Автоматически выскакивает реклама

[sharik987]

Здравствуйте.

Автоматически выскакивает реклама. Скорее всего что то ребенок установил. Предпологаю BlueStacks App Pleer

CollectionLog-2016.04.04-21.29.zip

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Program Files\contentprotector\nss\certutil.exe','');
 QuarantineFile('C:\Program Files\contentprotector\import_root_cert.exe','');
 QuarantineFile('C:\Program Files\contentprotector\contentprotectorupdate.exe','');
 QuarantineFile('C:\Program Files\contentprotector\contentprotectorconrol.exe','');
 QuarantineFile('C:\Program Files\contentprotector\conprotsetup.exe','');
 QuarantineFile('C:\Program Files\contentprotector\condefupdateps.dll','');
 QuarantineFile('C:\Program Files\contentprotector\condefclean.exe','');
 QuarantineFile('C:\Users\Maксим\AppData\Local\Microsoft\Extensions\extsetup.exe','');
 QuarantineFile('C:\Program Files (x86)\Common Files\994CA858-6C00-4DB4-8780-C44950E1B276\7E96A15F-0880-456F-831C-F5D764FF36EF.exe','');
 QuarantineFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe','');
 SetServiceStart('dojygici', 4);
 SetServiceStart('ContentProtector', 4);
 SetServiceStart('ContentProtectorUpdate', 4);
 SetServiceStart('ContentProtectorDrv', 4);
 DeleteService('ContentProtectorDrv');
 DeleteService('ContentProtector');
 DeleteService('ContentProtectorUpdate');
 DeleteService('dojygici');
 DeleteService('HSystem');
 QuarantineFile('C:\Program Files (x86)\HpDef\03jNah.exe','');
 QuarantineFile('C:\WINDOWS\system32\drivers\ContentProtectorDrv.sys','');
 TerminateProcessByName('c:\program files (x86)\6a926ac0-1457344304-81e4-2ada-382c4a0b1d1a\jnsd404f.tmp');
 QuarantineFile('c:\program files (x86)\6a926ac0-1457344304-81e4-2ada-382c4a0b1d1a\jnsd404f.tmp','');
 TerminateProcessByName('C:\Program Files\ContentProtector\ContentProtector.exe');
 TerminateProcessByName('C:\Program Files\ContentProtector\ContentProtectorUpdate.exe');
 QuarantineFile('C:\Program Files\ContentProtector\ContentProtectorUpdate.exe','');
 QuarantineFile('C:\Program Files\ContentProtector\ContentProtector.exe','');
 DeleteFile('C:\Program Files\ContentProtector\ContentProtector.exe','32');
 DeleteFile('C:\Program Files\ContentProtector\ContentProtectorUpdate.exe','32');
 DeleteFile('c:\program files (x86)\6a926ac0-1457344304-81e4-2ada-382c4a0b1d1a\jnsd404f.tmp','32');
 DeleteFile('C:\WINDOWS\system32\drivers\ContentProtectorDrv.sys','32');
 DeleteFile('C:\Program Files (x86)\HpDef\03jNah.exe','32');
 DeleteFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Kinoroom Browser');
 DeleteFile('C:\Program Files (x86)\Common Files\994CA858-6C00-4DB4-8780-C44950E1B276\7E96A15F-0880-456F-831C-F5D764FF36EF.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','AppDownloads');
 DeleteFile('C:\Users\Maксим\AppData\Local\Microsoft\Extensions\extsetup.exe','32');
 DeleteFile('C:\WINDOWS\system32\Tasks\extsetup','64');
 DeleteFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe','32');
 DeleteFile('C:\WINDOWS\system32\Tasks\Microsoft\Windows\extsetup','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\Microsoft\Windows\A7C993F24-6CC1-4148-986F-9042E87C357C','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\Microsoft\KRBUUS\KRBLNKRUN','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\Microsoft\KRBUUS\KRB Updater Utility Service','64');
 DeleteFile('C:\Program Files\contentprotector\condefclean.exe','32');
 DeleteFile('C:\Program Files\contentprotector\condefupdateps.dll','32');
 DeleteFile('C:\Program Files\contentprotector\conprotsetup.exe','32');
 DeleteFile('C:\Program Files\contentprotector\contentprotectorconrol.exe','32');
 DeleteFile('C:\Program Files\contentprotector\contentprotectorupdate.exe','32');
 DeleteFile('C:\Program Files\contentprotector\import_root_cert.exe','32');
 DeleteFile('C:\Program Files\contentprotector\libeay32.dll','32');
 DeleteFile('C:\Program Files\contentprotector\nss\certutil.exe','32');
 DeleteFile('C:\Program Files\contentprotector\nss\mozcrt19.dll','32');
 DeleteFile('C:\Program Files\contentprotector\nss\nspr4.dll','32');
 DeleteFile('C:\Program Files\contentprotector\nss\nss3.dll','32');
 DeleteFile('C:\Program Files\contentprotector\nss\plc4.dll','32');
 DeleteFile('C:\Program Files\contentprotector\nss\plds4.dll','32');
 DeleteFile('C:\Program Files\contentprotector\nss\smime3.dll','32');
 DeleteFile('C:\Program Files\contentprotector\nss\softokn3.dll','32');
 DeleteFile('C:\Program Files\contentprotector\ssleay32.dll','32');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи

[sharik987]

карантин что то отправить не могу... рамблер и мэил не отправляет...

Новый лог прикрепил.

KLAN-4039775480:

Здравствуйте,

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями. 

certutil.exe,
import_root_cert.exe,
contentprotectorupdate.exe,
contentprotectorconrol.exe,
condefupdateps.dll,
condefclean.exe,
ContentProtector.exe

Получен набор неизвестных файлов, они будут переданы в Вирусную Лабораторию.

conprotsetup.exe,
ContentProtectorDrv.sys - not-a-virus:NetTool.Win32.NetFilter.v

Это - потенциально опасное ПО. Детектирование файлов будет добавлено в следующее обновление.

jnsd404f.tmp - not-a-virus:AdWare.Win32.AdLoad.ojls

Это файл от рекламной системы. Детектирование файла будет добавлено в следующее обновление баз.

 

CollectionLog-2016.04.05-10.09.zip

Изменено 5 апреля, 2016 пользователем sharik987

[thyrex]

Сделайте лог полного сканирования МВАМ

[sharik987]

малвер

малвер.txt

[thyrex]

Удалите в МВАМ все найденное

[sharik987]

Удалил. Буду проверять, о проблемах если они появятся после удаления сообщу.  СПАСИБО!!!

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Полученные в пп. 4 и 5 логи заархивируйте (в один архив) и прикрепите к сообщению.