[okshef]

Alexxandr, а логи зачем? Думаете, вирусы? Для решения проблем с BSOD есть тема Решение проблем с Синими экранами или BSOD с инструкцией в шапке, и форум Устранение критических ошибок Windows

[Katharsis]

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - ЭТО МОЖЕТ ПОВРЕДИТЬ ВАШЕЙ СИСТЕМЕ! Если у вас похожая проблема - создайте тему в разделе Лечение систем от вредоносных программ и выполните Правила запроса о помощи.
_______________________________________________________

1. Перед выполнением скрипта выгрузите антивирусное и защитное ПО.
AVZ, меню Файл - Выполнить скрипт - Скопировать ниже написанный скрипт - Нажать кнопку Запустить.

Код:

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\Users\Александр\appdata\roaming\digita~1\update~1\update~1.exe','');
 QuarantineFile('C:\Users\8523~1\AppData\Roaming\DIGITA~1\UPDATE~1\UPDATE~1.EXE','');
 QuarantineFile('C:\Users\8523~1\AppData\Local\Temp\4glib8pe.exe','');
 QuarantineFile('C:\Users\8523~1\AppData\Local\Temp\3feed.exe','');
 QuarantineFile('C:\Users\8523~1\AppData\Local\Temp\34745494aq','');
 QuarantineFile('C:\windows\system32\drivers\etc\hosts','');
 QuarantineFile('C:\Users\Александр\AppData\Roaming\Microsoft\Windows\Templates\winsecyr.exe','');
 DeleteFile('C:\windows\system32\Tasks\At1.job','64');
 DeleteFile('C:\Users\8523~1\AppData\Local\Temp\34745494aq','32');
 DeleteFile('C:\Users\8523~1\AppData\Local\Temp\3feed.exe','32');
 DeleteFile('C:\windows\system32\Tasks\ri21l5d.job','64');
 DeleteFile('C:\Users\8523~1\AppData\Local\Temp\4glib8pe.exe','32');
 DeleteFile('C:\windows\system32\Tasks\zl7in2gy.job','64');
 DeleteFile('C:\windows\system32\Tasks\At1','64');
 DeleteFile('C:\Users\8523~1\AppData\Roaming\DIGITA~1\UPDATE~1\UPDATE~1.EXE','32');
 DeleteFile('C:\windows\system32\Tasks\DigitalSite','64');
 DeleteFile('C:\windows\system32\Tasks\DigitalSite.job','64');
 DeleteFile('C:\windows\system32\Tasks\ri21l5d','64');
 DeleteFile('C:\windows\system32\Tasks\zl7in2gy','64');
 DeleteFile('C:\Users\Александр\appdata\roaming\digita~1\update~1\update~1.exe','32');
 DeleteFile('C:\Users\Александр\AppData\Roaming\Microsoft\Windows\Templates\winsecyr.exe','32');
 RegKeyStrParamWrite('HKLM','System\CurrentControlSet\Control\SafeBoot','AlternateShell','cmd.exe');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteWizard('SCU',2,3,true);
 ExecuteRepair(10);
RebootWindows(true);
end.

На время выполнения скрипта все сетевые подключения будут закрыты. После окончания компьютер перезагрузится. После перезагрузки выполнить второй скрипт:

Код:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В результате выполнения скрипта будет сформирован карантин quarantine.zip. Отправьте полученный файл quarantine.zip из папки AVZ через данную форму. Укажите ссылку на тему и ник на форуме.

2. Сделайте новые логи AVZ и RSIT

3. Скачайте Malwarebytes' Anti-Malware или с зеркала, установите, обновите базы, выберите "Perform Full Scan" ("Полное сканирование"), нажмите "Scan" ("Сканирование"), после сканирования - Show Results ("Показать результаты") - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту. Из того что будет найдено, НИЧЕГО НЕ УДАЛЯЙТЕ САМОСТОЯТЕЛЬНО !!!
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно.

4. Включите запись дампов памяти. Для этого нажмите клавиши win+pause ("+" нажимать не нужно), откройте вкладку "дополнительно" - "загрузка и восстановление" в разделе "отказ системы " отметьте "записать событие в системный журнал" в поле "запись отладочной информации " выберите "малый дамп памяти" в следующем поле - укажите папку для сохранения (по умолчанию это C:\windows\minidump).

При включении записи минидампов в случае перезагрузок/отключений/синих экранов будет создана папка C:\windows\minidump, в которой появятся файлы с расширением .dmp Их также нужно будет приложить к теме.

