Вирусы на ноутбуке

[Irina K.]

Добрый день! Вчера проверяла KIS, нашла кучу троянских программ, рекламных программок и пр. Самопроизвольно открываются страницы веб-браузеров со всякой фигней. Помогите!

CollectionLog-2015.08.28-16.23.zip

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

 

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

 

Здравствуйте! 

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

 

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 

begin
 StopService('webinstr');
 StopService('{2f0ff925-183b-4210-98f5-cb2ffd917f2b}Gw64');
 StopService('{2f0ff925-183b-4210-98f5-cb2ffd917f2b}w64');
 StopService('{3c433beb-079f-4f3d-a7d8-3be3076f2fbe}w64');
 DeleteService('{3c433beb-079f-4f3d-a7d8-3be3076f2fbe}w64');
 DeleteService('{2f0ff925-183b-4210-98f5-cb2ffd917f2b}w64');
 DeleteService('{2f0ff925-183b-4210-98f5-cb2ffd917f2b}Gw64');
 DeleteService('webinstr');
 StopService('IHProtect Service');
 StopService('MaintainerSvc3.19.691608');
 StopService('Update Adanak');
 StopService('Util Adanak');
 DeleteService('Util Adanak');
 DeleteService('Update Adanak');
 DeleteService('MaintainerSvc3.19.691608');
 DeleteService('IHProtect Service');
 TerminateProcessByName('c:\program files (x86)\adanak\bin\utiladanak.exe');
 QuarantineFile('c:\program files (x86)\adanak\bin\utiladanak.exe','');
 TerminateProcessByName('c:\program files (x86)\adanak\updateadanak.exe');
 QuarantineFile('c:\program files (x86)\adanak\updateadanak.exe','');
 TerminateProcessByName('c:\program files (x86)\miuitab\protectservice.exe');
 QuarantineFile('c:\program files (x86)\miuitab\protectservice.exe','');
 TerminateProcessByName('c:\users\1\appdata\local\orbitum\application\orbitumupdater\orbitumupdater.exe');
 TerminateProcessByName('c:\programdata\f8d67e26-5954-4e5e-906c-2b89b2e43e87\maintainer.exe');
 QuarantineFile('c:\programdata\f8d67e26-5954-4e5e-906c-2b89b2e43e87\maintainer.exe','');
 TerminateProcessByName('C:\Program Files (x86)\Adanak\bin\Adanak.PurBrowse64.exe');
 QuarantineFile('C:\Program Files (x86)\Adanak\bin\Adanak.PurBrowse64.exe','');
 TerminateProcessByName('c:\program files (x86)\adanak\bin\adanak.expext.exe');
 QuarantineFile('c:\program files (x86)\adanak\bin\adanak.expext.exe','');
 TerminateProcessByName('C:\Program Files (x86)\Adanak\bin\Adanak.BrowserAdapter64.exe');
 QuarantineFile('C:\Program Files (x86)\Adanak\bin\Adanak.BrowserAdapter64.exe','');
 TerminateProcessByName('c:\program files (x86)\adanak\bin\adanak.browseradapter.exe');
 QuarantineFile('c:\program files (x86)\adanak\bin\adanak.browseradapter.exe','');
 DeleteFile('c:\program files (x86)\adanak\bin\adanak.browseradapter.exe','32');
 DeleteFile('C:\Program Files (x86)\Adanak\bin\Adanak.BrowserAdapter64.exe','32');
 DeleteFile('c:\program files (x86)\adanak\bin\adanak.expext.exe','32');
 DeleteFile('C:\Program Files (x86)\Adanak\bin\Adanak.PurBrowse64.exe','32');
 DeleteFile('c:\programdata\f8d67e26-5954-4e5e-906c-2b89b2e43e87\maintainer.exe','32');
 DeleteFile('c:\users\1\appdata\local\orbitum\application\orbitumupdater\orbitumupdater.exe','32');
 DeleteFile('c:\program files (x86)\miuitab\protectservice.exe','32');
 DeleteFile('c:\program files (x86)\adanak\updateadanak.exe','32');
 DeleteFile('c:\program files (x86)\adanak\bin\utiladanak.exe','32');
 DeleteFile('C:\Program Files (x86)\MiuiTab\ProtectService.exe','32');
 DeleteFile('C:\ProgramData\f8d67e26-5954-4e5e-906c-2b89b2e43e87\maintainer.exe','32');
 DeleteFile('C:\Program Files (x86)\Adanak\updateAdanak.exe','32');
 DeleteFile('C:\Program Files (x86)\Adanak\bin\utilAdanak.exe','32');
 DeleteFile('C:\Windows\system32\Drivers\webinstr.sys','32');
 DeleteFile('C:\Windows\system32\drivers\{2f0ff925-183b-4210-98f5-cb2ffd917f2b}Gw64.sys','32');
 DeleteFile('C:\Windows\system32\drivers\{2f0ff925-183b-4210-98f5-cb2ffd917f2b}w64.sys','32');
 DeleteFile('C:\Windows\system32\drivers\{3c433beb-079f-4f3d-a7d8-3be3076f2fbe}w64.sys','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','uTorrent');
 DeleteFile('C:\Windows\Tasks\BlockAndSurf Update.job','64');
 DeleteFile('C:\Windows\Tasks\Digital Sites.job','64');
 DeleteFile('C:\Windows\Tasks\DSite.job','64');
 DeleteFile('C:\Windows\system32\Tasks\BlockAndSurf Update','64');
 DeleteFile('C:\Windows\system32\Tasks\Yahoo! Search Updater','64');
ExecuteSysClean;
RebootWindows(true);
end.

