Перейти к содержанию
Правила раздела
Набор на стажировку в «Лабораторию Касперского»! Пробуй сам и зови друзей

Помогите удалить с компа Trojan.JS.Small.ci

Asda-777

Автор Asda-777
в Помощь в удалении вирусов

 Поделиться

Рекомендуемые сообщения

Asda-777 Новичок

Asda-777

Опубликовано
Опубликовано (изменено)

Помогите, пожалуйста, удалить Trojan.JS.Small.ci. У меня стоит Касперский (KIS), и при открытии новой страницы (во всех браузерах, при чем!) постоянно выбрасывал сообщения: "Веб-страница 66s9dhjq2ker.ru/pjs/14945. Рекомендуется закрыть веб-страницу".И еще после полной проверки KIS'ом в отчете увидела:
 

обнаруженные угрозы:

  Показать контент

 

 

Они не обработаны Касперским, почему-то.Уже много чего делала, чтобы удалить этот троян, по многим форумам смотрела, но... увы((( А когда я воспользовалась бесплатной помощью с одного форума, то касперский вообще перестал обновляться, до 20% доходит и все. Сообщение о вредоносной ссылке уже не выпадает, т.к. что-то блокирует антивирус, наверное...

Помогите, пожалуйста, очистить мой старенький пк от вредителя! (Кстати, на нем стоит ОС Windows XP)Заранее большое спасибо!!!

И еще: я удалила KIS, а установила Kaspersky Total, но обновление невозможно.
 

Я сделала все, что мне посоветовали с того сайта.

 

Вставила их код в скачанную у них программу ClearLNK:

 

скрипт:

  Показать контент

 

 

Делала отчеты разными программами.

Но в следующем скрипте, который мне сказали вставить в блокнот и цитирую: "и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.

Отключите до перезагрузки антивирус, закройте все браузеры, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически".

Меня смущает ссылка перехода на вирусный сайт emargan.ru

Или я ошибаюсь? Сразу говорю, я не разбираюсь в этом вообще, вот и прошу помощи у знающих людей. Может, мои подозрения безосновательны - и стоит сделать, как они говорят? Подскажите, пожалуйста!!! Уже почти месяц не могу удалить эту гадость с компа... 

скрипт:

  Показать контент

 

Изменено пользователем thyrex
спрятал отчёты под спойлеры
Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано

Порядок оформления запроса о помощи
 


+ добавлю, что выполняя скрипты написанные для других людей вы рискуете повредить либо совсем убить свою систему.

  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты
Asda-777 Новичок

Asda-777

Опубликовано
  • Автор
Опубликовано (изменено)
  В 04.04.2017 в 09:13, regist сказал:

Порядок оформления запроса о помощи

 

+ добавлю, что выполняя скрипты написанные для других людей вы рискуете повредить либо совсем убить свою систему.

 

Сделала все, что написано в "Порядке оформления запроса о помощи". Проверила комп с помощью Dr.Web Curelt, сохранила отчет на рабочем столе, на всякий случай. Там он 5 вирусов, вроде нашел (Adware.Downware и что-то еще).

В конце там вот что:

 

Total 6096358549 bytes in 17343 files scanned (19816 objects)
Total 17347 files (19793 objects) are clean
Total 5 files are infected
Total 5 files are neutralized
Total 18 files are raised error condition
 

И Autulogger'ом сделала проверку, отключив Касперский и брандмауэр, отчет прикрепила.

А Восстановление системы не получается запустить.Через Пуск вообще не вижу этой функции (раньше было много чего в Пуске, потом вирус, видимо, все испортил). А через Панель управления-Производительность и обслуживание, когда нажимаю на восстановление системы, открывается белое окно... И через безопасный режим с поддержкой командной строки пробовала, вводила cmd, потом rstrui.exe, и ни-че-го...(((((  Что делать? Как восстановить систему?

CollectionLog-2017.04.06-02.11.zipПолучение информации...

Изменено пользователем Asda-777
Ссылка на комментарий
Поделиться на другие сайты
Asda-777 Новичок

Asda-777

Опубликовано
  • Автор
Опубликовано (изменено)
  В 05.04.2017 в 05:42, Roman_Five сказал:

ProxyServer = 91.217.42.3:8080

Вы прописывали?

