Перейти к содержанию
Правила раздела
Задай вопрос Леониду Безвершенко!

Вирус подменяет процессы

Germanik5

От Germanik5
в Помощь в удалении вирусов

 Share

Рекомендуемые сообщения

Germanik5 Новичок

Germanik5

Опубликовано
Опубликовано (изменено)

Добрый день! Такая проблема система Windows XP SP3. Работал на компьютере вдруг вылетел сний экран. После перезагрузки вообще винда не загружалась и писало Error loading operating system. В конце-концов оказалось, что поврежден загрузочный сектор диска. С помощью  программы DMDE и последующего применения chkdsk винду запустить удалось. Это обсуждалось в этой ветке форума: http://forum.kasperskyclub.ru/index.php?s=917a87df7cab8dc601fd7ec6b4a4a7c4&showtopic=27912&page=2
Но потом началось самое интересное. Аваст запустился, но экраны не активны. Принудительное включение не помогает. При попытке обновления пишет, что отключена служба RPC. Переустановка тоже ничего не дала. Download Master не запускается, выдает ошибку. Думаю, скорее всего и с запуском некоторых других программ будет проблема, но пока больше ничего не заметил. Браузер работает нормально. Только при сворачивании программы не сворачиваются в панель инструрементов, а пропадают неведомо куда. Правда и диспетчера задач их можно восстановить. Проверил комп Dr.Web Curient. И тут мне выдало сразу 31 вирус. Такого никогда не было. Я естественно всех их поудалял через Dr.Web. Потом запустил проверку по директориям, и ещё получил 25 вирусов. Тоже удалил их. Логи проверки вот: http://rghost.ru/6xrsbLmJn
Но все равно в диспетчере задач увидел подозрительный процесс из папки Темп винды, который жрал ресурсы процессора. Удалить его не получилось, с помощью диспетчера задача остановить тоже не получилось. Тогда я удалил зашел через LiveCD и удалил этот файл, а заодно и все содержимое папки Темп, чтобы было наверняка. Но при следующем запуске системы данный процесс опять появился, создал собственную папку и начал там размножать файлы. Далее я заметил, что теперь при сканировании на вирусы процесс Dr.Web Curient подменяется непонятным процессом из папки Темп. Проверка AVZ работает только пока я не начинаю сканировать диски. То есть он сканирует память, делает эвристический анализ, но как только я пытаюсь просканировать сами диски процесс AVZ исчезает, причем даже при работе из под Live CD. В общем, вот лог проверки из AVZ (без сканирования дисков, которое провести неудается).
А вот, конкретные файлы из папки Темп, которые скорее всего являются вирусами или их продуктами. Я их заархировал в RAR, но если кто решит посмотреть нужно действовать ОСТОРОЖНО так как ВИРУСЫ: http://rghost.ru/7zKyJ9vqC
Файл 4 Mau.exe - это тот который подменяет процесс Dr.Web Curient. Но данные вирусные файлы все-таки не первопричина, так как я их удаляю, а они опять потом появляются. Вопроса два:
1. Как уничтожить вирусы;
2. Как восстановить систему до прежней работоспособности после их уничтожения.
Сразу говорю, что точки восстановления нет, хотя раньше, вроде, была.

В общем, вот лог проверки из AVZ (без сканирования дисков, которое провести неудается).

avz_log.zip

Изменено пользователем Germanik5
Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Внимательно читаем и аккуратно выполняем http://[url=http://forum.kasperskyclub.ru/index.php?showtopic=43640]Порядок оформления запроса о помощи[/url] 

Ссылка на комментарий
Поделиться на другие сайты
Germanik5 Новичок

Germanik5

Опубликовано
  • Автор
Опубликовано

А вот, конкретные файлы из папки Темп, которые скорее всего являются вирусами или их продуктами. Я их заархировал в RAR, но если кто решит посмотреть нужно действовать ОСТОРОЖНО так как ВИРУСЫ: http://rghost.ru/7zKyJ9vqC

Файл 4 Mau.exe - это тот который подменяет процесс Dr.Web Curient. Но данные вирусные файлы все-таки не первопричина, так как я их удаляю, а они опять потом появляются.

