system32\drivers\bd0003.sys
2014-11-20 05:18 . 2014-11-20 05:17    103240    ----a-w-    c:\windows\system32\drivers\BDDefense.sys
2014-11-20 05:17 . 2014-11-20 05:17    193864    ----a-w-    c:\windows\system32\drivers\bd0002.sys
2014-11-20 05:17 . 2014-11-20 05:17    --------    d-----w-    c:\program files (x86)\BaiduSd3.0
2014-11-19 15:43 . 2014-11-11 03:08    241152    ----a-w-    c:\windows\system32\pku2u.dll
2014-11-19 15:43 . 2014-11-11 03:08    728064    ----a-w-    c:\windows\system32\kerberos.dll
2014-11-19 15:43 . 2014-11-11 02:44    186880    ----a-w-    c:\windows\SysWow64\pku2u.dll
2014-11-19 15:43 . 2014-11-11 02:44    550912    ----a-w-    c:\windows\SysWow64\kerberos.dll
2014-11-17 07:39 . 2014-11-17 07:39    --------    d-----w-    c:\users\Sotec\AppData\Local\ElevatedDiagnostics
2014-11-14 11:45 . 2014-11-14 11:45    --------    d-----w-    c:\users\Sotec\AppData\Local\Xpom
2014-11-14 11:45 . 2014-11-15 14:27    --------    d-----w-    c:\program files (x86)\Hamster Soft
2014-11-14 11:45 . 2014-11-14 11:45    --------    d-----w-    c:\users\Sotec\AppData\Roaming\HamsterSoft
2014-11-14 11:44 . 2014-11-14 11:44    --------    d-----w-    c:\users\Sotec\AppData\Roaming\TuneUp Software
2014-11-14 11:44 . 2014-11-14 11:44    --------    d-----w-    c:\users\Sotec\AppData\Local\TuneUp Software
2014-11-14 11:43 . 2014-11-15 09:28    --------    d-----w-    c:\programdata\TuneUp Software
2014-11-14 11:42 . 2014-11-14 11:42    --------    d-----w-    c:\users\Sotec\AppData\Roaming\RHEng
2014-11-14 11:42 . 2014-11-14 11:42    --------    d-----w-    c:\users\Sotec\AppData\Roaming\rmi
2014-11-12 06:50 . 2014-11-12 06:50    --------    d-----w-    c:\users\Sotec\AppData\Roaming\MisterHorse
2014-11-12 06:14 . 2014-11-05 17:56    304640    ----a-w-    c:\windows\system32\generaltel.dll
2014-11-12 06:14 . 2014-11-05 17:56    228864    ----a-w-    c:\windows\system32\aepdu.dll
2014-11-12 06:14 . 2014-11-05 17:52    424448    ----a-w-    c:\windows\system32\aeinv.dll
2014-11-08 05:09 . 2014-11-08 05:09    --------    d-----w-    c:\users\Sotec\AppData\Roaming\SketchUp
2014-11-08 05:03 . 2014-11-08 05:03    --------    d-----w-    c:\programdata\Datos de programa
2014-11-08 05:01 . 2014-11-08 05:01    --------    d-----w-    c:\programdata\SketchUp
2014-11-08 05:01 . 2014-11-08 05:01    --------    d-----w-    c:\program files (x86)\SketchUp
2014-11-04 10:54 . 2014-10-17 11:08    56648    ----a-w-    c:\windows\system32\drivers\BDMWrench.sys
2014-10-25 12:39 . 2014-10-25 12:39    --------    d-----w-    c:\program files\Common Files\PACE Anti-Piracy
2014-10-25 10:45 . 2014-10-25 10:45    --------    d-----w-    c:\programdata\Package Cache
2014-10-25 09:55 . 2014-11-04 18:56    --------    d-----w-    c:\program files (x86)\The KMPlayer
2014-10-23 15:54 . 2014-10-23 15:54    159744    ----a-w-    c:\program files\Internet Explorer\Модули\npqtplugin5.dll
2014-10-23 15:54 . 2014-10-23 15:54    159744    ----a-w-    c:\program files\Internet Explorer\Модули\npqtplugin4.dll
2014-10-23 15:54 . 2014-10-23 15:54    159744    ----a-w-    c:\program files\Internet Explorer\Модули\npqtplugin3.dll
2014-10-23 15:54 . 2014-10-23 15:54    159744    ----a-w-    c:\program files\Internet Explorer\Модули\npqtplugin2.dll