 

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

 

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

 

quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com.

1. В заголовке письма напишите "Запрос на исследование вредоносного файла".

2. В письме напишите "Выполняется запрос хэлпера".

3. Прикрепите файл карантина и нажмите "Отправить"

4. Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

• Скачайте ClearLNK и сохраните архив с утилитой на рабочем столе.

• Распакуйте архив с утилитой в отдельную папку.

• Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке

 

 

• Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.

• Прикрепите этот отчет к своему следующему сообщению.

 

 

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.

• Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.

• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s1].txt.

• Прикрепите отчет к своему следующему сообщению.

 

Подробнее читайте в этом руководстве.

 

 

Сделайте новые логи Автологгером. 

 

[Irina K.]

где найти Check_Browsers_LNK.log ?

[mike 1]

В папке Автологгера.

[Irina K.]

 

Ответ ЛК.

"Запрос на исследование вредоносного файла" [KLAN-3088143758]

 

 

 

Здравствуйте,

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями.

utiladanak.exe,
updateadanak.exe,
protectservice.exe,
maintainer.exe,
Adanak.PurBrowse64.exe,
adanak.expext.exe,
Adanak.BrowserAdapter64.exe,
adanak.browseradapter.exe

Получен набор неизвестных файлов, они будут переданы в Вирусную Лабораторию.

С уважением, Лаборатория Касперского

 

 

отчет

с AdwCleaner возникла заминка, просит удалить метки с элементов, которые нужно оставить.. а их там много, я не знаю, что делать...

ClearLNK-28.08.2015_17-34.log

Изменено 28 августа, 2015 пользователем Irina K.

[mike 1]

 

 

с AdwCleaner возникла заминка, просит удалить метки с элементов, которые нужно оставить.. а их там много, я не знаю, что делать...

На кнопку Отчет нажмите. 

[Irina K.]

отчет

делать новые логи Автологгером?

AdwCleanerS2.txt

[mike 1]

Думаю пока не надо.

 

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

[Irina K.]

 вот отчет

все равно самопроизвольно открываются вебстраницы, см. в прикрепл.файлах

AdwCleanerC1.txt

[thyrex]

Расширение Adanak в Хроме вам известно?

 

Скачайте Farbar Recovery Scan Tool   и сохраните на Рабочем столе.

 

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите этот отчет в следующем сообщении.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt). Пожалуйста, и его тоже прикрепите в следующем сообщении.

[Irina K.]

вот

расширение Adanak мне не нужно, как от него избавиться? еще не нужен Orbitum, Origin (каждое включение компа, он обновляется).

Addition.txt

FRST.txt

[thyrex]

Не читайте через строчку. Это же я не у себя спрашивал

 

Расширение Adanak в Хроме вам известно?

