вирус Baidu

[Sotec]

Появились 3 неудаляемые папки  в C:\Program Files (x86):    BaiduSd3.0, BaiduAn3.0, Baidu, в трее висит также значок программмы. Ничем удалить не получается.

CollectionLog-2014.11.22-10.08.zip

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

 

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

 

Здравствуйте! 

 

Пофиксите следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=0f9aae0d0f3d9ebcc55c0e29b95980af&text={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=0f9aae0d0f3d9ebcc55c0e29b95980af&text={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=0f9aae0d0f3d9ebcc55c0e29b95980af&text=
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=0f9aae0d0f3d9ebcc55c0e29b95980af&text=
O4 - HKLM\..\Run: [baidusdTray] "C:\Program Files (x86)\BaiduSd3.0\BaiduSd\3.0.0.4605\BaiduSdTray.exe"  -stmd=3

 

• Скачайте ClearLNK и сохраните архив с утилитой на рабочем столе.

• Распакуйте архив с утилитой в отдельную папку.

• Перенесите Check_Browsers_LNK.log из папки Автологгера на ClearLNK как показано на рисунке

 

 

• Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.

• Прикрепите этот отчет к своему следующему сообщению.

 

Скачайте ComboFix здесь и сохраните в корень диска С. 

 

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.

 

2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.

Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe. Например: temp.exe

 

Подробнее в "ComboFix. Руководство по применению."

 

 

[Sotec]

Здравствуйте! Выполнил ваши указания, ситуация не изменилась.

 

Лог:

