[Sandor]

Здравствуйте!

Прочтите и выполните правила:

Вам нужна помощь? Нам нужны ваши логи! Если их не будет, мы отправим вас в эту тему.

[polosee]

Вот, и ещё название у некоторых процессов изменилось на NAZVANIECAPSOM~.EXE*2

[polosee]

http://forum.oszone.net/attachment.p...1&d=1461167475

[Sandor]

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

Код:

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 QuarantineFileF('c:\users\admin\appdata\local\microsoft\extensions', '*', true, '', 0 ,0);
 QuarantineFileF('c:\programdata\krb updater utility', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 ,0);
 QuarantineFileF('c:\program files (x86)\kinoroom browser', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 ,0);
 QuarantineFile('C:\Users\UpdatusUser\AppData\Roaming\cppredistx86.exe', '');
 QuarantineFile('C:\Users\admin\AppData\Roaming\Microsoft\Updater.exe', '');
 QuarantineFile('C:\Users\admin\AppData\Roaming\Microsoft\3eQKt2TnWG0c\Updater.exe', '');
 QuarantineFile('C:\Users\admin\AppData\Roaming\Microsoft\3eQKt2TnWG0c\3eQKt2TnWG0c\Updater.exe', '');
 QuarantineFile('C:\Users\admin\AppData\Local\Microsoft\Extensions\extsetup.exe', '');
 QuarantineFile('C:\Users\admin\AppData\Local\Temp\3582-490\extsetup.exe', '');
 QuarantineFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe', '');
 QuarantineFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe', '');
 QuarantineFile('C:\Windows\svchost.com', '');
 QuarantineFile('C:\Users\admin\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk', '');
 QuarantineFile('C:\Users\admin\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.ico', '');
 QuarantineFile('C:\ProgramData\Microsoft\Macromed\Flash Player\1B0C3A46-046E-4025-BBB2-F631F38B4FB7\4DEFF1C5-9049-4F5F-9536-FA73DFC0BAA5.exe', '');
 ExecuteFile('schtasks.exe', '/delete /TN "extsetup" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "extsetuponce" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "KRB Updater Utility Service" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "KRBLNKRUN" /F', 0, 15000, true);
 DeleteFile('C:\ProgramData\Microsoft\Macromed\Flash Player\1B0C3A46-046E-4025-BBB2-F631F38B4FB7\4DEFF1C5-9049-4F5F-9536-FA73DFC0BAA5.exe');
 DeleteFile('C:\Users\admin\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.ico', '');
 DeleteFile('C:\Users\UpdatusUser\AppData\Roaming\cppredistx86.exe', '32');
 DeleteFile('C:\Users\admin\AppData\Roaming\Microsoft\Updater.exe', '32');
 DeleteFile('C:\Users\admin\AppData\Roaming\Microsoft\3eQKt2TnWG0c\Updater.exe', '32');
 DeleteFile('C:\Users\admin\AppData\Roaming\Microsoft\3eQKt2TnWG0c\3eQKt2TnWG0c\Updater.exe', '32');
 DeleteFile('C:\Users\admin\AppData\Local\Microsoft\Extensions\extsetup.exe', '32');
 DeleteFile('C:\Users\admin\AppData\Local\Temp\3582-490\extsetup.exe', '32');
 DeleteFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe', '32');
 DeleteFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe', '32');
 DeleteFile('C:\Windows\svchost.com', '32');
 DeleteFileMask('c:\users\admin\appdata\local\microsoft\extensions', '*', true);
 DeleteFileMask('c:\programdata\krb updater utility', '*', true);
 DeleteFileMask('c:\program files (x86)\kinoroom browser', '*', true);
 DeleteDirectory('c:\programdata\krb updater utility');
 DeleteDirectory('c:\program files (x86)\kinoroom browser');
 RegKeyParamDel('HKEY_USERS','S-1-5-21-2577692621-1819715999-3388835024-1001\Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Visual C++ 2010');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','1B0C3A46-046E-4025-BBB2-F631F38B4FB7');
ExecuteSysClean;
 ExecuteRepair(1);
 ExecuteWizard('SCU', 2, 3, true);
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.

Компьютер перезагрузится.

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 8 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S1].txt.
• Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

[polosee]

Не получилось у меня карантин.рар загрузить через ваши формы, загрузил на ргхост http://rghost.ru/6XTGTWWH8

[Sandor]

Не получилось у меня карантин.рар загрузить »

Перепаковывать не нужно.

Жду лог AdwCleaner.

