Перейти к содержанию
Правила раздела

вирус Baidu

Sotec

Автор Sotec
в Помощь в удалении вирусов

 Поделиться

Рекомендуемые сообщения

Sotec

Sotec

Опубликовано
Опубликовано

Появились 3 неудаляемые папки  в C:\Program Files (x86):    BaiduSd3.0, BaiduAn3.0, Baidu, в трее висит также значок программмы. Ничем удалить не получается.

CollectionLog-2014.11.22-10.08.zip

Ссылка на комментарий
Поделиться на другие сайты
mike 1

mike 1

Опубликовано
Опубликовано
Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.
 
Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.
 
Здравствуйте! 
 
Пофиксите следующие строчки в HiJackThis (некоторые строки могут отсутствовать).
 
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=0f9aae0d0f3d9ebcc55c0e29b95980af&text={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=0f9aae0d0f3d9ebcc55c0e29b95980af&text={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=0f9aae0d0f3d9ebcc55c0e29b95980af&text=
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=0f9aae0d0f3d9ebcc55c0e29b95980af&text=
O4 - HKLM\..\Run: [baidusdTray] "C:\Program Files (x86)\BaiduSd3.0\BaiduSd\3.0.0.4605\BaiduSdTray.exe"  -stmd=3
 
  • Скачайте ClearLNK и сохраните архив с утилитой на рабочем столе.
  • Распакуйте архив с утилитой в отдельную папку.
  • Перенесите Check_Browsers_LNK.log из папки Автологгера на ClearLNK как показано на рисунке
 
move.gif
 
  • Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
  • Прикрепите этот отчет к своему следующему сообщению.
 

Скачайте ComboFix здесь и сохраните в корень диска С. 
 
1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
 
2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe. Например: temp.exe
 
 

 

Ссылка на комментарий
Поделиться на другие сайты
Sotec

Sotec

Опубликовано
  • Автор
Опубликовано

Здравствуйте! Выполнил ваши указания, ситуация не изменилась.

 

Лог:

