поисковик изменен администратором

[Ngodni4eg]

Поисковик в хроме изменен администратором, а также страница вконтакте не загружается(hosts в норме).

Утилиты доктора веба и касперского нашли несколько троянов, все вылечил, но проблема не изчезла.

Проблема появилась после установки пиратской версии майкрософт офис.

 

лог прикрепил.

CollectionLog-2015.11.04-16.11.zip

Изменено 4 ноября, 2015 пользователем Ngodni4eg

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

 

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

 

Здравствуйте! 

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

 

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 

begin
 QuarantineFile('C:\ProgramData\JcujikX\qjdLLERiuNUIUVj5.bat','');
 QuarantineFile('C:\ProgramData\VbSgYIDfVoUNW\FsFiLtC0.bat','');
 QuarantineFile('C:\Windows\System32\wsaudio.dll','');
 DeleteFile('C:\Windows\System32\wsaudio.dll','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\wsaudio\Parameters','ServiceDll');
 DeleteFile('C:\ProgramData\VbSgYIDfVoUNW\FsFiLtC0.bat','32');
 DeleteFile('C:\ProgramData\JcujikX\qjdLLERiuNUIUVj5.bat','32');
 DeleteFile('C:\Program Files\hp defender\hhandler.exe','32');
ExecuteSysClean;
RebootWindows(true);
end.

 

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

 

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

 

quarantine.zip из папки AVZ отправьте по адресу newvirus@kaspersky.com.

1. В заголовке письма напишите "Запрос на исследование вредоносного файла".

2. В письме напишите "Выполняется запрос хэлпера".

3. Прикрепите файл карантина и нажмите "Отправить"

4. Полученный ответ сообщите здесь (с указанием номера KLAN)

 

•  

• Скачайте ClearLNK и сохраните архив с утилитой на рабочем столе.

• Распакуйте архив с утилитой в отдельную папку.

• Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке

 

 

• Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.

• Прикрепите этот отчет к своему следующему сообщению.

 

 

 

Сделайте новые логи Автологгером. 

 

[Ngodni4eg]

• Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке---------------где мне этот лог взять?

вот что ответили:

Re: Запрос на исследование вредоносного файла [KLAN-3315633992]

Здравствуйте,

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями. 

 

qjdLLERiuNUIUVj5.bat,

FsFiLtC0.bat,

wsaudio.dll

 

Получен набор неизвестных файлов, они будут переданы в Вирусную Лабораторию.

 

С уважением, Лаборатория Касперского

 

"125212, Россия, Москва, Ленинградское шоссе, д.39А, стр.3 Тел./факс: + 7 (495) 797 8700 http://www.kaspersky.ru http://www.viruslist.ru"

что дальше делать?

 

и где взять Check_Browsers_LNK.log?

Изменено 4 ноября, 2015 пользователем Ngodni4eg

[mike 1]

В папке Автологгера.

[Ngodni4eg]

все сделал как сказали

вот логи

что делать дальше?

CollectionLog-2015.11.04-20.08.zip

ClearLNK-04.11.2015_19-55.log

[Ngodni4eg]

контакт запустился, ничего не делал, остался поисковик выличить......

[mike 1]

Скачайте Farbar Recovery Scan Tool   и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Ngodni4eg]

все сделал

текстовики прикрепил

FRST.txt

Addition.txt

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 

 