2014-10-23 15:54 . 2014-10-23 15:54    159744    ----a-w-    c:\program files\Internet Explorer\Модули\npqtplugin.dll
2014-10-23 15:54 . 2014-10-23 15:54    --------    d-----w-    c:\program files (x86)\QuickTime
.
.
.
((((((((((((((((((((((((((((((((((((((((   Find3M Report   ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2014-11-22 09:36 . 2013-09-22 19:34    25640    ----a-w-    c:\windows\gdrv.sys
2014-11-20 05:17 . 2014-10-10 13:29    181072    ----a-w-    c:\windows\system32\drivers\bd0001.sys
2014-11-14 05:02 . 2013-09-23 04:43    71344    ----a-w-    c:\windows\SysWow64\FlashPlayerCPLApp.cpl
2014-11-14 05:02 . 2013-09-23 04:43    701104    ----a-w-    c:\windows\SysWow64\FlashPlayerApp.exe
2014-11-12 15:47 . 2013-09-23 05:45    103374192    ----a-w-    c:\windows\system32\MRT.exe
2014-11-04 12:30 . 2010-11-21 03:27    275080    ------w-    c:\windows\system32\MpSigStub.exe
2014-11-04 05:37 . 2014-09-26 12:42    169288    ----a-w-    c:\windows\system32\drivers\bd0004.sys
2014-10-20 01:56 . 2014-09-26 12:43    48968    ----a-w-    c:\windows\system32\drivers\BDSafeBrowser.sys
2014-10-17 11:08 . 2014-10-10 13:29    39056    ----a-w-    c:\windows\system32\bd64_x86.dll
2014-10-17 11:08 . 2014-10-10 13:29    41800    ----a-w-    c:\windows\system32\bd64_x64.dll
2014-10-02 11:23 . 2014-10-02 11:23    94208    ----a-w-    c:\windows\SysWow64\QuickTimeVR.qtx
2014-10-02 11:23 . 2014-10-02 11:23    69632    ----a-w-    c:\windows\SysWow64\QuickTime.qts
2014-09-25 02:08 . 2014-10-01 15:41    371712    ----a-w-    c:\windows\system32\qdvd.dll
2014-09-25 01:40 . 2014-10-01 15:41    519680    ----a-w-    c:\windows\SysWow64\qdvd.dll
2014-09-11 11:16 . 2014-09-27 03:57    39056    ----a-w-    c:\windows\system32\bd64_x86_1.dll
2014-09-11 11:16 . 2014-09-27 03:57    41800    ----a-w-    c:\windows\system32\bd64_x64_1.dll
2014-09-09 22:11 . 2014-09-24 04:03    2048    ----a-w-    c:\windows\system32\tzres.dll
2014-09-09 21:47 . 2014-09-24 04:03    2048    ----a-w-    c:\windows\SysWow64\tzres.dll
2014-09-05 02:11 . 2014-10-21 13:13    6584320    ----a-w-    c:\windows\system32\mstscax.dll
2014-09-05 01:52 . 2014-10-21 13:13    5703168    ----a-w-    c:\windows\SysWow64\mstscax.dll
2014-09-04 05:23 . 2014-10-21 13:14    424448    ----a-w-    c:\windows\system32\rastls.dll
2014-09-04 05:04 . 2014-10-21 13:14    372736    ----a-w-    c:\windows\SysWow64\rastls.dll
2014-08-29 02:07 . 2014-10-21 13:14    3179520    ----a-w-    c:\windows\system32\rdpcorets.dll
.
.
(((((((((((((((((((((((((((((((((((((   Reg Loading Points   ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown
REGEDIT4
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Toolbar]
"{91397D20-1446-11D4-8AF4-0040CA1127B6}"= "c:\program files (x86)\Yandex\Elements\bartabhost.dll" [2014-08-27 306976]
.
[HKEY_CLASSES_ROOT\clsid\{91397d20-1446-11d4-8af4-0040ca1127b6}]
[HKEY_CLASSES_ROOT\Yandex.Toolbar.1]
[HKEY_CLASSES_ROOT\TypeLib\{91397D20-1446-11D4-8AF4-0040CA1127B6}]
[HKEY_CLASSES_ROOT\Yandex.Toolbar]
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"uTorrent"="c:\users\Sotec\AppData\Roaming\uTorrent\uTorrent.exe" [2014-11-21 1385808]
"ApplePhotoStreams"="c:\program files (x86)\Common Files\Apple\Internet Services\ApplePhotoStreams.exe" [2014-10-17 43816]
"Skype"="c:\program files (x86)\Skype\Phone\Skype.exe" [2014-10-01 22065760]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run]