ComboFix 14-11-18.01 - Sotec 22.11.2014  11:28:39.1.4 - x64
Microsoft Windows 7 Максимальная   6.1.7601.1.1251.7.1049.18.8175.6326 [GMT 2:00]
Running from: C:\ComboFix.exe
AV: Kaspersky Internet Security *Disabled/Updated* {C3113FBF-4BCB-4461-D78D-6EDFEC9593E5}
FW: Kaspersky Internet Security *Disabled* {FB2ABE9A-01A4-4539-FCD2-C7EA1246D49E}
SP: Kaspersky Internet Security *Disabled/Updated* {7870DE5B-6DF1-4BEF-ED3D-55AD9712D958}
SP: Windows Defender *Enabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
.
.
(((((((((((((((((((((((((((((((((((((((   Other Deletions   )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\users\Sotec\AppData\Local\Temp\mcse32_00.dll
c:\users\Sotec\AppData\Local\Temp\mcse64_00.dll
c:\users\Sotec\AppData\Local\Temp\mcse64_01.dll
c:\windows\setup.exe
c:\windows\SysWow64\drivers\hwinterface.sys
c:\windows\TEMP\sdk8\Cache\avengine.dll.cf76373cb9a583c9603a47377e180985 . . . . Failed to delete
c:\windows\TEMP\sdk8\Cache\kavbase.kdl.7aa539a1cbbfb4baa644b9866f4bcf4b . . . . Failed to delete
c:\windows\TEMP\sdk8\Cache\kavsys.kdl.3cbce9162519ae9d590238cb927fbb55 . . . . Failed to delete
c:\windows\TEMP\sdk8\Cache\kjim.kdl.515c9bc6da1b5b7f42860347f720ee10 . . . . Failed to delete
c:\windows\TEMP\sdk8\Cache\klavemu.kdl.b6b6dd223ad2aad28374217a028b59b0 . . . . Failed to delete
c:\windows\TEMP\sdk8\Cache\qscan.kdl.94c366b442c3accc919782ce5f0d7fd0 . . . . Failed to delete
.
.
(((((((((((((((((((((((((((((((((((((((   Drivers/Services   )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
-------\Legacy_BD0001
-------\Legacy_BD0002
-------\Service_bd0001
-------\Service_bd0002
.
.
(((((((((((((((((((((((((   Files Created from 2014-10-22 to 2014-11-22  )))))))))))))))))))))))))))))))
.
.
2014-11-22 09:35 . 2014-11-20 05:17    56136    ----a-w-    c:\windows\system32\drivers\BDMWrench_x64.sys
2014-11-22 07:52 . 2014-11-22 08:06    7168    ----a-w-    c:\windows\SysWow64\drivers\utezmjk3.sys
2014-11-22 07:38 . 2014-11-22 07:38    --------    d-----w-    c:\users\Sotec\AppData\Roaming\Baidu
2014-11-22 04:20 . 2014-11-22 06:53    13312    ----a-w-    c:\windows\SysWow64\drivers\vdezmjk3.sys
2014-11-21 19:57 . 2014-11-21 19:57    --------    d-sh--w-    c:\users\Sotec\AppData\Local\EmieBrowserModeList
2014-11-21 19:57 . 2014-11-22 07:05    --------    d-----w-    c:\windows\AF54923662584AC6A0435B5B89C6EB61.TMP
2014-11-21 19:54 . 2014-11-21 20:00    --------    d-----w-    c:\program files (x86)\Enigma Software Group
2014-11-21 19:53 . 2014-11-21 19:53    --------    d-----w-    c:\program files (x86)\Common Files\Wise Installation Wizard
2014-11-21 17:08 . 2014-11-21 17:08    --------    d-----w-    c:\users\Sotec\AppData\Roaming\Enigma Software Group
2014-11-21 17:08 . 2014-11-21 17:08    22704    ----a-w-    c:\windows\system32\drivers\EsgScanner.sys
2014-11-21 17:08 . 2014-11-21 17:08    --------    d-----w-    c:\program files\Enigma Software Group
2014-11-21 16:22 . 2014-11-02 04:20    11632448    ----a-w-    c:\programdata\Microsoft\Windows Defender\Definition Updates\{4640AFD6-0C85-4AAD-8748-9AD9B46B61A1}\mpengine.dll
2014-11-20 14:45 . 2014-11-20 14:45    --------    d-----w-    c:\programdata\Kaspersky SDK
2014-11-20 05:52 . 2014-11-20 05:52    --------    d-----w-    c:\program files (x86)\BaiduAn3.0
2014-11-20 05:44 . 2014-11-11 12:23    144712    ----a-w-    c:\windows\system32\drivers\BDArKit.sys
