Компьютерный форум OSzone.net  

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)
-   Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)
-   -   [решено] Переполнен системный диск, недостаток оперативной памяти, досаждают рекламные окна. (http://forum.oszone.net/showthread.php?t=268017)

postoronim 13-09-2013 11:17 2217196
Переполнен системный диск, недостаток оперативной памяти, досаждают рекламные окна.
 
Здравствуйте! Возникла серьезная проблема с системным диском. Винчестер у меня на 300 Гб, разбит на два диска. Системный имеет 50 Гб. И в последнюю неделю система стала жаловаться, что не хватает места и дошло до того, что нет места обновлениям. Чистка диска не помогала. Тогда я полез в сис.диск и стал искать. В папке Windows сразу увидел штук 50 папок имеющих одинаковое название "SoftwareDistribution" с расширением *.bak и далее цифры. Я заглянул в эти папки а там какие-то файлы с ненормально длинными именами. Все они появились в августе-сентябре. Я вручную удалил все папки, кроме заглавной (без расширения *.bak), потому что система писала, что она используется и удалить невозможно. После удаления из корзины удаленных папок с файлами сразу освободилось 25 Гб места. Вроде бы эта проблема разрешилась, но такое впервые у меня, поэтому я прошу проанализировать ситуацию - может быть это происки хакеров и деятельность вредоносных программ. Ко мне регулярно приходят письма с просьбой кликнуть на ссылку. Но я не кликаю и письма удаляю.
Вчера при попытке открыть фотографию для просмотра - появилось сообщение о недостатке оперативной памяти. Пришлось смотреть фото в Paint.
И еще очень досаждают всплывающие рекламные окна при навигации на eBay.com и Aukro.com, которые заслоняют мне управляющие кнопки. Рекламы рекламируют один и тот же ресурс (то ли интернет магазин то ли торговую площадку). Браузер Google Chrome при первом открывании тоже дублируется рекламной вкладкой, которую приходится удалять нажатием на крестик в углу.
Подскажите, пожалуйста, что делать.

Sandor 13-09-2013 12:01 2217213
Здравствуйте!
  • Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
  • Запустите его нажмите кнопку "Scan" и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner[R0].txt.
  • Прикрепите отчет к своему следующему сообщению.

postoronim 13-09-2013 15:26 2217322
Выполнил. Только я не могу определить окончания сканирования. Заглянул в C:\AdwCleaner[R0].txt. - такой документ появился там. Выкладываю.

Sandor 13-09-2013 16:42 2217350
  • Запустите повторно AdwCleaner (by Xplode), нажмите кнопку "Scan", а по окончанию сканирования нажмите кнопку "Clean" и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner[S0].txt.
  • Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

postoronim 13-09-2013 22:06 2217501
Выполнил.

Sandor 13-09-2013 22:35 2217528
Что с проблемой?

postoronim 14-09-2013 10:38 2217652
Спасибо! ОС просыпавется быстрее. До этого ярлыки на рабочем столе при включении ОС становились белыми, потом через несколько сек. на них начинали проявляться картинки и подписи. Сейчас этого нет и комп к работе становится быстрее. Но баннер, который перенаправляет при кликании на него вот сюда: **** остался. И преследует меня при навигации на Aliexpress.com, eBay.com и Aukro.com.
Заглянул в папку Windows на системном диске и увидел, что снова появилась папка softwaredistribution.bak, которая занимает 296 мегабайт и содержит около тысячи фвйлов. Уверен, что эти папки начнут размножаться с добавлением после *.bak порядкового номера и через пару недель снова займут все пространство на диске. Наверняка их продуцирует пвпка SoftwareDistribution. Их содержимое почти одинаковое за исключением того, что в папке с расширением в названии *.bak еще имеется папка PostRebootEventCache.

Sandor 14-09-2013 16:17 2217772
Что касается папки, ознакомьтесь со статьей.

К интернету подключаетесь через роутер?