ComboFix 14-11-18.01 - Sotec 22.11.2014  11:28:39.1.4 - x64
Microsoft Windows 7 Максимальная   6.1.7601.1.1251.7.1049.18.8175.6326 [GMT 2:00]
Running from: C:\ComboFix.exe
AV: Kaspersky Internet Security *Disabled/Updated* {C3113FBF-4BCB-4461-D78D-6EDFEC9593E5}
FW: Kaspersky Internet Security *Disabled* {FB2ABE9A-01A4-4539-FCD2-C7EA1246D49E}
SP: Kaspersky Internet Security *Disabled/Updated* {7870DE5B-6DF1-4BEF-ED3D-55AD9712D958}
SP: Windows Defender *Enabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
.
.
(((((((((((((((((((((((((((((((((((((((   Other Deletions   )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\users\Sotec\AppData\Local\Temp\mcse32_00.dll
c:\users\Sotec\AppData\Local\Temp\mcse64_00.dll
c:\users\Sotec\AppData\Local\Temp\mcse64_01.dll
c:\windows\setup.exe
c:\windows\SysWow64\drivers\hwinterface.sys
c:\windows\TEMP\sdk8\Cache\avengine.dll.cf76373cb9a583c9603a47377e180985 . . . . Failed to delete
c:\windows\TEMP\sdk8\Cache\kavbase.kdl.7aa539a1cbbfb4baa644b9866f4bcf4b . . . . Failed to delete
c:\windows\TEMP\sdk8\Cache\kavsys.kdl.3cbce9162519ae9d590238cb927fbb55 . . . . Failed to delete
c:\windows\TEMP\sdk8\Cache\kjim.kdl.515c9bc6da1b5b7f42860347f720ee10 . . . . Failed to delete
c:\windows\TEMP\sdk8\Cache\klavemu.kdl.b6b6dd223ad2aad28374217a028b59b0 . . . . Failed to delete
c:\windows\TEMP\sdk8\Cache\qscan.kdl.94c366b442c3accc919782ce5f0d7fd0 . . . . Failed to delete
.
.
(((((((((((((((((((((((((((((((((((((((   Drivers/Services   )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
-------\Legacy_BD0001
-------\Legacy_BD0002
-------\Service_bd0001
-------\Service_bd0002
.
.
(((((((((((((((((((((((((   Files Created from 2014-10-22 to 2014-11-22  )))))))))))))))))))))))))))))))
.
.
2014-11-22 09:35 . 2014-11-20 05:17    56136    ----a-w-    c:\windows\system32\drivers\BDMWrench_x64.sys
2014-11-22 07:52 . 2014-11-22 08:06    7168    ----a-w-    c:\windows\SysWow64\drivers\utezmjk3.sys
2014-11-22 07:38 . 2014-11-22 07:38    --------    d-----w-    c:\users\Sotec\AppData\Roaming\Baidu
2014-11-22 04:20 . 2014-11-22 06:53    13312    ----a-w-    c:\windows\SysWow64\drivers\vdezmjk3.sys
2014-11-21 19:57 . 2014-11-21 19:57    --------    d-sh--w-    c:\users\Sotec\AppData\Local\EmieBrowserModeList
2014-11-21 19:57 . 2014-11-22 07:05    --------    d-----w-    c:\windows\AF54923662584AC6A0435B5B89C6EB61.TMP
2014-11-21 19:54 . 2014-11-21 20:00    --------    d-----w-    c:\program files (x86)\Enigma Software Group
2014-11-21 19:53 . 2014-11-21 19:53    --------    d-----w-    c:\program files (x86)\Common Files\Wise Installation Wizard
2014-11-21 17:08 . 2014-11-21 17:08    --------    d-----w-    c:\users\Sotec\AppData\Roaming\Enigma Software Group
2014-11-21 17:08 . 2014-11-21 17:08    22704    ----a-w-    c:\windows\system32\drivers\EsgScanner.sys
2014-11-21 17:08 . 2014-11-21 17:08    --------    d-----w-    c:\program files\Enigma Software Group
2014-11-21 16:22 . 2014-11-02 04:20    11632448    ----a-w-    c:\programdata\Microsoft\Windows Defender\Definition Updates\{4640AFD6-0C85-4AAD-8748-9AD9B46B61A1}\mpengine.dll
2014-11-20 14:45 . 2014-11-20 14:45    --------    d-----w-    c:\programdata\Kaspersky SDK
2014-11-20 05:52 . 2014-11-20 05:52    --------    d-----w-    c:\program files (x86)\BaiduAn3.0
2014-11-20 05:44 . 2014-11-11 12:23    144712    ----a-w-    c:\windows\system32\drivers\BDArKit.sys
2014-11-20 05:18 . 2014-11-20 05:17    67400    ----a-w-    c:\windows\system32\drivers\bd0003.sys
2014-11-20 05:18 . 2014-11-20 05:17    103240    ----a-w-    c:\windows\system32\drivers\BDDefense.sys
2014-11-20 05:17 . 2014-11-20 05:17    193864    ----a-w-    c:\windows\system32\drivers\bd0002.sys
2014-11-20 05:17 . 2014-11-20 05:17    --------    d-----w-    c:\program files (x86)\BaiduSd3.0
2014-11-19 15:43 . 2014-11-11 03:08    241152    ----a-w-    c:\windows\system32\pku2u.dll
2014-11-19 15:43 . 2014-11-11 03:08    728064    ----a-w-    c:\windows\system32\kerberos.dll