Как оказалось - это вовсе не вирусы, а стандартные файлы при работе Dr.Web Curient. Так что, возможно, что он все-таки поубивал все вирусы. Хотя, все равно велика вероятность, что реестре что-то осталось, что потом вылезет наружу. Да и все равно остается актуальным вопрос о востановлении полной работоспособности системы. Аваст, как и ряд других приложений. как не запускались, так и не запускаются.

 

 

Новая проверка Dr.Web CureIt! и Kaspersky Virus Removal Tool 2015 вирусов не выявила. Попытка щапустить стандартный AutoLogger к успеху не привела, так как требует запуск с правами администратора. Запуск PIF версии удался. Но опять же программа, как и AVZ, работает только в том случае. если я не включаю проверку конкретных директорий. При включении поиска по дериктриям, программу вырубает. В общем, логи проверки без поиска по директориям прикрепляю.

CollectionLog-2015.08.23-23.29.zip

Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Выполните скрипт в AVZ

 

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Program Files\BonanzaDealsLive\Update\BonanzaDealsLive.exe','');
DeleteFile('C:\Program Files\BonanzaDealsLive\Update\BonanzaDealsLive.exe','32');
DeleteFile('C:\WINDOWS\Tasks\BonanzaDealsLiveUpdateTaskMachineUA.job','32');
DeleteFile('C:\WINDOWS\Tasks\BonanzaDealsLiveUpdateTaskMachineCore.job','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteREpair(14);
RebootWindows(false);
end.
Будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

 

begin
CreateQurantineArchive('c:\quarantine.zip');
end.
c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи

Ссылка на комментарий
Поделиться на другие сайты
Germanik5 Новичок

Germanik5

Опубликовано
  • Автор
Опубликовано

Выполните скрипт в AVZ

Начал выполнять скрипт, но такое ощущение, что AVZ подвис и компьютер начал перегружаться до завершения скрипта. Сформирвал архив c:\quarantine.zip, но открыл его и он отказался пустым. Попытался скрипт выполнить ещё раз, но компьютер выдал BSOD. Правда перезагрузился он нормально. Опять сформировал архив, но он оказался снова пустым.  все-таки решил отправить результат на newvirus@kaspersky.com. Мне пришел ответ: 

Hello,

 

This message has been generated by an automatic message response system. The message contains details about verdicts that have been returned by Anti-Virus in response to the files (if any are included in the message) with the latest updates installed.

 

quarantine.zip

 

This file is corrupted.

 

Best Regards, Kaspersky Lab

 

"39A/3 Leningradskoe Shosse, Moscow, 125212, Russia Tel./Fax: + 7 (495) 797 8700 http://www.kaspersky.comhttp://www.viruslist.com"

KLAN-3076481982

Новая проверка Dr.Web CureIt! опять вирусов не выявила. Логи из программы AutoLogger (без проверки по директориям) после всех этих действий прикрепляю ниже.

CollectionLog-2015.08.24-11.04.zip

Ссылка на комментарий
Поделиться на другие сайты
Germanik5 Новичок

Germanik5

Опубликовано
  • Автор
Опубликовано (изменено)
Сделал. Но пока ещё ничего не удалял. Жду Ваших рекомендаций.

1.txt

Изменено пользователем Germanik5
Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

Удалите в МВАМ все, кроме

PUP.Optional.OpenCandy, C:\Documents and Settings\1\Application Data\PowerISO\Upgrade\PowerISO6.exe, , [143ba214f9911d19a50786d4a0666898], 
Trojan.Dropper, C:\Program Files\ABBYY FineReader 8.0 Professional Edition\twk-fr8fixpatch.exe, , [cb84eec8a8e225110f99315607f907f9], 
PUP.Hacktool.Patcher, C:\Program Files\ABBYY FineReader 9.0\FineReader.exe, , [a4ab991dafdb7abc4e7b58afc33d926e], 
PUP.Hacktool.Patcher, C:\Program Files\ABBYY FineReader 9.0\ScreenshotReader.exe, , [70df2a8c8bff82b4795085825fa1ff01], 
Trojan.Dropped, C:\WINDOWS\system32\hidcon.exe, , [75da9422adddc274a170d3ba8082e020]
Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано
Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

 

  • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.


1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".