[polosee]

# AdwCleaner v5.027 - Отчёт создан 04/01/2016 в 20:08:36
# Обновлено 30/12/2015 by Xplode
# База данных : 2015-12-30.1 [Сервер]
# Операционная система : Windows 7 Home Basic Service Pack 1 (x64)
# Пользователь : admin - ADMIN-ПК
# Запущено из : C:\Users\admin\Downloads\AdwCleaner.exe
# Настройка : Сканировать
# помощь : http://toolslib.net/forum

***** [ Службы ] *****

Служба Найдено : netfilter2

***** [ Папки ] *****

Папка Найдено : C:\ProgramData\Mail.Ru
Папка Найдено : C:\ProgramData\KRB Updater Utility
Папка Найдено : C:\Users\admin\AppData\Local\Mail.Ru
Папка Найдено : C:\Users\admin\AppData\Local\Amigo
Папка Найдено : C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\fcimjkehglmijlhnpbmjbpoiamjiegod

***** [ Файлы ] *****

Файл Найдено : C:\Program Files (x86)\Mozilla Firefox\browser\searchplugins\mailru.xml
Файл Найдено : C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Local Storage\chrome-extension_fcimjkehglmijlhnpbmjbpoiamjiegod_0.localstorage
Файл Найдено : C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Local Storage\chrome-extension_fcimjkehglmijlhnpbmjbpoiamjiegod_0.localstorage-journal
Файл Найдено : C:\Users\admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Kinoroom Browser.lnk
Файл Найдено : C:\Windows\SysNative\drivers\netfilter2.sys
Файл Найдено : C:\Windows\SysWOW64\drivers\netfilter2.sys

***** [ DLL ] *****


***** [ Ярлыки ] *****


***** [ Запланированные задания ] *****

Задание Найдено : nethost task
Задание Найдено : Kinoroom Browser

***** [ Реестр ] *****

Ключ Найдено : HKLM\SOFTWARE\Classes\S
Параметр Найдено : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run [KRB Updater Utility]
Ключ Найдено : HKLM\SOFTWARE\Microsoft\MediaPlayer\ShimInclusionList\browser.exe
Ключ Найдено : HKLM\SOFTWARE\Classes\CLSID\{8E8F97CD-60B5-456F-A201-73065652D099}
Ключ Найдено : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{8E8F97CD-60B5-456F-A201-73065652D099}
Ключ Найдено : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{8E8F97CD-60B5-456F-A201-73065652D099}
Ключ Найдено : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{8E8F97CD-60B5-456F-A201-73065652D099}
Ключ Найдено : [x64] HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\464AA55239C100F32AF2D438EDDC0F47
Ключ Найдено : [x64] HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\5652BA3D5FB98AE31B337BF0AF939856
Ключ Найдено : [x64] HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\86EB95E1AFCBABE3DB9ECCC669B99494

***** [ Веб браузеры ] *****

[C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Secure Preferences] [Extension] Найдено : fcimjkehglmijlhnpbmjbpoiamjiegod

########## EOF - C:\AdwCleaner\AdwCleaner[S1].txt - [3354 байт] ##########
# AdwCleaner v5.112 - Отчёт создан 21/04/2016 в 11:23:13
# Обновлено 17/04/2016 by Xplode
# База данных : 2016-04-19.5 [Сервер]
# Операционная система : Windows 7 Home Basic Service Pack 1 (X64)
# Пользователь : admin - ADMIN-ПК
# Запущено из : C:\Users\admin\Downloads\adwcleaner_5.112.exe
# Настройка : Сканировать
# помощь : http://toolslib.net/forum

***** [ Службы ] *****


***** [ Папки ] *****

Папка Найдено : C:\Program Files (x86)\eSupport.com
Папка Найдено : C:\Program Files (x86)\TweakBit
Папка Найдено : C:\ProgramData\Mail.Ru
Папка Найдено : C:\ProgramData\TweakBit
Папка Найдено : C:\ProgramData\Application Data\Mail.Ru
Папка Найдено : C:\ProgramData\Application Data\TweakBit
Папка Найдено : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\eSupport.com
Папка Найдено : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\mipony
Папка Найдено : C:\ProgramData\Microsoft\Windows\Start Menu\Programs\TweakBit
Папка Найдено : C:\Users\admin\AppData\Local\Amigo
Папка Найдено : C:\Users\admin\AppData\Local\eSupport.com
Папка Найдено : C:\Users\admin\AppData\Local\Kometa
Папка Найдено : C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\jgpmhnmjbhgkhpbgelalfpplebgfjmbf
Папка Найдено : C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\icejakkhehfppngiieninffokmlkhpib
Папка Найдено : C:\Users\admin\AppData\Local\Google\Chrome\User Data\Default\Extensions\emalgedpdlghbkikiaeocoblajamonoh
Папка Найдено : C:\Users\admin\AppData\Roaming\mipony
Папка Найдено : C:\Users\admin\AppData\Roaming\MailProducts
Папка Найдено : C:\Users\admin\AppData\Roaming\Microsoft\Windows\Start Menu\Боковая панель - Комета
Папка Найдено : C:\Users\admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Kometa
Папка Найдено : C:\Users\admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\mipony
Папка Найдено : C:\Users\admin\AppData\Roaming\Mozilla\Firefox\Profiles\4k656nbd.ADMIN-РџРљ\extensions\sbext@slext.dev
Папка Найдено : C:\Users\admin\AppData\Roaming\Opera Software\Opera Stable\Extensions\jgpmhnmjbhgkhpbgelalfpplebgfjmbf
Папка Найдено : C:\Users\admin\AppData\Roaming\Opera Software\Opera Stable\Extensions\icejakkhehfppngiieninffokmlkhpib
Папка Найдено : C:\Users\admin\AppData\Roaming\Opera Software\Opera Stable\Extensions\emalgedpdlghbkikiaeocoblajamonoh
Папка Найдено : C:\Windows\SysNative\Tasks\TweakBit
Папка Найдено : C:\Windows\SysNative\Tasks\TweakBit

