Помогите уничтожить вирус.

[Эльшан Ахмедов]

В гугл хром появилось неудаляемое расширение.  

 

Идентификатор

egefklfmaeogcfhelnamdhgknndnpeim

из реестра чищу, снова появляется там. 
поилитику обновлял от имени администратора 

 

RD /S /Q "%WinDir%\System32\GroupPolicyUsers"

RD /S /Q "%WinDir%\System32\GroupPolicy"

gpupdate /force

 

не помогло.

 

 

adwcleaner прогонял - не помогло. 

 

[Mark D. Pearlstone]

Порядок оформления запроса о помощи

[Эльшан Ахмедов]

В гугл хром появилось неудаляемое расширение.  

 

Идентификатор

egefklfmaeogcfhelnamdhgknndnpeim

из реестра чищу, снова появляется там. 
поилитику обновлял от имени администратора 

 

RD /S /Q "%WinDir%\System32\GroupPolicyUsers"

RD /S /Q "%WinDir%\System32\GroupPolicy"

gpupdate /force

 

не помогло.

 

 

adwcleaner прогонял - не помогло. 

 

 

прикрепил логи

 

Сообщение от модератора Mark D. Pearlstone

Темы объединены

[Mark D. Pearlstone]

@Эльшан Ахмедов, после выбора файла логов нужно кнопку "Загрузить" нажать.

[Эльшан Ахмедов]

Извините, подумал, что догрузилось.
Вот.

CollectionLog-2018.05.27-15.23.zipПолучение информации...

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Windows\winmain64.exe','');
 QuarantineFile('C:\Windows\ggehzqlc.exe','');
 QuarantineFile('C:\Users\Администратор\AppData\Roaming\WeatherForecaster\ml2.py','');
 TerminateProcessByName('c:\windows\srv_ext.exe');
 QuarantineFile('c:\windows\srv_ext.exe','');
 DeleteFile('c:\windows\srv_ext.exe','32');
 DeleteFile('C:\Users\Администратор\AppData\Roaming\WeatherForecaster\python\pyw.exe','64');
 DeleteFile('C:\Users\Администратор\AppData\Roaming\WeatherForecaster\ml2.py','64');
 DeleteFile('C:\Windows\ggehzqlc.exe','64');
 DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\Diagnosis\DailyDiagnosis','x64');
 DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\Services\WindowsUpdate32','x64');
 DeleteFile('C:\Windows\system32\Tasks\Microsoft\Windows\Shell\ShellTask','x64');
 DeleteFile('C:\Windows\winmain64.exe','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

• Обратите внимание: будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip отправьте по адресу newvirus@kaspersky.com

Полученный ответ сообщите здесь (с указанием номера KLAN).

 

Пожалуйста, ЕЩЕ РАЗ запустите Autologger, прикрепите к следующему сообщению НОВЫЕ логи.

[Эльшан Ахмедов]

Скрипт выполнил, скинул на почту. 
Вот архив с Автологгера новый

[KLAN-8132324976]

Благодарим за обращение в Антивирусную Лабораторию

Присланные вами файлы и ссылки были проверены в автоматическом режиме

В антивирусных базах информация по присланным вами файлам отсутствует:
srv_ext.exe

В антивирусных базах информация по присланным вами ссылкам отсутствует:
https://forum.kasperskyclub.ru/index.php?showtopic=59419#
https://forum.kasperskyclub.ru/index.php?s=18pXRm3vtuaqifUStqVNzfbMbNwvXNN9Wr&showuser=49935
https://forum.kasperskyclub.ru/index.php?s=18pXRm3vtuaqifUStqVNzfbMbNwvXNN9Wr&app=forums&module=extras§ion=rating&t=59419&rating=1&secure_key=5f3e747738cee1cadf743a2a84681c83
https://forum.kasperskyclub.ru/index.php?s=18pXRm3vtuaqifUStqVNzfbMbNwvXNN9Wr&app=forums&module=extras§ion=rating&t=59419&rating=2&secure_key=5f3e747738cee1cadf743a2a84681c83
https://forum.kasperskyclub.ru/index.php?s=18pXRm3vtuaqifUStqVNzfbMbNwvXNN9Wr&app=forums&module=extras§ion=rating&t=59419&rating=3&secure_key=5f3e747738cee1cadf743a2a84681c83
https://forum.kasperskyclub.ru/index.php?s=18pXRm3vtuaqifUStqVNzfbMbNwvXNN9Wr&app=forums&module=extras§ion=rating&t=59419&rating=4&secure_key=5f3e747738cee1cadf743a2a84681c83
https://forum.kasperskyclub.ru/index.php?s=18pXRm3vtuaqifUStqVNzfbMbNwvXNN9Wr&app=forums&module=extras§ion=rating&t=59419&rating=5&secure_key=5f3e747738cee1cadf743a2a84681c83

Файлы и ссылки переданы на исследование. Если результат исследования изменится, мы дополнительно сообщим вам по электронной почте.