"APSDaemon"="c:\program files (x86)\Common Files\Apple\Apple Application Support\APSDaemon.exe" [2014-10-11 60712]
"AVP"="c:\program files (x86)\Kaspersky Lab\Kaspersky Internet Security 2013\avp.exe" [2013-10-09 356128]
"SwitchBoard"="c:\program files (x86)\Common Files\Adobe\SwitchBoard\SwitchBoard.exe" [2010-02-19 517096]
"AdobeCS6ServiceManager"="c:\program files (x86)\Common Files\Adobe\CS6ServiceManager\CS6ServiceManager.exe" [2012-06-25 1073352]
"snp2uvc"="c:\windows\vsnp2uvc.exe" [2009-08-12 662016]
"tsnp2uvc"="c:\program files (x86)\Common Files\SNP2UVC\tsnp2uvc.exe" [2012-02-23 322560]
"iTunesHelper"="c:\program files (x86)\iTunes\iTunesHelper.exe" [2014-10-15 157480]
"QuickTime Task"="c:\program files (x86)\QuickTime\QTTask.exe" [2014-10-02 421888]
"baidusdTray"="c:\program files (x86)\BaiduSd3.0\BaiduSd\3.0.0.4605\BaiduSdTray.exe" [2014-11-20 2505224]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnce]
"SDBOK"="c:\program files (x86)\GIGABYTE\smart6\dbios\run.exe" [2009-07-06 207400]
.
c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\
Mail.Ru Cloud.lnk - c:\users\Sotec\AppData\Local\Mail.Ru\Cloud\Cloud.exe [2014-6-30 29411560]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 5 (0x5)
"ConsentPromptBehaviorUser"= 3 (0x3)
"EnableUIADesktopToggle"= 0 (0x0)
.
[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\windows nt\currentversion\drivers32]
"aux1"=wdmaud.drv
.
[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\windows\currentversion\run-]
"Acrobat Assistant 8.0"="c:\program files (x86)\Adobe\Acrobat 11.0\Acrobat\Acrotray.exe"
"<NO NAME>"=
"Adobe ARM"="c:\program files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
"AdobeCS5.5ServiceManager"="c:\program files (x86)\Common Files\Adobe\CS5.5ServiceManager\CS5.5ServiceManager.exe" -launchedbylogin
"iTunesHelper"="c:\program files (x86)\iTunes\iTunesHelper.exe"
.
[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\KasperskyAntiVirus]
"DisableMonitoring"=dword:00000001
.
------- Supplementary Scan -------
.
uLocal Page = c:\windows\system32\blank.htm
uStart Page = hxxp://www.yandex.ua/?win=150&clid=2052585
mLocal Page = c:\windows\SysWOW64\blank.htm
IE: &Отправить в OneNote - c:\progra~1\MICROS~2\Office14\ONBttnIE.dll/105
IE: &Экспорт в Microsoft Excel - c:\progra~1\MICROS~2\Office14\EXCEL.EXE/3000
Trusted Zone: capitaller.ru
Trusted Zone: enum.ru
Trusted Zone: exchanger.ru
Trusted Zone: indx.ru
Trusted Zone: megastock.com
Trusted Zone: megastock.ru
Trusted Zone: oplata.info
Trusted Zone: paymer.com
Trusted Zone: publicant.ru
Trusted Zone: shareholder.ru
Trusted Zone: softactivation.com
Trusted Zone: telepat.ru
Trusted Zone: webmoney.ru
Trusted Zone: wmcert.com
Trusted Zone: wmkeeper.com
Trusted Zone: wmtransfer.com
TCP: DhcpNameServer = 192.168.1.1
FF - ProfilePath - c:\users\Sotec\AppData\Roaming\Mozilla\Firefox\Profiles\dkyv5ioj.default\
FF - prefs.js: browser.search.selectedEngine - Google
FF - prefs.js: browser.startup.homepage - hxxps://www.google.com.ua/search?q=%D0%BF%D1%80%D0%BE%D0%B3%D1%80%D0%B0%D0%BC%D0%BC%D0%B0+%D0%B4%D0%BB%D1%8F+%D0%BD%D0%B0%D0%BA%D1%80%D1%83%D1%82%D0%BA%D0%B8+%D0%B4%D1%80%D1%83%D0%B7%D0%B5%D0%B9+%D0%B2+%D0%BA%D0%BE%D0%BD%D1%82%D0%B0%D0%BA%D1%82%D0%B5&ie=utf-8&oe=utf-8&aq=t&rls=org.mozilla:ru:official&client=firefox-a&gfe_rd=cr&ei=51ElVP-gAaqt8wfag4DwDA
