zomod 0 Опубликовано 27 марта, 2015 Share Опубликовано 27 марта, 2015 В общем детишки добрались до второго компьютера. Куча всплывающих окон и полная неработоспособность браузеров. Амиго, смарт веб, ищи свое видео на Ютуб и прочие радости жизни. Почистил, что смог, но наверняка не все, посмотрите пожалуйста логи и вынесите свой вердикт. CollectionLog-2015.03.27-08.05.zip FRST.txt Addition.txt Цитата Ссылка на сообщение Поделиться на другие сайты
thyrex 1 462 Опубликовано 27 марта, 2015 Share Опубликовано 27 марта, 2015 Выполните скрипт в AVZ begin ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.'); ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); if not IsWOW64 then begin SearchRootkit(true, true); SetAVZGuardStatus(True); end; SetServiceStart('kilemiro', 4); DeleteService('kilemiro'); TerminateProcessByName('c:\users\inna\appdata\roaming\4c4c4544-1426519953-3510-804b-c2c04f574b31\nsi63db.tmpfs'); QuarantineFile('c:\users\inna\appdata\roaming\4c4c4544-1426519953-3510-804b-c2c04f574b31\nsi63db.tmpfs',''); DeleteFile('c:\users\inna\appdata\roaming\4c4c4544-1426519953-3510-804b-c2c04f574b31\nsi63db.tmpfs','32'); BC_ImportAll; ExecuteSysClean; BC_Activate; RebootWindows(false); end.Компьютер перезагрузится. Выполните скрипт в AVZ begin CreateQurantineArchive('c:\quarantine.zip'); end. c:\quarantine.zip отправьте через данную форму.1. Выберите тип запроса "Запрос на исследование вредоносного файла". 2. В окне "Подробное описание возникшей ситуации" наберите "Выполняется запрос хэлпера". 3. Прикрепите файл карантина 4. Введите изображенное на картинке число и нажмите "Далее". 5. Если размер карантина превышает 15 Мб, то карантин отправьте по адресу newvirus@kaspersky.com Полученный ответ сообщите здесь (с указанием номера KLAN) Сделайте новые логи по правилам Цитата Ссылка на сообщение Поделиться на другие сайты
zomod 0 Опубликовано 27 марта, 2015 Автор Share Опубликовано 27 марта, 2015 Логи выкладываю, карантин отправил CollectionLog-2015.03.27-21.10.zip Цитата Ссылка на сообщение Поделиться на другие сайты
thyrex 1 462 Опубликовано 27 марта, 2015 Share Опубликовано 27 марта, 2015 Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе. Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением. Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5". Нажмите кнопку Scan. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении. Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении. Цитата Ссылка на сообщение Поделиться на другие сайты
zomod 0 Опубликовано 27 марта, 2015 Автор Share Опубликовано 27 марта, 2015 Done В личку кидают ссылки на вирусоносные сайты ( и это на этом то форуме куда деваться???) FRST.txt Addition.txt Цитата Ссылка на сообщение Поделиться на другие сайты
thyrex 1 462 Опубликовано 27 марта, 2015 Share Опубликовано 27 марта, 2015 Случайно не этот товарищ http://forum.kasperskyclub.ru/index.php?showuser=33797писал Вам в ЛС? Цитата Ссылка на сообщение Поделиться на другие сайты
zomod 0 Опубликовано 27 марта, 2015 Автор Share Опубликовано 27 марта, 2015 Написано вы не имеете доступ к этому ник был eumи сообщение приходи на новый сайт Касперского и ссылка Цитата Ссылка на сообщение Поделиться на другие сайты
thyrex 1 462 Опубликовано 27 марта, 2015 Share Опубликовано 27 марта, 2015 Да, он. Забанен. Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool: CreateRestorePoint: ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => No File GroupPolicy: Group Policy on Chrome detected <======= ATTENTION CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION HKU\S-1-5-21-272363850-1368632318-1805959110-1000\Software\Microsoft\Internet Explorer\Main,Start Page Redirect Cache = http://ru.msn.com/?ocid=iehp SearchScopes: HKU\S-1-5-21-272363850-1368632318-1805959110-1000 -> DefaultScope {2023ECEC-E06A-4372-A1C7-0B49F9E0FFF0} URL = http://www.mystartsearch.com/web/?utm_source=b&utm_medium=cmi&utm_campaign=install_ie&utm_content=ds&from=cmi&uid=2951478271_67194_28221DF2&ts=1426522083&type=default&q={searchTerms} SearchScopes: HKU\S-1-5-21-272363850-1368632318-1805959110-1000 -> yandex.ru-192832 URL = http://www.mystartsearch.com/web/?utm_source=b&utm_medium=cmi&utm_campaign=install_ie&utm_content=ds&from=cmi&uid=2951478271_67194_28221DF2&ts=1426522083&type=default&q={searchTerms} SearchScopes: HKU\S-1-5-21-272363850-1368632318-1805959110-1000 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = http://www.mystartsearch.com/web/?utm_source=b&utm_medium=cmi&utm_campaign=install_ie&utm_content=ds&from=cmi&uid=2951478271_67194_28221DF2&ts=1426522083&type=default&q={searchTerms} SearchScopes: HKU\S-1-5-21-272363850-1368632318-1805959110-1000 -> {2023ECEC-E06A-4372-A1C7-0B49F9E0FFF0} URL = http://www.mystartsearch.com/web/?utm_source=b&utm_medium=cmi&utm_campaign=install_ie&utm_content=ds&from=cmi&uid=2951478271_67194_28221DF2&ts=1426522083&type=default&q={searchTerms} SearchScopes: HKU\S-1-5-21-272363850-1368632318-1805959110-1000 -> {2C383BCC-E0EB-43DD-AC7D-85EB4914966A} URL = http://www.mystartsearch.com/web/?utm_source=b&utm_medium=cmi&utm_campaign=install_ie&utm_content=ds&from=cmi&uid=2951478271_67194_28221DF2&ts=1426522083&type=default&q={searchTerms} SearchScopes: HKU\S-1-5-21-272363850-1368632318-1805959110-1000 -> {E733165D-CBCF-4FDA-883E-ADEF965B476C} URL = http://www.mystartsearch.com/web/?utm_source=b&utm_medium=cmi&utm_campaign=install_ie&utm_content=ds&from=cmi&uid=2951478271_67194_28221DF2&ts=1426522083&type=default&q={searchTerms} SearchScopes: HKU\S-1-5-21-272363850-1368632318-1805959110-1000 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = http://www.mystartsearch.com/web/?utm_source=b&utm_medium=cmi&utm_campaign=install_ie&utm_content=ds&from=cmi&uid=2951478271_67194_28221DF2&ts=1426522083&type=default&q={searchTerms} Toolbar: HKLM - Элементы Яндекса - {91397D20-1446-11D4-8AF4-0040CA1127B6} - No File Toolbar: HKLM - No Name - {fe704bf8-384b-44e1-8cf2-8dbeb3637a8a} - No File Toolbar: HKU\.DEFAULT -> Элементы Яндекса - {91397D20-1446-11D4-8AF4-0040CA1127B6} - No File Toolbar: HKU\S-1-5-21-272363850-1368632318-1805959110-1000 -> Элементы Яндекса - {91397D20-1446-11D4-8AF4-0040CA1127B6} - No File Handler: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - No File [] FF SelectedSearchEngine: mystartsearch CHR HKLM\...\Chrome\Extension: [dbhjdbfgekjfcfkkfjjmlmojhbllhbho] - https://chrome.google.com/webstore/detail/dbhjdbfgekjfcfkkfjjmlmojhbllhbho [Not Found] CHR HKLM\...\Chrome\Extension: [gemknmiehkmnakiphcgjifdfjgnpabeh] - C:\Program Files\Crx\gemknmiehkmnakiphcgjifdfjgnpabeh_0.0.2.crx [2013-02-02] CHR HKLM\...\Chrome\Extension: [kifonanmkilecibbfhmdcoeonomahncd] - C:\Program Files\Crx\kifonanmkilecibbfhmdcoeonomahncd_0.0.2.crx [2013-02-02] CHR HKLM\...\Chrome\Extension: [lmicjbmidollmgbnjfecbdakfocmpoie] - C:\Program Files\Crx\lmicjbmidollmgbnjfecbdakfocmpoie_0.0.5.crx [2013-02-02] CHR HKLM\...\Chrome\Extension: [njabjmhinndphfnbjehdalkphpdmepli] - https://clients2.google.com/service/update2/crx CHR HKLM\...\Chrome\Extension: [nkpbbollgbokelhioeglghbmancjdgmj] - C:\Program Files\Crx\nkpbbollgbokelhioeglghbmancjdgmj_0.0.1.crx [2013-02-02] CHR HKLM\...\Chrome\Extension: [pchfckkccldkbclgdepkaonamkignanh] - http://clients2.google.com/service/update2/crx CHR HKU\S-1-5-21-272363850-1368632318-1805959110-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [incfcgceegpikennjoplhfghaaikdgei] - C:\Users\Inna\AppData\Roaming\StartNow Toolbar\CR\zcrx.crx [2012-11-14] 2015-03-16 18:27 - 2015-03-25 10:14 - 00000000 ____D () C:\Users\Inna\AppData\Roaming\Homepager CustomCLSID: HKU\S-1-5-21-272363850-1368632318-1805959110-1000_Classes\CLSID\{0000002F-0000-0000-C000-000000000046}\InprocServer32 -> No File Path CustomCLSID: HKU\S-1-5-21-272363850-1368632318-1805959110-1000_Classes\CLSID\{00020420-0000-0000-C000-000000000046}\InprocServer32 -> No File Path CustomCLSID: HKU\S-1-5-21-272363850-1368632318-1805959110-1000_Classes\CLSID\{00020421-0000-0000-C000-000000000046}\InprocServer32 -> No File Path CustomCLSID: HKU\S-1-5-21-272363850-1368632318-1805959110-1000_Classes\CLSID\{00020422-0000-0000-C000-000000000046}\InprocServer32 -> No File Path CustomCLSID: HKU\S-1-5-21-272363850-1368632318-1805959110-1000_Classes\CLSID\{00020423-0000-0000-C000-000000000046}\InprocServer32 -> No File Path CustomCLSID: HKU\S-1-5-21-272363850-1368632318-1805959110-1000_Classes\CLSID\{00020424-0000-0000-C000-000000000046}\InprocServer32 -> No File Path CustomCLSID: HKU\S-1-5-21-272363850-1368632318-1805959110-1000_Classes\CLSID\{00020425-0000-0000-C000-000000000046}\InprocServer32 -> No File Path CustomCLSID: HKU\S-1-5-21-272363850-1368632318-1805959110-1000_Classes\CLSID\{0002E005-0000-0000-C000-000000000046}\InprocServer32 -> No File Path CustomCLSID: HKU\S-1-5-21-272363850-1368632318-1805959110-1000_Classes\CLSID\{0BE35203-8F91-11CE-9DE3-00AA004BB851}\InprocServer32 -> No File Path CustomCLSID: HKU\S-1-5-21-272363850-1368632318-1805959110-1000_Classes\CLSID\{0BE35204-8F91-11CE-9DE3-00AA004BB851}\InprocServer32 -> No File Path CustomCLSID: HKU\S-1-5-21-272363850-1368632318-1805959110-1000_Classes\CLSID\{46763EE0-CAB2-11CE-8C20-00AA0051E5D4}\InprocServer32 -> No File Path CustomCLSID: HKU\S-1-5-21-272363850-1368632318-1805959110-1000_Classes\CLSID\{B196B286-BAB4-101A-B69C-00AA00341D07}\InprocServer32 -> No File Path Task: {04D967CE-5495-46F0-9962-B75C3B17E0FE} - \SmartWeb Upgrade Trigger Task No Task File <==== ATTENTION Task: {071A8F2D-7FD9-443B-A08F-08D9C4162FA0} - \APSnotifierPP3 No Task File <==== ATTENTION Task: {4093F018-8373-4DF3-8EFA-1D1AF25E4B4D} - \Digital Sites No Task File <==== ATTENTION Task: {B18DB456-9850-462A-A950-181F151862BF} - \zgtenlb No Task File <==== ATTENTION Task: {DEF109AF-705F-4DBC-987A-CE36AD930188} - \APSnotifierPP1 No Task File <==== ATTENTION Task: {E5D823D5-4891-4D06-BE18-0F2B1E93A2B4} - \APSnotifierPP2 No Task File <==== ATTENTION AlternateDataStreams: C:\Users\Inna\Local Settings:wa AlternateDataStreams: C:\Users\Inna\AppData\Local:wa AlternateDataStreams: C:\Users\Inna\AppData\Local\Application Data:waReboot: Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении! Обратите внимание, что компьютер будет перезагружен. Цитата Ссылка на сообщение Поделиться на другие сайты
zomod 0 Опубликовано 27 марта, 2015 Автор Share Опубликовано 27 марта, 2015 Сделано. Fixlog.txt CollectionLog-2015.03.28-02.19.zip Цитата Ссылка на сообщение Поделиться на другие сайты
thyrex 1 462 Опубликовано 28 марта, 2015 Share Опубликовано 28 марта, 2015 Что с проблемой? Цитата Ссылка на сообщение Поделиться на другие сайты
zomod 0 Опубликовано 28 марта, 2015 Автор Share Опубликовано 28 марта, 2015 Надеюсь решена. Цитата Ссылка на сообщение Поделиться на другие сайты
mike 1 1 091 Опубликовано 28 марта, 2015 Share Опубликовано 28 марта, 2015 Скачайте DelFix и сохраните утилиту на Рабочем столе Запустите DelFix Обратите внимание , что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора , при необходимости укажите пароль администратора и нажмите Да В открывшемся окне программы поставьте галочки напротив пунктов Remove desinfection tools и Create registry backup Нажмите на кнопку Run После окончания работы программы автоматически откроется блокнот с отчетом delfix.txt Прикрепите этот отчет в вашей теме. Загрузите SecurityCheck by glax24 отсюда и сохраните утилиту на Рабочем столе Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7) Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу. Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt; Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt Цитата Ссылка на сообщение Поделиться на другие сайты
Рекомендуемые сообщения
Присоединяйтесь к обсуждению
Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.