приложите логи FRST

http://forum.kasperskyclub.ru/index.php?showtopic=7611#entry647696

Нет, я ничего не прописывала, т.к. вообще не разбираюсь в этом.

Изменено пользователем Asda-777
Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано

1) IObit Malware Fighter - удалите.

 

Менеджер браузеров - тоже советую удалить.

 

2) Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
GroupPolicy: Restriction ? <======= ATTENTION
GroupPolicy\User: Restriction ? <======= ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
OPR StartupUrls: "hxxp:\/\/emargan.ru\/?utm_source=startpage03&utm_content=a4b30655b29d83441d43b5aba5cce02c&utm_term=E8E5784FAF97E0A0AC9C9F382503F56A&utm_d=20170319"
OPR Extension: (No Name) - C:\Documents and Settings\Аленка\Application Data\Opera Software\Opera Stable\Extensions\ahggfmgiidlaceichjfemgbaggnbaloe [2017-03-19]
2017-03-19 12:04 - 2017-03-19 12:04 - 00000000 ____D C:\Documents and Settings\Аленка\Local Settings\Application Data\Amigo
2017-03-19 11:54 - 2017-03-19 11:54 - 00000000 ____D C:\Documents and Settings\Аленка\Local Settings\Application Data\Вoйти в Интeрнет
2017-03-19 11:53 - 2017-03-21 14:56 - 00000000 ____D C:\Documents and Settings\Аленка\Local Settings\Application Data\wupdate
2017-03-19 11:49 - 2017-03-19 11:49 - 00000000 ____D C:\Documents and Settings\Аленка\Local Settings\Application Data\Поиcк в Интeрнете
2017-01-11 18:56 - 2017-01-11 18:56 - 0000016 _____ () C:\Documents and Settings\All Users\Application Data\mntemp
2017-03-01 07:59 - 2017-03-01 07:59 - 0004968 _____ () C:\Documents and Settings\All Users\Application Data\mpbppaym.ztc
2017-01-11 18:56 - 2017-01-11 18:56 - 0004927 _____ () C:\Documents and Settings\All Users\Application Data\mtbjfghn.xbe
Менеджер браузеров (HKU\S-1-5-21-1343024091-2025429265-1644491937-1003\...\{bb31fd2d-c872-46dd-8175-7c15e320f021}) (Version: 3.0.4.825 - Яндекс)
CustomCLSID: HKU\S-1-5-21-1343024091-2025429265-1644491937-1003_Classes\CLSID\{2F7CF8E2-27D9-4641-845D-3BFEDECE0325}\InprocServer32 -> C:\Documents and Settings\Аленка\Local Settings\Application Data\Orbitum\Update\1.3.99.0\npGoogleUpdate3.dll (Bergarius LLC)
CustomCLSID: HKU\S-1-5-21-1343024091-2025429265-1644491937-1003_Classes\CLSID\{660BAF72-A9EF-4FB1-81AE-9395CA6C39C5}\localserver32 -> C:\Documents and Settings\Аленка\Local Settings\Application Data\Orbitum\Update\1.3.99.0\GoogleUpdateOnDemand.exe (Bergarius LLC)
CustomCLSID: HKU\S-1-5-21-1343024091-2025429265-1644491937-1003_Classes\CLSID\{733EB758-7CF0-4927-A3B9-75EB28490615}\InprocServer32 -> C:\Documents and Settings\Аленка\Local Settings\Application Data\Orbitum\Update\1.3.99.0\psuser.dll (Bergarius LLC)
CustomCLSID: HKU\S-1-5-21-1343024091-2025429265-1644491937-1003_Classes\CLSID\{77E6BE0B-059D-4FF6-A534-4AA0970A7465}\InprocServer32 -> C:\Documents and Settings\Аленка\Local Settings\Application Data\Orbitum\Update\1.3.99.0\npGoogleUpdate3.dll (Bergarius LLC)
CustomCLSID: HKU\S-1-5-21-1343024091-2025429265-1644491937-1003_Classes\CLSID\{A663A8E3-B533-4153-8EF6-3C5823DE9285}\localserver32 -> C:\Documents and Settings\Аленка\Local Settings\Application Data\Orbitum\Update\1.3.99.0\GoogleUpdateOnDemand.exe (Bergarius LLC)
CustomCLSID: HKU\S-1-5-21-1343024091-2025429265-1644491937-1003_Classes\CLSID\{B5BAE3DD-809E-4BE3-A421-F5D3F17A03D5}\localserver32 -> C:\Documents and Settings\Аленка\Local Settings\Application Data\Orbitum\Update\1.3.99.0\GoogleUpdateOnDemand.exe (Bergarius LLC)
CustomCLSID: HKU\S-1-5-21-1343024091-2025429265-1644491937-1003_Classes\CLSID\{BB42BFD1-B0EB-449C-8882-FB810C2738D5}\localserver32 -> C:\Documents and Settings\Аленка\Local Settings\Application Data\Orbitum\Update\1.3.99.0\GoogleUpdateOnDemand.exe (Bergarius LLC)
CustomCLSID: HKU\S-1-5-21-1343024091-2025429265-1644491937-1003_Classes\CLSID\{CEC92C56-68E4-4494-BA79-EB3A71AD8475}\localserver32 -> "C:\Documents and Settings\Аленка\Local Settings\Application Data\Orbitum\Update\GoogleUpdate.exe" = (the data entry has 9 more characters).
CustomCLSID: HKU\S-1-5-21-1343024091-2025429265-1644491937-1003_Classes\CLSID\{E2380A43-3EB6-4428-9D4E-8E22B8CCB5D4}\InprocServer32 -> C:\Documents and Settings\Аленка\Local Settings\Application Data\Orbitum\Update\1.3.99.0\psuser.dll (Bergarius LLC)
Task: C:\WINDOWS\Tasks\OrbitumUpdateTaskUserS-1-5-21-1343024091-2025429265-1644491937-1003Core.job => C:\Documents and Settings\Аленка\Local Settings\Application Data\Orbitum\Update\GoogleUpdate.exe
Task: C:\WINDOWS\Tasks\OrbitumUpdateTaskUserS-1-5-21-1343024091-2025429265-1644491937-1003UA.job => C:\Documents and Settings\Аленка\Local Settings\Application Data\Orbitum\Update\GoogleUpdate.exe
StandardProfile\AuthorizedApplications: [C:\Program Files\IObit\Advanced SystemCare\Surfing Protection\FFNativeMessage.exe] => Enabled:SP_FF
StandardProfile\AuthorizedApplications: [C:\Program Files\Zona\Zona.exe] => Enabled:Zona
EmptyTemp:
Reboot:
end
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!
Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