А еще такое же есть и в Firefox

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 

 

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

CreateRestorePoint:
CloseProcesses:
GroupPolicy: Group Policy on Chrome detected <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
URLSearchHook: HKLM-x32 - madLen.uCoz.coM Toolbar - {8dec4b69-27c4-405d-a37d-8d45c83f66ab} - C:\Program Files (x86)\MadLen.uCoz.coM\tbMad1.dll (Conduit Ltd.)
BHO: BlockAndSurf -> {771CCACA-6CFC-0A5B-7A60-EECA776FD522} -> C:\Program Files (x86)\ver6BlockAndSurf\178_x64.dll No File
BHO-x32: No Name -> {771CCACA-6CFC-0A5B-7A60-EECA776FD522} ->  No File
BHO-x32: madLen.uCoz.coM Toolbar -> {8dec4b69-27c4-405d-a37d-8d45c83f66ab} -> C:\Program Files (x86)\MadLen.uCoz.coM\tbMad1.dll [2010-09-06] (Conduit Ltd.)
Toolbar: HKU\.DEFAULT -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
Toolbar: HKU\S-1-5-21-3229490979-1740718586-1645836437-1000 -> No Name - {8DEC4B69-27C4-405D-A37D-8D45C83F66AB} -  No File
Toolbar: HKU\S-1-5-21-3229490979-1740718586-1645836437-1000 -> No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} -  No File
Toolbar: HKU\S-1-5-21-3229490979-1740718586-1645836437-1000 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
FF SelectedSearchEngine: Yahoo! Search
FF Extension: NetSecurity v14.4.28 - C:\Users\1\AppData\Roaming\Mozilla\Firefox\Profiles\otds5fcz.default\Extensions\likenetwork@it-taks.com [2014-04-30]
FF Extension: Adanak 1.0.1 - C:\Users\1\AppData\Roaming\Mozilla\Firefox\Profiles\otds5fcz.default\Extensions\{3c433beb-079f-4f3d-a7d8-3be3076f2fbe}.xpi [2014-12-06]
CHR Extension: (Adanak) - C:\Users\1\AppData\Local\Google\Chrome\User Data\Default\Extensions\ckehiapfbolghghlmopccocfnncldmao [2015-02-14]
CHR HKLM-x32\...\Chrome\Extension: [pldbienodkpgkccocelidinmciedjdok] - https://clients2.google.com/service/update2/crx
2015-08-26 12:57 - 2015-08-26 12:57 - 00000000 ____D C:\Users\1\AppData\Roaming\MailProducts
2015-08-28 16:53 - 2014-10-29 10:17 - 00000000 ____D C:\Users\Все пользователи\f8d67e26-5954-4e5e-906c-2b89b2e43e87
2015-08-28 16:53 - 2014-10-29 10:17 - 00000000 ____D C:\ProgramData\f8d67e26-5954-4e5e-906c-2b89b2e43e87
2015-08-28 16:51 - 2014-09-12 18:31 - 00000000 ____D C:\Program Files (x86)\Adanak
2015-08-28 13:58 - 2014-09-12 18:30 - 00000000 ____D C:\Program Files (x86)\GoForFilesUpdater
2015-08-28 09:49 - 2014-04-11 22:14 - 00002220 _____ C:\Users\1\Desktop\Orbitum.lnk
Task: {E7D8A3A7-D441-4DB1-87E2-9F9AE5E37844} - \Update Service GoForFiles -> No File <==== ATTENTION
FirewallRules: [{68049D4C-ACB6-46F0-AFBE-D92728589789}] => (Allow) C:\Program Files (x86)\GoForFiles\GoforFiles.exe
FirewallRules: [{5AF3ABB7-7B37-41AF-9653-46EEC1E16AC3}] => (Allow) C:\Program Files (x86)\GoForFiles\GoforFiles.exe
EmptyTemp:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

• Обратите внимание, что компьютер будет перезагружен.

 

 

 

 

Расширение Adanak в Хроме вам известно?

https://www.virustotal.com/ru/file/af03186490043b5595b7cab6c5e391d72bf36efac5519f9fde3f391e44abcae3/analysis/

 

[Irina K.]

Вы будете смеяться, но о существовании Adanak, я узнала только сегодня. Ноутбук не мой

[thyrex]

Выполняйте написанное в сообщении №13