2014-11-19 15:43 . 2014-11-11 02:44    186880    ----a-w-    c:\windows\SysWow64\pku2u.dll
2014-11-19 15:43 . 2014-11-11 02:44    550912    ----a-w-    c:\windows\SysWow64\kerberos.dll
2014-11-17 07:39 . 2014-11-17 07:39    --------    d-----w-    c:\users\Sotec\AppData\Local\ElevatedDiagnostics
2014-11-14 11:45 . 2014-11-14 11:45    --------    d-----w-    c:\users\Sotec\AppData\Local\Xpom
2014-11-14 11:45 . 2014-11-15 14:27    --------    d-----w-    c:\program files (x86)\Hamster Soft
2014-11-14 11:45 . 2014-11-14 11:45    --------    d-----w-    c:\users\Sotec\AppData\Roaming\HamsterSoft
2014-11-14 11:44 . 2014-11-14 11:44    --------    d-----w-    c:\users\Sotec\AppData\Roaming\TuneUp Software
2014-11-14 11:44 . 2014-11-14 11:44    --------    d-----w-    c:\users\Sotec\AppData\Local\TuneUp Software
2014-11-14 11:43 . 2014-11-15 09:28    --------    d-----w-    c:\programdata\TuneUp Software
2014-11-14 11:42 . 2014-11-14 11:42    --------    d-----w-    c:\users\Sotec\AppData\Roaming\RHEng
2014-11-14 11:42 . 2014-11-14 11:42    --------    d-----w-    c:\users\Sotec\AppData\Roaming\rmi
2014-11-12 06:50 . 2014-11-12 06:50    --------    d-----w-    c:\users\Sotec\AppData\Roaming\MisterHorse
2014-11-12 06:14 . 2014-11-05 17:56    304640    ----a-w-    c:\windows\system32\generaltel.dll
2014-11-12 06:14 . 2014-11-05 17:56    228864    ----a-w-    c:\windows\system32\aepdu.dll
2014-11-12 06:14 . 2014-11-05 17:52    424448    ----a-w-    c:\windows\system32\aeinv.dll
2014-11-08 05:09 . 2014-11-08 05:09    --------    d-----w-    c:\users\Sotec\AppData\Roaming\SketchUp
2014-11-08 05:03 . 2014-11-08 05:03    --------    d-----w-    c:\programdata\Datos de programa
2014-11-08 05:01 . 2014-11-08 05:01    --------    d-----w-    c:\programdata\SketchUp
2014-11-08 05:01 . 2014-11-08 05:01    --------    d-----w-    c:\program files (x86)\SketchUp
2014-11-04 10:54 . 2014-10-17 11:08    56648    ----a-w-    c:\windows\system32\drivers\BDMWrench.sys
2014-10-25 12:39 . 2014-10-25 12:39    --------    d-----w-    c:\program files\Common Files\PACE Anti-Piracy
2014-10-25 10:45 . 2014-10-25 10:45    --------    d-----w-    c:\programdata\Package Cache
2014-10-25 09:55 . 2014-11-04 18:56    --------    d-----w-    c:\program files (x86)\The KMPlayer
2014-10-23 15:54 . 2014-10-23 15:54    159744    ----a-w-    c:\program files\Internet Explorer\Модули\npqtplugin5.dll
2014-10-23 15:54 . 2014-10-23 15:54    159744    ----a-w-    c:\program files\Internet Explorer\Модули\npqtplugin4.dll
2014-10-23 15:54 . 2014-10-23 15:54    159744    ----a-w-    c:\program files\Internet Explorer\Модули\npqtplugin3.dll
2014-10-23 15:54 . 2014-10-23 15:54    159744    ----a-w-    c:\program files\Internet Explorer\Модули\npqtplugin2.dll
2014-10-23 15:54 . 2014-10-23 15:54    159744    ----a-w-    c:\program files\Internet Explorer\Модули\npqtplugin.dll
2014-10-23 15:54 . 2014-10-23 15:54    --------    d-----w-    c:\program files (x86)\QuickTime
.
.
.
((((((((((((((((((((((((((((((((((((((((   Find3M Report   ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2014-11-22 09:36 . 2013-09-22 19:34    25640    ----a-w-    c:\windows\gdrv.sys
2014-11-20 05:17 . 2014-10-10 13:29    181072    ----a-w-    c:\windows\system32\drivers\bd0001.sys
2014-11-14 05:02 . 2013-09-23 04:43    71344    ----a-w-    c:\windows\SysWow64\FlashPlayerCPLApp.cpl
2014-11-14 05:02 . 2013-09-23 04:43    701104    ----a-w-    c:\windows\SysWow64\FlashPlayerApp.exe
2014-11-12 15:47 . 2013-09-23 05:45    103374192    ----a-w-    c:\windows\system32\MRT.exe
2014-11-04 12:30 . 2010-11-21 03:27    275080    ------w-    c:\windows\system32\MpSigStub.exe
2014-11-04 05:37 . 2014-09-26 12:42    169288    ----a-w-    c:\windows\system32\drivers\bd0004.sys
2014-10-20 01:56 . 2014-09-26 12:43    48968    ----a-w-    c:\windows\system32\drivers\BDSafeBrowser.sys
2014-10-17 11:08 . 2014-10-10 13:29    39056    ----a-w-    c:\windows\system32\bd64_x86.dll
2014-10-17 11:08 . 2014-10-10 13:29    41800    ----a-w-    c:\windows\system32\bd64_x64.dll