 

3)

  • Скачайте AdwCleaner и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[s0].txt.
  • Прикрепите отчет к своему следующему сообщению.

Ссылка на комментарий
Поделиться на другие сайты
Asda-777 Новичок

Asda-777

Опубликовано
  • Автор
Опубликовано

 IObit Malware Fighter вообще не нашла нигде. Ни в папке Program files, ни в Панели управления.

 Удалить Менеджер браузеров через Панель управления не получается. Выпало окошко, написано: Что-то мешает программе установки. Пожалуйста, закройте сторонние приложения и попробуйте еще раз. Подробности об ошибках во время установки читайте в файле логов.

"Файл логов" прикрепляю.

Менеджер_браузеров_20170406232950.logПолучение информации...

Ссылка на комментарий
Поделиться на другие сайты
Asda-777 Новичок

Asda-777

Опубликовано
  • Автор
Опубликовано (изменено)
  В 05.04.2017 в 20:47, regist сказал:

 

  Asda-777 сказал:

Менеджер_браузеров_20170406232950.log

Это от чего лог и для чего?

Где то что я просил прикрепить?

 

Я написала выше, что пункт №1 не получилось выполнить, и описала возникшую проблему. Хотела узнать, пропустить ли мне этот пункт и приступать ко 2 и 3? Или Вы мне поможете выполнить пункт №1? Думала, это принципиально все делать пошагово, как Вы написали...

В общем, пропустила я 1 пункт и выполнила остальные.

Прикрепляю то, что Вы просили.

Fixlog.txtПолучение информации...

AdwCleanerS0.txtПолучение информации...

Изменено пользователем Asda-777
Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано

 

 

  Asda-777 сказал:

Думала, это принципиально все делать пошагово, как Вы написали...
вообще да порядок имеет большоё значение, но в данном случае 1-й пункт можно пропустить.