FF - prefs.js: keyword.URL - hxxp://go.mail.ru/search?fr=ntg&q=
.
- - - - ORPHANS REMOVED - - - -
.
ShellIconOverlayIdentifiers-{64A9418A-B6B1-4112-B75C-E61633C9A31F} - c:\users\Sotec\AppData\Local\Temp\mcse32_00.dll
ShellIconOverlayIdentifiers-{6A2E142B-EA63-433A-AC05-5223CBD26E65} - c:\users\Sotec\AppData\Local\Temp\mcse32_00.dll
ShellIconOverlayIdentifiers-{6AFCC535-2F12-4F50-9F0A-1CF856CFC95D} - c:\users\Sotec\AppData\Local\Temp\mcse32_00.dll
Wow6432Node-HKCU-Run-AdobeBridge - (no file)
.
.
.
--------------------- LOCKED REGISTRY KEYS ---------------------
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{B019E3BF-E7E5-453C-A2E4-D2C18CA0866F}]
@Denied: (A 2) (Everyone)
@="FlashBroker"
"LocalizedString"="@c:\\Windows\\system32\\Macromed\\Flash\\FlashUtil64_15_0_0_223_ActiveX.exe,-101"
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{B019E3BF-E7E5-453C-A2E4-D2C18CA0866F}\Elevation]
"Enabled"=dword:00000001
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{B019E3BF-E7E5-453C-A2E4-D2C18CA0866F}\LocalServer32]
@="c:\\Windows\\system32\\Macromed\\Flash\\FlashUtil64_15_0_0_223_ActiveX.exe"
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{B019E3BF-E7E5-453C-A2E4-D2C18CA0866F}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{BEB3C0C7-B648-4257-96D9-B5D024816E27}\Version*Version]
"Version"=hex:80,95,b4,89,19,0a,a3,18,a8,58,5d,58,0d,94,bc,03,f2,41,9d,6a,31,
   c3,d5,86,23,0a,a3,15,0a,b5,5a,08,04,e4,74,63,13,2e,28,72,fd,55,3a,4f,66,5a,\
.
[HKEY_LOCAL_MACHINE\software\Classes\Interface\{299817DA-1FAC-4CE2-8F48-A108237013BD}]
@Denied: (A 2) (Everyone)
@="IFlashBroker6"
.
[HKEY_LOCAL_MACHINE\software\Classes\Interface\{299817DA-1FAC-4CE2-8F48-A108237013BD}\ProxyStubClsid32]
@="{00020424-0000-0000-C000-000000000046}"
.
[HKEY_LOCAL_MACHINE\software\Classes\Interface\{299817DA-1FAC-4CE2-8F48-A108237013BD}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
"Version"="1.0"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{B019E3BF-E7E5-453C-A2E4-D2C18CA0866F}]
@Denied: (A 2) (Everyone)
@="FlashBroker"
"LocalizedString"="@c:\\Windows\\SysWOW64\\Macromed\\Flash\\FlashUtil32_15_0_0_223_ActiveX.exe,-101"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{B019E3BF-E7E5-453C-A2E4-D2C18CA0866F}\Elevation]
"Enabled"=dword:00000001
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{B019E3BF-E7E5-453C-A2E4-D2C18CA0866F}\LocalServer32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\FlashUtil32_15_0_0_223_ActiveX.exe"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{B019E3BF-E7E5-453C-A2E4-D2C18CA0866F}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}]
@Denied: (A 2) (Everyone)
@="Shockwave Flash Object"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\InprocServer32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash32_15_0_0_223.ocx"
"ThreadingModel"="Apartment"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\MiscStatus]
@="0"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\ProgID]
@="ShockwaveFlash.ShockwaveFlash.15"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\ToolboxBitmap32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash32_15_0_0_223.ocx, 1"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\TypeLib]
@="{D27CDB6B-AE6D-11cf-96B8-444553540000}"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\Version]