2014-11-20 05:18 . 2014-11-20 05:17    67400    ----a-w-    c:\windows\system32\drivers\bd0003.sys
2014-11-20 05:18 . 2014-11-20 05:17    103240    ----a-w-    c:\windows\system32\drivers\BDDefense.sys
2014-11-20 05:17 . 2014-11-20 05:17    193864    ----a-w-    c:\windows\system32\drivers\bd0002.sys
2014-11-20 05:17 . 2014-11-20 05:17    --------    d-----w-    c:\program files (x86)\BaiduSd3.0
2014-11-19 15:43 . 2014-11-11 03:08    241152    ----a-w-    c:\windows\system32\pku2u.dll
2014-11-19 15:43 . 2014-11-11 03:08    728064    ----a-w-    c:\windows\system32\kerberos.dll
2014-11-19 15:43 . 2014-11-11 02:44    186880    ----a-w-    c:\windows\SysWow64\pku2u.dll
2014-11-19 15:43 . 2014-11-11 02:44    550912    ----a-w-    c:\windows\SysWow64\kerberos.dll
2014-11-17 07:39 . 2014-11-17 07:39    --------    d-----w-    c:\users\Sotec\AppData\Local\ElevatedDiagnostics
2014-11-14 11:45 . 2014-11-14 11:45    --------    d-----w-    c:\users\Sotec\AppData\Local\Xpom
2014-11-14 11:45 . 2014-11-15 14:27    --------    d-----w-    c:\program files (x86)\Hamster Soft
2014-11-14 11:45 . 2014-11-14 11:45    --------    d-----w-    c:\users\Sotec\AppData\Roaming\HamsterSoft
2014-11-14 11:44 . 2014-11-14 11:44    --------    d-----w-    c:\users\Sotec\AppData\Roaming\TuneUp Software
2014-11-14 11:44 . 2014-11-14 11:44    --------    d-----w-    c:\users\Sotec\AppData\Local\TuneUp Software
2014-11-14 11:43 . 2014-11-15 09:28    --------    d-----w-    c:\programdata\TuneUp Software
2014-11-14 11:42 . 2014-11-14 11:42    --------    d-----w-    c:\users\Sotec\AppData\Roaming\RHEng
2014-11-14 11:42 . 2014-11-14 11:42    --------    d-----w-    c:\users\Sotec\AppData\Roaming\rmi
2014-11-12 06:50 . 2014-11-12 06:50    --------    d-----w-    c:\users\Sotec\AppData\Roaming\MisterHorse
2014-11-12 06:14 . 2014-11-05 17:56    304640    ----a-w-    c:\windows\system32\generaltel.dll
2014-11-12 06:14 . 2014-11-05 17:56    228864    ----a-w-    c:\windows\system32\aepdu.dll
2014-11-12 06:14 . 2014-11-05 17:52    424448    ----a-w-    c:\windows\system32\aeinv.dll
2014-11-08 05:09 . 2014-11-08 05:09    --------    d-----w-    c:\users\Sotec\AppData\Roaming\SketchUp
2014-11-08 05:03 . 2014-11-08 05:03    --------    d-----w-    c:\programdata\Datos de programa
2014-11-08 05:01 . 2014-11-08 05:01    --------    d-----w-    c:\programdata\SketchUp
2014-11-08 05:01 . 2014-11-08 05:01    --------    d-----w-    c:\program files (x86)\SketchUp
2014-11-04 10:54 . 2014-10-17 11:08    56648    ----a-w-    c:\windows\system32\drivers\BDMWrench.sys
2014-10-25 12:39 . 2014-10-25 12:39    --------    d-----w-    c:\program files\Common Files\PACE Anti-Piracy
2014-10-25 10:45 . 2014-10-25 10:45    --------    d-----w-    c:\programdata\Package Cache
2014-10-25 09:55 . 2014-11-04 18:56    --------    d-----w-    c:\program files (x86)\The KMPlayer
2014-10-23 15:54 . 2014-10-23 15:54    159744    ----a-w-    c:\program files\Internet Explorer\Модули\npqtplugin5.dll
2014-10-23 15:54 . 2014-10-23 15:54    159744    ----a-w-    c:\program files\Internet Explorer\Модули\npqtplugin4.dll
2014-10-23 15:54 . 2014-10-23 15:54    159744    ----a-w-    c:\program files\Internet Explorer\Модули\npqtplugin3.dll
2014-10-23 15:54 . 2014-10-23 15:54    159744    ----a-w-    c:\program files\Internet Explorer\Модули\npqtplugin2.dll