2014-10-02 11:23 . 2014-10-02 11:23    94208    ----a-w-    c:\windows\SysWow64\QuickTimeVR.qtx
2014-10-02 11:23 . 2014-10-02 11:23    69632    ----a-w-    c:\windows\SysWow64\QuickTime.qts
2014-09-25 02:08 . 2014-10-01 15:41    371712    ----a-w-    c:\windows\system32\qdvd.dll
2014-09-25 01:40 . 2014-10-01 15:41    519680    ----a-w-    c:\windows\SysWow64\qdvd.dll
2014-09-11 11:16 . 2014-09-27 03:57    39056    ----a-w-    c:\windows\system32\bd64_x86_1.dll
2014-09-11 11:16 . 2014-09-27 03:57    41800    ----a-w-    c:\windows\system32\bd64_x64_1.dll
2014-09-09 22:11 . 2014-09-24 04:03    2048    ----a-w-    c:\windows\system32\tzres.dll
2014-09-09 21:47 . 2014-09-24 04:03    2048    ----a-w-    c:\windows\SysWow64\tzres.dll
2014-09-05 02:11 . 2014-10-21 13:13    6584320    ----a-w-    c:\windows\system32\mstscax.dll
2014-09-05 01:52 . 2014-10-21 13:13    5703168    ----a-w-    c:\windows\SysWow64\mstscax.dll
2014-09-04 05:23 . 2014-10-21 13:14    424448    ----a-w-    c:\windows\system32\rastls.dll
2014-09-04 05:04 . 2014-10-21 13:14    372736    ----a-w-    c:\windows\SysWow64\rastls.dll
2014-08-29 02:07 . 2014-10-21 13:14    3179520    ----a-w-    c:\windows\system32\rdpcorets.dll
.
.
(((((((((((((((((((((((((((((((((((((   Reg Loading Points   ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown
REGEDIT4
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Toolbar]
"{91397D20-1446-11D4-8AF4-0040CA1127B6}"= "c:\program files (x86)\Yandex\Elements\bartabhost.dll" [2014-08-27 306976]
.
[HKEY_CLASSES_ROOT\clsid\{91397d20-1446-11d4-8af4-0040ca1127b6}]
[HKEY_CLASSES_ROOT\Yandex.Toolbar.1]
[HKEY_CLASSES_ROOT\TypeLib\{91397D20-1446-11D4-8AF4-0040CA1127B6}]
[HKEY_CLASSES_ROOT\Yandex.Toolbar]
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"uTorrent"="c:\users\Sotec\AppData\Roaming\uTorrent\uTorrent.exe" [2014-11-21 1385808]
"ApplePhotoStreams"="c:\program files (x86)\Common Files\Apple\Internet Services\ApplePhotoStreams.exe" [2014-10-17 43816]
"Skype"="c:\program files (x86)\Skype\Phone\Skype.exe" [2014-10-01 22065760]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run]
"APSDaemon"="c:\program files (x86)\Common Files\Apple\Apple Application Support\APSDaemon.exe" [2014-10-11 60712]
"AVP"="c:\program files (x86)\Kaspersky Lab\Kaspersky Internet Security 2013\avp.exe" [2013-10-09 356128]
"SwitchBoard"="c:\program files (x86)\Common Files\Adobe\SwitchBoard\SwitchBoard.exe" [2010-02-19 517096]
"AdobeCS6ServiceManager"="c:\program files (x86)\Common Files\Adobe\CS6ServiceManager\CS6ServiceManager.exe" [2012-06-25 1073352]
"snp2uvc"="c:\windows\vsnp2uvc.exe" [2009-08-12 662016]
"tsnp2uvc"="c:\program files (x86)\Common Files\SNP2UVC\tsnp2uvc.exe" [2012-02-23 322560]
"iTunesHelper"="c:\program files (x86)\iTunes\iTunesHelper.exe" [2014-10-15 157480]
"QuickTime Task"="c:\program files (x86)\QuickTime\QTTask.exe" [2014-10-02 421888]
"baidusdTray"="c:\program files (x86)\BaiduSd3.0\BaiduSd\3.0.0.4605\BaiduSdTray.exe" [2014-11-20 2505224]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnce]
"SDBOK"="c:\program files (x86)\GIGABYTE\smart6\dbios\run.exe" [2009-07-06 207400]
.
c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\
Mail.Ru Cloud.lnk - c:\users\Sotec\AppData\Local\Mail.Ru\Cloud\Cloud.exe [2014-6-30 29411560]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 5 (0x5)
"ConsentPromptBehaviorUser"= 3 (0x3)
"EnableUIADesktopToggle"= 0 (0x0)
.
[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\windows nt\currentversion\drivers32]
"aux1"=wdmaud.drv
.
[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\windows\currentversion\run-]
"Acrobat Assistant 8.0"="c:\program files (x86)\Adobe\Acrobat 11.0\Acrobat\Acrotray.exe"
"<NO NAME>"=
"Adobe ARM"="c:\program files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
"AdobeCS5.5ServiceManager"="c:\program files (x86)\Common Files\Adobe\CS5.5ServiceManager\CS5.5ServiceManager.exe" -launchedbylogin
"iTunesHelper"="c:\program files (x86)\iTunes\iTunesHelper.exe"
.
