amigo и рекламные вирусы

[astro]

После установки raidcall полезла всякая реклама при открывании сайтов, raidcall amigo удалил, но реклама осталась

CollectionLog-2016.03.05-20.00.zip

[mike 1]

Логи неполные. Перекачайте Автологгер и сделайте заново логи.

Изменено 5 марта, 2016 пользователем mike 1

[astro]

Все сделал,  перекладываю логи

 

CollectionLog-2016.03.06-05.39.zip

Check_Browsers_LNK.log

hijackthis.log

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\WINDOWS\system32\drivers\ContentProtectorDrv.sys','');
 SetServiceStart('ContentProtector', 4);
 SetServiceStart('ContentProtectorUpdate', 4);
 SetServiceStart('ContentProtectorDrv', 4);
 DeleteService('ContentProtectorDrv');
 DeleteService('ContentProtectorUpdate');
 DeleteService('ContentProtector');
 QuarantineFile('C:\Program Files\ContentProtector\ContentProtectorUpdate.exe','');
 QuarantineFile('C:\Program Files\ContentProtector\ContentProtector.exe','');
 DeleteFile('C:\Program Files\ContentProtector\ContentProtector.exe','32');
 DeleteFile('C:\Program Files\ContentProtector\ContentProtectorUpdate.exe','32');
 DeleteFile('C:\WINDOWS\system32\drivers\ContentProtectorDrv.sys','32');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи

[astro]

Здравствуйте,

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями.

ContentProtectorDrv.sys,
ContentProtectorUpdate.exe,
ContentProtector.exe

Получен набор неизвестных файлов, они будут переданы в Вирусную Лабораторию.

С уважением, Лаборатория Касперского

"125212, Россия, Москва, Ленинградское шоссе, д.39А, стр.3 Тел./факс: + 7 (495) 797 8700 http://www.kaspersky.ru http://www.viruslist.ru"


Hello,

This message has been generated by an automatic message response system. The message contains details about verdicts that have been returned by Anti-Virus in response to the files (if any are included in the message) with the latest updates installed.

ContentProtectorDrv.sys,
ContentProtectorUpdate.exe,
ContentProtector.exe

A set of unknown files has been received. They will be sent to the Virus Lab.

Best Regards, Kaspersky Lab

"39A/3 Leningradskoe Shosse, Moscow, 125212, Russia Tel./Fax: + 7 (495) 797 8700 http://www.kaspersky.com http://www.viruslist.com"

 

KLAN-3899754922

 

CollectionLog-2016.03.06-11.55.zip

[thyrex]

Сделайте лог полного сканирования МВАМ

[astro]

Проверил 1 раз без руткитов, 2ой раз( было 4 вируса), но он 5 часов проверял world of warships, в итоге,сбросил, удалил wow, проверил 3ий раз.

virus.txt

virus2.txt

[thyrex]

Удалите в МВАМ все, кроме

HackTool.CheatEngine, C:\Users\Владелец\Downloads\total_war_shogun_2_v1.1.0.0_trainer_8_mrantifun_b.zip, , [7c10c3c18811be781fb469bf22de9d63],

[astro]

удалил, но HackTool.CheatEngine, из карантина MBAM пропал

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Полученные в пп. 4 и 5 логи заархивируйте (в один архив) и прикрепите к сообщению.

[astro]

Все сделал 

farbar.rar

[thyrex]

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
HKLM-x32\...\Run: [] => [X]
BHO: No Name -> {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} -> No File
BHO-x32: No Name -> {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} -> No File
Toolbar: HKU\S-1-5-21-4262171966-1342765547-3351563335-1000 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
2016-03-02 21:30 - 2016-03-06 11:11 - 00000000 ____D C:\Program Files\ContentProtector
2016-03-02 21:30 - 2016-03-05 06:48 - 00000000 ____D C:\Users\Владелец\AppData\Local\Hostinstaller
2016-03-02 21:30 - 2016-03-03 17:20 - 00000000 ____D C:\Users\Владелец\AppData\Local\ZetaGamesViewer
2016-03-02 21:30 - 2016-03-03 06:37 - 00000000 ____D C:\Users\Владелец\AppData\Roaming\YSearcher
2016-03-02 21:30 - 2016-02-16 20:13 - 00058200 _____ C:\WINDOWS\system32\Drivers\ContentProtectorDrv.sys
2016-03-02 21:29 - 2016-03-03 17:20 - 00000000 ____D C:\Users\Владелец\AppData\Local\ZetaGamesNews
C:\Users\Владелец\AppData\Local\Temp\kpmC9B4.exe
Task: {130C00FD-B5F7-4643-A991-0AA715CF2B85} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> No File <==== ATTENTION
Task: {168A4784-4D8A-4FF1-9426-710DD540066A} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> No File <==== ATTENTION
Task: {53F4B96B-8550-492A-B851-5F4A5C2EC9B3} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> No File <==== ATTENTION
Task: {9BC40AE9-1103-4291-986E-0B523B8A3F9A} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> No File <==== ATTENTION
Task: {A6E0866A-F8C6-4416-A177-5F08C6E52D31} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> No File <==== ATTENTION
Task: {B0183016-8CD9-4E56-946D-DEFA87D75351} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> No File <==== ATTENTION
Task: {B0454902-40DB-428A-8CF6-04453C533291} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> No File <==== ATTENTION
Task: {B8707A6B-5E7E-4CE6-B601-F3DDCE22E257} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> No File <==== ATTENTION
Task: {C30A3CDA-585F-421C-8087-3B11253A676E} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> No File <==== ATTENTION
Task: {D157901B-9D8D-465A-AD38-651AE3DA28A9} - \Microsoft\Windows\Setup\GWXTriggers\Telemetry-4xd -> No File <==== ATTENTION
Task: {E373B745-F764-47ED-B968-0DFC1657F1F6} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> No File <==== ATTENTION
Reboot:

2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

• Обратите внимание, что компьютер будет перезагружен.

[astro]

Сделал

Fixlog.txt

[thyrex]

Что с проблемой?

[astro]

При запуске гугла первый окном вылезает mail.ru, при вводе текста  в браузере вылезает поиск mail.ru, на панели инструментов в новой вкладке mail.ru, поиск mail.ru. реклама не вылезала , касперский сторонних сайтов пока не блокировал.