Запустить AVZ, меню Файл - Выполнить скрипт - Скопировать ниже написанный скрипт - Нажать кнопку Запустить.
Код:
var
STR : TStringList;
CMDFile: string;
begin
ExecuteFile('ipconfig.exe', '/flushdns', 0, 15000, true);
STR := TStringList.Create;
STR.Add('ipconfig /all > diag.log');
STR.Add('route print >> diag.log');
STR.SaveToFile(GetAVZDirectory + 'diag.cmd');
CMDFile:= GetAVZDirectory + 'diag.cmd';
ExecuteFile(CMDFile, '', 0, 200000, true);
end.
diag.log из папки с AVZ выложите.

postoronim 14-09-2013 18:20 2217820
Спасибо. С информацией ознакомился. Полезно знать. Там написано, что ОС сама вычищает эти папки, что указал. Но в моем случае с августа месяца почему то это перестало работать и пошло накопление. Теперь мне придется всякий раз их вручную удалять?

postoronim 14-09-2013 18:26 2217824
diag.log в этом виде не загружался. Я перевел его в .txt

Sandor 15-09-2013 17:40 2218322
Цитата:
Цитата Sandor
К интернету подключаетесь через роутер? »
Не ответили.

postoronim 16-09-2013 11:06 2218647
Извините. Да, через роутер D-Link

Sandor 16-09-2013 11:50 2218675
Сделайте аппаратный сброс настроек роутера на заводские, введите правильные настройки, смените пароль на роутере, очистите куки и кэш браузеров.

Проверяйте работу в Интернете.

postoronim 16-09-2013 13:01 2218725
Цитата:
Цитата Sandor
Сделайте аппаратный сброс настроек роутера на заводские, введите правильные настройки, смените пароль на роутере, очистите куки и кэш браузеров. »
Ну и задачка! Я попробую, но это серьезная проблема. Потому что я нигде не записывал порядок настроек роутера и при инет-сбоях я обращался к оператору через телефон. И там они мне диктовали как и что нажимать и что куда вписывать. Теперь же они этот сервис почему то прикрыли. То ли персонал сократили. то ли еще какая причина. Но отныне с оператором вживую не соединяют, если он занят. Просто дают отбой. А раньше говорили сколько мин. до соединения и можно было за 1-15 мин дождаться соединения. А пароль на роутере - это ведь только оператор может? Это они его мне дали при подключении к инету.

Sandor 16-09-2013 14:07 2218766
Какая модель Вашего роутера?
Обычно параметры настроек должны быть указаны в договоре с провайдером или на их странице в интернете.
Цитата:
Цитата postoronim
пароль на роутере - это ведь только оператор может? »
Как правило, логин и пароль для входа в настройки роутера стандартные: admin admin или admin 1234 (это должно быть указано в инструкции к роутеру). Речь именно об этом пароле.

regist 16-09-2013 14:13 2218771
postoronim, если для вас проблема настроить роутер самому, то может вам будет удобней отнести его в сервис центр провайдера и попросить, чтобы они там сбросили и настроили его.

postoronim 16-09-2013 14:46 2218787
Цитата:
Цитата Sandor
Как правило, логин и пароль для входа в настройки роутера стандартные: admin admin »
Да, верно. Есть такой пароль. А еще и персональный пароль есть. Какой менять? Almin admin? И для чего?
Цитата:
Цитата Sandor
Какая модель Вашего роутера?
Обычно параметры настроек должны быть указаны в договоре с провайдером или на их странице в интернете. »
D-link. Но в договоре лишь пару строк есть, а не все настройки какие делаются через комп.
Цитата:
Цитата regist
postoronim, если для вас проблема настроить роутер самому, то может вам будет удобней отнести его в сервис центр провайдера и попросить, чтобы они там сбросили и настроили его. »
Там точно проблема начнется. Оператор у меня Укртелеком. А это госпредприятие и там привыкли об потребителей ноги вытирать, как в любом гос. учреждении. Например, я телефон себе провел только через суд и мировое соглашение. Иначе только через взятки можно было. Но меня ломает взятки давать.

