Недобитые остатки вирусов после тотального заражения

[Sandynist]

Доброй ночи!

 

Коллега принесла компьютер, в котором вообще не было антивируса. Компьютеру лет наверно 12—15, в биосе стоит 2001 год. ОС — Win XP SP 3.

 

Автологгер сразу же сдох.

 

MBAM умер на последних минутах сканирования, при этом нашёл 67 угроз, но по причине своей скоропостижной смерти вылечить ничего не смог.

 

DrWeb Cureit удалил штук семь троянов, после этого часть подозрительных файлов я снёс вручную.

 

При помощи AVZ удалил кучу какой-то гадости, в том числе весь Гугл Хром и Амиго.

 

После этого наконец-то автологгер смог досканировать диски, вот теперь хотелось бы добить недобитые остатки окопавшихся врагов ))

 

CollectionLog-2016.10.04-02.26.zip

[mike 1]

Деинсталлируйте:

Auslogics BoostSpeed
Cinema Plus v6V23.07
globalupdate Helper
Internet Security Essentials
Unity Web Player 
Дополнительные апплеты
Интернет

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

 

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

 

Здравствуйте! 

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

 

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 

begin
 DeleteService('Update Ttessab');
 DeleteFile('C:\DOCUME~1\ALLUSE~1\LOCALS~1\Temp\ccivvf.exe','32');
 RegKeyResetSecurity('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run');
 RegKeyResetSecurity('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','36240');
 DeleteFile('C:\Documents and Settings\User\Application Data\Windows Live\lmvtljosmb.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Windows Live');
 DeleteFile('C:\WINDOWS\Tasks\1c895bea-87f1-49b9-8fef-94dd222ff36f-1-6.job','32');
 DeleteFile('C:\WINDOWS\Tasks\1c895bea-87f1-49b9-8fef-94dd222ff36f-1-7.job','32');
 DeleteFile('C:\WINDOWS\Tasks\1c895bea-87f1-49b9-8fef-94dd222ff36f-10_user.job','32');
 DeleteFile('C:\WINDOWS\Tasks\1c895bea-87f1-49b9-8fef-94dd222ff36f-3.job','32');
 DeleteFile('C:\WINDOWS\Tasks\1c895bea-87f1-49b9-8fef-94dd222ff36f-5.job','32');
 DeleteFile('C:\WINDOWS\Tasks\1c895bea-87f1-49b9-8fef-94dd222ff36f-6.job','32');
 DeleteFile('C:\WINDOWS\Tasks\1c895bea-87f1-49b9-8fef-94dd222ff36f-7.job','32');
 DeleteFile('C:\WINDOWS\Tasks\globalUpdateUpdateTaskMachineCore1d02b5b54f2711c.job','32');
 DeleteFile('C:\WINDOWS\Tasks\globalUpdateUpdateTaskMachineUA.job','32');
 DeleteFile('C:\Documents and Settings\User\Local Settings\Application Data\Pool Plugin\Bin\PoolPlugin.dll','32');
 DeleteFile('C:\WINDOWS\Tasks\Pool Plugin.job','32');
 DeleteFile('C:\WINDOWS\Tasks\quiz_games_notification_service.job','32');
 DeleteFile('C:\WINDOWS\Tasks\quiz_games_updating_service.job','32');
ExecuteSysClean;
Executerepair(9);
RebootWindows(true);
end.

 

Внимание! Будет выполнена перезагрузка компьютера.

 

 

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.

• Запустите его (в ОС Windows Vista/7/8/8.1/10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Сканировать" и дождитесь окончания сканирования.

• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s0].txt.

• Прикрепите отчет к своему следующему сообщению.

 

Подробнее читайте в этом руководстве.

 

 

[Sandynist]

Деинсталлируйте:  globalupdate Helper

 

 

Так как у этого приложения не было штатного деинсталлятор, я случайно нажал на кнопку «Удаление» в AdwCleaner.

 

Прикладываю два лога — до и после удаления.

 

AdwCleanerS0.txt

 

AdwCleanerS1.txt

 

Вроде бы как компьютер работает нормально, стартует и завершает работу без ошибок, но есть неприятная проблема — не работает Мозилла, вываливается с ошибкой  0xc0000005

Так как Амиго, Гугл Хром и прочие левые интернеты я снёс в процессе лечения, то остался работающим только обозреватель IE 8. 

 

Проблема частая после вирусов, прочитал на ВирусИнфо и других ресурсах, но найти решения пока не смог.

 

P.S. Ну и вдобавок к этой проблеме — Опера вообще не ставится. 

P.S.2  C Оперой проблему удалось решить, поставил на виртуальную XP, оттуда стащил папку с программой в этот компьютер, всё работает. А вот с Мозиллой засада. Не пашет хоть убейся.

[mike 1]

Скачайте Farbar Recovery Scan Tool   и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".

