Поймал трояны на купленный только вчера ноут. Помогите, плс, вылечить

[Alexej_p]

Уважаемые специалисты и форумчане, наткнуля на этот сайт и решил попросить у вас о помощи)

 

Вчера купил ноут на винде 10, ставил всякие проги и распаковал на ноут папку с троянами. У меня стоит антивирус Мак Афи от производителя ноутов - компании эйсер (пробный период 30 дней). Антивирус мне начал сообщать о тронянах, всего поймал 13 штук. Кроме того, одновременно у меня на ноут стали сами по себе устанавливаться приложения: браузер амиго, еще какая-то ерунда и ярлыки поиска мэйл.ру и мозилы. После удаления этих приложений, некоторые появились вновь.

 

Вся эта вакханалия прекратилась после того, как я через функцию "Уничтожить" на своем антивире удалил папку, куда трояны распаковались. Вручную папка не удалялась. Затем снес всю папку Temp, которая находится по адресу юзер\аппдата\локал (адрес примерный). Ну и судя по всему нормальные приложения типа 3д билдера тоже снес, но фиг с ним). Папку Temp снес, так как все или почти все трояны были в ней.

 

В общем, сейчас при включении ноута майкрософт эдж сам открывается на какой-то рекламной странице. Помогите избавится от этого и подскажите как надежно проверить систему (полная проверка мак афи показала, что все ок). Обидно, ноут то совсем новый!

 

Кстати трояны были с названиями Артемис и Дженерик .

 

UPD: доктор вэб проблем не обнаружил, логи прикладываю.

 

UPD 2: логи после удаления App Explorer .

CollectionLog-2016.08.08-21.12.zip

CollectionLog-2016.08.08-22.53.zip

Изменено 8 августа, 2016 пользователем Alexej_p

[Mark D. Pearlstone]

Порядок оформления запроса о помощи

[Alexej_p]

Порядок оформления запроса о помощи

Увидел, делаю

Порядок оформления запроса о помощи

 

Доктор вэб проблем не обнаружил.

 

Логи прикладываю.

CollectionLog-2016.08.08-21.12.zip

[mike 1]

Деинсталлируйте App Explorer.

 

 

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

 

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

 

Здравствуйте! 

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

 

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 

begin

 DeleteFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe','32');

 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','xtpmmgcnyq');

 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Kinoroom Browser');

 DeleteFile('C:\Users\Alexey\AppData\Local\Adobe\PPAPI\B501CA6A-DA32-4BE1-BBE3-552404E22432\F6A15261-7DFE-4DC5-B961-B3A56FA9DA3F.exe','32');

 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','B501CA6A-DA32-4BE1-BBE3-552404E22432');

 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','KRB Updater Utility');

 DeleteFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe','32');

 DeleteFile('C:\Users\Alexey\AppData\Local\Host App Service\Engine\HostAppServiceUpdater.exe','32');

 DeleteFile('C:\Windows\system32\Tasks\App Explorer','64');

 DeleteFile('C:\Windows\system32\Tasks\Microsoft\KRBUUS\KRBLNKRUN','64');

 DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\AB501CA6A-DA32-4BE1-BBE3-552404E22432','64');

ExecuteSysClean;

RebootWindows(true);

end.

 

Внимание! Будет выполнена перезагрузка компьютера.

 

Сделайте новые логи Автологгером. 

[Alexej_p]

 

Деинсталлируйте App Explorer.

 

 

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

 

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

 

Здравствуйте! 

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

 

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 

begin
 DeleteFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','xtpmmgcnyq');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Kinoroom Browser');
 DeleteFile('C:\Users\Alexey\AppData\Local\Adobe\PPAPI\B501CA6A-DA32-4BE1-BBE3-552404E22432\F6A15261-7DFE-4DC5-B961-B3A56FA9DA3F.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','B501CA6A-DA32-4BE1-BBE3-552404E22432');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','KRB Updater Utility');
 DeleteFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe','32');
 DeleteFile('C:\Users\Alexey\AppData\Local\Host App Service\Engine\HostAppServiceUpdater.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\App Explorer','64');
 DeleteFile('C:\Windows\system32\Tasks\Microsoft\KRBUUS\KRBLNKRUN','64');
 DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\AB501CA6A-DA32-4BE1-BBE3-552404E22432','64');
ExecuteSysClean;
RebootWindows(true);
end.

