Перейти к содержанию
Правила раздела

Поймал трояны на купленный только вчера ноут. Помогите, плс, вылечить

Alexej_p

Автор Alexej_p
в Помощь в удалении вирусов

 Поделиться

Рекомендуемые сообщения

Alexej_p

Alexej_p

Опубликовано
Опубликовано (изменено)

Уважаемые специалисты и форумчане, наткнуля на этот сайт и решил попросить у вас о помощи)

 

Вчера купил ноут на винде 10, ставил всякие проги и распаковал на ноут папку с троянами. У меня стоит антивирус Мак Афи от производителя ноутов - компании эйсер (пробный период 30 дней). Антивирус мне начал сообщать о тронянах, всего поймал 13 штук. Кроме того, одновременно у меня на ноут стали сами по себе устанавливаться приложения: браузер амиго, еще какая-то ерунда и ярлыки поиска мэйл.ру и мозилы. После удаления этих приложений, некоторые появились вновь.

 

Вся эта вакханалия прекратилась после того, как я через функцию "Уничтожить" на своем антивире удалил папку, куда трояны распаковались. Вручную папка не удалялась. Затем снес всю папку Temp, которая находится по адресу юзер\аппдата\локал (адрес примерный). Ну и судя по всему нормальные приложения типа 3д билдера тоже снес, но фиг с ним). Папку Temp снес, так как все или почти все трояны были в ней.

 

В общем, сейчас при включении ноута майкрософт эдж сам открывается на какой-то рекламной странице. Помогите избавится от этого и подскажите как надежно проверить систему (полная проверка мак афи показала, что все ок). Обидно, ноут то совсем новый!

 

Кстати трояны были с названиями Артемис и Дженерик .

 

UPD: доктор вэб проблем не обнаружил, логи прикладываю.

 

UPD 2: логи после удаления App Explorer .

CollectionLog-2016.08.08-21.12.zip

CollectionLog-2016.08.08-22.53.zip

Изменено пользователем Alexej_p
  • Нет слов 1
mike 1

mike 1

Опубликовано
Опубликовано
Деинсталлируйте App Explorer.

 

 

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

 

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

 

Здравствуйте! 

 


 

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 




begin

 DeleteFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe','32');

 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','xtpmmgcnyq');

 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Kinoroom Browser');

 DeleteFile('C:\Users\Alexey\AppData\Local\Adobe\PPAPI\B501CA6A-DA32-4BE1-BBE3-552404E22432\F6A15261-7DFE-4DC5-B961-B3A56FA9DA3F.exe','32');

 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','B501CA6A-DA32-4BE1-BBE3-552404E22432');

 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','KRB Updater Utility');

 DeleteFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe','32');

 DeleteFile('C:\Users\Alexey\AppData\Local\Host App Service\Engine\HostAppServiceUpdater.exe','32');

 DeleteFile('C:\Windows\system32\Tasks\App Explorer','64');

 DeleteFile('C:\Windows\system32\Tasks\Microsoft\KRBUUS\KRBLNKRUN','64');

 DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\AB501CA6A-DA32-4BE1-BBE3-552404E22432','64');

ExecuteSysClean;

RebootWindows(true);

end.


 

Внимание! Будет выполнена перезагрузка компьютера.

 

Сделайте новые логи Автологгером. 

Alexej_p

Alexej_p

Опубликовано
  • Автор
Опубликовано (изменено)

 

Деинсталлируйте App Explorer.
 
 
Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.
 
Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.
 
Здравствуйте! 
 
 
Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
 
begin
 DeleteFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','xtpmmgcnyq');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Kinoroom Browser');
 DeleteFile('C:\Users\Alexey\AppData\Local\Adobe\PPAPI\B501CA6A-DA32-4BE1-BBE3-552404E22432\F6A15261-7DFE-4DC5-B961-B3A56FA9DA3F.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','B501CA6A-DA32-4BE1-BBE3-552404E22432');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','KRB Updater Utility');
 DeleteFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe','32');
 DeleteFile('C:\Users\Alexey\AppData\Local\Host App Service\Engine\HostAppServiceUpdater.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\App Explorer','64');
 DeleteFile('C:\Windows\system32\Tasks\Microsoft\KRBUUS\KRBLNKRUN','64');
 DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\AB501CA6A-DA32-4BE1-BBE3-552404E22432','64');
ExecuteSysClean;
RebootWindows(true);
end.
 
Внимание! Будет выполнена перезагрузка компьютера.
 
Сделайте новые логи Автологгером. 

 

 

Здравствуйте!