[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\KasperskyAntiVirus]
"DisableMonitoring"=dword:00000001
.
------- Supplementary Scan -------
.
uLocal Page = c:\windows\system32\blank.htm
uStart Page = hxxp://www.yandex.ua/?win=150&clid=2052585
mLocal Page = c:\windows\SysWOW64\blank.htm
IE: &Отправить в OneNote - c:\progra~1\MICROS~2\Office14\ONBttnIE.dll/105
IE: &Экспорт в Microsoft Excel - c:\progra~1\MICROS~2\Office14\EXCEL.EXE/3000
Trusted Zone: capitaller.ru
Trusted Zone: enum.ru
Trusted Zone: exchanger.ru
Trusted Zone: indx.ru
Trusted Zone: megastock.com
Trusted Zone: megastock.ru
Trusted Zone: oplata.info
Trusted Zone: paymer.com
Trusted Zone: publicant.ru
Trusted Zone: shareholder.ru
Trusted Zone: softactivation.com
Trusted Zone: telepat.ru
Trusted Zone: webmoney.ru
Trusted Zone: wmcert.com
Trusted Zone: wmkeeper.com
Trusted Zone: wmtransfer.com
TCP: DhcpNameServer = 192.168.1.1
FF - ProfilePath - c:\users\Sotec\AppData\Roaming\Mozilla\Firefox\Profiles\dkyv5ioj.default\
FF - prefs.js: browser.search.selectedEngine - Google
FF - prefs.js: browser.startup.homepage - hxxps://www.google.com.ua/search?q=%D0%BF%D1%80%D0%BE%D0%B3%D1%80%D0%B0%D0%BC%D0%BC%D0%B0+%D0%B4%D0%BB%D1%8F+%D0%BD%D0%B0%D0%BA%D1%80%D1%83%D1%82%D0%BA%D0%B8+%D0%B4%D1%80%D1%83%D0%B7%D0%B5%D0%B9+%D0%B2+%D0%BA%D0%BE%D0%BD%D1%82%D0%B0%D0%BA%D1%82%D0%B5&ie=utf-8&oe=utf-8&aq=t&rls=org.mozilla:ru:official&client=firefox-a&gfe_rd=cr&ei=51ElVP-gAaqt8wfag4DwDA
FF - prefs.js: keyword.URL - hxxp://go.mail.ru/search?fr=ntg&q=
.
- - - - ORPHANS REMOVED - - - -
.
ShellIconOverlayIdentifiers-{64A9418A-B6B1-4112-B75C-E61633C9A31F} - c:\users\Sotec\AppData\Local\Temp\mcse32_00.dll
ShellIconOverlayIdentifiers-{6A2E142B-EA63-433A-AC05-5223CBD26E65} - c:\users\Sotec\AppData\Local\Temp\mcse32_00.dll
ShellIconOverlayIdentifiers-{6AFCC535-2F12-4F50-9F0A-1CF856CFC95D} - c:\users\Sotec\AppData\Local\Temp\mcse32_00.dll
Wow6432Node-HKCU-Run-AdobeBridge - (no file)
.
.
.
--------------------- LOCKED REGISTRY KEYS ---------------------
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{B019E3BF-E7E5-453C-A2E4-D2C18CA0866F}]
@Denied: (A 2) (Everyone)
@="FlashBroker"
"LocalizedString"="@c:\\Windows\\system32\\Macromed\\Flash\\FlashUtil64_15_0_0_223_ActiveX.exe,-101"
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{B019E3BF-E7E5-453C-A2E4-D2C18CA0866F}\Elevation]
"Enabled"=dword:00000001
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{B019E3BF-E7E5-453C-A2E4-D2C18CA0866F}\LocalServer32]
@="c:\\Windows\\system32\\Macromed\\Flash\\FlashUtil64_15_0_0_223_ActiveX.exe"
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{B019E3BF-E7E5-453C-A2E4-D2C18CA0866F}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{BEB3C0C7-B648-4257-96D9-B5D024816E27}\Version*Version]
"Version"=hex:80,95,b4,89,19,0a,a3,18,a8,58,5d,58,0d,94,bc,03,f2,41,9d,6a,31,
   c3,d5,86,23,0a,a3,15,0a,b5,5a,08,04,e4,74,63,13,2e,28,72,fd,55,3a,4f,66,5a,\
.
[HKEY_LOCAL_MACHINE\software\Classes\Interface\{299817DA-1FAC-4CE2-8F48-A108237013BD}]
@Denied: (A 2) (Everyone)
@="IFlashBroker6"
.
[HKEY_LOCAL_MACHINE\software\Classes\Interface\{299817DA-1FAC-4CE2-8F48-A108237013BD}\ProxyStubClsid32]
@="{00020424-0000-0000-C000-000000000046}"
.
[HKEY_LOCAL_MACHINE\software\Classes\Interface\{299817DA-1FAC-4CE2-8F48-A108237013BD}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
"Version"="1.0"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{B019E3BF-E7E5-453C-A2E4-D2C18CA0866F}]
@Denied: (A 2) (Everyone)
@="FlashBroker"
"LocalizedString"="@c:\\Windows\\SysWOW64\\Macromed\\Flash\\FlashUtil32_15_0_0_223_ActiveX.exe,-101"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{B019E3BF-E7E5-453C-A2E4-D2C18CA0866F}\Elevation]
"Enabled"=dword:00000001
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{B019E3BF-E7E5-453C-A2E4-D2C18CA0866F}\LocalServer32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\FlashUtil32_15_0_0_223_ActiveX.exe"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{B019E3BF-E7E5-453C-A2E4-D2C18CA0866F}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}]