@="1.0"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\VersionIndependentProgID]
@="ShockwaveFlash.ShockwaveFlash"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}]
@Denied: (A 2) (Everyone)
@="Macromedia Flash Factory Object"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\InprocServer32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash32_15_0_0_223.ocx"
"ThreadingModel"="Apartment"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\ProgID]
@="FlashFactory.FlashFactory.1"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\ToolboxBitmap32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash32_15_0_0_223.ocx, 1"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\TypeLib]
@="{D27CDB6B-AE6D-11cf-96B8-444553540000}"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\Version]
@="1.0"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\VersionIndependentProgID]
@="FlashFactory.FlashFactory"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\Interface\{299817DA-1FAC-4CE2-8F48-A108237013BD}]
@Denied: (A 2) (Everyone)
@="IFlashBroker6"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\Interface\{299817DA-1FAC-4CE2-8F48-A108237013BD}\ProxyStubClsid32]
@="{00020424-0000-0000-C000-000000000046}"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\Interface\{299817DA-1FAC-4CE2-8F48-A108237013BD}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
"Version"="1.0"
.
[HKEY_LOCAL_MACHINE\software\Minnetonka Audio Software\SurCode Dolby Digital Premiere\Version*Version]
"Version"=hex:80,95,b4,89,19,0a,a3,18,a8,58,5d,58,0d,94,bc,03,f2,41,9d,6a,31,
   c3,d5,86,23,0a,a3,15,0a,b5,5a,08,5c,8c,47,7f,d6,ea,f5,07,fd,55,3a,4f,66,5a,\
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0001\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0002\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\PCW\Security]
@Denied: (Full) (Everyone)
.
------------------------ Other Running Processes ------------------------
.
c:\program files (x86)\Common Files\Baidu\BaiduHips\1.2.0.751\BaiduHips.exe
c:\program files (x86)\BaiduSd3.0\BaiduSd\3.0.0.4605\BaiduSdSvc.exe
c:\program files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\BaiduProtect.exe
c:\program files (x86)\Common Files\Adobe\ARM\1.0\armsvc.exe
c:\program files (x86)\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe
c:\program files (x86)\Skype\Toolbars\AutoUpdate\SkypeC2CAutoUpdateSvc.exe
c:\program files (x86)\Skype\Toolbars\PNRSvc\SkypeC2CPNRSvc.exe
c:\program files (x86)\Intel\Intel® Management Engine Components\DAL\jhi_service.exe
c:\windows\SysWOW64\srvany.exe
c:\windows\kmsem\KMService.exe
c:\program files (x86)\GIGABYTE\Smart6\Timelock\TimeMgmtDaemon.exe
c:\program files (x86)\TeamViewer\Version9\TeamViewer_Service.exe
c:\program files (x86)\TeamViewer\Version9\TeamViewer.exe
c:\program files (x86)\TeamViewer\Version9\tv_w32.exe
c:\program files (x86)\GIGABYTE\smart6\dbios\SDBMSG.exe
.
**************************************************************************
.
Completion time: 2014-11-22  11:41:47 - machine was rebooted
ComboFix-quarantined-files.txt  2014-11-22 09:41
.
Pre-Run: 18 864 070 656 байт свободно
Post-Run: 18 232 692 736 байт свободно
.
- - End Of File - - 3726F883E52710A8AC14D5CFF6D8F409
A36C5E4F47E84449FF07ED3517B43A31