 

Удалил App Explorer. Новые логи прикладываю.

 

После перезагрузки перестал запускаться эдж с рекламной страницей.

CollectionLog-2016.08.08-22.53.zip

Изменено пользователем Alexej_p
mike 1

mike 1

Опубликовано
Опубликовано

Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.

Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.

Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s1].txt.

Прикрепите отчет к своему следующему сообщению.


 

Подробнее читайте в этом руководстве.
Alexej_p

Alexej_p

Опубликовано
  • Автор
Опубликовано (изменено)

 

  •  
  • Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s1].txt.
  • Прикрепите отчет к своему следующему сообщению.
 
Подробнее читайте в этом руководстве.

 

 

Отчет AdwCleaner во вложении. Цифра в названии файла 2, так как первую проверку проводил, когда AdwCleaner был размещен не на рабочем столе, поэтому сделал вторую.

 

Нужно ли удалять те файлы, который нашел AdwCleaner?

 

Что там с логами после удаления App Exporer?

AdwCleanerS2.txt

Изменено пользователем Alexej_p
mike 1

mike 1

Опубликовано
Опубликовано
Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.
Alexej_p

Alexej_p

Опубликовано
  • Автор
Опубликовано (изменено)

Удалил. Отчет после удаления во вложении (C1).

Также провел сканирование после удаления. Отчет также прилагаю (S4).

 

Провел дополнительную проверку автологером на всякий случай. Прикладываю.

Что дльше?

AdwCleanerC1.txt

AdwCleanerS4.txt

CollectionLog-2016.08.10-00.46.zip

Изменено пользователем Alexej_p
mike 1

mike 1

Опубликовано
Опубликовано
Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.


3munStB.png
Alexej_p

Alexej_p

Опубликовано
  • Автор
Опубликовано

 

Скачайте Farbar Recovery Scan Tool  NAAC5Ba.png и сохраните на Рабочем столе.
 
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
3munStB.png

 

 

Готово. Отчеты прикладываю.

Addition.txt

FRST.txt

mike 1

mike 1

Опубликовано
Опубликовано
ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 



  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:




CreateRestorePoint:

CloseProcesses:

Task: {149B90FC-9F7E-47BE-BB58-378E0593B74A} - \Microsoft\Windows\AB501CA6A-DA32-4BE1-BBE3-552404E22432 -> No File <==== ATTENTION

C:\Users\Alexey\AppData\Local\Adobe\PPAPI\B501CA6A-DA32-4BE1-BBE3-552404E22432



  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!


  • Обратите внимание, что компьютер будет перезагружен.


  • Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму

 

 

Alexej_p

Alexej_p

Опубликовано
  • Автор
Опубликовано (изменено)

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 

  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
CreateRestorePoint:CloseProcesses:Task: {149B90FC-9F7E-47BE-BB58-378E0593B74A} - \Microsoft\Windows\AB501CA6A-DA32-4BE1-BBE3-552404E22432 -> No File <==== ATTENTIONC:\Users\Alexey\AppData\Local\Adobe\PPAPI\B501CA6A-DA32-4BE1-BBE3-552404E22432
  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  • Обратите внимание, что компьютер будет перезагружен.
  • Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму

Готово. Архива не было.

 

Еще хочу добавить, что с определенного момента ноутбук начал не всегда с первого раза уходить в сон (то есть, я отправляю его в сон, а он выключается и тут же включается). Это наблюдается не всегда, но уже порядка 3-4 раз сегодня было. Скажите, пожалуйста, mike 1, с чем это может быть связано? Вирусы? Ранее такой проблемы не наблюдалось.

 

При этом заметил такую закономерность (хотя выводы делать нельзя, наверное, но все же): если отправляю ноут в сон с тачпада, то он уходит нормально, а если с мышки беспроводной, то не нормально, а так, как я писал выше. Проверял раз 5-7.

Fixlog.txt

Изменено пользователем Alexej_p
mike 1

mike 1

Опубликовано
Опубликовано

 

 

Скажите, пожалуйста, mike 1, с чем это может быть связано? Вирусы?

Не думаю. Настройки электропитания проверьте. 

Alexej_p

Alexej_p

Опубликовано
  • Автор
Опубликовано (изменено)

 

 

 

Скажите, пожалуйста, mike 1, с чем это может быть связано? Вирусы?

Не думаю. Настройки электропитания проверьте. 

 

 

Хорошо.

Скажите, пожалуйста, а что в итоге с системой, чистая?) Нужно ли что-то еще делать?

Изменено пользователем Alexej_p

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем
×
×
  • Создать...