@Denied: (A 2) (Everyone)
@="Shockwave Flash Object"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\InprocServer32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash32_15_0_0_223.ocx"
"ThreadingModel"="Apartment"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\MiscStatus]
@="0"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\ProgID]
@="ShockwaveFlash.ShockwaveFlash.15"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\ToolboxBitmap32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash32_15_0_0_223.ocx, 1"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\TypeLib]
@="{D27CDB6B-AE6D-11cf-96B8-444553540000}"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\Version]
@="1.0"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\VersionIndependentProgID]
@="ShockwaveFlash.ShockwaveFlash"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}]
@Denied: (A 2) (Everyone)
@="Macromedia Flash Factory Object"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\InprocServer32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash32_15_0_0_223.ocx"
"ThreadingModel"="Apartment"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\ProgID]
@="FlashFactory.FlashFactory.1"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\ToolboxBitmap32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash32_15_0_0_223.ocx, 1"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\TypeLib]
@="{D27CDB6B-AE6D-11cf-96B8-444553540000}"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\Version]
@="1.0"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\VersionIndependentProgID]
@="FlashFactory.FlashFactory"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\Interface\{299817DA-1FAC-4CE2-8F48-A108237013BD}]
@Denied: (A 2) (Everyone)
@="IFlashBroker6"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\Interface\{299817DA-1FAC-4CE2-8F48-A108237013BD}\ProxyStubClsid32]
@="{00020424-0000-0000-C000-000000000046}"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\Interface\{299817DA-1FAC-4CE2-8F48-A108237013BD}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
"Version"="1.0"
.
[HKEY_LOCAL_MACHINE\software\Minnetonka Audio Software\SurCode Dolby Digital Premiere\Version*Version]
"Version"=hex:80,95,b4,89,19,0a,a3,18,a8,58,5d,58,0d,94,bc,03,f2,41,9d,6a,31,
   c3,d5,86,23,0a,a3,15,0a,b5,5a,08,5c,8c,47,7f,d6,ea,f5,07,fd,55,3a,4f,66,5a,\
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0001\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0002\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\PCW\Security]
@Denied: (Full) (Everyone)
.
------------------------ Other Running Processes ------------------------
.
c:\program files (x86)\Common Files\Baidu\BaiduHips\1.2.0.751\BaiduHips.exe
c:\program files (x86)\BaiduSd3.0\BaiduSd\3.0.0.4605\BaiduSdSvc.exe
c:\program files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\BaiduProtect.exe
c:\program files (x86)\Common Files\Adobe\ARM\1.0\armsvc.exe
c:\program files (x86)\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe
c:\program files (x86)\Skype\Toolbars\AutoUpdate\SkypeC2CAutoUpdateSvc.exe
c:\program files (x86)\Skype\Toolbars\PNRSvc\SkypeC2CPNRSvc.exe
c:\program files (x86)\Intel\Intel® Management Engine Components\DAL\jhi_service.exe
c:\windows\SysWOW64\srvany.exe
c:\windows\kmsem\KMService.exe
c:\program files (x86)\GIGABYTE\Smart6\Timelock\TimeMgmtDaemon.exe
c:\program files (x86)\TeamViewer\Version9\TeamViewer_Service.exe
c:\program files (x86)\TeamViewer\Version9\TeamViewer.exe
c:\program files (x86)\TeamViewer\Version9\tv_w32.exe
c:\program files (x86)\GIGABYTE\smart6\dbios\SDBMSG.exe
.
**************************************************************************
.
Completion time: 2014-11-22  11:41:47 - machine was rebooted
ComboFix-quarantined-files.txt  2014-11-22 09:41
.
Pre-Run: 18 864 070 656 байт свободно
Post-Run: 18 232 692 736 байт свободно
.
- - End Of File - - 3726F883E52710A8AC14D5CFF6D8F409
A36C5E4F47E84449FF07ED3517B43A31