 

 

Сообщение от модератора Mark D. Pearlstone
Добавляйте спойлер, либо отправляйте логи в виде файла.

 

ClearLNK-22.11.2014_11-22.log

Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано
Скопируйте текст ниже в Блокнот и сохраните как файл с названием CFScript.txt в корень диска С. 




KillAll::

 

File::

c:\windows\system32\drivers\BDMWrench_x64.sys

c:\windows\system32\drivers\BDArKit.sys

c:\windows\system32\drivers\bd0003.sys

c:\windows\system32\drivers\BDDefense.sys

c:\windows\system32\drivers\bd0002.sys

c:\windows\system32\drivers\BDMWrench.sys

c:\windows\system32\drivers\bd0001.sys

c:\windows\system32\drivers\bd0004.sys

c:\windows\system32\drivers\BDSafeBrowser.sys

c:\windows\system32\bd64_x86.dll

c:\windows\system32\bd64_x64.dll

c:\windows\system32\bd64_x86_1.dll

c:\windows\system32\bd64_x64_1.dll

C:\Windows\system32\DRIVERS\BDFileDefend.sys

C:\Windows\system32\DRIVERS\BdSandBox.sys

 

Driver::

bd0001

bd0002

bd0003

bd0004

BDMWrench

BDArKit

BDDefense

BDSafeBrowser

BDFileDefend

BDMWrench_x64

BdSandBox

BaiduHips

BDKVRTP

BDSGRTP

 

Folder::

c:\users\Sotec\AppData\Roaming\Baidu

c:\program files (x86)\BaiduAn3.0

c:\program files (x86)\BaiduSd3.0

c:\program files (x86)\Common Files\Baidu

C:\Users\Sotec\AppData\Roaming\bafhhmlkbcigapgkfdgfikhkkaihpjjn

C:\Users\Sotec\AppData\Roaming\phoenixguard

C:\Users\Sotec\AppData\Roaming\cload2

 

Registry::

 

FileLook::

 

DirLook::

c:\programdata\Datos de programa

 

Reboot::


После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

5315621m.gif

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

 

Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано

 

  • Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
  • Прикрепите отчет к своему следующему сообщению.
 
Подробнее читайте в этом руководстве.
 
Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано

  • Запустите повторно AdwCleaner (by Xplode) (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора),  нажмите кнопку "Scan".


  • По окончанию сканирования снимите галочки со следующих строк:




***** [ Службы ] *****



Служба Найдено : KMService

 

***** [ Файлы / Папки ] *****



Папка Найдено : C:\Program Files (x86)\Mail.Ru

Папка Найдено : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mail.Ru

Папка Найдено : C:\Users\Sotec\AppData\Local\Mail.Ru

Папка Найдено : C:\Users\Sotec\AppData\Local\MailRu



  • Нажмите кнопку "Clean" и дождитесь окончания удаления.