Sandor 16-09-2013 15:23 2218806
Цитата:
Цитата postoronim
D-link. »
Есть ведь еще какие-нибудь буквы и цифры?
К сожалению, без сброса настроек не обойтись. Они могли быть изменены на "паразитные".

postoronim 16-09-2013 21:51 2219003
Цитата:
Цитата Sandor
Они могли быть изменены на "паразитные". »
Вот гады! А я то думаю, что это у меня были какие-то кратковременные сбои в работе роутера (или подключения инет), которые сами рассосались потом.
Роутер по пачпорту имеет такое название: DSL-2500U ALL-IN-ONE ADSL2+

postoronim 17-09-2013 12:32 2219257
Сменил настройки роутера. Почистил кеш и куки браузера.

Sandor 17-09-2013 12:36 2219262
Что с проблемой?

postoronim 17-09-2013 12:52 2219272
Проверил eBay и Aliexpress - там баннер не обнаружен. А вот на Aukro всплыл. И браузер не дублируется больше.

Sandor 17-09-2013 13:21 2219289
Проверьте в других браузерах. Так же?

postoronim 17-09-2013 15:23 2219365
эксплорер не выявляет баннер. Но мне любо Гугл Хром. Вернулся в него, а там снова те же проблемы: и дублирование браузера рекламным двойником и баннеры в Аукро и Aliexpress.

Sandor 17-09-2013 17:21 2219427
Проверьте расширения Хрома, временно все отключите.
Почистите браузеры с помощью AVZ:

Меню Файл - Мастер поиска и устранения проблем - Категория - Чистка системы, Степень опасности - Все проблемы. Отметьте:

очистка папки TEMP
очистка временных файлов adobe flash player
очистка кэш macromedia
очистка системной папки TEMP
очистка кэша всех браузеров, какие есть в списке

postoronim 17-09-2013 21:18 2219538
Выполнил! Проверил на Аукро. Баннер какой-то бессмертный! Всплывает.

Sandor 17-09-2013 22:53 2219588
Посмотрите репутацию этого сайта.

Деинсталлируйте ComboFix: нажмите Пуск => Выполнить в окне наберите команду Combofix /Uninstall, нажмите кнопку "ОК"



Скачайте OTCleanIt, запустите, нажмите Clean up

postoronim 17-09-2013 22:59 2219591
Цитата:
Цитата Sandor
Посмотрите репутацию этого сайта. »
В смысле? Репутацию Аукро? Я торгую там уже три года (с октября 2010 г.). Баннер не ихний. Я спрашивал. Конкурентов.

postoronim 18-09-2013 00:46 2219631
Цитата:
Цитата Sandor
нажмите Пуск => Выполнить »
У меня после нажатия ПУСК нет ВЫПОЛНИТЬ а есть НАЙТИ ФАЙЛ. Я туда Combofix /Uninstall ввел, но он его не нашел.

Sandor 18-09-2013 09:34 2219699
Цитата:
Цитата Sandor
Скачайте OTCleanIt, запустите, нажмите Clean up »
Сделайте это.

postoronim 18-09-2013 11:00 2219737
Сделал! Проверил - баннер тут как тут. Кстати, и при перезагрузке компа ярлыки на рабочем столе снова меняли окраску (от белой без надписей до нормальной). Но очень быстро, не так как раньше - по нескольку сек. висели пустые.

Sandor 18-09-2013 13:39 2219809
Удаление комбофикс я Вам по ошибке рекомендовал, извините. На работу системы это никак не повлияет.
Если баннер появляется только на одном сайте, проблемы скорее всего с этим сайтом. Напишите их администрации.

postoronim 18-09-2013 15:48 2219876
Цитата:
Цитата Sandor
Если баннер появляется только на одном сайте, проблемы скорее всего с этим сайтом. Напишите их администрации. »
Нет, выше я перечислял, где он появляется. Повторю: Aukro.ua eBay.com и Aliexpress.com. Возможно он будет появляться и на других торговых площадках, но я только там ошиваюсь. Аукровцам я писал, потому что решил по-началу, что это их баннер и сгоряча обвинил их в ухудшении сервиса. Они проверили и сказали, что это не их, а я его где-то подхватил вместе с вредоносной программой.

