Перейти к содержанию
Правила раздела

Baidu

Антон 23

От Антон 23
в Помощь в удалении вирусов

 Share

Рекомендуемые сообщения

mike 1 Мудрец

mike 1

Опубликовано
Опубликовано
Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.
 
Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.
 
Здравствуйте! Деинсталлируйте что сможете:
Time tasks-->"C:\ProgramData\Schedule\uninstall.exe"
Weatherbar-->MsiExec.exe /I{BE742AE3-0C95-46CC-B5C8-9F942FDD9360}
 
Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
  then
   begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
   end;
 ClearQuarantine;
 TerminateProcessByName('c:\program files\clickcaption_1.10.0.2\service\ccsvc.exe');
 TerminateProcessByName('c:\documents and settings\?.windowsxpsp3\application data\vopackage\vosrv.exe');
 TerminateProcessByName('c:\programdata\schedule\timetasks.exe');
 SetServiceStart('ccnfd_1_10_0_2', 4);
 SetServiceStart('{f5547162-5df2-4216-9d7d-87cc3068bb50}t', 4);
 SetServiceStart('ccsvc_1.10.0.2', 4);
 SetServiceStart('servervo', 4);
 StopService('ccnfd_1_10_0_2');
 StopService('{f5547162-5df2-4216-9d7d-87cc3068bb50}t');
 StopService('ccsvc_1.10.0.2');
 StopService('servervo');
 QuarantineFile('C:\opera.bat','');
 QuarantineFile('C:\WINDOWS.0\system32\drivers\ccnfd_1_10_0_2.sys','');
 QuarantineFile('C:\Program Files\ClickCaption_1.10.0.2\IE\ClickCaptionClientIE.dll','');
 QuarantineFile('C:\WINDOWS.0\system32\drivers\{f5547162-5df2-4216-9d7d-87cc3068bb50}t.sys','');
 QuarantineFile('c:\documents and settings\Бухгалтерия.windowsxpsp3\application data\vopackage\vosrv.exe','');
 QuarantineFile('c:\programdata\schedule\timetasks.exe','');
 QuarantineFile('c:\program files\clickcaption_1.10.0.2\service\ccsvc.exe','');
 DeleteFile('c:\programdata\schedule\timetasks.exe','32');
 DeleteFile('C:\WINDOWS.0\system32\drivers\{f5547162-5df2-4216-9d7d-87cc3068bb50}t.sys','32');
 DeleteFile('C:\Program Files\ClickCaption_1.10.0.2\IE\ClickCaptionClientIE.dll','32');
 DeleteFile('C:\Program Files\ClickCaption_1.10.0.2\Service\ccsvc.exe','32');
 DeleteFile('C:\Documents and Settings\Бухгалтерия.WINDOWSXPSP3\Application Data\VOPackage\VOsrv.exe','32');
 DeleteFile('C:\WINDOWS.0\system32\drivers\ccnfd_1_10_0_2.sys','32');
 DeleteFile('C:\opera.bat','32');
 DeleteFile('C:\WINDOWS.0\Tasks\APSnotifierPP1.job','32');
 DeleteFile('C:\WINDOWS.0\Tasks\APSnotifierPP2.job','32');
 DeleteFile('C:\WINDOWS.0\Tasks\APSnotifierPP3.job','32');
 DeleteFile('C:\WINDOWS.0\Tasks\DealPlyLiveUpdateTaskMachineCore.job','32');
 DeleteFile('C:\WINDOWS.0\Tasks\DealPlyLiveUpdateTaskMachineUA.job','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Schedule');
 DeleteService('ccnfd_1_10_0_2');
 DeleteService('{f5547162-5df2-4216-9d7d-87cc3068bb50}t');
 DeleteService('ccsvc_1.10.0.2');
 DeleteService('servervo');   
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.
 
Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:
 
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.
 
quarantine.zip из папки AVZ отправьте через данную форму.
1. Выберите тип запроса "Запрос на исследование вредоносного файла".
2. В окне "Подробное описание возникшей ситуации" наберите "Выполняется запрос хэлпера".
3. Прикрепите файл карантина
4. Введите изображенное на картинке число и нажмите "Далее".
5. Если размер карантина превышает 15 Мб, то карантин отправьте по адресу newvirus@kaspersky.com
 Полученный ответ сообщите здесь (с указанием номера KLAN)
 
Пофиксите следующие строчки в HiJackThis (некоторые строки могут отсутствовать).
 
