Невозможно удалить: Trojan.Multi.GenAutorunTask.a

[Espadonka]

Здравствуйте, сегодня заметил, что компьютер стал конкретно так тормозить, решил поставить на проверку. Проверка выявила Trojan.Multi.GenAutorunTask.a в system memory. Предлагала лечение с перезагрузкой и без, что так, что эдак, файл не лечится, и при повторном входе в систему всегда выдается окно, где говорится, что файл нуждается в обработке. Хотелось бы избавиться от него окончательно 

CollectionLog-2016.09.10-20.44.zip

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\8523~1\AppData\Roaming\Dealply\UPDATE~1\UPDATE~1.EXE','');
 QuarantineFile('C:\Users\8523~1\AppData\Roaming\DIGITA~1\UPDATE~1\UPDATE~1.EXE','');
 DelBHO('{11111111-1111-1111-1111-110311531182}');
 DelBHO('{57FC7EA7-2F0D-4F3E-89BB-A1651B3F39AA}');
 QuarantineFile('C:\Program Files (x86)\Аудио и видео скачивание\IE\x86\Downloader.dll','');
 QuarantineFile('C:\Program Files (x86)\hosts\hosts-bho.dll','');
 DeleteService('dealplylive');
 DeleteService('dealplylivem');
 QuarantineFile('C:\Program Files (x86)\DealPlyLive\Update\DealPlyLive.exe','');
 DeleteFile('C:\Program Files (x86)\DealPlyLive\Update\DealPlyLive.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Александр');
 DeleteFile('C:\Program Files (x86)\hosts\hosts-bho.dll','32');
 DeleteFile('C:\Program Files (x86)\Аудио и видео скачивание\IE\x86\Downloader.dll','32');
 DeleteFile('C:\Windows\Tasks\Dealply.job','32');
 DeleteFile('C:\Windows\Tasks\Digital Sites.job','32');
 DeleteFile('C:\Windows\system32\Tasks\Dealply','64');
 DeleteFile('C:\Windows\system32\Tasks\DealPlyLiveUpdateTaskMachineUA','64');
 DeleteFile('C:\Windows\system32\Tasks\Digital Sites','64');
 DeleteFile('C:\Users\8523~1\AppData\Roaming\DIGITA~1\UPDATE~1\UPDATE~1.EXE','32');
 DeleteFile('C:\Users\8523~1\AppData\Roaming\Dealply\UPDATE~1\UPDATE~1.EXE','32');
 DeleteFile('C:\Windows\system32\Tasks\Александр','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

Выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи

[Espadonka]

Здравствуйте,

 

Это сообщение сформировано автоматической системой приёма писем. Сообщение содержит информацию о том, какие вердикты на файлы (если таковые есть в письме) выносит Антивирус с последними обновлениями. 

 

quarantine.zip

 

Вредоносный код в файле не обнаружен.

 

С уважением, Лаборатория Касперского

CollectionLog-2016.09.10-21.51.zip

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[Espadonka]

Прикрепляю

FRST&Addition.rar

[thyrex]