2014-10-23 15:54 . 2014-10-23 15:54    159744    ----a-w-    c:\program files\Internet Explorer\Модули\npqtplugin.dll
2014-10-23 15:54 . 2014-10-23 15:54    --------    d-----w-    c:\program files (x86)\QuickTime
.
.
.
((((((((((((((((((((((((((((((((((((((((   Find3M Report   ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2014-11-22 09:36 . 2013-09-22 19:34    25640    ----a-w-    c:\windows\gdrv.sys
2014-11-20 05:17 . 2014-10-10 13:29    181072    ----a-w-    c:\windows\system32\drivers\bd0001.sys
2014-11-14 05:02 . 2013-09-23 04:43    71344    ----a-w-    c:\windows\SysWow64\FlashPlayerCPLApp.cpl
2014-11-14 05:02 . 2013-09-23 04:43    701104    ----a-w-    c:\windows\SysWow64\FlashPlayerApp.exe
2014-11-12 15:47 . 2013-09-23 05:45    103374192    ----a-w-    c:\windows\system32\MRT.exe
2014-11-04 12:30 . 2010-11-21 03:27    275080    ------w-    c:\windows\system32\MpSigStub.exe
2014-11-04 05:37 . 2014-09-26 12:42    169288    ----a-w-    c:\windows\system32\drivers\bd0004.sys
2014-10-20 01:56 . 2014-09-26 12:43    48968    ----a-w-    c:\windows\system32\drivers\BDSafeBrowser.sys
2014-10-17 11:08 . 2014-10-10 13:29    39056    ----a-w-    c:\windows\system32\bd64_x86.dll
2014-10-17 11:08 . 2014-10-10 13:29    41800    ----a-w-    c:\windows\system32\bd64_x64.dll
2014-10-02 11:23 . 2014-10-02 11:23    94208    ----a-w-    c:\windows\SysWow64\QuickTimeVR.qtx
2014-10-02 11:23 . 2014-10-02 11:23    69632    ----a-w-    c:\windows\SysWow64\QuickTime.qts
2014-09-25 02:08 . 2014-10-01 15:41    371712    ----a-w-    c:\windows\system32\qdvd.dll
2014-09-25 01:40 . 2014-10-01 15:41    519680    ----a-w-    c:\windows\SysWow64\qdvd.dll
2014-09-11 11:16 . 2014-09-27 03:57    39056    ----a-w-    c:\windows\system32\bd64_x86_1.dll
2014-09-11 11:16 . 2014-09-27 03:57    41800    ----a-w-    c:\windows\system32\bd64_x64_1.dll
2014-09-09 22:11 . 2014-09-24 04:03    2048    ----a-w-    c:\windows\system32\tzres.dll
2014-09-09 21:47 . 2014-09-24 04:03    2048    ----a-w-    c:\windows\SysWow64\tzres.dll
2014-09-05 02:11 . 2014-10-21 13:13    6584320    ----a-w-    c:\windows\system32\mstscax.dll
2014-09-05 01:52 . 2014-10-21 13:13    5703168    ----a-w-    c:\windows\SysWow64\mstscax.dll
2014-09-04 05:23 . 2014-10-21 13:14    424448    ----a-w-    c:\windows\system32\rastls.dll
2014-09-04 05:04 . 2014-10-21 13:14    372736    ----a-w-    c:\windows\SysWow64\rastls.dll
2014-08-29 02:07 . 2014-10-21 13:14    3179520    ----a-w-    c:\windows\system32\rdpcorets.dll
.
.
(((((((((((((((((((((((((((((((((((((   Reg Loading Points   ))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Note* empty entries & legit default entries are not shown
REGEDIT4
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Toolbar]
"{91397D20-1446-11D4-8AF4-0040CA1127B6}"= "c:\program files (x86)\Yandex\Elements\bartabhost.dll" [2014-08-27 306976]
.
[HKEY_CLASSES_ROOT\clsid\{91397d20-1446-11d4-8af4-0040ca1127b6}]
[HKEY_CLASSES_ROOT\Yandex.Toolbar.1]
[HKEY_CLASSES_ROOT\TypeLib\{91397D20-1446-11D4-8AF4-0040CA1127B6}]
[HKEY_CLASSES_ROOT\Yandex.Toolbar]
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"uTorrent"="c:\users\Sotec\AppData\Roaming\uTorrent\uTorrent.exe" [2014-11-21 1385808]
"ApplePhotoStreams"="c:\program files (x86)\Common Files\Apple\Internet Services\ApplePhotoStreams.exe" [2014-10-17 43816]