  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s0].txt.


  • Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!.

 

Подробнее читайте в этом руководстве.

 

  • Спасибо (+1) 1
  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано (изменено)
 
Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 
begin
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','baidusdTray');
 DeleteFile('C:\Program Files (x86)\BaiduSd3.0\BaiduSd\3.0.0.4605\baidusdTray.exe','32');
ExecuteSysClean;
RebootWindows(false);
end.

 

Сделайте новые логи.

Изменено пользователем mike 1
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • San4s2034
      Вирус-майнер
      От San4s2034
      Недавно скачал Game of Thrones Genesis с torrent-game.net. Касперски указал, что сайту можно доверять и он проверен. По итогу через время заметил, что в valorant фпс стал заблоченным на 75 и поднимается вверх только если я двигаю мышкой или нажимаю что-то на клавиатуре. Очевидно, что словил майнер. Запустил быструю и полную проверку, результата не дало. Попробовал через защитник windows 11. Заметил, что прогресс доходит до ~70% и потом просто зависает. Запустился через безопасный режим, зашёл в защитник и вылезла ошибка(скриншот). Проверил реестр и групповые политики, ничего нет, все чисто. 

    • San4s2034
      Вирус-майнер
      От San4s2034
      Недавно скачал Game of Thrones Genesis с torrent-game.net. Касперски указал, что сайту можно доверять и он проверен. По итогу через время заметил, что в valorant фпс стал заблоченным на 75 и поднимается вверх только если я двигаю мышкой или нажимаю что-то на клавиатуре. Очевидно, что словил майнер. Запустил быструю и полную проверку, результата не дало. Попробовал через защитник windows 11. Заметил, что прогресс доходит до ~70% и потом просто зависает. Запустился через безопасный режим, зашёл в защитник и вылезла ошибка(скриншот). Проверил реестр и групповые политики, ничего нет, все чисто. 

    • fertune
      Вирус dialer.exe
      От fertune
      Когда открываешь диспетчер задач то сначала ЦП грузит на 100% а потом на 10% я посмотрел через dr.web cureit и увидел то что это майнер dialer.exe, смотрел в интернете как пофиксить но никакие способы не помогли(может быть я что то делал неправильно)
      можете помочь с проблемой? Еще я пробовал его фиксить удаляя его но он опять появлялся и грузил ЦП на все 100%.
       
    • Temikst
      Поймал какой-то вирус
      От Temikst
      Приветствую. Сын скачивал какую-то программу для игры, как итог словили какой-то вирус. Dr.web ничего не нашел. но обратил внимание что комп стал тупить, до этого не было так
      CollectionLog-2025.02.09-23.46.zip

       
      Даже браузер сильно тормозит. после открывание диспетчер задач сразу же лучше работает\
    • VanyeJ
      Вирус в PowerShell
      От VanyeJ
      Здравствуйте, при включении компьютера и окончательном входе в систему PowerShell пытается перекинуть на вредоносную ссылку. Касперский сразу же блокирует.

      Событие: Остановлен переход на сайт
      Пользователь: WIN-O4R3Q0UCBR5\User
      Тип пользователя: Инициатор
      Имя приложения: powershell.exe
      Путь к приложению: C:\Windows\System32\WindowsPowerShell\v1.0
      Компонент: Интернет-защита
      Описание результата: Запрещено
      Тип: Вредоносная ссылка
      Название: 
      Точность: Точно
      Степень угрозы: Высокая
      Тип объекта: Веб-страница
      Имя объекта: 1731762779-9803.jpeg
      Путь к объекту: 
      Причина: Облачная защита

      Активировал Windows через cmd после этого появилось (powershell iex (irm 'activated.run/key')) команда после которой вирус появился.
      CollectionLog-2025.02.08-15.48.zip
×
×
  • Создать...