[Alexxandr]

Карантин отправил, логи сделал

[Katharsis]

логи RSIT также выложите

1. Bonanza Deals удалите через установку и удаление программ (как потенциально нежелательное ПО)

из найденного MBAM удалите это:

Обнаруженные ключи в реестре: 6 HKCU\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{61EB20A4-D4D5-4276-A2C9-DCCE8CE9F633} (PUP.ToolBar.WA) -> Действие не было предпринято. HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{FE063412-BEA4-4D76-8ED3-183BE6220D17} (PUP.Optional.BonanzaDeals.A) -> Действие не было предпринято. HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{FE063412-BEA4-4D76-8ED3-183BE6220D17} (PUP.Optional.BonanzaDeals.A) -> Действие не было предпринято. HKCU\SOFTWARE\BonanzaDealsLive (PUP.Optional.BonanzaDeals.A) -> Действие не было предпринято. HKCU\SOFTWARE\INSTALLCORE (PUP.Optional.InstallCore.A) -> Действие не было предпринято. HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\BonanzaDealsLive.exe (PUP.Optional.BonanzaDeals.A) -> Действие не было предпринято. Обнаруженные параметры в реестре: 1 HKCU\Software\InstallCore|tb (PUP.Optional.InstallCore.A) -> Параметры: 0A1M1S1N1H2Q1H0B1O1O -> Действие не было предпринято. Обнаруженные папки: 15 C:\Users\Александр\Local Settings\Application Data\Webalta Toolbar (PUP.ToolBar.WA) -> Действие не было предпринято. C:\Users\Александр\AppData\Local\Webalta Toolbar (PUP.ToolBar.WA) -> Действие не было предпринято. C:\Users\Александр\AppData\Roaming\OpenCandy (PUP.Optional.OpenCandy) -> Действие не было предпринято. C:\Users\Александр\AppData\Roaming\OpenCandy\305534D3C4424DF6A3CB47393CF1CA90 (PUP.Optional.OpenCandy) -> Действие не было предпринято. C:\Users\Александр\AppData\Roaming\OpenCandy\72CFBA34E47A42A6828B3D08E07C4491 (PUP.Optional.OpenCandy) -> Действие не было предпринято. C:\Users\Александр\AppData\Roaming\OpenCandy\84EA81870C1840F6A5725FB86DB4583D (PUP.Optional.OpenCandy) -> Действие не было предпринято. C:\Users\Александр\AppData\Roaming\OpenCandy\CFF7FAA50C844A85A1A934FEEA384550 (PUP.Optional.OpenCandy) -> Действие не было предпринято. C:\Users\Александр\AppData\Roaming\OpenCandy\OpenCandy_84EA81870C1840F6A5725FB86DB4583D (PUP.Optional.OpenCandy) -> Действие не было предпринято. C:\ProgramData\BonanzaDealsLive (PUP.Optional.BonanzaDeals.A) -> Действие не было предпринято. C:\ProgramData\BonanzaDealsLive\Update (PUP.Optional.BonanzaDeals.A) -> Действие не было предпринято. C:\ProgramData\BonanzaDealsLive\Update\Log (PUP.Optional.BonanzaDeals.A) -> Действие не было предпринято. C:\Users\Александр\AppData\Local\BonanzaDealsLive (PUP.Optional.BonanzaDeals.A) -> Действие не было предпринято. C:\Users\Александр\AppData\Local\BonanzaDealsLive\CrashReports (PUP.Optional.BonanzaDeals.A) -> Действие не было предпринято. C:\Program Files (x86)\BonanzaDealsLive (PUP.Optional.BonanzaDeals.A) -> Действие не было предпринято. C:\Program Files (x86)\BonanzaDealsLive\CrashReports (PUP.Optional.BonanzaDeals.A) -> Действие не было предпринято. Обнаруженные файлы: 46 C:\Users\Александр\AppData\Roaming\OpenCandy\OpenCandy_84EA81870C1840F6A5725FB86DB4583D\LatestDLMgr. exe (PUP.Optional.OpenCandy.A) -> Действие не было предпринято. C:\Users\Александр\AppData\Roaming\OpenCandy\OpenCandy_84EA81870C1840F6A5725FB86DB4583D\OpenCandyU1D lm.dll (PUP.Optional.OpenCandy.A) -> Действие не было предпринято. C:\Users\Александр\Local Settings\Application Data\Webalta Toolbar\uninstall.exe (PUP.ToolBar.WA) -> Действие не было предпринято. C:\Users\Александр\Local Settings\Application Data\Webalta Toolbar\webalta_nw_final_chrome.crx (PUP.ToolBar.WA) -> Действие не было предпринято. C:\Users\Александр\AppData\Local\Webalta Toolbar\uninstall.exe (PUP.ToolBar.WA) -> Действие не было предпринято. C:\Users\Александр\AppData\Local\Webalta Toolbar\webalta_nw_final_chrome.crx (PUP.ToolBar.WA) -> Действие не было предпринято. C:\Users\Александр\AppData\Roaming\OpenCandy\305534D3C4424DF6A3CB47393CF1CA90\TuneUpUtilities2013-2200268-p2v1.exe (PUP.Optional.OpenCandy) -> Действие не было предпринято. C:\Users\Александр\AppData\Roaming\OpenCandy\72CFBA34E47A42A6828B3D08E07C4491\TuneUpUtilities2013_22 00268_ru-RU.exe (PUP.Optional.OpenCandy) -> Действие не было предпринято. C:\Users\Александр\AppData\Roaming\OpenCandy\84EA81870C1840F6A5725FB86DB4583D\2196.ico (PUP.Optional.OpenCandy) -> Действие не было предпринято. C:\Users\Александр\AppData\Roaming\OpenCandy\84EA81870C1840F6A5725FB86DB4583D\driverscannerRU.exe (PUP.Optional.OpenCandy) -> Действие не было предпринято. C:\Users\Александр\AppData\Roaming\OpenCandy\CFF7FAA50C844A85A1A934FEEA384550\TuneUpUtilities2013_22 00268_ru-RU.exe (PUP.Optional.OpenCandy) -> Действие не было предпринято. C:\ProgramData\BonanzaDealsLive\Update\Log\BonanzaDealsLive.log (PUP.Optional.BonanzaDeals.A) -> Действие не было предпринято.