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=d8d010e88e4fb334a38f7a1b9bd04457&text={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=d8d010e88e4fb334a38f7a1b9bd04457&text={searchTerms}
O2 - BHO: Weatherbar - {17177FAA-3830-43D3-A70B-FDE532676B1E} - C:\Program Files\tooldev342\Weatherbar\TracersToolbarBHO_x86.dll
O2 - BHO: ClickCaption - {A18EA34C-6D33-4298-8A54-7F16499904C0} - C:\Program Files\ClickCaption_1.10.0.2\IE\ClickCaptionClientIE.dll
O2 - BHO: (no name) - {ae48ed75-5a56-4c5f-bbce-6f1ac3875f66} - (no file)
O2 - BHO: (no name) - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - (no file)
O2 - BHO: (no name) - {fe063412-bea4-4d76-8ed3-183be6220d17} - (no file)
 
 

  • Скачайте FixerBro by glax 24 и сохраните архив с утилитой на Рабочем столе
  • Распакуйте архив с утилитой в отдельную папку
  • Запустите FixerBro

    Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите Да

  • В главном окне программы нажмите на кнопку "Проверить"
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\FixerBro (лог в формате FixerBro_yyyymmdd.txt)
  • По окончанию сканирования нажмите на кнопку "Отчет".
  • Сохраните лог утилиты
  • Прикрепите сохраненный отчет в вашей теме.
 
 

Скачайте ComboFix здесь и сохраните в корень диска С. 
 
1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение. Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
 
2. Запустите combofix.exe, когда процесс завершится, скопируйте текст из C:\ComboFix.txt и вставьте в следующее сообщение или запакуйте файл C:\ComboFix.txt и прикрепите к сообщению.
Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe. Например: temp.exe
 
 
 

 

  • Спасибо (+1) 1
  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты
Антон 23 Новичок

Антон 23

Опубликовано
  • Автор
Опубликовано

Сделал всё как советовали.

Вопросик: майкрософт офис зависает при открытии файлов с расширением .rtf. Другие файлы открывает, но через какое то время закрывается с ошибкой. Это связано с вирусами, или с офисом проблемы?

FixerBro_20141126.txt

log.txt

Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано
Пока не знаю.

 

Скопируйте текст ниже в Блокнот и сохраните как файл с названием CFScript.txt в корень диска С. 




KillAll::

 

File::

C:\Documents and Settings\Бухгалтерия.WINDOWSXPSP3\Application Data\Mozilla\Firefox\Profiles\p1xmhv8t.default\Extensions\dldcbakcjliccckkmfjcblhciilpdcil@infoenhancer.com.xpi

C:\Documents and Settings\Бухгалтерия.WINDOWSXPSP3\Application Data\Mozilla\Firefox\Profiles\p1xmhv8t.default\Extensions\{2661A808-1BEB-4BEC-8673-D34EECE955CB}.xpi

C:\Documents and Settings\Бухгалтерия.WINDOWSXPSP3\Application Data\Mozilla\Firefox\Profiles\p1xmhv8t.default\Extensions\{f9d03c26-0575-497e-821d-f7956d23e0ca}.xpi

c:\windows.0\system32\drivers\bd0002.sys

c:\windows.0\system32\drivers\BDArKit.SYS

c:\windows.0\system32\drivers\bd0001.sys

c:\windows.0\system32\drivers\BDEnhanceBoost.sys

c:\documents and settings\Бухгалтерия.WINDOWSXPSP3\an.bat

c:\documents and settings\Бухгалтерия.WINDOWSXPSP3\sd.bat

C:\iexplore.bat

C:\firefox.bat

c:\program files\{AACE8122-B27D-421C-A5BB-95060941AFD7}.sys

C:\WINDOWS.0\{AACE8122-B27D-421C-A5BB-95060941AFD7}.sys

c:\windows.0\system32\DRIVERS\BDAntiExp.sys

c:\windows.0\system32\DRIVERS\bd0003.sys

 

Driver::

BDEnhanceBoost

bd0003

BDAntiExp

 