B92LqRQ.png

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt). Пожалуйста, и его тоже прикрепите в следующем сообщении.
Ссылка на комментарий
Поделиться на другие сайты
thyrex Мудрец

thyrex

Опубликовано
Опубликовано

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

 

CreateRestorePoint:
HKU\S-1-5-18\...\RunOnce: [Del5636093] => cmd.exe /Q /D /c del "C:\WINDOWS\TEMP\0.del" <===== ATTENTION
CHR HKU\S-1-5-21-1801674531-879983540-682003330-1004\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION
HKLM\SOFTWARE\Microsoft\Internet Explorer\AboutURLs,Tabs: "about:newtab" <======= ATTENTION
SearchScopes: HKLM -> {9BB47C17-9C68-4BB3-B188-DD9AF0FD2406} URL = hxxp://dts.search.ask.com/sr?src=ieb&gct=ds&appid=400&systemid=406&v=a9396-116&apn_uid=2720400253214453&apn_dtid=BND406&o=APN10645&apn_ptnrs=AG6&q={searchTerms}
BHO: No Name -> {3049C3E9-B461-4BC5-8870-4C09146192CA} ->  No File
BHO: No Name -> {3C29D918-10E4-47D8-B2CE-90B0B59481EC} ->  No File
BHO: No Name -> {724d43a9-0d85-11d4-9908-00400523e39a} ->  No File
BHO: No Name -> {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} ->  No File
BHO: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} ->  No File
BHO: No Name -> {9BFBA68E-E21B-458E-AE12-FE85E903D2C1} ->  No File
BHO: No Name -> {CC59E0F9-7E43-44FA-9FAA-8377850BF205} ->  No File
BHO: No Name -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} ->  No File
BHO: No Name -> {DBC80044-A445-435b-BC74-9C25C1C588A9} ->  No File
BHO: No Name -> {E073558A-933C-410F-A986-08FE277B3F38} ->  No File
Toolbar: HKLM - No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
Toolbar: HKLM - No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
Toolbar: HKLM - No Name - {724d43a0-0d85-11d4-9908-00400523e39a} -  No File
Toolbar: HKU\.DEFAULT -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
Toolbar: HKU\S-1-5-21-1801674531-879983540-682003330-1004 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
Toolbar: HKU\S-1-5-21-1801674531-879983540-682003330-1004 -> No Name - {C55BBCD6-41AD-48AD-9953-3609C48EACC7} -  No File
Toolbar: HKU\S-1-5-21-1801674531-879983540-682003330-1004 -> No Name - {D4027C7F-154A-4066-A1AD-4243D8127440} -  No File
Toolbar: HKU\S-1-5-21-1801674531-879983540-682003330-1004 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
Toolbar: HKU\S-1-5-21-1801674531-879983540-682003330-1004 -> No Name - {51A86BB3-6602-4C85-92A5-130EE4864F13} -  No File
Toolbar: HKU\S-1-5-21-1801674531-879983540-682003330-1004 -> No Name - {62D40876-DF18-411F-9D34-A9DD7A197BC5} -  No File
Toolbar: HKU\S-1-5-21-1801674531-879983540-682003330-1004 -> No Name - {405DFEAE-1D2F-4649-BE08-C92313C3E1CE} -  No File
Toolbar: HKU\S-1-5-21-1801674531-879983540-682003330-1004 -> No Name - {724D43A0-0D85-11D4-9908-00400523E39A} -  No File
CHR DefaultSearchURL: Default -> http://dts.search.ask.com/sr?src=crb&gct=ds&appid=400&systemid=406&v=a9396-116&apn_uid=2720400253214453&apn_dtid=BND406&o=APN10645&apn_ptnrs=AG6&q={searchTerms}
CHR Plugin: (Conduit Chrome Plugin) - C:\Documents and Settings\1\Local Settings\Application Data\Google\Chrome\User Data\Default\Extensions\bhnjjbcnbmjmhgpliahlamecmbejpaol\2.3.15.500_0\plugins/ConduitChromeApiPlugin.dll No File
OPR Extension: (SuperMegaBest.com) - C:\Documents and Settings\1\Application Data\Opera Software\Opera Stable\Extensions\aonedlchkbicmhepimiahfalheedjgbh [2014-09-25]
OPR Extension: (extensible) - C:\Documents and Settings\1\Application Data\Opera Software\Opera Stable\Extensions\fopbkiidibcjjlcpnpldcpdiiafeclci [2014-04-04]
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{0000002F-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{00020420-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{00020421-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{00020422-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{00020423-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{00020424-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{00020425-0000-0000-C000-000000000046}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{026371C0-1B7C-11CF-9D53-00AA003C9CB6}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{030B4A80-1B7C-11CF-9D53-00AA003C9CB6}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{030B4A81-1B7C-11CF-9D53-00AA003C9CB6}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{030B4A82-1B7C-11CF-9D53-00AA003C9CB6}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{0713E8A2-850A-101B-AFC0-4210102A8DA7}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{0713E8A8-850A-101B-AFC0-4210102A8DA7}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{0713E8D2-850A-101B-AFC0-4210102A8DA7}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{0713E8D8-850A-101B-AFC0-4210102A8DA7}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{0BE35203-8F91-11CE-9DE3-00AA004BB851}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{0BE35204-8F91-11CE-9DE3-00AA004BB851}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{1E216240-1B7D-11CF-9D53-00AA003C9CB6}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{1EFB6596-857C-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{1F6F8D20-1B7D-11CF-9D53-00AA003C9CB6}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{2B11E9B0-9