 

  • Запустите повторно AdwCleaner (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора).
  • В меню Tools ->Options (Инструменты ->Настройки) отметьте:
    • Сброс политик IE
    • Сброс политик Chrome

    [*]Нажмите кнопку "Scan" ("Сканировать"), а по окончанию сканирования нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления. [*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C0].txt. [*]Прикрепите отчет к своему следующему сообщению


Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.
 

 

 

 

  Asda-777 сказал:

IObit Malware Fighter вообще не нашла нигде. Ни в папке Program files, ни в Панели управления. Удалить Менеджер браузеров через Панель управления не получается.
Тогда дочищу их скриптом.

 

Сделайте полный образ автозапуска uVS, только программу скачайте отсюда.
 

Ссылка на комментарий
Поделиться на другие сайты
Asda-777 Новичок

Asda-777

Опубликовано
  • Автор
Опубликовано (изменено)
 
Отчет AdwCleaner прикрепляю. Только сохранился он под именем [c2], а [с0] сохранился в первое сканирование вместе с [s0]. Как-то так...

 

 

От имени администратора не выходит запустить программу UVS: администратору не присвоен пароль, а с пустой строкой в графе пароль" не получается... Зашла в Учетные записи, хотела присвоить пароль, а выпало лишь пустое окошко(((
Что делать?..


Нажала "запустить под LocalSystem (если текущий пользователь администратор)" {Хотя, у меня текущий пользователь и администратор - 2 разные учетки}, потому что не знаю, что делать в этом случае, решила так проверить... Можно же неоднократно проверять, т.е. повторно сделать проверку правильно, если я не ту кнопку нажала?) 

 

Полученный файл в архиве прикрепляю.

AdwCleanerC2.txtПолучение информации...

ALENKA_2017-04-08_00-39-06.7zПолучение информации...

Изменено пользователем Asda-777
Ссылка на комментарий
Поделиться на другие сайты
regist Корифей

regist

Опубликовано
Опубликовано (изменено)

В браузере расширения от Яндекса сами ставили (с вашего согласия) ?

 

 

  • Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
  • Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
  • Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
    ;uVS v4.0b5 [http://dsrt.dyndns.org]
;Target OS: NTv5.1
v400c
BREG
deldir %SystemDrive%\DOCUMENTS AND SETTINGS\АЛЕНКА\LOCAL SETTINGS\APPLICATION DATA\ORBITUM
delref HTTP://MAIL.RU/CNT/10445?GP=831102
delref 91.217.42.3:8080
delall %SystemDrive%\DOCUMENTS AND SETTINGS\АЛЕНКА\LOCAL SETTINGS\APPLICATION DATA\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\CCFIFBOJENKENPKMNBNNDEADPFDIFFOF\11.0.26_1\ДОМАШНЯЯ СТРАНИЦА MAIL.RU
delall %SystemDrive%\DOCUMENTS AND SETTINGS\АЛЕНКА\LOCAL SETTINGS\APPLICATION DATA\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\OJLCEBDKBPJDPILIGKDBBKDKFJMCHBFD\12.0.11_1\ПОИСК MAIL.RU
delall %SystemDrive%\DOCUMENTS AND SETTINGS\АЛЕНКА\LOCAL SETTINGS\APPLICATION DATA\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\OELPKEPJLGMEHAJEHFEICFBJDIOBDKFJ\7.1.30_1\ВИЗУАЛЬНЫЕ ЗАКЛАДКИ MAIL.RU
deldir %SystemDrive%\DOCUMENTS AND SETTINGS\АЛЕНКА\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\ЯНДЕКС\МЕНЕДЖЕР БРАУЗЕРОВ
delref %SystemDrive%\DOCUMENTS AND SETTINGS\АЛЕНКА\LOCAL SETTINGS\APPLICATION DATA\YANDEX\BROWSERMANAGER\BROWSERMANAGER.EXE
delref %SystemDrive%\PROGRAM FILES\DRIVERPACK NOTIFIER\DRIVERPACKNOTIFIER.EXE
deltmp
deldir %SystemDrive%\DOCUMENTS AND SETTINGS\АЛЕНКА\LOCAL SETTINGS\APPLICATION DATA\YANDEX\BROWSERMANAGER
uidel "C:\Documents and Settings\Аленка\Local Settings\Application Data\Package Cache\{bb31fd2d-c872-46dd-8175-7c15e320f021}\BrowserManagerInstaller.exe"  /uninstall
restart
  • В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
  • Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. Прошу учесть, что компьютер может быть перезагружен.
  • После выполнения скрипта зайдите в папку, где распакована утилита uVS найдите архив, имя которого соответствует дате и времени запуска скрипта с префиксом ZOO_ (например: ZOO_2013-06-30_22-04-27.7z)