Folder::

c:\program files\ClickCaption_1.10.0.2

c:\documents and settings\Бухгалтерия.WINDOWSXPSP3\Application Data\Baidu

c:\windows.0\system32\config\systemprofile\Application Data\Baidu

c:\documents and settings\LocalService.NT AUTHORITY\Application Data\Baidu

c:\documents and settings\All Users.WINDOWS.0\Application Data\Baidu

C:\Program Files\BaiduEx

C:\Program Files\Common Files\Baidu

C:\Documents and Settings\Бухгалтерия.WINDOWSXPSP3\Application Data\AnyProtectEx

C:\Documents and Settings\Бухгалтерия.WINDOWSXPSP3\Application Data\VOPackage

 

Registry::

[-HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\pcket_x64]

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]

"C:\Program Files\BaiduEx\BaiduAn.txt"=-

"C:\Program Files\Common Files\Baidu\BDDownload\108\bddownloader.exe"=-

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]

"C:\Program Files\BaiduEx\BaiduAn.txt"=-

"C:\Program Files\Common Files\Baidu\BDDownload\108\bddownloader.exe"=-

 

FileLook::

 

DirLook::

c:\documents and settings\All Users.WINDOWS.0\Application Data\4001812108

 

Reboot::


После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

5315621m.gif

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

 

  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты
mike 1 Мудрец

mike 1

Опубликовано
Опубликовано
Скопируйте текст ниже в Блокнот и сохраните как файл с названием CFScript.txt в корень диска С. 




KillAll:: 



File:: 



Driver:: 



Folder::

c:\program files\ClickCaption_1.10.0.2

c:\documents and settings\Бухгалтерия.WINDOWSXPSP3\Application Data\Baidu

c:\windows.0\system32\config\systemprofile\Application Data\Baidu

c:\documents and settings\LocalService.NT AUTHORITY\Application Data\Baidu

c:\documents and settings\All Users.WINDOWS.0\Application Data\Baidu

C:\Program Files\BaiduEx

C:\Program Files\Common Files\Baidu

C:\Documents and Settings\Бухгалтерия.WINDOWSXPSP3\Application Data\AnyProtectEx

C:\Documents and Settings\Бухгалтерия.WINDOWSXPSP3\Application Data\VOPackage

c:\documents and settings\All Users.WINDOWS.0\Application Data\4001812108



Registry:: 



FileLook:: 



DirLook:: 



Reboot::


После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

5315621m.gif

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

 

  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты
Антон 23 Новичок

Антон 23

Опубликовано
  • Автор
Опубликовано

Отчет:


Пришел ответ с саппорта касперского:

 

RE: [VirLabSRF][Malicious file analysis][M:1][LN:RU][L:0] [KLAN-2280522979]

 

 

Здравствуйте,

Это файл от рекламной системы, файл порнографического характера или потенциально опасное программное обеспечение. Детектирование будет включено в очередное обновление антивирусных баз.

ccnfd_1_10_0_2.sys -- not-a-virus:AdWare.Win32.Vitruvian.c
ccsvc.exe_ -- not-a-virus:AdWare.Win32.Vitruvian.b
ClickCaptionClientIE.dll -- not-a-virus:AdWare.Win32.Vitruvian.b
opera.bat_ -- not-a-virus:AdWare.BAT.Clicker.d
vosrv.exe_ -- not-a-virus:AdWare.Win32.Vopak.uj
{f5547162-5df2-4216-9d7d-87cc3068bb50}t.sys -- not-a-virus:AdWare.Win32.Zaitu.d

С уважением,
-------

125212, Россия, Москва, Ленинградское шоссе, д.39А, стр.3  Тел./факс: + 7 (495) 797 8700 http://www.kaspersky.ruhttp://www.viruslist.ru

ComboFix.txt

Ссылка на комментарий
Поделиться на другие сайты
Roman_Five Корифей

Roman_Five

Опубликовано
Опубликовано

Деинсталлируйте ComboFix: нажмите Пуск => Выполнить в окне наберите команду c:\ComboFix.exe /Uninstall, нажмите кнопку "ОК"

 

671e520b7c2d.jpg

 

Скачайте OTCleanIt, запустите, нажмите Clean up

 

на этом всё.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем
×
×
  • Создать...