Нажмите кнопку Scan.

После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.

Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Sandynist]

Готово.

FRST.txtAddition.txt

 

[mike 1]

Kazakhtelecom провайдер пользователя?

 

 

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 

• Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

CreateRestorePoint:

CloseProcesses:

HKLM\...\Winlogon: [Taskman] C:\WINDOWS\system32\TASKMAN.EXE [15360 2008-04-15] (Корпорация Майкрософт) <=== ATTENTION

HKU\S-1-5-21-2052111302-2139871995-1417001333-1004\...\Winlogon: [Shell] explorer.exe,C:\Documents and Settings\User\Application Data\WindowsUpdate\mobsync.exe <==== ATTENTION

GroupPolicy: Restriction ? <======= ATTENTION

GroupPolicy\User: Restriction ? <======= ATTENTION

CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION

BHO: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> No File

BHO: AlterGeoBHO Class -> {9BFBA68E-E21B-458E-AE12-FE85E903D2C0} -> No File

BHO: Визуальные закладки -> {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} -> No File

Toolbar: HKU\S-1-5-21-2052111302-2139871995-1417001333-1004 -> No Name - {09900DE8-1DCA-443F-9243-26FF581438AF} -  No File

FF Extension: (Plus-HD-V1.5) - C:\Documents and Settings\User\Application Data\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\809710cc-b432-49dc-9140-7828943a0e27@84b67896-5412-4e3f-a6d3-fa7dc6e439e3.com [2014-06-22] [not signed]

CHR HKLM\...\Chrome\Extension: [bgbgnhmfbcifpkjofoojfplmfkmaiadn] - hxxps://clients2.google.com/service/update2/crx

CHR HKLM\...\Chrome\Extension: [bgknpfancpeamejmcooedljjnaddldhg] - hxxps://clients2.google.com/service/update2/crx

CHR HKLM\...\Chrome\Extension: [cegdomhocaeoedbdpfolmgjkjaijfomo] - hxxps://clients2.google.com/service/update2/crx

CHR HKLM\...\Chrome\Extension: [gdknicmnhbaajdglbinpahhapghpakch] - hxxps://clients2.google.com/service/update2/crx

CHR HKLM\...\Chrome\Extension: [jedelkhanefmcnpappfhachbpnlhomai] - hxxps://clients2.google.com/service/update2/crx

CHR HKLM\...\Chrome\Extension: [lanabbpahpjnaljebnpgkjemcbkepiak] - hxxps://clients2.google.com/service/update2/crx

CHR HKLM\...\Chrome\Extension: [lbjjfiihgfegniolckphpnfaokdkbmdm] - hxxps://clients2.google.com/service/update2/crx

CHR HKLM\...\Chrome\Extension: [nbifdkmdojgmpmopdebnjcobekgdoncn] - hxxps://clients2.google.com/service/update2/crx

CHR HKLM\...\Chrome\Extension: [pldbienodkpgkccocelidinmciedjdok] - hxxps://clients2.google.com/service/update2/crx

2003-01-06 05:06 - 2016-10-04 00:47 - 0236544 _____ () C:\Documents and Settings\User\Application Data\c731200

Task: C:\WINDOWS\Tasks\MailRuUpdater.job => C:\Documents and Settings\User\Local Settings\Application Data\Mail.Ru\MailRuUpdater.exe <==== ATTENTION

Task: C:\WINDOWS\Tasks\MailRuUpdateTask.job => C:\Documents and Settings\User\Local Settings\Application Data\Mail.Ru\MailRuUpdater.exe/scheduler C:\Documents and Settings\User\Local Settings\Application Data\Mail.Ru

EmptyTemp:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  

• Обратите внимание, что компьютер будет перезагружен.
  

• Внимание! Если на рабочем столе будет создан архив upload.zip, то загрузите этот архив через данную форму
  

 

 

[Sandynist]

Сделано.

 

Fixlog.txt

[mike 1]

 

Kazakhtelecom провайдер пользователя?

 

?

[Sandynist]

Да, наш национальный провайдер.

[mike 1]

Что с проблемой?

[Sandynist]

Всё также, как и до применения FRST — компьютер работает удовлетворительно, Мозилла не запускается с ошибкой 0xc0000005

[mike 1]

Переустановка браузера не помогает?

[Sandynist]

Нет, пробовал по всякому, и реестр почистил, и переустановил пару раз. Видимо нужно задать вопрос в компьютерной помощи?

P.S. Всё как в проблеме, которая описана тут https://forum.kaspersky.com/index.php?showtopic=191622

 

Но только AVZ тоже не помогает, восстанавливал с помощью этой утилиты — результата не достиг.

Изменено 6 октября, 2016 пользователем Sandynist

[mike 1]

Да, наверное с этой проблемой лучше туда обратиться.