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
HKLM-x32\...\Run: [] => [X]
HKLM-x32\...\Run: [ConvertAd] => C:\Users\Александр\AppData\Local\ConvertAd\ConvertAd.exe
HKU\S-1-5-21-3454845750-1476206213-3583528515-1006\...\Run: [Adobe] => C:\Users\Александр\AppData\Local\1f2c398\svсhоst.exe [2 2015-12-15] ()
HKU\S-1-5-21-3454845750-1476206213-3583528515-1006\...\Run: [**;5:A0=4@<*>] => explorer.exe hxxp://kb-ribaki.org <===== ATTENTION (Value Name with invalid characters)
HKU\S-1-5-21-3454845750-1476206213-3583528515-1006\...\RunOnce: [Uninstall C:\Users\**;5:A0=4@\AppData\Local\Microsoft\SkyDrive\16.4.6012.0828\amd64<*>] => C:\Windows\system32\cmd.exe /q /c rmdir /s /q "C:\Users\Александр\AppData\Local\Microsoft\SkyDrive\16.4.6012.0828\amd64" <===== ATTENTION (Value Name with invalid characters)
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
HKU\S-1-5-21-3454845750-1476206213-3583528515-1006\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://webalta.ru/search
HKU\S-1-5-21-3454845750-1476206213-3583528515-1006\Software\Microsoft\Internet Explorer\Main,Search Bar = hxxp://webalta.ru/search
SearchScopes: HKLM-x32 -> DefaultScope {afdbddaa-5d3f-42ee-b79c-185a7020515b} URL = hxxp://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT2735442
SearchScopes: HKLM-x32 -> {afdbddaa-5d3f-42ee-b79c-185a7020515b} URL = hxxp://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT2735442
SearchScopes: HKU\S-1-5-21-3454845750-1476206213-3583528515-1006 -> {014DB5FA-EAFB-4592-A95B-F44D3EE87FA9} URL = hxxp://search.conduit.com/Results.aspx?ctid=CT3319434&octid=EB_ORIGINAL_CTID&SearchSource=58&CUI=&UM=4&UP=SP5841DB32-F3B2-4A11-B1FC-AF0619BB905F&q={searchTerms}&SSPV=
SearchScopes: HKU\S-1-5-21-3454845750-1476206213-3583528515-1006 -> {61EB20A4-D4D5-4276-A2C9-DCCE8CE9F633} URL = hxxp://webalta.ru/search?q={searchTerms}&from=IE
BHO-x32: MailRuBHO Class -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> C:\Program Files (x86)\Mail.Ru\Sputnik\MailRuSputnik.dll => No File
BHO-x32: TimerBHO Class -> {963B125B-8B21-49A2-A3A8-E37092276531} -> C:\Program Files (x86)\Get-Styles 2.0\utils\updatebho.dll => No File
BHO-x32: Bing Bar Helper -> {d2ce3e00-f94a-4740-988e-03dc2f38c34f} -> C:\Program Files (x86)\Microsoft\BingBar\7.1.391.0\BingExt.dll => No File
BHO-x32: No Name -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> No File
Toolbar: HKLM-x32 - Элементы Яндекса - {91397D20-1446-11D4-8AF4-0040CA1127B6} - C:\Program Files (x86)\Yandex\Elements\bartab.dll No File
Toolbar: HKLM-x32 - Спутник@Mail.Ru - {09900DE8-1DCA-443F-9243-26FF581438AF} - C:\Program Files (x86)\Mail.Ru\Sputnik\MailRuSputnik.dll No File
Toolbar: HKLM-x32 - Bing Bar - {8dcb7100-df86-4384-8842-8fa844297b3f} - "C:\Program Files (x86)\Microsoft\BingBar\7.1.391.0\BingExt.dll" No File
Toolbar: HKU\.DEFAULT -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
Toolbar: HKU\S-1-5-21-3454845750-1476206213-3583528515-1008 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File
Handler: ms-help - {314111c7-a502-11d2-bbca-00c04f8ec294} - c:\Program Files (x86)\Common Files\Microsoft Shared\Help\hxds.dll No File
Handler: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} -  No File
CHR Extension: (Chrome Media Router) - C:\Users\Александр\AppData\Local\Google\Chrome\User Data\Default\Extensions\pkedcjkdefgpdelpbcmbmeomcjbeemfm [2016-09-10]
CHR HKLM\...\Chrome\Extension: [eahebamiopdhefndnmappcihfajigkka] - hxxps://chrome.google.com/webstore/detail/eahebamiopdhefndnmappcihfajigkka
CHR HKU\S-1-5-21-3454845750-1476206213-3583528515-1006\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [apdfllckaahabafndbhieahigkjlhalf] - C:\Users\8523~1\AppData\Local\Google\Drive\user_default\apdfllckaahabafndbhieahigkjlhalf_live.crx <not found>
CHR HKU\S-1-5-21-3454845750-1476206213-3583528515-1006\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [lmjegmlicamnimmfhcmpkclmigmmcbeh] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [bfdlbgbpgjichdjjmkdcpagfggicjfom] - C:\Program Files (x86)\Аудио и видео скачивание\avdownloader-sk.crx <not found>
CHR HKLM-x32\...\Chrome\Extension: [cadhdbmjdepdkibaoclmbachogpcadof] - C:\Users\Александр\AppData\Roaming\EuroTB\chrome.crx [2012-09-04]
CHR HKLM-x32\...\Chrome\Extension: [cncgohepihcekklokhbhiblhfcmipbdh] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [eahebamiopdhefndnmappcihfajigkka] - hxxps://chrome.google.com/webstore/detail/eahebamiopdhefndnmappcihfajigkka
CHR HKLM-x32\...\Chrome\Extension: [ejnmnhkgiphcaeefbaooconkceehicfi] - C:\Program Files (x86)\DealPly\DealPly.crx <not found>
CHR HKLM-x32\...\Chrome\Extension: [fdjdjkkjoiomafnihnobkinnfjnnlhdg] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [gdljkkmghdkckhaogaemgbgdfophkfco] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [jggbjbmnfmipgcanidamjfpechdeekoi] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pjfkgjlnocfakoheoapicnknoglipapd] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pldbienodkpgkccocelidinmciedjdok] - hxxps://clients2.google.com/service/update2/crx
2016-02-06 21:37 - 2016-02-06 21:37 - 0005083 _____ () C:\ProgramData\hwjqxkkr.zva
2016-04-18 23:16 - 2016-04-18 23:16 - 0004908 _____ () C:\ProgramData\lbogtyso.zat
2016-02-03 13:22 - 2016-02-03 13:22 - 0000016 _____ () C:\ProgramData\mntemp
2016-02-03 13:22 - 2016-02-03 13:22 - 0004881 _____ () C:\ProgramData\rxsmznjf.zcp
Task: {30F71C44-16FC-4EED-91F8-82C421CDA9DD} - \DealPlyLiveUpdateTaskMachineUA -> No File <==== ATTENTION
Task: {8022F7C8-9131-496F-A90E-5E9DF19DC026} - \Digital Sites -> No File <==== ATTENTION
Task: {83BBC11E-ADBE-487C-8E7C-D57CB15F2F9A} - \Dealply -> No File <==== ATTENTION
Task: {847B9C83-0C9A-412C-B43A-E9E9C5324115} - System32\Tasks\dsmonitor => C:\Program Files (x86)\Uniblue\DriverScanner\dsmonitor.exe [2013-01-16] (Uniblue Systems Ltd) <==== ATTENTION
C:\Program Files (x86)\Uniblue
Task: C:\Windows\Tasks\dsmonitor.job => C:\Program Files (x86)\Uniblue\DriverScanner\dsmonitor.exe <==== ATTENTION
Task: {6EA1D72A-5747-4E21-AC26-AA353971AD00} - System32\Tasks\Александр => /c REG ADD HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /f /v Александр /t REG_SZ /d "explorer.exe hxxp://kb-ribaki.org" <==== ATTENTION
Reboot:

2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание, что будет выполнена перезагрузка компьютера.

[Espadonka]

Прикрепляю

Fixlog.txt

[thyrex]

Проблема решена?

[Espadonka]

Да, кажется, никаких оповещений о необработанных объектах нет и ничего не тормозит
Спасибо