    Если архив отсутствует, то заархивруйте папку ZOO с паролем virus.

  • Полученный архив отправьте с помощью этой формы или (если размер архива превышает 8 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.
  • Подробнее читайте в этом руководстве.

 

Удалите остатки MBAM с помощью MBAM Cleaner.

 

отпишитесь, что с проблемой.
 

Изменено пользователем regist
Ссылка на комментарий
Поделиться на другие сайты
Asda-777 Новичок

Asda-777

Опубликовано
  • Автор
Опубликовано (изменено)

После того, как я выполнила первые 5 пунктов, в папке uVS  обнаружила лишь текстовый документ с именем 2017-04-08_21-12-47_log.txt и файл settings.ini
Что мне с ними делать?

Никакой папки или архива с префиксом ZOO не появилось.

Изменено пользователем Asda-777
Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • Danila05
      Помогите удалить майнер
      Автор Danila05
      Запускаю Avbr и каждый раз после проверки, вылетает красная строка где написан путь к файлу и пишет что трубуется перегрузка. Сколько раз не перезагружался пк, проблема остается. 

    • JeySerYT
      Не запускается касперский, не могу удалить вирусы на компе, что делать?
      Автор JeySerYT
      В последнее время я начал наблюдать замедленную работу компьютера, решил проверить на вирусы и установил Kaspersky premium но вышла такая проблема: когда запускаю ничего абсолютно не происходит, может вы поможете с этим?
    • Layzer
      помогите удалить MEM:Trojan.Win32.SEPEH.gen уже много что прочел, все перепробовал что мог(
      Автор Layzer
      вероятная причина это Microsoft который мне скачивали, или я просто сам куда-то нажал, даже реестр не работает, сразу выключается.
      касперский удалил, думал там вирус какой-то с ним поймал, и то сразу не получилось, компьютер запрещал его удалять.
    • Zakhar62668
      Помогите удалить вирус
      Автор Zakhar62668
      Виндоус дефендер находит постоянно трояны, но удалить не может, также пытался установить разные антивирусы, но все они не запускаются, вылетают ошибки, а также в исключениях есть файлы, которые не удаляются. Сейчас, посмотрев форум, запустил компьютер в безопасном режиме и через флешку установил фарбар рекавери скан тулс(чтоб запустить его пришлось удалить ограничения в редакторе реестра)
    • Эльнар
      [РЕШЕНО] Помогите пожалуйста удалить вирус
      Автор Эльнар
      Здравствуйте! Помогите пожалуйста удалить вирус, скорее всего майнер. Он постоянно нагружает процессор, даже на рабочем столе. Как только открываю диспетчер задач, обороты вентиляторов процессора падают до нормального. Как только выхожу из диспетчера задач сразу обороты вентиляторов растут. При открытии диспетчера задач я не успеваю увидеть какой процесс нагружает компьютер. Эта проблема началась когда я установил программу видеомонтажа Magix Vegas Pro не с официального сайта. Так же из проблем не получается зайти в конфигурацию системы (msconfig), окошко сразу закрывается. При запуске антивируса Malwarebytes, он тоже сразу закрывается. Когда зашёл в систему через безопасную загрузку msconfig также не открывается, но удалось запустить malwarebytes и drweb, они нашли вирусы, но проблема не ушла. Запустил Kaspersky Removal Tool, он долго сканировал и нашёл вирусы. Один из них располагался в папке куда был установлен Magix Vegas Pro. После удаления вирусов ситуация к сожалению не изменилась. Приложил отчёт сборщика логов.
      CollectionLog-2024.12.02-15.07.zip
×
×
  • Создать...