Sandor 18-09-2013 17:39 2219925
Давайте еще так посмотрим:
  1. Скачайте Universal Virus Sniffer (uVS)
  2. Извлеките uVS из архива или из zip-папки. Откройте папку с UVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
  3. Выберите меню "Файл" => "Сохранить полный образ автозапуска". Программа предложит вам указать место сохранения лога в формате "имя_компьютера_дата_сканирования". Лог необходимо сохранить на рабочем столе.
    !!!Внимание. Если у вас установлены архиваторы WinRAR или 7-Zip, то uVS в автоматическом режиме упакует лог в архив, иначе это будет необходимо сделать вам вручную.
  4. Дождитесь окончания работы программы и прикрепите лог к посту в теме.
    !!! Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".
  5. Подробнее читайте в руководстве Как подготовить лог UVS

postoronim 18-09-2013 22:23 2220087
Сделал.

Sandor 19-09-2013 12:58 2220330
Выполните скрипт в АВЗ (Файл - Выполнить скрипт):
Код:
begin
 ExecuteWizard('SCU',2,2,true);
 RebootWindows(false);
end.
Компьютер перезагрузится.

Затем:
  1. Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
  2. Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
  3. Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
    Код:
    ;uVS v3.81.2 [http://dsrt.dyndns.org]
    ;Target OS: NTv6.1

    breg

    delref HTTP://MAIL.RU/CNT/7993/
    delref HTTP://WWW.MAIL.RU/CNT/5087
    delall %SystemDrive%\USERS\8523~1\APPDATA\ROAMING\HOOLAP~1\HOOLAPP.EXE
    delall %SystemDrive%\USERS\8523~1\APPDATA\ROAMING\HOOLAP~1\UPDATE~1\UPDATE~1.EXE
    delref HTTP://GO.MAIL.RU/SEARCH?FR=FFTB&Q=
    zoo %SystemDrive%\USERS\АЛЕКСАНДР\APPDATA\ROAMING\METACRAWLER\UPDATEPROC\UPDATETASK.EXE
    delref %SystemDrive%\PROGRA~1\COMMON~1\INSTAL~1\DRIVER\11\INTEL3~1\IDRIVER.EXE
    uidel C:\Program Files\Mail.Ru\Sputnik\MailRuSputnik_rfranvir_s_mpcln7819.exe uninstall
    czoo
    deltmp
    restart
  4. В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
  5. Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. Прошу учесть, что компьютер может быть перезагружен.
  6. После выполнения скрипта зайдите в папку, где распакована утилита uVS найдите архив, имя которого соответствует дате и времени запуска скрипта с префиксом ZOO_ (например: ZOO_2011-06-30_22-04-27.7z)
    Если архив отсутствует, то заархивруйте папку ZOO с паролем virus.
  7. Полученный архив отправьте на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.
  8. Подробнее читайте в этом руководстве.

Повторите логи AVZ (стандартный скрипт 2) и RSIT.

У вас установлена Malwarebytes' Anti-Malware. Обновите базы, выберите Perform Full Scan (Полное сканирование), нажмите Scan (Сканирование), после сканирования - Ok - Show Results (Показать результаты) - Откройте лог, скопируйте в Блокнот и прикрепите его к следующему сообщению. Самостоятельно ничего не удаляйте!!! Если лог не открылся, то найти его можно в следующей папке:
Цитата:
%appdata%\Malwarebytes\Malwarebytes' Anti-Malware\Logs
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно. Загрузить обновление MBAM. Подробнее читайте в руководстве

postoronim 19-09-2013 20:40 2220649
Я выполнил все. Архив отправил по почте, лог сканирования прикрепляю.

