Всплывающие окна

[Малхаз]

При подключении к интернету появляются всплывающие окна, мешающие работе. Невозможно выбрать нужный ресурс потому, что перекидывает на другие "левые" сайты.  

CollectionLog-2016.08.11-21.43.zip

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\User\AppData\Roaming\DIGITA~1\UPDATE~1\UPDATE~1.EXE','');
 QuarantineFile('C:\Windows\System32\ihctrl32.dll','');
 QuarantineFile('C:\Windows\System32\wsaudio.dll','');
 QuarantineFile('C:\Windows\System32\d3dadapter.dll','');
 SetServiceStart('bd0001', 4);
 SetServiceStart('bd0004', 4);
 SetServiceStart('BDArKit', 4);
 SetServiceStart('BDMWrench', 4);
 DeleteService('BDEnhanceBoost');
 DeleteService('bd0002');
 DeleteService('BDMWrench');
 DeleteService('BDArKit');
 DeleteService('bd0004');
 DeleteService('bd0001');
 SetServiceStart('BDSGRTP', 4);
 DeleteService('BDSGRTP');
 TerminateProcessByName('c:\program files\common files\baidu\baiduprotect1.3\1.3.0.645\baiduprotect.exe');
 DeleteFile('c:\program files\common files\baidu\baiduprotect1.3\1.3.0.645\baiduprotect.exe','32');
 DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.645\ad.dll','32');
 DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.645\BDKitUtils.dll','32');
 DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.645\BDLogicUtils.dll','32');
 DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.645\BDMNet.dll','32');
 DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.645\BDMReport.dll','32');
 DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.645\bdsg0001.dll','32');
 DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.645\DriverManager.dll','32');
 DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.645\dynplugins\BbSavior.dll','32');
 DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.645\dynplugins\BrowserProbe.dll','32');
 DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.645\plugins\BaiduRepair.dll','32');
 DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.645\plugins\HIPS.dll','32');
 DeleteFile('C:\Program Files\Common Files\Baidu\BaiduProtect1.3\1.3.0.645\SafeBrowserDll.dll','32');
 DeleteFile('C:\Windows\system32\DRIVERS\BDArKit.sys','32');
 DeleteFile('C:\Windows\system32\DRIVERS\BDMWrench.sys','32');
 DeleteFile('C:\Windows\System32\d3dadapter.dll','32');
 DeleteFile('C:\Users\User\AppData\Roaming\DIGITA~1\UPDATE~1\UPDATE~1.EXE','32');
 DeleteFile('C:\Windows\Tasks\Digital Sites.job','32');
 DeleteFile('C:\Program Files\RCP\systweakasp.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\ASP','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи

[Малхаз]

Что такое KLAN ?

Ответ

Re: [KLAN-4821327493]

newvirus@kaspersky.com

Кому: 

 

сегодня, 15:09

 

 

 

 

Здравствуйте,

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями. 

ihctrl32.dll,
wsaudio.dll,
d3dadapter.dll,
bcqr00003.dat,
bcqr00004.dat,
bcqr00005.dat,
bcqr00006.dat

Получен набор неизвестных файлов, они будут переданы в Вирусную Лабораторию.

С уважением, Лаборатория Касперского

"125212, Россия, Москва, Ленинградское шоссе, д.39А, стр.3 Тел./факс: + 7 (495) 797 8700 http://www.kaspersky.ru http://www.viruslist.ru"


Hello,

This message has been generated by an automatic message response system. The message contains details about verdicts that have been returned by Anti-Virus in response to the files (if any are included in the message) with the latest updates installed. 

ihctrl32.dll,
wsaudio.dll,
d3dadapter.dll,
bcqr00003.dat,
bcqr00004.dat,
bcqr00005.dat,
bcqr00006.dat

A set of unknown files has been received. They will be sent to the Virus Lab.

Best Regards, Kaspersky Lab

"39A/3 Leningradskoe Shosse, Moscow, 125212, Russia Tel./Fax: + 7 (495) 797 8700 http://www.kaspersky.com http://www.viruslist.com"


--------------------------------------------------------------------------------
From: 
Sent: 8/12/2016 12:01:23 PM
To: newvirus@kaspersky.com
Subject: 


 

Изменено 12 августа, 2016 пользователем mike 1
Почта пользователя удалена

[mike 1]

Остальное выполняйте.