"Skype"="c:\program files (x86)\Skype\Phone\Skype.exe" [2014-10-01 22065760]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run]
"APSDaemon"="c:\program files (x86)\Common Files\Apple\Apple Application Support\APSDaemon.exe" [2014-10-11 60712]
"AVP"="c:\program files (x86)\Kaspersky Lab\Kaspersky Internet Security 2013\avp.exe" [2013-10-09 356128]
"SwitchBoard"="c:\program files (x86)\Common Files\Adobe\SwitchBoard\SwitchBoard.exe" [2010-02-19 517096]
"AdobeCS6ServiceManager"="c:\program files (x86)\Common Files\Adobe\CS6ServiceManager\CS6ServiceManager.exe" [2012-06-25 1073352]
"snp2uvc"="c:\windows\vsnp2uvc.exe" [2009-08-12 662016]
"tsnp2uvc"="c:\program files (x86)\Common Files\SNP2UVC\tsnp2uvc.exe" [2012-02-23 322560]
"iTunesHelper"="c:\program files (x86)\iTunes\iTunesHelper.exe" [2014-10-15 157480]
"QuickTime Task"="c:\program files (x86)\QuickTime\QTTask.exe" [2014-10-02 421888]
"baidusdTray"="c:\program files (x86)\BaiduSd3.0\BaiduSd\3.0.0.4605\BaiduSdTray.exe" [2014-11-20 2505224]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnce]
"SDBOK"="c:\program files (x86)\GIGABYTE\smart6\dbios\run.exe" [2009-07-06 207400]
.
c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\
Mail.Ru Cloud.lnk - c:\users\Sotec\AppData\Local\Mail.Ru\Cloud\Cloud.exe [2014-6-30 29411560]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 5 (0x5)
"ConsentPromptBehaviorUser"= 3 (0x3)
"EnableUIADesktopToggle"= 0 (0x0)
.
[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\windows nt\currentversion\drivers32]
"aux1"=wdmaud.drv
.
[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\windows\currentversion\run-]
"Acrobat Assistant 8.0"="c:\program files (x86)\Adobe\Acrobat 11.0\Acrobat\Acrotray.exe"
"<NO NAME>"=
"Adobe ARM"="c:\program files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
"AdobeCS5.5ServiceManager"="c:\program files (x86)\Common Files\Adobe\CS5.5ServiceManager\CS5.5ServiceManager.exe" -launchedbylogin
"iTunesHelper"="c:\program files (x86)\iTunes\iTunesHelper.exe"
.
[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\KasperskyAntiVirus]
"DisableMonitoring"=dword:00000001
.
------- Supplementary Scan -------
.
uLocal Page = c:\windows\system32\blank.htm
uStart Page = hxxp://www.yandex.ua/?win=150&clid=2052585
mLocal Page = c:\windows\SysWOW64\blank.htm
IE: &Отправить в OneNote - c:\progra~1\MICROS~2\Office14\ONBttnIE.dll/105
IE: &Экспорт в Microsoft Excel - c:\progra~1\MICROS~2\Office14\EXCEL.EXE/3000
Trusted Zone: capitaller.ru
Trusted Zone: enum.ru
Trusted Zone: exchanger.ru
Trusted Zone: indx.ru
Trusted Zone: megastock.com
Trusted Zone: megastock.ru
Trusted Zone: oplata.info
Trusted Zone: paymer.com
Trusted Zone: publicant.ru
Trusted Zone: shareholder.ru
Trusted Zone: softactivation.com
Trusted Zone: telepat.ru
Trusted Zone: webmoney.ru
Trusted Zone: wmcert.com
Trusted Zone: wmkeeper.com
Trusted Zone: wmtransfer.com
TCP: DhcpNameServer = 192.168.1.1
FF - ProfilePath - c:\users\Sotec\AppData\Roaming\Mozilla\Firefox\Profiles\dkyv5ioj.default\
FF - prefs.js: browser.search.selectedEngine - Google
FF - prefs.js: browser.startup.homepage - hxxps://www.google.com.ua/search?q=%D0%BF%D1%80%D0%BE%D0%B3%D1%80%D0%B0%D0%BC%D0%BC%D0%B0+%D0%B4%D0%BB%D1%8F+%D0%BD%D0%B0%D0%BA%D1%80%D1%83%D1%82%D0%BA%D0%B8+%D0%B4%D1%80%D1%83%D0%B7%D0%B5%D0%B9+%D0%B2+%D0%BA%D0%BE%D0%BD%D1%82%D0%B0%D0%BA%D1%82%D0%B5&ie=utf-8&oe=utf-8&aq=t&rls=org.mozilla:ru:official&client=firefox-a&gfe_rd=cr&ei=51ElVP-gAaqt8wfag4DwDA
