Помогите вылечить компьютер

[DmitriyKovalev.]

День добрый!, подцепил какой то вирус изменилась домашняя страница в браузере. Касперский endpoint security 10 не очень справляется с лечением. Вроде удаляет все вирусы но через время снова выскакивает что нашел их и снова удаляет и так по кругу. Проверял так же  malwarebytes, тоже удаляет но все снова появляется через время. Помогите!

исправился, прикрепил лог

CollectionLog-2017.03.16-13.47.zip

Изменено 16 марта, 2017 пользователем DmitriyKovalev.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Program Files\MIO\MIO.exe','');
 QuarantineFile('C:\Users\DD\AppData\Local\Hostinstaller\938437_monster.exe','');
 QuarantineFile('C:\Program Files\BikaQRss\BikaQ.exe','');
 QuarantineFile('C:\Program Files\Clerjck\phadoy.exe','');
 QuarantineFile('C:\Program Files\Clerjck\qialhophCll.dll','');
 QuarantineFile('C:\Users\DD\AppData\Roaming\WinSnare\WinSnare.dll','');
 SetServiceStart('FirefoxU', 4);
 DeleteService('FirefoxU');
 TerminateProcessByName('c:\program files\firefox\bin\firefoxupdate.exe');
 QuarantineFile('c:\program files\firefox\bin\firefoxupdate.exe','');
 DeleteFile('c:\program files\firefox\bin\firefoxupdate.exe','32');
 DeleteFile('C:\Users\DD\AppData\Local\Amigo\Application\amigo.exe','32');
 DeleteFile('C:\Users\DD\AppData\Roaming\WinSnare\WinSnare.dll','32');
 DeleteFile('C:\Program Files\Clerjck\qialhophCll.dll','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Nipuytersary\Parameters','ServiceDll');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\WinSnare\Parameters','ServiceDll');
 DeleteFile('C:\Windows\system32\Tasks\Aniqipypharaph','32');
 DeleteFile('C:\Program Files\Clerjck\phadoy.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\Clerfghtsterfiry Monitor','32');
 DeleteFile('C:\Windows\system32\Tasks\Milimili','32');
 DeleteFile('C:\Windows\system32\Tasks\Soft installer','32');
 DeleteFile('C:\Users\DD\AppData\Local\Hostinstaller\938437_monster.exe','32');
 DeleteFile('C:\Program Files\MIO\MIO.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN)

 

 

Пожалуйста, выполните ЕЩЕ РАЗ правила, прикрепите к сообщению НОВЫЕ логи Autologger

[DmitriyKovalev.]

KLAN-5968662481

Благодарим за обращение в Антивирусную Лабораторию

 

Присланные вами файлы были проверены в автоматическом режиме.

 

В антивирусных базах информация по присланным вами файлам отсутствует:

MIO.exe

BikaQ.exe

WinSnare.dll

firefoxupdate.exe

bcqr00005.dat

bcqr00006.dat

 

Файлы переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.

CollectionLog-2017.03.17-08.21.zip

Изменено 17 марта, 2017 пользователем DmitriyKovalev.

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пп. 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[DmitriyKovalev.]

FRST_Addition

1.rar

[thyrex]