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

CreateRestorePoint:
CloseProcesses:
GroupPolicy: Restriction - Chrome <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
SearchScopes: HKLM -> DefaultScope {2C10F990-CDF8-4145-9033-05355F723AD1} URL = hxxp://rusearcher.com/search.php?us=searcher&pcid=7D99C3DB-62F3-46A2-97EB-3F00C7789FD9&pid=500&query={searchTerms}&sc=ie
SearchScopes: HKLM -> {2C10F990-CDF8-4145-9033-05355F723AD1} URL = hxxp://rusearcher.com/search.php?us=searcher&pcid=7D99C3DB-62F3-46A2-97EB-3F00C7789FD9&pid=500&query={searchTerms}&sc=ie
SearchScopes: HKU\S-1-5-21-2118349588-3415118797-334431741-1000 -> {2C10F990-CDF8-4145-9033-05355F723AD1} URL = hxxp://rusearcher.com/search.php?us=searcher&pcid=7D99C3DB-62F3-46A2-97EB-3F00C7789FD9&pid=500&query={searchTerms}&sc=ie
SearchScopes: HKU\S-1-5-21-2118349588-3415118797-334431741-1000 -> {A06ED961-D98F-4CF9-A89B-80AB11DB149C} URL = hxxp://go-search.ru/search?q={searchTerms}
S2 wsaudio; C:\Windows\System32\svchost.exe [20992 2009-07-14] (Microsoft Corporation)
2015-11-03 19:05 - 2015-11-04 17:06 - 00000000 ____D C:\Users\Все пользователи\VbSgYIDfVoUNW
2015-11-03 19:05 - 2015-11-04 17:06 - 00000000 ____D C:\Users\Все пользователи\JcujikX
2015-11-03 19:05 - 2015-11-04 17:06 - 00000000 ____D C:\ProgramData\VbSgYIDfVoUNW
2015-11-03 19:05 - 2015-11-04 17:06 - 00000000 ____D C:\ProgramData\JcujikX
2015-11-03 15:34 - 2015-11-03 17:33 - 00000008 __RSH C:\Users\admin\ntuser.pol
2015-10-29 14:10 - 2015-11-04 14:59 - 00001258 __RSH C:\Users\Все пользователи\ntuser.pol
2015-10-29 14:10 - 2015-11-04 14:59 - 00001258 __RSH C:\ProgramData\ntuser.pol
2015-10-29 14:09 - 2015-11-04 17:07 - 00000000 ____D C:\Program Files\HP Defender
2015-10-29 14:09 - 2015-11-04 15:03 - 00000000 ____D C:\Users\admin\AppData\Roaming\Searcher
2015-10-29 14:09 - 2015-11-04 15:03 - 00000000 ____D C:\Program Files\SearchDefender
2015-10-29 14:09 - 2015-10-29 14:10 - 00000000 ____D C:\Users\admin\AppData\Roaming\YouTubeFlash
2015-10-29 14:09 - 2015-10-29 14:09 - 00000000 ____D C:\Users\Все пользователи\qpIyhaffAekGywf
2015-10-29 14:09 - 2015-10-29 14:09 - 00000000 ____D C:\Users\Все пользователи\KgibUsPwS
2015-10-29 14:09 - 2015-10-29 14:09 - 00000000 ____D C:\Users\admin\AppData\Local\qcYizUocprKzIM
2015-10-29 14:09 - 2015-10-29 14:09 - 00000000 ____D C:\ProgramData\qpIyhaffAekGywf
2015-10-29 14:09 - 2015-10-29 14:09 - 00000000 ____D C:\ProgramData\KgibUsPwS
Task: {B9F9EE3C-F7E1-41A6-A4BB-E6F2AFC929B5} - \nethost task -> No File <==== ATTENTION
FirewallRules: [{0360E907-F902-4312-BEFF-029276F8275B}] => (Allow) C:\Program Files\UBar\ubar.exe
FirewallRules: [{3E1E1610-3121-4370-A2F8-22034482E11B}] => (Allow) C:\Users\admin\AppData\Local\Amigo\Application\amigo.exe
EmptyTemp:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

• Обратите внимание, что компьютер будет перезагружен.

 

 

[Ngodni4eg]

Проблема исправилась. Спасибо большое. Тему закрывайте.

[mike 1]

Лог прикрепите.

[Ngodni4eg]

вот лог

Fixlog.txt

[mike 1]

1. Для удаления утилит, которые использовались в лечении скачайте DelFix и сохраните утилиту на Рабочем столе

Запустите DelFix

Обратите внимание

, что утилиты необходимо запускать от имени Администратора. По умолчанию в

Windows XP

так и есть. В

Windows Vista

и

Windows 7

администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать

Запуск от имени Администратора

, при необходимости укажите пароль администратора и нажмите

Да

В открывшемся окне программы поставьте галочки напротив пунктов Remove desinfection tools и Create registry backup

Нажмите на кнопку Run

 

 

Выполните скрипт в AVZ при наличии доступа в интернет:

 

var

LogPath : string;

ScriptPath : string;

begin

 LogPath := GetAVZDirectory + 'log\avz_log.txt';

 if FileExists(LogPath) Then DeleteFile(LogPath);

 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else 

begin

    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) 

else begin

       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');

       exit;

      end;

  end;

 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)

end.

 

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

 

Советы и рекомендации после лечения компьютера