Атакует реклама

[lecsa60]

Выполнил. Лог uVS отправил на почтовый ящик.

[lecsa60]

Будут ли еще какие-то предложения?

[regist]

Будут ли еще какие-то предложения? »
прочитать внимательно последние рекомендации которые вам дали.
Логи надо прикреплять к посту (если не помещается, то можно ссылкой) , а на почту слать карантин.

[lecsa60]

Выполнил все по инструкции

http://rghost.ru/55319442

[lecsa60]

Жду дальнейших предложений.

[Sandor]

Прошу прощения за задержку.

Скачайте ComboFix здесь (http://download.bleepingcomputer.com/sUBs/ComboFix.exe) и сохраните на рабочий стол.

1. Внимание! Обязательно закройте все браузеры, временно выключите антивирус, firewall и другое защитное программное обеспечение (http://safezone.cc/threads/18577). Не запускайте других программ во время работы Combofix. Combofix может отключить интернет через некоторое время после запуска, не переподключайте интернет пока Combofix не завершит работу. Если интернет не появился после окончания работы Combofix, перезагрузите компьютер. Во время работы Combofix не нажимайте кнопки мыши, это может стать причиной зависания Combofix.
2. Запустите combofix.exe, когда процесс завершится, заархивируйте файл C:\ComboFix.txt и прикрепите к сообщению.
Примечание: В случае, если ComboFix не запускается, переименуйте combofix.exe. Например: temp.exe

Подробнее в "ComboFix. Руководство по применению." (http://safezone.cc/threads/2773)

[lecsa60]

Выполнил ComboFix

[Sandor]

Изменения после Комбо есть?

[lecsa60]

Пока рекламные баннеры не вылезают. Но синие кнопки с ключом у окошков для ввода паролей осталась.

[Sandor]

Скопируйте текст ниже в Блокнот и сохраните как файл с названием CFScript.txt на диск С.

KillAll::

File::


Driver::

Folder::


Registry::
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"cFecItnehTCCztJBqPwOoPGsXI"=-

FileLook::

DirLook::
Reboot::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.
http://safezone.cc/images/cfscript.gif
Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

[lecsa60]

При выполнении последней рекомендации компьютер завис.

[Sandor]

Попробуйте выполнить ее в безопасном режиме (http://safezone.cc/threads/kak-zagruzit-windows-v-bezopasnom-rezhime-safe-mode.19645/).

[lecsa60]

Выполнил через безопасный режим. Изменений нет.

[Sandor]

Загрузитесь в режиме "чистой" загрузки:

WIN +R - выполнить - msconfig
На вкладке Общие выберите параметр Выборочный запуск.
В разделе Выборочный запуск снимите флажок Загружать элементы автозагрузки.
На вкладке Службы установите флажок Не отображать службы Майкрософт и нажмите кнопку Отключить все.
Нажмите Применить - OK и - Перезапустить.

Проверьте, сохраняется ли проблема.
Если сохраняется, создайте другую учетную запись (пользователя) и проверьте, есть ли там реклама.

[lecsa60]

Выполнил рекомендации. Проблемы остались. При попытке создания новой учетной записи сообщение не может выполнить команду sens.

[lecsa60]

Будут ли еще рекомендации?

[Sandor]

Упакуйте папку
C:\Qoobox\
с паролем virus и отправьте с помощью этой формы (http://www.oszone.net/virusnet/) или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

Через Панель управления - Удаление программ - удалите
Html5 geolocation provider

Программу удаленного подключения Ammyy Admin вы устанавливали самостоятельно?

Выполните скрипт в АВЗ (http://forum.oszone.net/post-1430637-4.html) (Файл - Выполнить скрипт - запускать AVZ обязательно правой кнопкой от имени администратора):
begin
ExecuteFile('ipconfig', 'flushdns', 0, 10000, true);
ExecuteWizard('SCU',2,3,true);
RebootWindows(false);
end.

Компьютер перезагрузится.

[lecsa60]

Упаковать папку C:\Qoobox\ удалось толко в безопасном режиме. В обычном режиме появляется сообщение см. скриншот. При отправке письма пришло сообщение: К сожалению, Ваше письмо не может быть доставлено одному или нескольким получателям, потому что:

virus message discarded

Html5 geolocation provider удалил.

Скрипт выполнил.

Ammyy Admin установлена самостоятельно.

[Sandor]

virus message discarded »
Для того, чтоб этого не было и нужно упаковать
с паролем virus »
В WinRAR-е вкладка Дополнительно, кнопка Установить пароль.
Попробуйте еще раз.


Скрипт выполнил. »
Изменений (улучшений) нет?

[lecsa60]

При попытке упаковать файл появляется сообщение
! Невозможно прочитать содержимое C:\Qoobox\BackEnv\*
Отказано в доступе.
! Невозможно создать C:\Qoobox.rar
Клиент не обладает требуемыми правами.

После выполнения скрипта улучшений нет.