Перейти к содержанию

Помогите убрать pbot


Рекомендуемые сообщения

Поймал такую жуть, подменил сайты и т.д.

CollectionLog-2016.12.05-21.33.zip

<script async="" src="/vgttkru/t_filter.js" type="text/javascript"> </script>

Изменено пользователем Сергей Ч
Ссылка на сообщение
Поделиться на другие сайты

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе.

 

Если у вас похожая проблема - создайте тему в разделе Уничтожение вирусов и выполните Правила оформления запроса о помощи.

 

Здравствуйте!

 

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

 

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

 

begin
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced','HideFileExt', 0);
 DeleteService('Updater.Mail.Ru');
 DeleteFile('C:\Users\Sergey\AppData\Roaming\PBot\launchall.py','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','PBot');
 DeleteFile('C:\Windows\Tasks\PED_Torrent_Search.job','32');
 DeleteFile('C:\Windows\Tasks\Update Service for Torrent Search.job','32');
 DeleteFile('C:\Windows\Tasks\Update Service for Torrent Search2.job','32');
 DeleteFile('C:\Windows\system32\Tasks\fupdate','64');
 DeleteFile('C:\Users\Sergey\AppData\Local\fupdate\fupdate.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\PED_Torrent_Search','64');
 DeleteFile('C:\Windows\system32\Tasks\ScriptWriter','64');
 DeleteFile('C:\Users\Sergey\AppData\Local\ScriptWriter\ScriptWriter.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\SystemToolsDailyTest','64');
 DeleteFile('C:\Windows\system32\Tasks\PCDDataUploadTask','64');
 DeleteFile('C:\Windows\system32\Tasks\UninstallDDS-C960901F-CE14-4DE1-9729-1305F719A337','64');
 DeleteFile('C:\Windows\system32\Tasks\Update Service for Torrent Search','64');
 DeleteFile('C:\Windows\system32\Tasks\Update Service for Torrent Search2','64');
 DeleteFile('C:\Windows\system32\Tasks\{B30B3E3C-285B-41C2-8C5F-35A6DAE19F00}','64');
ExecuteSysClean;
RebootWindows(true);
end.
Внимание! Будет выполнена перезагрузка компьютера.

 

Сделайте новые логи Автологгером.

Ссылка на сообщение
Поделиться на другие сайты
  • Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
  • Запустите его (в ОС Windows Vista/7/8/8.1/10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Сканировать" и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s0].txt.
  • Прикрепите отчет к своему следующему сообщению.
Подробнее читайте в этом руководстве.
Ссылка на сообщение
Поделиться на другие сайты

  • Запустите повторно AdwCleaner (by Xplode) (в ОС Windows Vista/7/8/8.1/10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan".
  • По окончанию сканирования снимите галочки со следующих строк:

    ***** [ Файлы ] *****
    Найден файл: C:\Users\Sergey\Desktop\AkelPad.lnk
    
  • Нажмите кнопку "Очистить" ("Clean") и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[С0].txt.
  • Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

 

Подробнее читайте в этом руководстве.

Ссылка на сообщение
Поделиться на другие сайты

Скачайте Farbar Recovery Scan Tool NAAC5Ba.png и сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

  • Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
  • Убедитесь, что под окном Optional Scan отмечены "List BCD", "Driver MD5" и "90 Days Files".
  • Нажмите кнопку Scan.
  • После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
  • Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.
3munStB.png
Ссылка на сообщение
Поделиться на другие сайты
ВНИМАНИЕ! Данный скрипт написан специально для этого пользователя, использование его на другом компьютере может привести к неработоспособности Windows!

 



  • Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:



CreateRestorePoint:
CloseProcesses:
GroupPolicy: Restriction <======= ATTENTION
GroupPolicy\User: Restriction <======= ATTENTION
BHO: TSearch -> {6E727987-C8EA-44DA-8749-310C0FBE3C3E} -> No File
FF Extension: (Домашняя страница Mail.Ru) - C:\Users\Sergey\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\homepage@mail.ru [2016-12-03]
FF Extension: (Поиск@Mail.Ru) - C:\Users\Sergey\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\search@mail.ru [2016-12-03]
FF Extension: (TSearch) - C:\Users\Sergey\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{6E727987-C8EA-44DA-8749-310C0FBE3C3E} [2016-05-23] [not signed]
FF Extension: (Визуальные закладки @Mail.Ru) - C:\Users\Sergey\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2016-12-03]
CHR StartupUrls: Default -> "hxxp://mail.ru/cnt/7993/","hxxp://www.mail.ru/","hxxp://ru.msn.com/?pc=UP97&ocid=UP97DHP","hxxp://www.sweet-page.com/?type=hp&ts=1396856397&from=cor&uid=WDCXWD5000BEVT-35A0RT0_WD-WX31E11EN209EN209","hxxp://www.sweet-page.com/?type=hppp&ts=1397482143&from=cor&uid=WDCXWD5000BEVT-35A0RT0_WD-WX31E11EN209EN209"
CHR Extension: (CinemaLoad) - C:\Users\Sergey\AppData\Local\Google\Chrome\User Data\Default\Extensions\ecijengmojcngjjgghkfkgbjoogmlngb [2016-12-07]
OPR Extension: (Quick Searcher) - C:\Users\Sergey\AppData\Roaming\Opera Software\Opera Stable\Extensions\acoiihnnfofnpbnofdcgcapbjlcopifa [2016-05-23]
OPR Extension: (No Name) - C:\Users\Sergey\AppData\Roaming\Opera Software\Opera Stable\Extensions\fghlbjjfaimocdbincabjnngocjeiaij [2016-05-23]
2016-12-03 15:04 - 2016-12-05 21:10 - 00000000 ____D C:\Users\Sergey\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Приложения Амиго
2016-12-03 14:58 - 2016-12-03 14:58 - 00000000 ____D C:\Users\Sergey\AppData\Local\Вoйти в Интeрнет
2016-12-03 14:57 - 2016-12-07 15:21 - 00000000 ____D C:\Users\Sergey\AppData\Roaming\PBot
2016-12-03 14:57 - 2016-12-03 14:57 - 00003278 _____ C:\Windows\System32\Tasks\PBot
2016-12-03 14:52 - 2016-12-03 14:52 - 00000000 ____D C:\Users\Sergey\AppData\Local\Поиcк в Интeрнете
2016-10-02 09:19 - 2016-10-02 09:19 - 00000000 __HDC C:\Users\Все пользователи\{A328A61B-C332-4C8C-A740-42F7F71DC398}
2016-10-02 09:19 - 2016-10-02 09:19 - 00000000 __HDC C:\ProgramData\{A328A61B-C332-4C8C-A740-42F7F71DC398}
2016-12-05 20:08 - 2016-05-24 11:38 - 00000258 __RSH C:\Users\Все пользователи\ntuser.pol
2016-12-05 20:08 - 2016-05-24 11:38 - 00000258 __RSH C:\Users\Sergey\ntuser.pol
2016-12-05 20:08 - 2016-05-24 11:38 - 00000258 __RSH C:\ProgramData\ntuser.pol
Task: {AE246625-0860-48FE-81D6-384A0C11DCE2} - \{B30B3E3C-285B-41C2-8C5F-35A6DAE19F00} -> No File <==== ATTENTION
Task: {C4DD7ED8-7749-4F7F-99F5-CD7D117713CB} - \UninstallDDS-C960901F-CE14-4DE1-9729-1305F719A337 -> No File <==== ATTENTION
Task: {831CEE70-4FC1-4032-BBC7-FE76F8428716} - System32\Tasks\PBot => C:\Users\Sergey\AppData\Roaming\PBot\python\pythonw.exe [2016-11-08] ()
Task: {DCCE5CED-8F05-4D26-AA48-BA2487C9211D} - \PCDDataUploadTask -> No File <==== ATTENTION
Task: {E28CDE13-312A-432A-9D93-6EAF1869DC43} - \SystemToolsDailyTest -> No File <==== ATTENTION
EmptyTemp:



  • Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!


  • Обратите внимание, что компьютер будет перезагружен.


  • Внимание! Если на рабочем столе будет создан архив Дата_время.zip, то загрузите этот архив через данную форму

 

 

Ссылка на сообщение
Поделиться на другие сайты

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

  • Похожий контент

    • DeatherWill
      От DeatherWill
      Здравствуйте, антивирус Касперского несколько раз
      обнаружил указанный вирус, но в отчетах указано,
      что проблема не была решена.
       
      Также в папке пользователя на диске С сразу после
      первого обнаружения вируса появился системный
      файл NTUSER.DAT. Раньше его там не было.
       
      Помогите, пожалуйста, решить проблему желательно
      без полной переустановки системы.
       
      Также я не очень разбираюсь в компьютерах, поэтому
      если от меня нужно будет совершить какие-либо действия,
      то, пожалуйста, опишите по пунктам


      CollectionLog-2024.02.26-06.13.zip
    • Kapsin
      От Kapsin
      При нажатии ПКМ в безопасном режиме на анти вирус или при запуске приложения от имени админа - мерцает экран и всё сбрасывается ( это со всеми приложениями )

      Запись экрана 1 Экранная Камера 18 февраля.mp4  
    • АнтонРоманович
      От АнтонРоманович
      Добрый день!
      Как удалить этот вирус? HEUR:Trojan.Win64.Miner.gen
      KIS его находит сразу при включении и просит Лечение с перезагрузкой. После перезагрузки компьютера, всё по новой.
      Пробовал удалить вручную папку, которую указал KIS, но она восстанавливается.
      Подскажите, что делать? Спасибо

      В общем, тоже самое, что и  https://forum.kasperskyclub.ru/topic/421091-resheno-heurtrojanwin64minergen-kak-udalit-jetot-virus/
      FRST.txt Addition.txt
    • Tavito
      От Tavito
      Такая же история... Что делать?
    • White Phoenix
      От White Phoenix
      Добрый вечер. Никак не могу удалить "NET:MALWARE.URL" данный вирус, фпс в играх просел со 120 до 40, система тоже лагает. Помогите пожалуйста!
      CollectionLog-2024.02.12-01.04.zip
×
×
  • Создать...