 

 

Сообщение от модератора Mark D. Pearlstone
Добавляйте спойлер, либо отправляйте логи в виде файла.

 

ClearLNK-22.11.2014_11-22.log

Ссылка на комментарий
Поделиться на другие сайты
mike 1

mike 1

Опубликовано
Опубликовано
Скопируйте текст ниже в Блокнот и сохраните как файл с названием CFScript.txt в корень диска С. 




KillAll::

 

File::

c:\windows\system32\drivers\BDMWrench_x64.sys

c:\windows\system32\drivers\BDArKit.sys

c:\windows\system32\drivers\bd0003.sys

c:\windows\system32\drivers\BDDefense.sys

c:\windows\system32\drivers\bd0002.sys

c:\windows\system32\drivers\BDMWrench.sys

c:\windows\system32\drivers\bd0001.sys

c:\windows\system32\drivers\bd0004.sys

c:\windows\system32\drivers\BDSafeBrowser.sys

c:\windows\system32\bd64_x86.dll

c:\windows\system32\bd64_x64.dll

c:\windows\system32\bd64_x86_1.dll

c:\windows\system32\bd64_x64_1.dll

C:\Windows\system32\DRIVERS\BDFileDefend.sys

C:\Windows\system32\DRIVERS\BdSandBox.sys

 

Driver::

bd0001

bd0002

bd0003

bd0004

BDMWrench

BDArKit

BDDefense

BDSafeBrowser

BDFileDefend

BDMWrench_x64

BdSandBox

BaiduHips

BDKVRTP

BDSGRTP

 

Folder::

c:\users\Sotec\AppData\Roaming\Baidu

c:\program files (x86)\BaiduAn3.0

c:\program files (x86)\BaiduSd3.0

c:\program files (x86)\Common Files\Baidu

C:\Users\Sotec\AppData\Roaming\bafhhmlkbcigapgkfdgfikhkkaihpjjn

C:\Users\Sotec\AppData\Roaming\phoenixguard

C:\Users\Sotec\AppData\Roaming\cload2

 

Registry::

 

FileLook::

 

DirLook::

c:\programdata\Datos de programa

 

Reboot::


После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

5315621m.gif

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

 

Ссылка на комментарий
Поделиться на другие сайты
mike 1

mike 1

Опубликовано
Опубликовано

 

  • Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
  • Прикрепите отчет к своему следующему сообщению.
 
Подробнее читайте в этом руководстве.
 
Ссылка на комментарий
Поделиться на другие сайты
mike 1

mike 1

Опубликовано
Опубликовано

  • Запустите повторно AdwCleaner (by Xplode) (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора),  нажмите кнопку "Scan".


  • По окончанию сканирования снимите галочки со следующих строк:




***** [ Службы ] *****



Служба Найдено : KMService

 

***** [ Файлы / Папки ] *****



Папка Найдено : C:\Program Files (x86)\Mail.Ru

Папка Найдено : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mail.Ru

Папка Найдено : C:\Users\Sotec\AppData\Local\Mail.Ru

Папка Найдено : C:\Users\Sotec\AppData\Local\MailRu



  • Нажмите кнопку "Clean" и дождитесь окончания удаления.


  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s0].txt.


  • Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!.

 

Подробнее читайте в этом руководстве.

 

  • Спасибо (+1) 1
  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты
mike 1

mike 1

Опубликовано
Опубликовано (изменено)
 
Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 
begin
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','baidusdTray');
 DeleteFile('C:\Program Files (x86)\BaiduSd3.0\BaiduSd\3.0.0.4605\baidusdTray.exe','32');
ExecuteSysClean;
RebootWindows(false);
end.

 

Сделайте новые логи.