***** [ Файлы ] *****

Файл Найдено : C:\Users\admin\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\MiPony.lnk
Файл Найдено : C:\Users\admin\Desktop\Find Drivers with DriverAgent.lnk
Файл Найдено : C:\Users\admin\Favorites\Mail.Ru.url
Файл Найдено : C:\Users\admin\Favorites\Mail.Ru Агент - используй для общения!.url
Файл Найдено : C:\Users\UpdatusUser\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\MiPony.lnk
Файл Найдено : C:\Users\UpdatusUser\Desktop\MiPony.lnk

***** [ DLL ] *****


***** [ Ярлыки ] *****


***** [ Запланированные задания ] *****

Задание Найдено : TweakBit\PCSpeedUp\Start PCSpeedUp оn logon
Задание Найдено : TweakBit\PCSpeedUp\Time for deal
Задание Найдено : TweakBit\Driver Updater\Start Driver Updater оn logon
Задание Найдено : Microsoft\KRBUUS\KRB Updater Utility Service
Задание Найдено : Microsoft\KRBUUS\KRBLNKRUN
Задание Найдено : Microsoft\Windows\extsetup

***** [ Реестр ] *****

Ключ Найдено : HKLM\SOFTWARE\Classes\mipony
Ключ Найдено : HKLM\SOFTWARE\Classes\mipony-ext
Ключ Найдено : HKLM\SOFTWARE\Classes\mpybrowser
Ключ Найдено : HKCU\Software\eSupport.com
Ключ Найдено : HKCU\Software\IM
Ключ Найдено : HKCU\Software\DC3_FEXEC
Ключ Найдено : HKCU\Software\Mail.Ru
Ключ Найдено : HKCU\Software\AppDataLow\Software\Mail.Ru
Ключ Найдено : HKLM\SOFTWARE\Speedchecker Limited
Ключ Найдено : HKLM\SOFTWARE\YTDownloader
Ключ Найдено : HKLM\SOFTWARE\Mail.Ru
Ключ Найдено : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\ASPackage
Ключ Найдено : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\DriverAgent_is1
Ключ Найдено : HKU\S-1-5-21-2577692621-1819715999-3388835024-1000\Software\eSupport.com
Ключ Найдено : HKU\S-1-5-21-2577692621-1819715999-3388835024-1000\Software\IM
Ключ Найдено : HKU\S-1-5-21-2577692621-1819715999-3388835024-1000\Software\DC3_FEXEC
Ключ Найдено : HKU\S-1-5-21-2577692621-1819715999-3388835024-1000\Software\Mail.Ru
Ключ Найдено : HKU\S-1-5-21-2577692621-1819715999-3388835024-1000\Software\AppDataLow\Software\Mail.Ru
Ключ Найдено : HKU\S-1-5-21-2577692621-1819715999-3388835024-1001\Software\DC3_FEXEC
Ключ Найдено : [x64] HKLM\SOFTWARE\Microsoft\Shared Tools\MsConfig\StartupReg\KometaLaunchPanel

***** [ Веб браузеры ] *****


*************************

C:\AdwCleaner\AdwCleaner[C1].txt - [3658 байт] - [04/01/2016 20:12:47]
C:\AdwCleaner\AdwCleaner[S1].txt - [9207 байт] - [04/01/2016 20:08:36]

########## EOF - C:\AdwCleaner\AdwCleaner[S1].txt - [9283 байт] ##########

[Sandor]

Пожалуйста, не вставляйте содержимое в ответ, а прикрепляйте сам лог.

1.

• Запустите повторно AdwCleaner (by Xplode) (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора).
• Нажмите кнопку "Scan" ("Сканировать").
• По окончании сканирования в меню Настройки отметьте дополнительно:
  • Сброс политик IE
  • Сброс политик Chrome
• Нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C1].txt.
• Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

Подробнее читайте в этом руководстве.


2.
Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

[polosee]

Эта задача закрывалась удалением conhost.exe из процесов.