 

Внимание! Будет выполнена перезагрузка компьютера.

 

Сделайте новые логи Автологгером. 

 

 

Здравствуйте!

 

Удалил App Explorer. Новые логи прикладываю.

 

После перезагрузки перестал запускаться эдж с рекламной страницей.

CollectionLog-2016.08.08-22.53.zip

Изменено 8 августа, 2016 пользователем Alexej_p

[mike 1]

Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.

Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.

Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s1].txt.

Прикрепите отчет к своему следующему сообщению.

 

Подробнее читайте в этом руководстве.

[Alexej_p]

 

•  

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.

• Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.

• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s1].txt.

• Прикрепите отчет к своему следующему сообщению.

 

Подробнее читайте в этом руководстве.

 

 

Отчет AdwCleaner во вложении. Цифра в названии файла 2, так как первую проверку проводил, когда AdwCleaner был размещен не на рабочем столе, поэтому сделал вторую.

 

Нужно ли удалять те файлы, который нашел AdwCleaner?

 

Что там с логами после удаления App Exporer?

AdwCleanerS2.txt

Изменено 8 августа, 2016 пользователем Alexej_p

[mike 1]

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

[Alexej_p]

Удалил. Отчет после удаления во вложении (C1).

Также провел сканирование после удаления. Отчет также прилагаю (S4).

 

Провел дополнительную проверку автологером на всякий случай. Прикладываю.

Что дльше?

AdwCleanerC1.txt

AdwCleanerS4.txt

CollectionLog-2016.08.10-00.46.zip

Изменено 9 августа, 2016 пользователем Alexej_p

[mike 1]

Скачайте Farbar Recovery Scan Tool   и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Alexej_p]

 

Скачайте Farbar Recovery Scan Tool   и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

• Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

• Нажмите кнопку Scan.

• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

 

 

Готово. Отчеты прикладываю.

Addition.txt

FRST.txt

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 

• Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

CreateRestorePoint:

CloseProcesses:

Task: {149B90FC-9F7E-47BE-BB58-378E0593B74A} - \Microsoft\Windows\AB501CA6A-DA32-4BE1-BBE3-552404E22432 -> No File <==== ATTENTION

C:\Users\Alexey\AppData\Local\Adobe\PPAPI\B501CA6A-DA32-4BE1-BBE3-552404E22432

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  

• Обратите внимание, что компьютер будет перезагружен.
  

• Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму
  

 

 

[Alexej_p]

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 

• Временно выгрузите антивирус, файрволл и прочее защитное ПО.

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

CreateRestorePoint:CloseProcesses:Task: {149B90FC-9F7E-47BE-BB58-378E0593B74A} - \Microsoft\Windows\AB501CA6A-DA32-4BE1-BBE3-552404E22432 -> No File <==== ATTENTIONC:\Users\Alexey\AppData\Local\Adobe\PPAPI\B501CA6A-DA32-4BE1-BBE3-552404E22432

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

• Обратите внимание, что компьютер будет перезагружен.

• Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму

Готово. Архива не было.

 

Еще хочу добавить, что с определенного момента ноутбук начал не всегда с первого раза уходить в сон (то есть, я отправляю его в сон, а он выключается и тут же включается). Это наблюдается не всегда, но уже порядка 3-4 раз сегодня было. Скажите, пожалуйста, mike 1, с чем это может быть связано? Вирусы? Ранее такой проблемы не наблюдалось.

 

При этом заметил такую закономерность (хотя выводы делать нельзя, наверное, но все же): если отправляю ноут в сон с тачпада, то он уходит нормально, а если с мышки беспроводной, то не нормально, а так, как я писал выше. Проверял раз 5-7.

Fixlog.txt

Изменено 10 августа, 2016 пользователем Alexej_p

[mike 1]

 

 

Скажите, пожалуйста, mike 1, с чем это может быть связано? Вирусы?

Не думаю. Настройки электропитания проверьте. 

[Alexej_p]

 

 

 

Скажите, пожалуйста, mike 1, с чем это может быть связано? Вирусы?

Не думаю. Настройки электропитания проверьте. 

 

 

Хорошо.

Скажите, пожалуйста, а что в итоге с системой, чистая?) Нужно ли что-то еще делать?

Изменено 11 августа, 2016 пользователем Alexej_p