[Малхаз]

Выполняю остальное

 

CollectionLog-2016.08.12-17.03.zip

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[Малхаз]

Ответ на последнее сообщение.

Это в ZIP

Addition @ FRST.rar

Addition @ FRST 1.zip

[thyrex]

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
GroupPolicy: Restriction - Chrome <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
CHR HKU\S-1-5-21-3325582062-2806644392-3097527497-1001\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
FF Extension: Антимат - C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\helper@helper [2016-08-13] [not signed]
FF Plugin: @tools.google.com/Google Update;version=3 -> C:\Program Files\Google\Update\1.3.31.5\npGoogleUpdate3.dll [No File]
FF Plugin: @tools.google.com/Google Update;version=9 -> C:\Program Files\Google\Update\1.3.31.5\npGoogleUpdate3.dll [No File]
CHR Extension: (Ultimate Discounter) - C:\Users\User\AppData\Local\Google\Chrome\User Data\Default\Extensions\ckcmdpmhiekiihmfjffdehhbhgllpapg [2014-10-23]
CHR Extension: (Щит безопасности KIS AV) - C:\Users\User\AppData\Local\Google\Chrome\User Data\Default\Extensions\gfhlhlgjjonnedcnoheajcjgjnmlbnfc [2015-08-03]
CHR Extension: (Thunder,QQDownload Files Downloader) - C:\Users\User\AppData\Local\Google\Chrome\User Data\Default\Extensions\pfgjjlnidkopfimlhcfcjhakhifbnmof [2015-01-04] [UpdateUrl: hxxps://epicunitscan.info/00service/update2/crx] <==== ATTENTION
CHR HKLM\...\Chrome\Extension: [bejnpnkhfgfkcpgikiinojlmdcjimobi] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [ccfifbojenkenpkmnbnndeadpfdiffof] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [dkekdlkmdpipihonapoleopfekmapadh] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [floliaooiknlkomgicdodamdihnhjgni] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [gdljkkmghdkckhaogaemgbgdfophkfco] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [lejgaailkdamkibfiedjjnejcibjgljl] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [nldekieodmkceimbjnaboonipiaakoel] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [oelpkepjlgmehajehfeicfbjdiobdkfj] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [pchfckkccldkbclgdepkaonamkignanh] - hxxp://clients2.google.com/service/update2/crx
OPR Extension: (Ultimate Discounter) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\dcnopnlodagacagplbnimfokkomdhnio [2014-10-23]
OPR Extension: (Advertising block) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\dojgfgknadakhfnaogaipdbdamepeffe [2016-08-13]
R1 bd0001; C:\Windows\System32\DRIVERS\bd0001.sys [73032 2014-10-17] (Baidu)
R1 bd0004; C:\Windows\System32\DRIVERS\bd0004.sys [185672 2014-12-03] (Baidu)
S1 bd0002; system32\DRIVERS\bd0002.sys [X]
S2 BDArKit; system32\DRIVERS\BDArKit.sys [X]
S0 BDMWrench; system32\DRIVERS\BDMWrench.sys [X]
U2 QHActiveDefense; no ImagePath
2016-08-13 18:20 - 2016-08-13 18:26 - 00000000 ____D C:\Users\User\AppData\Local\Amigo
C:\Users\User\AppData\Local\Temp\offer-6C985604-323D-40B3-AF7A-6650F4F5F2484.exe
C:\Users\User\AppData\Local\Temp\stub.exe
Task: {881A245A-1829-48A3-B124-C4245EFB8E41} - System32\Tasks\Microsoft\Windows\Google\GoogleUpdateTaskMachine => C:\Users\User\AppData\Roaming\Microsoft\Video\updater.exe [2016-08-13] () <==== ATTENTION
C:\Users\User\AppData\Roaming\Microsoft\Video\updater.exe
Task: {959E979B-65ED-4B3A-81A8-44C1DA444017} - \ASP -> No File <==== ATTENTION
Task: {B52853E9-B779-4D24-9E07-889618984B72} - \Обновление Браузера Яндекс  -> No File <==== ATTENTION
Reboot:

2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание, что будет выполнена перезагрузка компьютера.