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
HKLM\...\Run: [] => [X]
Winlogon\Notify\itcwlnp: 0x69007400630077006C006E0070002E0064006C006C000000 [X]
ShellIconOverlayIdentifiers: [KzShlobj] -> {AAA0C5B8-933F-4200-93AD-B143D7FFF9F2} =>  -> No File
HKLM\...\Providers\mwyhtxtg: C:\Program Files\Clerfghtsterfiry Monitor\local32spl.dll
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.startpageing123.com/?type=hp&ts=1488535842&z=8f68442dd298eb44049f65bg8zcb7b9wfc2t1cezaw&from=che0812&uid=WDCXWD1600AAJS-60B4A0_WD-WCAT2283698236982
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.startpageing123.com/search/?type=ds&ts=1488535842&z=8f68442dd298eb44049f65bg8zcb7b9wfc2t1cezaw&from=che0812&uid=WDCXWD1600AAJS-60B4A0_WD-WCAT2283698236982&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.startpageing123.com/?type=hp&ts=1488535842&z=8f68442dd298eb44049f65bg8zcb7b9wfc2t1cezaw&from=che0812&uid=WDCXWD1600AAJS-60B4A0_WD-WCAT2283698236982
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.startpageing123.com/search/?type=ds&ts=1488535842&z=8f68442dd298eb44049f65bg8zcb7b9wfc2t1cezaw&from=che0812&uid=WDCXWD1600AAJS-60B4A0_WD-WCAT2283698236982&q={searchTerms}
HKU\S-1-5-21-567848264-1364145104-3111732584-1000\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.startpageing123.com/search/?type=ds&ts=1489389222&z=60009cd314b28ab2e726f01g2zbb8tdcat3ocm4oew&from=che0812&uid=WDCXWD1600AAJS-60B4A0_WD-WCAT2283698236982&q={searchTerms}
HKU\S-1-5-21-567848264-1364145104-3111732584-1000\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www.startpageing123.com/?type=hp&ts=1488535842&z=8f68442dd298eb44049f65bg8zcb7b9wfc2t1cezaw&from=che0812&uid=WDCXWD1600AAJS-60B4A0_WD-WCAT2283698236982
HKU\S-1-5-21-567848264-1364145104-3111732584-1000\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.startpageing123.com/search/?type=ds&ts=1489389222&z=60009cd314b28ab2e726f01g2zbb8tdcat3ocm4oew&from=che0812&uid=WDCXWD1600AAJS-60B4A0_WD-WCAT2283698236982&q={searchTerms}
SearchScopes: HKLM -> DefaultScope {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.startpageing123.com/search/?type=ds&ts=1488535842&z=8f68442dd298eb44049f65bg8zcb7b9wfc2t1cezaw&from=che0812&uid=WDCXWD1600AAJS-60B4A0_WD-WCAT2283698236982&q={searchTerms}
SearchScopes: HKLM -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.startpageing123.com/search/?type=ds&ts=1488535842&z=8f68442dd298eb44049f65bg8zcb7b9wfc2t1cezaw&from=che0812&uid=WDCXWD1600AAJS-60B4A0_WD-WCAT2283698236982&q={searchTerms}
SearchScopes: HKU\S-1-5-21-567848264-1364145104-3111732584-1000 -> {33BB0A4E-99AF-4226-BDF6-49120163DE86} URL = hxxp://www.startpageing123.com/search/?type=ds&ts=1489389222&z=60009cd314b28ab2e726f01g2zbb8tdcat3ocm4oew&from=che0812&uid=WDCXWD1600AAJS-60B4A0_WD-WCAT2283698236982&q={searchTerms}
BHO: ExplorerWnd Helper -> {10921475-03CE-4E04-90CE-E2E7EF20C814} -> C:\Program Files\IObit\IObit Uninstaller\UninstallExplorer32.dll => No File
StartMenuInternet: IEXPLORE.EXE - c:\program files\internet explorer\iexplore.exe hxxp://www.startpageing123.com/?type=sc&ts=1489389222&z=60009cd314b28ab2e726f01g2zbb8tdcat3ocm4oew&from=che0812&uid=WDCXWD1600AAJS-60B4A0_WD-WCAT2283698236982
FF DefaultSearchEngine: Mozilla\Firefox\Profiles\ngu83pjw.default -> trotux
FF SelectedSearchEngine: Mozilla\Firefox\Profiles\ngu83pjw.default -> trotux
FF DefaultSearchEngine: Firefox\Firefox\Profiles\ngu83pjw.default -> trotux
FF SelectedSearchEngine: Firefox\Firefox\Profiles\ngu83pjw.default -> trotux
StartMenuInternet: FIREFOX.EXE - C:\Program Files\Mozilla Firefox\firefox.exe hxxp://www.startpageing123.com/?type=sc&ts=1489389222&z=60009cd314b28ab2e726f01g2zbb8tdcat3ocm4oew&from=che0812&uid=WDCXWD1600AAJS-60B4A0_WD-WCAT2283698236982
CHR StartupUrls: ChromeDefaultData -> "hxxp://www.trotux.com/?z=get_error&from=clc&uid=WDCXWD1600AAJS-60B4A0_WD-WCAT2283698236982&type=hp" 
CHR DefaultSearchURL: ChromeDefaultData -> hxxp://www.startpageing123.com/search/?type=ds&ts=1488535842&z=8f68442dd298eb44049f65bg8zcb7b9wfc2t1cezaw&from=che0812&uid=WDCXWD1600AAJS-60B4A0_WD-WCAT2283698236982&q={searchTerms}
CHR DefaultSearchKeyword: ChromeDefaultData -> startpageing123
CHR HKLM\...\Chrome\Extension: [ahkmpjnmnhjkpkacdhkliipnncobgkhk] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [bgcifljfapbhgiehkjlckfjmgeojijcb] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [ccfifbojenkenpkmnbnndeadpfdiffof] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [cpegcopcfajiiibidlaelhjjblpefbjk] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [ehfjihahbphdpljpiadbkmgmhnfehhgi] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [fbkdlibjhnblcbjjecnlpkldhbkedfhj] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [fdjdjkkjoiomafnihnobkinnfjnnlhdg] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [iifchhfnnmpdbibifmljnfjhpififfog] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [jkfblcbjfojmgagikhldeppgmgdpjkpl] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [lgdnilodcpljomelbbnpgdogdbmclbni] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [oelpkepjlgmehajehfeicfbjdiobdkfj] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [ojlcebdkbpjdpiligkdbbkdkfjmchbfd] - hxxps://clients2.google.com/service/update2/crx
StartMenuInternet: Google Chrome - c:\program files\google\chrome\application\chrome.exe hxxp://www.startpageing123.com/?type=sc&ts=1489389222&z=60009cd314b28ab2e726f01g2zbb8tdcat3ocm4oew&from=che0812&uid=WDCXWD1600AAJS-60B4A0_WD-WCAT2283698236982
S2 PrintHelpClerjck; rundll32.exe "C:\Program Files\PrintHelp\PrintHelpClerjck.dll",soeasy [X]
S2 Nipuytersary; C:\Windows\system32\svchost.exe [20992 2009-07-14] (Microsoft Corporation)
S2 WinSAPSvc; C:\windows\system32\svchost.exe [20992 2009-07-14] (Microsoft Corporation)
S2 WinSnare; C:\Windows\System32\svchost.exe [20992 2009-07-14] (Microsoft Corporation) <==== ATTENTION
S2 ed2kidle; "C:\Program Files\amuleCexx\ed2k.exe" -downloadwhenidle [X]
Task: {4097C368-CE4D-4397-86DE-28599BF8E85B} - \Soft installer -> No File <==== ATTENTION
Task: {416C74F2-0C08-4E3F-A644-457BD42874DB} - \Milimili -> No File <==== ATTENTION
Task: {994BDDEB-E8A9-4C0B-B2E4-593812F275AE} - \Clerfghtsterfiry Monitor -> No File <==== ATTENTION
Task: {ABE600E6-D9A3-439D-AEE7-CC1DA3E8194A} - \Aniqipypharaph -> No File <==== ATTENTION
Task: {D8434BE1-EB83-4BD5-9D6A-0191342C151A} - \SystemMonitor2016 -> No File <==== ATTENTION
Task: {B6D2942A-8163-4E21-9582-F5C6EDD6E54C} - System32\Tasks\BikaQ_FetchAndUpgrade_CanBeDel => C:\Program Files\BikaQRss\BikaQ.exe [2017-02-23] (IEC) <==== ATTENTION
C:\Program Files\BikaQRss
Reboot:

2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание, что будет выполнена перезагрузка компьютера.

[DmitriyKovalev.]

 

Fixlog

Fixlog.txt

[thyrex]

Проблема решена?

[DmitriyKovalev.]

все равно лезит реклама

[thyrex]

Отключите ВСЕ установленные расширения для браузеров и проверьте проблему

[DmitriyKovalev.]

Да все отлично! большое спасибо!

[thyrex]

Теперь по одному включайте и найдете виновника. Сообщите нам его имя.

 

+

• Загрузите SecurityCheck by glax24 и сохраните утилиту на Рабочем столе
• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10)
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
• Скопируйте содержимое файла в свое следующее сообщение.

[DmitriyKovalev.]

я просто изменил домашнюю страницу в браузерах и все, расширений в мазиле работающих 2 визуальные закладки яндекс и элементы яндекс их не отключал, расширение SmartPrintButton домашняя страница imaging.hpl.hp.com/people/default.html отключено автоматически firefox? остальные пропали после обновления. в хроме расширение-стоял поиск по торрентам вот сайт http://appsaddons.com/app_torrentsearch/но я его не ставил- отключил на всякий, интересует вопрос как удалить ту заразу которая в конце лога через установку и удаление раньше пробовал все равно появлялась и малвар не помог но это раньше до обращения.

 

SecurityCheck by glax24 & Severnyj v.1.4.0.46 [22.09.16]
WebSite: www.safezone.cc
DateLog: 20.03.2017 16:20:30
Path starting: C:\Users\DD\AppData\Local\Temp\SecurityCheck\SecurityCheck.exe
Log directory: C:\SecurityCheck\
IsAdmin: True
User: DD
VersionXML: 4.04is-19.03.2017
___________________________________________________________________________