F09-11D0-9484-00A0C91110ED}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{2C247F23-8591-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{35053A22-8589-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{373FF7F0-EB8B-11CD-8820-08002B2F4F5A}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{373FF7F4-EB8B-11CD-8820-08002B2F4F5A}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{3C4F3BE3-47EB-101B-A3C9-08002B2F49FB}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{3C4F3BE5-47EB-101B-A3C9-08002B2F49FB}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{3C4F3BE7-47EB-101B-A3C9-08002B2F49FB}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{46763EE0-CAB2-11CE-8C20-00AA0051E5D4}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{48E59293-9880-11CF-9754-00AA00C00908}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{48E59294-9880-11CF-9754-00AA00C00908}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{48E59295-9880-11CF-9754-00AA00C00908}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{58DA8D8A-9D6A-101B-AFC0-4210102A8DA7}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{58DA8D8F-9D6A-101B-AFC0-4210102A8DA7}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{58DA8D93-9D6A-101B-AFC0-4210102A8DA7}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{58DA8D96-9D6A-101B-AFC0-4210102A8DA7}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{5ACBB955-5C57-11CF-8993-00AA00688B10}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{5ACBB956-5C57-11CF-8993-00AA00688B10}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{5ACBB957-5C57-11CF-8993-00AA00688B10}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{5ACBB958-5C57-11CF-8993-00AA00688B10}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{6027C2D4-FB28-11CD-8820-08002B2F4F5A}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{612A8624-0FB3-11CE-8747-524153480004}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{612A8628-0FB3-11CE-8747-524153480004}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{62823C20-41A3-11CE-9E8B-0020AF039CA3}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{66833FE6-8583-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{699DDBCC-DC7E-11D0-BCF7-00C04FC2FB86}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{6B7E638F-850A-101B-AFC0-4210102A8DA7}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{6B7E6393-850A-101B-AFC0-4210102A8DA7}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{6B7E63A3-850A-101B-AFC0-4210102A8DA7}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{6D835690-900B-11D0-9484-00A0C91110ED}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{7629CFA2-3FE5-101B-A3C9-08002B2F49FB}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{7629CFA4-3FE5-101B-A3C9-08002B2F49FB}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{8E3867A3-8586-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{99FF4677-FFC3-11D0-BD02-00C04FC2FB86}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{9ED94440-E5E8-101B-B9B5-444553540000}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{9ED94444-E5E8-101B-B9B5-444553540000}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{B196B286-BAB4-101A-B69C-00AA00341D07}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{B66834C6-2E60-11CE-8748-524153480004}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{BDD1F04B-858B-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{C27CCE32-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{C27CCE33-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{C27CCE34-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{C27CCE35-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{C27CCE36-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{C27CCE37-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{C27CCE38-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{C27CCE39-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{C27CCE3A-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{C27CCE3B-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{C27CCE3C-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{C27CCE3D-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{C27CCE3E-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{C27CCE3F-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{C27CCE40-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{C27CCE41-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{C27CCE42-8596-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{C74190B6-8589-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{DD9DA666-8594-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{F08DF954-8592-11D1-B16A-00C0F0283628}\InprocServer32 -> no filepath
CustomCLSID: HKU\S-1-5-21-1801674531-879983540-682003330-1004_Classes\CLSID\{F9043C85-F6F2-101A-A3C9-08002B2F49FB}\InprocServer32 -> no filepath
AlternateDataStreams: C:\Documents and Settings\1\Мои документы\2.txt:mark_cp_data$
AlternateDataStreams: C:\Documents and Settings\All Users\Application Data\TEMP:41ADDB8A
AlternateDataStreams: C:\Documents and Settings\All Users\Application Data\TEMP:A064CECC
Reboot:

2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

  • Обратите внимание, что компьютер будет перезагружен.