FF - prefs.js: keyword.URL - hxxp://go.mail.ru/search?fr=ntg&q=
.
- - - - ORPHANS REMOVED - - - -
.
ShellIconOverlayIdentifiers-{64A9418A-B6B1-4112-B75C-E61633C9A31F} - c:\users\Sotec\AppData\Local\Temp\mcse32_00.dll
ShellIconOverlayIdentifiers-{6A2E142B-EA63-433A-AC05-5223CBD26E65} - c:\users\Sotec\AppData\Local\Temp\mcse32_00.dll
ShellIconOverlayIdentifiers-{6AFCC535-2F12-4F50-9F0A-1CF856CFC95D} - c:\users\Sotec\AppData\Local\Temp\mcse32_00.dll
Wow6432Node-HKCU-Run-AdobeBridge - (no file)
.
.
.
--------------------- LOCKED REGISTRY KEYS ---------------------
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{B019E3BF-E7E5-453C-A2E4-D2C18CA0866F}]
@Denied: (A 2) (Everyone)
@="FlashBroker"
"LocalizedString"="@c:\\Windows\\system32\\Macromed\\Flash\\FlashUtil64_15_0_0_223_ActiveX.exe,-101"
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{B019E3BF-E7E5-453C-A2E4-D2C18CA0866F}\Elevation]
"Enabled"=dword:00000001
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{B019E3BF-E7E5-453C-A2E4-D2C18CA0866F}\LocalServer32]
@="c:\\Windows\\system32\\Macromed\\Flash\\FlashUtil64_15_0_0_223_ActiveX.exe"
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{B019E3BF-E7E5-453C-A2E4-D2C18CA0866F}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{BEB3C0C7-B648-4257-96D9-B5D024816E27}\Version*Version]
"Version"=hex:80,95,b4,89,19,0a,a3,18,a8,58,5d,58,0d,94,bc,03,f2,41,9d,6a,31,
   c3,d5,86,23,0a,a3,15,0a,b5,5a,08,04,e4,74,63,13,2e,28,72,fd,55,3a,4f,66,5a,\
.
[HKEY_LOCAL_MACHINE\software\Classes\Interface\{299817DA-1FAC-4CE2-8F48-A108237013BD}]
@Denied: (A 2) (Everyone)
@="IFlashBroker6"
.
[HKEY_LOCAL_MACHINE\software\Classes\Interface\{299817DA-1FAC-4CE2-8F48-A108237013BD}\ProxyStubClsid32]
@="{00020424-0000-0000-C000-000000000046}"
.
[HKEY_LOCAL_MACHINE\software\Classes\Interface\{299817DA-1FAC-4CE2-8F48-A108237013BD}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
"Version"="1.0"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{B019E3BF-E7E5-453C-A2E4-D2C18CA0866F}]
@Denied: (A 2) (Everyone)
@="FlashBroker"
"LocalizedString"="@c:\\Windows\\SysWOW64\\Macromed\\Flash\\FlashUtil32_15_0_0_223_ActiveX.exe,-101"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{B019E3BF-E7E5-453C-A2E4-D2C18CA0866F}\Elevation]
"Enabled"=dword:00000001
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{B019E3BF-E7E5-453C-A2E4-D2C18CA0866F}\LocalServer32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\FlashUtil32_15_0_0_223_ActiveX.exe"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{B019E3BF-E7E5-453C-A2E4-D2C18CA0866F}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}]
@Denied: (A 2) (Everyone)
@="Shockwave Flash Object"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\InprocServer32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash32_15_0_0_223.ocx"
"ThreadingModel"="Apartment"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\MiscStatus]
@="0"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\ProgID]
@="ShockwaveFlash.ShockwaveFlash.15"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\ToolboxBitmap32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash32_15_0_0_223.ocx, 1"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\TypeLib]
