Помогите убрать pbot

[Сергей Ч]

Поймал такую жуть, подменил сайты и т.д.

CollectionLog-2016.12.05-21.33.zip

<script async="" src="/vgttkru/t_filter.js" type="text/javascript"> </script>

Изменено 5 декабря, 2016 пользователем Сергей Ч

[mike 1]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

 

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

 

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

 

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 

begin
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced','HideFileExt', 0);
 DeleteService('Updater.Mail.Ru');
 DeleteFile('C:\Users\Sergey\AppData\Roaming\PBot\launchall.py','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','PBot');
 DeleteFile('C:\Windows\Tasks\PED_Torrent_Search.job','32');
 DeleteFile('C:\Windows\Tasks\Update Service for Torrent Search.job','32');
 DeleteFile('C:\Windows\Tasks\Update Service for Torrent Search2.job','32');
 DeleteFile('C:\Windows\system32\Tasks\fupdate','64');
 DeleteFile('C:\Users\Sergey\AppData\Local\fupdate\fupdate.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\PED_Torrent_Search','64');
 DeleteFile('C:\Windows\system32\Tasks\ScriptWriter','64');
 DeleteFile('C:\Users\Sergey\AppData\Local\ScriptWriter\ScriptWriter.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\SystemToolsDailyTest','64');
 DeleteFile('C:\Windows\system32\Tasks\PCDDataUploadTask','64');
 DeleteFile('C:\Windows\system32\Tasks\UninstallDDS-C960901F-CE14-4DE1-9729-1305F719A337','64');
 DeleteFile('C:\Windows\system32\Tasks\Update Service for Torrent Search','64');
 DeleteFile('C:\Windows\system32\Tasks\Update Service for Torrent Search2','64');
 DeleteFile('C:\Windows\system32\Tasks\{B30B3E3C-285B-41C2-8C5F-35A6DAE19F00}','64');
ExecuteSysClean;
RebootWindows(true);
end.

Внимание! Будет выполнена перезагрузка компьютера.

 

Сделайте новые логи Автологгером.

[Сергей Ч]

Выолнил скрипт. Всё равно после  открылось опять. start.bkparimatch7.com/ru/build/?btag=a_7270b_684c_

CollectionLog-2016.12.07-15.27.zip

[mike 1]

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Windows Vista/7/8/8.1/10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Сканировать" и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s0].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[Сергей Ч]

Вот отчет.

AdwCleanerS0.txt

[mike 1]

• Запустите повторно AdwCleaner (by Xplode) (в ОС Windows Vista/7/8/8.1/10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan".
• По окончанию сканирования снимите галочки со следующих строк:

  ***** [ Файлы ] *****
  Найден файл: C:\Users\Sergey\Desktop\AkelPad.lnk
  

• Нажмите кнопку "Очистить" ("Clean") и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[С0].txt.
• Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

[Сергей Ч]

Первый раз, система зависла. Перезапустил и выполнил заново. 

AdwCleanerC0.txt

[mike 1]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Сергей Ч]

 Farbar Recovery Scan Tool отчет

Addition.txt

[mike 1]

Второй лог где?

[Сергей Ч]

Извиняюсь.Два лога приложил.

Addition.txt

FRST.txt

[mike 1]

ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 

• Временно выгрузите антивирус, файрволл и прочее защитное ПО.
  

• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

CreateRestorePoint:

CloseProcesses:

GroupPolicy: Restriction <======= ATTENTION

GroupPolicy\User: Restriction <======= ATTENTION

BHO: TSearch -> {6E727987-C8EA-44DA-8749-310C0FBE3C3E} -> No File

FF Extension: (Домашняя страница Mail.Ru) - C:\Users\Sergey\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\homepage@mail.ru [2016-12-03]

FF Extension: (Поиск@Mail.Ru) - C:\Users\Sergey\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\search@mail.ru [2016-12-03]

FF Extension: (TSearch) - C:\Users\Sergey\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{6E727987-C8EA-44DA-8749-310C0FBE3C3E} [2016-05-23] [not signed]