Ссылка на комментарий
Поделиться на другие сайты
Germanik5 Новичок

Germanik5

Опубликовано
  • Автор
Опубликовано

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

Сделано.

Fixlog.txt

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Share
Перейти к списку тем

  • Похожий контент

    • sNg
      Неудаляемый вирус
      От sNg
      Доброго времени суток. Имеется вот такая история:
      Купил новый ноутбук (HP Laptop 17-cp0035ua). С покупки был с предустановленным DOS. Я его снес, накатил Win10. После установки, на чистой винде в браузере начали странно себя вести страницы, а именно редиректить при открытии на всякие сайты. Первостепенно редиректит на 89.208.107.49. Работает не со всеми сайтами, случайно. Решил переустановить, подумал в установочнике вирус или на флешке.
      Установил с официальных дистрибутивов на новой флешке. Результат тот же. На абсолютно голой системе без драйверов такая же ситуация, редирект на те же сайты.
      Ладно, решил копать дальше. Проверил систему Malwarebytes, нашел вирус, удалил, но ситуация не исправилась. 
      Проверил систему KVRT. Не нашел ничего.
      Проверил систему из под live usb Eset. Нашел вирус injector.autoit в загрузочнике и всякую мелочь. Удалил. Ура, подумал я, наконец решилось, но нет. После очередной новой установки результат тот же.
      Решил решить проблему радикально - сменить ssd. Сменил. И проблема осталась. Менял оперативку. Результат тот же. Обновил БИОС. Результат тот же.
      НО! Если включить VPN (WARP) или вручную сменить DNS в настройках то проблема пропадает. Но сам вирус или что это такое остается. 
    • RichardVirus
      [РЕШЕНО] Опасение вируса
      От RichardVirus
      Здравствуйте, хочу как минимум провести с вами профилактику компьютера на вирусы.
      Обычно делаю проверку Dr Web cureit и он жалуется на 2 программы (RusExcel и WinWord), которые я скачивал как аналоги оригинальных программ с сайта softportal.
      Хочу у вас узнать вирусные это программы или нет, сделал проверку dr web, но лог слишком много весит и не могу прикрепить файл. Его я загрузил на яндекс диск - https://disk.yandex.ru/d/F2pxwexO6nq5Rg

      CollectionLog-2025.03.13-22.11.zip
    • AlexD777
      Вирус, клавиатура.
      От AlexD777
      Как убрать вирус в клав?
      Странно начал здесь набирать вопрос и клава восстановилась (вот что крест (Касперский) животворящий творит!).
      Любопытно надолго ли?
      Но пока вопрос исчерпан. Спасибо.
       
      Пршл три часа и вс пвтрилсь
      странн нктры буквы и цифры н. Впрс встал в нвую силу. Смжт ли ли антивирус рабраться с клав.
       
      Пхж и к сжалнию н мжт.   
       
      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.
    • Vlad05
      Засыпали вирусы
      От Vlad05
      Через Yandex-почту получил 29 мая письмо. Появились первые трояны, через два дня Avast перстал справляться, установил Касперского, но и он все вылечить не может. Помогите, с уважением, Владимир.
      virusinfo_syscheck.zip
      virusinfo_syscure.zip
      hijackthis.rar
    • Сергей98352247
      Пропала мышь и появились новые процессы
      От Сергей98352247
      Пропала мышь, Kaspersky, появилось много новых процессов. Выключил компьютер, выдернул сетевой шнур, включил. Получил помимо упомянутого, отсутствие всех установленных программ и на вкладке недавние те которые были ранее, ноне все, плюс новые. ничего не открывал, выключил комп.
      Сообщение от модератора kmscom Тема перемещена из раздела Помощь в борьбе с шифровальщиками-вымогателями
×
×
  • Создать...