Windows 7(6.1.7601) Service Pack 1 (x86) Ultimate Lang: Russian(0419)
Дата установки ОС: 26.03.2015 10:22:27
Статус лицензии: Windows® 7, Ultimate edition Постоянная активация прошла успешно.
Режим загрузки: Normal
Браузер по умолчанию: C:\Program Files\Mozilla Firefox\firefox.exe
Системный диск: C: ФС: [NTFS] Емкость: [149 Гб] Занято: [125.4 Гб] Свободно: [23.6 Гб]
------------------------------- [ Windows ] -------------------------------
Internet Explorer 11.0.9600.16476 Внимание! Скачать обновления
^Онлайн установка. Последняя версия доступна при включенном обновлении Windows через интернет.^
Контроль учётных записей пользователя включен
Запрос на повышение прав для администраторов отключен
^Рекомендуется включить: Win+R ввести UserAccountControlSettings и Enter^
Автоматическое обновление отключено
Центр обновления Windows (wuauserv) - Служба работает
Центр обеспечения безопасности (wscsvc) - Служба работает
Удаленный реестр (RemoteRegistry) - Служба остановлена
Обнаружение SSDP (SSDPSRV) - Служба работает
Службы удаленных рабочих столов (TermService) - Служба остановлена
Служба удаленного управления Windows (WS-Management) (WinRM) - Служба остановлена
Учетная запись гостя включена. Пароль не установлен.
------------------------------ [ MS Office ] ------------------------------
Microsoft Office 2007 v.12.0.6612.1000
---------------------------- [ Antivirus_WMI ] ----------------------------
Kaspersky Endpoint Security 10 для Windows (включен и обновлен)
---------------------------- [ Firewall_WMI ] -----------------------------
Kaspersky Endpoint Security 10 для Windows (включен)
ViPNet Firewall (отключен)
--------------------------- [ AntiSpyware_WMI ] ---------------------------
Kaspersky Endpoint Security 10 для Windows (включен и обновлен)
Windows Defender (включен и обновлен)
---------------------- [ AntiVirusFirewallInstall ] -----------------------
Kaspersky Endpoint Security 10 для Windows v.10.2.5.3201
--------------------------- [ OtherUtilities ] ----------------------------
Foxit Reader v.5.4.2.901 Внимание! Скачать обновления
^Локализованные версии могут обновляться позже англоязычных!^
Архиватор WinRAR
7-Zip 9.30 v.9.30.00.0 Внимание! Скачать обновления
^Удалите старую версию, скачайте и установите новую.^
Microsoft Silverlight v.5.1.30514.0 Внимание! Скачать обновления
--------------------------------- [ IM ] ----------------------------------
Skype™ 7.12 v.7.12.101 Внимание! Скачать обновления
^Необязательное обновление.^
QIP 2012 4.0.9380 v.4.0.9380
--------------------------------- [ P2P ] ---------------------------------
µTorrent v.3.4.9.42973 Внимание! Клиент сети P2P! Может содержать рекламные модули или использоваться для скачивания нежелательного контента.
-------------------------------- [ Java ] ---------------------------------
Java 7 Update 21 v.7.0.210 Данная программа больше не поддерживается разработчиком. Рекомендуется деинсталлировать ее, скачать и установить Java SE 8 (jre-8u121-windows-i586.exe).
--------------------------- [ AdobeProduction ] ---------------------------
Adobe Flash Player 25 NPAPI v.25.0.0.127
Adobe Reader 7.0.5 - Russian v.7.0.5 Данная программа больше не поддерживается разработчиком. Рекомендуется деинсталлировать ее, скачать и установить Adobe Reader XI или Adobe Acrobat Reader DC.
------------------------------- [ Browser ] -------------------------------
Google Chrome v.56.0.2924.87 Внимание! Скачать обновления
^Проверьте обновления через меню Справка - О Google Chrome!^
Mozilla Firefox 52.0.1 (x86 ru) v.52.0.1
Tor Browser 5.5.8 v.5.5.8 Внимание! Скачать обновления
--------------------------- [ RunningProcess ] ----------------------------
C:\Program Files\Mozilla Firefox\firefox.exe v.52.0.1.6284
------------------ [ AntivirusFirewallProcessServices ] -------------------
Kaspersky Endpoint Security Service (AVP) - Служба работает
C:\Program Files\Kaspersky Lab\Kaspersky Endpoint Security 10 for Windows SP1\avp.exe v.10.2.5.3201
Защитник Windows (WinDefend) - Служба работает
---------------------------- [ UnwantedApps ] -----------------------------
deskapp v.1.0.8 Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware и Malwarebytes AdwCleaner Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!!
WinSnare v.4.3.0 Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware и Malwarebytes AdwCleaner Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!!
BikaQ Rss v.2.0.16 Внимание! Подозрение на Adware! Если данная программа Вам неизвестна, рекомендуется ее деинсталляция и сканирование ПК с помощью Malwarebytes Anti-Malware и Malwarebytes AdwCleaner Перед деинсталляцией и сканированием обязательно проконсультируйтесь в теме форума, где Вам оказывается помощь!!!
QIP Internet Guardian Внимание! Приложение распространяется в рамках партнерских программ и сборников-бандлов. Рекомендуется деинсталляция. Возможно Вы стали жертвой обмана или социальной инженерии.
----------------------------- [ End of Log ] ------------------------------
 

[thyrex]

Сделайте лог полного сканирования МВАМ

[DmitriyKovalev.]

ok

MW.txt