FF Extension: (Визуальные закладки @Mail.Ru) - C:\Users\Sergey\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2016-12-03]

CHR StartupUrls: Default -> "hxxp://mail.ru/cnt/7993/","hxxp://www.mail.ru/","hxxp://ru.msn.com/?pc=UP97&ocid=UP97DHP","hxxp://www.sweet-page.com/?type=hp&ts=1396856397&from=cor&uid=WDCXWD5000BEVT-35A0RT0_WD-WX31E11EN209EN209","hxxp://www.sweet-page.com/?type=hppp&ts=1397482143&from=cor&uid=WDCXWD5000BEVT-35A0RT0_WD-WX31E11EN209EN209"

CHR Extension: (CinemaLoad) - C:\Users\Sergey\AppData\Local\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb [2016-12-07]

OPR Extension: (Quick Searcher) - C:\Users\Sergey\AppData\Roaming\Opera Software\Opera Stable\Extensions\acoiihnnfofnpbnofdcgcapbjlcopifa [2016-05-23]

OPR Extension: (No Name) - C:\Users\Sergey\AppData\Roaming\Opera Software\Opera Stable\Extensions\fghlbjjfaimocdbincabjnngocjeiaij [2016-05-23]

2016-12-03 15:04 - 2016-12-05 21:10 - 00000000 ____D C:\Users\Sergey\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Приложения Амиго

2016-12-03 14:58 - 2016-12-03 14:58 - 00000000 ____D C:\Users\Sergey\AppData\Local\Вoйти в Интeрнет

2016-12-03 14:57 - 2016-12-07 15:21 - 00000000 ____D C:\Users\Sergey\AppData\Roaming\PBot

2016-12-03 14:57 - 2016-12-03 14:57 - 00003278 _____ C:\Windows\System32\Tasks\PBot

2016-12-03 14:52 - 2016-12-03 14:52 - 00000000 ____D C:\Users\Sergey\AppData\Local\Поиcк в Интeрнете

2016-10-02 09:19 - 2016-10-02 09:19 - 00000000 __HDC C:\Users\Все пользователи\{A328A61B-C332-4C8C-A740-42F7F71DC398}

2016-10-02 09:19 - 2016-10-02 09:19 - 00000000 __HDC C:\ProgramData\{A328A61B-C332-4C8C-A740-42F7F71DC398}

2016-12-05 20:08 - 2016-05-24 11:38 - 00000258 __RSH C:\Users\Все пользователи\ntuser.pol

2016-12-05 20:08 - 2016-05-24 11:38 - 00000258 __RSH C:\Users\Sergey\ntuser.pol

2016-12-05 20:08 - 2016-05-24 11:38 - 00000258 __RSH C:\ProgramData\ntuser.pol

Task: {AE246625-0860-48FE-81D6-384A0C11DCE2} - \{B30B3E3C-285B-41C2-8C5F-35A6DAE19F00} -> No File <==== ATTENTION

Task: {C4DD7ED8-7749-4F7F-99F5-CD7D117713CB} - \UninstallDDS-C960901F-CE14-4DE1-9729-1305F719A337 -> No File <==== ATTENTION

Task: {831CEE70-4FC1-4032-BBC7-FE76F8428716} - System32\Tasks\PBot => C:\Users\Sergey\AppData\Roaming\PBot\python\pythonw.exe [2016-11-08] ()

Task: {DCCE5CED-8F05-4D26-AA48-BA2487C9211D} - \PCDDataUploadTask -> No File <==== ATTENTION

Task: {E28CDE13-312A-432A-9D93-6EAF1869DC43} - \SystemToolsDailyTest -> No File <==== ATTENTION

EmptyTemp:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
  

• Обратите внимание, что компьютер будет перезагружен.
  

• Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму
  

 

 

[Сергей Ч]

Тьфу тьфу, вродебы всё. Лога на рабочем столе не было.

Fixlog.txt

[mike 1]

Что с проблемой?

[Сергей Ч]

Да всё вроде бы хорошо. Теперь не открывается никаких дополнительных окон. Спасибо.