Изменено пользователем mike 1
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • farguskz
      вирус
      Автор farguskz
      приветствую, после установки дистрибутива скаченного с официального сайта, получили зашифрованные файлы с письмом, так говорят менеджеры, прочитал ваш пост далее обращаюсь к вам за помощью в этом вопросе, спасибо
      систем защиты на момент возникновения проблемы не было, только удалил для переустановки едпоинт, с перепугу установил малваре прекратил отправку данных и нашёл очень много ошибок
      virus.zip Addition.txt Shortcut.txt FRST.txt
    • monstr878
      Непонятный вирус!
      Автор monstr878
      Помогите пожалуйста попал в такую ситуацию. С начала после запуска пк не открывалось не одно приложение, понель задач и поиск. Антивирус отказывался запускать сканирование запуская
      бессконечную загрузку. Попробовали AVZ не помогло, но встроенный антивирус винды начал работать но также ничего не нашел. Дальше переустановил виндовс, после скачивания всех обновлений,
      При настройки браузеров скачивании приложений проблема возобновилась. Установил касперский он нашел одну папку, но после удаления папки ничего не поменялаось.
      Симптомы: на нажатие кнопки виндовс реакции нет, не открывается поиск, настройки виндовс, при попытки зайти в персонализацию пишет что такого приложения не обнаружено.
      Подскажите пожалуйста что это может быть и как это решить?
    • LexaSLX
      Вирус-шифровальщик, вымогатель
      Автор LexaSLX
      Добрый день! Через RDP на наш сервер проник вирус-шифровальщик,  появился новый том М (Зарезервировано системой) , на нем один файл HELP.txt, с координатами вымогателя. Так же этот файл появился во всех папках. Система грузится, но все файлы (1C, Office, html и др.) зашифрованы. На рабочем столе висит картинка с надписью: "We encrypted adn stolen all of your files. Open HELP.txt and follow the instructions to recover your files." . Нужна помощь в расшифровки.  В приложении результат сканирования FRST, а также оригиналы документов и их зашифрованные версииFRST.txt
      Addition.txt ориг и шифр.zip
      HELP.txt
    • alexansh
      Если вирус был на андроиде UDS:Trojan.AndroidOS.Piom.bngd
      Автор alexansh
      На смартфоне
      Версия Android 9 PPR1.180610.011
      Проверял антивирусом
      Kaspersky Free 
      Версия 11.124.4.14286
      Вирус: UDS:Trojan.AndroidOS.Piom.bngd
      -----------------------------------------------
      Если на смартфоне при открытии приложения "Сбербанк" появилось сообщение, что обнаружен вирус "UDS:Trojan.AndroidOS.Piom.bngd" 
      и при этом давалась возможность удалить этот вирус, что я и сделал (удалил его).
      В тех.поддержке Сбербанка мне сказали, что этот вирус был в прошивке смартфона, и что теперь уже он удалён модулем Касперского.
      Также сказали, что какие могут быть последствия от этого вируса, они не знают.
      Рекомендовали обратиться в Лабораторию Касперского.
      После этого на смартфоне иногда возникали торможения - черный экран во время работы на некоторое время и черный экран при перезагрузке на некоторое время.
      Кнопками можно было вывести смартфон в нормальное состояние. Но в основном смартфон работает нормально.
      **********************************************************************************************************************************
      Хотел узнать, что это за троян, что он делает, какие возможные последствия и как его можно побороть ?
      И лечится ли он антивирусом, если находится в прошивке ? (ведь при входе в приложение Сбербанк вирус был удален из прошивки).
      И как "очистить" прошивку, чтобы быть уверенным, что там всё в порядке ?
      И как избавиться от последствий этого трояна ?

    • Eugenij_
      Вирус в оперативке видеокарты
      Автор Eugenij_
      Здравствуйте. Сегодня поймал удивительного вируса. Купил видеокарту недорого. На Озоне. Говорят, на витрине стояла. 1070. Воткнул. Начал ставить драйвера. Смотрю. У меня архивчик на рабочем столе сам мелькнул. И пропал. Я, естественно, шнур интернета выдернул. И перезагузился в линукс. И начал наблюдать удивительную картину, как у меня в папку загрузки сыплется софт. Я его удаляю, а он снова летит. Там даже сервер под винду падал. Денвер. Драйвера на мою материнку...  Касперский ни звука. Ладно, гружу винду в безопасном режиме. Лезу в службы и обнруживаю драйвер Рам диска. И отключить зараза не даёт. Отдавать не хочу. Интересно сбороть. Тут, наверное, только биос шить? К сожалению это было уже ночью. Не было сил нормально понаблюдать. Пока компьютер не включал. 
×
×
  • Создать...