Это сообщение сформировано автоматической системой обработки писем. Пожалуйста, не отвечайте на него.

Антивирусная Лаборатория, Kaspersky Lab HQ

"Ленинградское шоссе 39A/3, Москва, 125212, Russia
Телефон/Факс: + 7 (495) 797 8700 
http://www.kaspersky.com https://www.securelist.com"

CollectionLog-2018.05.27-16.00.zipПолучение информации...

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.

4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.

5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).

6. Отчеты, полученные в пунктах 4 и 5, заархивируйте (в один архив) и прикрепите к сообщению.

[Эльшан Ахмедов]

готово

Desktop.rarПолучение информации...

[thyrex]

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
HKLM-x32\...\Winlogon: [Userinit] C:\Windows\SysWOW64\userinit.exe,C:\Program Files (x86)\alutobmb\irmjybsr.exe,
HKU\S-1-5-18\...\Run: [] => [X]
CHR HKLM\SOFTWARE\Policies\Google: Restriction <==== ATTENTION
Toolbar: HKLM-x32 - Duckgo - {96AF5545-BC30-4E5D-8E36-836D000A1455} -  No File
C:\Users\Администратор\AppData\Local\Google\Chrome\User Data\Default\Extensions\egefklfmaeogcfhelnamdhgknndnpeim
MSCONFIG\startupreg: WeatherForecaster => 
MSCONFIG\startupreg: AnyDeskApp => "C:\Users\Администратор\AppData\Roaming\AnyDeskApp\AnyDeskApp.exe"
Task: {AE564D1F-6D5D-49A9-9B5F-FE104A937646} - \Microsoft\Windows\Services\WindowsUpdate32 -> No File <==== ATTENTION
Task: {71FD0C56-4646-4779-B6FA-972B01D4C634} - \Microsoft\Windows\Windows Activation Technologies\ValidationTask -> No File <==== ATTENTION
Task: {5F790FA4-C579-4698-B097-096B5BA1DCDC} - System32\Tasks\Microsoft\Windows\AF3912ED7-F74A-4AA6-AC68-EE4B5CB743A7 => C:\Users\Семья\AppData\Local\Microsoft\Macromed\Flash Player\Updater Startup Utility\A1F82F8C-DD54-4200-947D-937FEDF25316.exe <==== ATTENTION
Task: {682CEB39-F67C-4C16-9A83-0BDB757FC1BA} - \Microsoft\Windows\Windows Activation Technologies\ValidationTaskDeadline -> No File <==== ATTENTION
ShellIconOverlayIdentifiers: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} =>  -> No File
ShellIconOverlayIdentifiers: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} =>  -> No File
ShellIconOverlayIdentifiers: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} =>  -> No File
ShellIconOverlayIdentifiers: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} =>  -> No File
ShellIconOverlayIdentifiers: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} =>  -> No File
ShellIconOverlayIdentifiers-x32: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} =>  -> No File
ShellIconOverlayIdentifiers-x32: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} =>  -> No File
ShellIconOverlayIdentifiers-x32: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} =>  -> No File
ShellIconOverlayIdentifiers-x32: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} =>  -> No File
ShellIconOverlayIdentifiers-x32: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} =>  -> No File
Reboot:

2. Нажмите Файл – Сохранить как

3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool

4. Укажите Тип файла – Все файлы (*.*)

5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить

6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении.

• Обратите внимание: будет выполнена перезагрузка компьютера.

[Эльшан Ахмедов]

Расширение пропало, лог прикрепляю Однако все равно при серфинге на каком-то сайте перебрасывает на другие, не знаю, связано ли это с тем расширением, судя по тому, что расширение пропало, а левые сайты открывается, то нет. 
В основном перекидывает на https://1xczc.host/?tag=s_34414m_355c_ALL1839823-1948854164-0

 

Fixlog.txtПолучение информации...

[thyrex]

Отключите ВСЕ установленные расширения для браузеров и проверьте проблему

[Эльшан Ахмедов]

хорошо. Буду следить, от основной проблемы избавился. Расширение не удаляемое удалилось. Спасибо Вам

[thyrex]

Загрузите SecurityCheck by glax24 & Severnyj и сохраните утилиту на Рабочем столе.

• Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7/8/10);
• Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу;
• Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
• Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt;
• Процитируйте содержимое файла в своем следующем сообщении.