@="{D27CDB6B-AE6D-11cf-96B8-444553540000}"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\Version]
@="1.0"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\VersionIndependentProgID]
@="ShockwaveFlash.ShockwaveFlash"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}]
@Denied: (A 2) (Everyone)
@="Macromedia Flash Factory Object"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\InprocServer32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash32_15_0_0_223.ocx"
"ThreadingModel"="Apartment"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\ProgID]
@="FlashFactory.FlashFactory.1"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\ToolboxBitmap32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash32_15_0_0_223.ocx, 1"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\TypeLib]
@="{D27CDB6B-AE6D-11cf-96B8-444553540000}"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\Version]
@="1.0"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\VersionIndependentProgID]
@="FlashFactory.FlashFactory"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\Interface\{299817DA-1FAC-4CE2-8F48-A108237013BD}]
@Denied: (A 2) (Everyone)
@="IFlashBroker6"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\Interface\{299817DA-1FAC-4CE2-8F48-A108237013BD}\ProxyStubClsid32]
@="{00020424-0000-0000-C000-000000000046}"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\Interface\{299817DA-1FAC-4CE2-8F48-A108237013BD}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
"Version"="1.0"
.
[HKEY_LOCAL_MACHINE\software\Minnetonka Audio Software\SurCode Dolby Digital Premiere\Version*Version]
"Version"=hex:80,95,b4,89,19,0a,a3,18,a8,58,5d,58,0d,94,bc,03,f2,41,9d,6a,31,
   c3,d5,86,23,0a,a3,15,0a,b5,5a,08,5c,8c,47,7f,d6,ea,f5,07,fd,55,3a,4f,66,5a,\
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0001\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0002\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\PCW\Security]
@Denied: (Full) (Everyone)
.
------------------------ Other Running Processes ------------------------
.
c:\program files (x86)\Common Files\Baidu\BaiduHips\1.2.0.751\BaiduHips.exe
c:\program files (x86)\BaiduSd3.0\BaiduSd\3.0.0.4605\BaiduSdSvc.exe
c:\program files (x86)\Common Files\Baidu\BaiduProtect1.3\1.3.0.619\BaiduProtect.exe
c:\program files (x86)\Common Files\Adobe\ARM\1.0\armsvc.exe
c:\program files (x86)\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe
c:\program files (x86)\Skype\Toolbars\AutoUpdate\SkypeC2CAutoUpdateSvc.exe
c:\program files (x86)\Skype\Toolbars\PNRSvc\SkypeC2CPNRSvc.exe
c:\program files (x86)\Intel\Intel® Management Engine Components\DAL\jhi_service.exe
c:\windows\SysWOW64\srvany.exe
c:\windows\kmsem\KMService.exe
c:\program files (x86)\GIGABYTE\Smart6\Timelock\TimeMgmtDaemon.exe
c:\program files (x86)\TeamViewer\Version9\TeamViewer_Service.exe
c:\program files (x86)\TeamViewer\Version9\TeamViewer.exe
c:\program files (x86)\TeamViewer\Version9\tv_w32.exe
c:\program files (x86)\GIGABYTE\smart6\dbios\SDBMSG.exe
.
**************************************************************************
.
Completion time: 2014-11-22  11:41:47 - machine was rebooted
ComboFix-quarantined-files.txt  2014-11-22 09:41
.
Pre-Run: 18 864 070 656 байт свободно
Post-Run: 18 232 692 736 байт свободно
.
- - End Of File - - 3726F883E52710A8AC14D5CFF6D8F409
A36C5E4F47E84449FF07ED3517B43A31