Sandor 19-09-2013 21:23 2220672
  1. Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
  2. Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
  3. Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
    Код:
    ;uVS v3.81.2 [http://dsrt.dyndns.org]
    ;Target OS: NTv6.1

    breg

    bl BE557CF3E76225FEDA7EE3C1D9079C29 118272
    delall %SystemDrive%\USERS\АЛЕКСАНДР\APPDATA\ROAMING\METACRAWLER\UPDATEPROC\UPDATETASK.EXE
    deltmp
    restart
  4. В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
  5. Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. Прошу учесть, что компьютер может быть перезагружен.
  6. Подробнее читайте в этом руководстве.

Повторите лог uVS.

Повторите логи AVZ (стандартный скрипт 2) и RSIT.

Что с проблемой?

postoronim 20-09-2013 14:58 2220998
Выполнил. Проверил на Аукро и eBay, Aliexpress и Lenovo.com. Баннера не видно. Кажись, убили баннера. попробую прикрепить фалы. но не ручаюсь, что они поместятся, потому что уже мало места осталось. Может быть подскажете как очищать место для вложений?

Sandor 21-09-2013 19:32 2221528
Деинсталлируйте Malwarebytes' Anti-Malware.

Пофиксите в HijackThis следующие строчки:
Код:
O2 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)
O2 - BHO: (no name) - {9cf699ca-2174-4ed8-bec1-ba82095edce0} - (no file)
O3 - Toolbar: (no name) - {09900DE8-1DCA-443F-9243-26FF581438AF} - (no file
Если проблем больше нет, то:
Для профилактики повторных заражений скачайте и запустите SecurityCheck by glax24, когда откроется отчет, скопируйте и вставьте его сюда, сам файл выкладывать не нужно. В отчете будет показано, что в вашей системе нуждается в обновлении и другие угрозы безопасности.
Скачайте и установите обновления по ссылкам.

Рекомендации после лечения

postoronim 22-09-2013 10:45 2221807
Security Check by glax24 version 0.2.4.58 rc1
WebSite: www.safezone.cc
DateLog: 22.09.2013 09:42:02
Run directory: C:\Users\Александр\AppData\Local\Temp\SecurityCheck\
Log directory: C:\SecurityCheck\
IsAdmin: False
FileVersionInet: 5.8
__________________________________________________

Windows 7 (6.1.7601) Service Pack 1 (x86) Ultimate Lang: Russian(0419)
Дата установки ОС: 27.01.2013 12:28:31
Статус лицензии: Windows(R) 7, Ultimate edition Постоянная активация прошла успешно.
Системный диск: C:\ ФС: NTFS Емкость: [50 Гб] Занято: [27.7 Гб] Свободно: [22.3 Гб]
Браузер по умолчанию: C:\Program Files\Google\Chrome\Application\chrome.exe
-------------Windows------------------------------
Internet Explorer 9.10.9200.16686 [+]
Контроль учётных записей пользователя включен
Загружать автоматически обновления и устанавливать по заданному расписанию
Центр обновления Windows (wuauserv) - Служба работает
Центр обеспечения безопасности (wscsvc) - Служба работает
-------------Antivirus_WMI------------------------
AVG Internet Security 2013
Антивирус обновлен
Сканирование отключено
-------------Firewall_WMI-------------------------
AVG Internet Security 2013
-------------AntiSpyware_WMI----------------------
Windows Defender
IObit Malware Fighter
AVG Internet Security 2013
-------------AntiVirusFirewallInstall-------------
AVG 2013 v.2013.0.3408
AVG PC TuneUp v.12.0.4020.3
AVG PC TuneUp Language Pack (ru-RU) v.12.0.4020.3
-------------OtherUtilities-----------------------
AVG PC TuneUp v.12.0.4020.3
AVG PC TuneUp Language Pack (ru-RU) v.12.0.4020.3
-------------AdobeProduction----------------------
Adobe Flash Player 11 ActiveX v.11.8.800.175 [+]
Adobe Flash Player 11 Plugin v.11.8.800.168
-------------Browser------------------------------
Google Chrome v.29.0.1547.76 [+]
-------------RunningProcess-----------------------
C:\Program Files\Google\Chrome\Application\chrome.exe v.29.0.1547.76
-------------EndLog-------------------------------


Время: 19:43.

Время: 19:43.
© OSzone.net 2001-