[Эльшан Ахмедов]

  Цитата

 

SecurityCheck by glax24 & Severnyj v.1.4.0.53 [27.10.17]

WebSite: www.safezone.cc

DateLog: 27.05.2018 19:48:43

Path starting: C:\Users\Администратор\AppData\Local\Temp\SecurityCheck\SecurityCheck.exe

Log directory: C:\SecurityCheck\

IsAdmin: True

User: Администратор

VersionXML: 5.07is-22.05.2018

___________________________________________________________________________

 

Windows 7(6.1.7601) Service Pack 1 (x64) Ultimate Lang: Russian(0419)

Дата установки ОС: 14.03.2016 11:29:15

Статус лицензии: Windows® 7, Ultimate edition Постоянная активация прошла успешно.

Режим загрузки: Normal

Браузер по умолчанию: C:\Program Files (x86)\Google\Chrome\Application\chrome.exe

Системный диск: C: ФС: [NTFS] Емкость: [97.7 Гб] Занято: [92.4 Гб] Свободно: [5.3 Гб]

------------------------------- [ Windows ] -------------------------------

Internet Explorer 11.0.9600.19002

Контроль учётных записей пользователя включен (Уровень 2)

Загружать автоматически обновления и устанавливать по заданному расписанию

Дата установки обновлений: 2018-05-25 12:46:32

Центр обновления Windows (wuauserv) - Служба работает

Центр обеспечения безопасности (wscsvc) - Служба работает

Удаленный реестр (RemoteRegistry) - Служба остановлена

Обнаружение SSDP (SSDPSRV) - Служба работает

Службы удаленных рабочих столов (TermService) - Служба остановлена

Служба удаленного управления Windows (WS-Management) (WinRM) - Служба остановлена

------------------------------ [ MS Office ] ------------------------------

Microsoft Office 2007 v.12.0.6612.1000

Microsoft Office 2013 x86 v.15.0.4569.1506

---------------------------- [ Antivirus_WMI ] ----------------------------

Malwarebytes (включен и обновлен)

--------------------------- [ FirewallWindows ] ---------------------------

Брандмауэр Windows (MpsSvc) - Служба работает

--------------------------- [ AntiSpyware_WMI ] ---------------------------

Malwarebytes (включен и обновлен)

Windows Defender (включен и обновлен)

-------------------------- [ SecurityUtilities ] --------------------------

Malwarebytes, версия 3.5.1.2522 v.3.5.1.2522

--------------------------- [ OtherUtilities ] ----------------------------

7-Zip 15.14 (x64) v.15.14 Внимание! Скачать обновления

^Удалите старую версию, скачайте и установите новую.^

WinRAR 5.20 (64-разрядная) v.5.20.0 Внимание! Скачать обновления

Oracle VM VirtualBox 4.3.12_ZZZZ v.4.3.12 Внимание! Скачать обновления

FileZilla Client 3.30.0 v.3.30.0 Внимание! Скачать обновления

TeamViewer 13 v.13.1.3629

TeamViewer 13 (TeamViewer) - Служба работает

--------------------------------- [ IM ] ----------------------------------

Telegram Desktop version 1.2.17 v.1.2.17

--------------------------------- [ P2P ] ---------------------------------

µTorrent v.3.5.3.44396 Внимание! Клиент сети P2P! Может содержать рекламные модули или использоваться для скачивания нежелательного контента.

-------------------------------- [ Java ] ---------------------------------

Java 8 Update 66 (64-bit) v.8.0.660.17 Внимание! Скачать обновления

^Удалите старую версию и установите новую (jre-8u172-windows-x64.exe)^

Java 8 Update 66 v.8.0.660.17 Внимание! Скачать обновления

^Удалите старую версию и установите новую (jre-8u172-windows-i586.exe)^

--------------------------- [ AdobeProduction ] ---------------------------

Adobe Flash Player 29 ActiveX v.29.0.0.171

Adobe Flash Player 29 NPAPI v.29.0.0.171

Adobe Flash Player 29 PPAPI v.29.0.0.171

------------------------------- [ Browser ] -------------------------------

Yandex v.18.3.1.1232 Внимание! Скачать обновления

^Проверьте обновления через меню Дополнительно - О браузере Yandex!^

Google Chrome v.66.0.3359.181

Mozilla Firefox 59.0.1 (x86 en-US) v.59.0.1 Внимание! Скачать обновления

^Проверьте обновления через меню Справка - О Firefox!^

Opera Stable 53.0.2907.68 v.53.0.2907.68 [+]

--------------------------- [ RunningProcess ] ----------------------------

C:\Program Files (x86)\Google\Chrome\Application\chrome.exe v.66.0.3359.181

------------------ [ AntivirusFirewallProcessServices ] -------------------

C:\Program Files\Malwarebytes\Anti-Malware\mbamtray.exe v.3.0.0.1490

Malwarebytes Service (MBAMService) - Служба работает

C:\Program Files\Malwarebytes\Anti-Malware\MBAMService.exe v.3.1.0.667

Microsoft Antimalware Service (MsMpSvc) - Служба остановлена

Защитник Windows (WinDefend) - Служба работает

----------------------------- [ End of Log ] ------------------------------