лог после удаления выложите

2. потом еще раз выполните скрипт в авз:

AVZ, меню Файл - Выполнить скрипт - Скопировать ниже написанный скрипт - Нажать кнопку Запустить.

Код:

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 QuarantineFile('C:\windows\system32\drivers\etc\hosts','');
 QuarantineFile('C:\Users\8523~1\AppData\Local\Temp\4glib8pe.exe','');
 QuarantineFile('C:\Users\8523~1\AppData\Local\Temp\3feed.exe','');
 QuarantineFile('C:\Users\8523~1\AppData\Roaming\DIGITA~1\UPDATE~1\UPDATE~1.EXE','');
 QuarantineFile('C:\Users\8523~1\AppData\Local\Temp\34745494aq','');
 QuarantineFile('c:\users\Александр\3289453.exe','');
 DeleteFile('c:\users\Александр\3289453.exe','32');
 DeleteFile('C:\Users\8523~1\AppData\Local\Temp\34745494aq','32');
 DeleteFile('C:\windows\system32\Tasks\At1.job','64');
 DeleteFile('C:\Users\8523~1\AppData\Roaming\DIGITA~1\UPDATE~1\UPDATE~1.EXE','32');
 DeleteFile('C:\Users\8523~1\AppData\Local\Temp\3feed.exe','32');
 DeleteFile('C:\Users\8523~1\AppData\Local\Temp\4glib8pe.exe','32');
 DeleteFile('C:\windows\system32\Tasks\ri21l5d.job','64');
 DeleteFile('C:\windows\system32\Tasks\zl7in2gy.job','64');
 DeleteFile('C:\windows\system32\Tasks\DigitalSite.job','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
 ExecuteWizard('SCU',2,3,true);
RebootWindows(true);
end.

На время выполнения скрипта все сетевые подключения будут закрыты. После окончания компьютер перезагрузится. После перезагрузки выполнить второй скрипт:

Код:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В результате выполнения скрипта будет сформирован карантин quarantine.zip. Отправьте полученный файл quarantine.zip из папки AVZ через данную форму. Укажите ссылку на тему и ник на форуме.

3. сделайте новый лог AVZ (cт скрипт 2) и RSIT

[Alexxandr]

пока логи rsit к предыдущим логам, в ближайшее время скину остальное

[Alexxandr]

карантин отправил, новые логи

[Katharsis]

1. AVZ - меню файл - мастер поиска и устранения проблем - категория - чистка системы, степень опасности - все проблемы. отметьте:

очистка папки TEMP очистка системной папки TEMP

нажмите "выполнить"

2. удалите следующие файлы вручную:

C:\windows\tasks\At1.job C:\windows\tasks\DigitalSite.job C:\windows\tasks\ri21l5d.job C:\windows\tasks\zl7in2gy.job

если будет сообщение, что у вас недостаточно прав - сделайте себя владельцем: ПКМ по файлу - свойства - безопасность - в гркппах и пользователях отмечаете себя - дополнительно - владелец - изменить владельца на (себя) - действующие разрешения - отмечаете полный доступ.

после этого перезагрузитесь и сделайте повторный лог virusinfo_syscheck.zip (АВЗ ст скрипт 2)

[Alexxandr]

все сделал

[Katharsis]

больше ничего плохого не вижу. За это время еще BSODы были?