 

 

Сообщение от модератора Mark D. Pearlstone

Добавляйте спойлер, либо отправляйте логи в виде файла.

 

ClearLNK-22.11.2014_11-22.log

[mike 1]

Скопируйте текст ниже в Блокнот и сохраните как файл с названием CFScript.txt в корень диска С.

KillAll::

 

File::

c:\windows\system32\drivers\BDMWrench_x64.sys

c:\windows\system32\drivers\BDArKit.sys

c:\windows\system32\drivers\bd0003.sys

c:\windows\system32\drivers\BDDefense.sys

c:\windows\system32\drivers\bd0002.sys

c:\windows\system32\drivers\BDMWrench.sys

c:\windows\system32\drivers\bd0001.sys

c:\windows\system32\drivers\bd0004.sys

c:\windows\system32\drivers\BDSafeBrowser.sys

c:\windows\system32\bd64_x86.dll

c:\windows\system32\bd64_x64.dll

c:\windows\system32\bd64_x86_1.dll

c:\windows\system32\bd64_x64_1.dll

C:\Windows\system32\DRIVERS\BDFileDefend.sys

C:\Windows\system32\DRIVERS\BdSandBox.sys

 

Driver::

bd0001

bd0002

bd0003

bd0004

BDMWrench

BDArKit

BDDefense

BDSafeBrowser

BDFileDefend

BDMWrench_x64

BdSandBox

BaiduHips

BDKVRTP

BDSGRTP

 

Folder::

c:\users\Sotec\AppData\Roaming\Baidu

c:\program files (x86)\BaiduAn3.0

c:\program files (x86)\BaiduSd3.0

c:\program files (x86)\Common Files\Baidu

C:\Users\Sotec\AppData\Roaming\bafhhmlkbcigapgkfdgfikhkkaihpjjn

C:\Users\Sotec\AppData\Roaming\phoenixguard

C:\Users\Sotec\AppData\Roaming\cload2

 

Registry::

 

FileLook::

 

DirLook::

c:\programdata\Datos de programa

 

Reboot::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

 

[Sotec]

Осталась  в C:\Program Files (x86) папка Baidu, а в ней файл .dll

 

 

ComboFix.txt

[mike 1]

 

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.

• Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.

• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.

• Прикрепите отчет к своему следующему сообщению.

 

Подробнее читайте в этом руководстве.

 

[Sotec]

Готово!

AdwCleanerR0.txt

[mike 1]

Лог сделан древней версией AdwCleaner

[Sotec]

Переделал

AdwCleanerR3.txt

[mike 1]

• Запустите повторно AdwCleaner (by Xplode) (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора),  нажмите кнопку "Scan".
  

• По окончанию сканирования снимите галочки со следующих строк:
  

***** [ Службы ] *****



Служба Найдено : KMService

 

***** [ Файлы / Папки ] *****



Папка Найдено : C:\Program Files (x86)\Mail.Ru

Папка Найдено : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Mail.Ru

Папка Найдено : C:\Users\Sotec\AppData\Local\Mail.Ru

Папка Найдено : C:\Users\Sotec\AppData\Local\MailRu

• Нажмите кнопку "Clean" и дождитесь окончания удаления.
  

• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s0].txt.
  

• Прикрепите отчет к своему следующему сообщению
  

Внимание: Для успешного удаления нужна перезагрузка компьютера!.

 

Подробнее читайте в этом руководстве.

 

[Sotec]

C:\Program Files (x86) папка Baidu пропала! Неужели всё?!

Огромное спасибо за помощь!

AdwCleanerS1.txt

[mike 1]

Сделайте контрольные логи Автологгером. 

[Sotec]

Сделал!

CollectionLog-2014.11.22-19.08.zip

[mike 1]

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

 

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 

begin
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','baidusdTray');
 DeleteFile('C:\Program Files (x86)\BaiduSd3.0\BaiduSd\3.0.0.4605\baidusdTray.exe','32');
ExecuteSysClean;
RebootWindows(false);
end.

 

Сделайте новые логи.

Изменено 22 ноября, 2014 пользователем mike 1

[Sotec]

Здравствуйте! Скрипт выполнил, новые логи прилагаю

CollectionLog-2014.11.23-09.46.zip