Непонятные программы - Компьютерный форум OSzone.net

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)

- Лечение систем от вредоносных программ (http://forum.oszone.net/forumdisplay.php?f=87)

- - Непонятные программы (http://forum.oszone.net/showthread.php?t=301800)

Непонятные программы

Здравствуйте в мой ноут попал вирус, установились неизвестные программы. Делал сканирование антивирусом непомогло. Помогите очистить ноут.

У меня продолжают устанавливаться левые программы, как удалить вирус?

Скачал программу ReimageRepair, но она платная. Так стало после скачивания программы.

Выложите логи в соответствии с этими инструкциями.

iskander-k, Я лог выложил, что дальше делать?

Помогите кто нибудь вылечить систему.

Здравствуйте!

1) Пополните, пожалуйста, базу безопасных файлов антивирусной утилиты AVZ:

Запустите AVZ.
Выполните обновление баз (Меню Файл - Обновление баз)
Закройте все приложения, и запустите используемый в Вашей системе интернет-браузер (например Internet Explorer, FireFox, Opera и т.д. - если применяется несколько браузеров, то необходимо запустить их все для того чтобы AVZ смог проанализировать используемые браузерами модули расширения и плагины)
В AVZ выберите пункт меню Файл - Стандартные скрипты. В открывшемся окне необходимо отметить скрипт № 8 ("VirusInfo.Info: Скрипт сбора файлов для экспресс-анализа ПК") и нажать кнопку "Выполнить отмеченные скрипты". Выполнение скрипта займет некоторое время, порядка 1 - 5 мин. В результате в папке AVZ будет создан подкаталог LOG, в нем архив с именем virusinfo_files_<имя_ПК>.zip
Закачайте полученный архив, как описано на этой странице.
Если размер архива превышает 100 Мб закачайте его на любой файлообменник, не требующий ввода капчи (например: RGhost, Zalil, UkrShara или WebFile) и укажите ссылку на скачивание в своём следующем сообщении.

2)

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

Код:

begin

 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);

 ClearQuarantineEx(true);

 TerminateProcessByName('c:\program files (x86)\gmsd_ru_005010015\gmsd_ru_005010015.exe');

 TerminateProcessByName('c:\program files (x86)\gmsd_ru_005010016\gmsd_ru_005010016.exe');

 TerminateProcessByName('c:\users\admin\appdata\roaming\075bfa80-1435388158-0000-0000-000000000000\hnsj57a4.tmp');

 TerminateProcessByName('c:\users\admin\appdata\roaming\075bfa80-1435388158-0000-0000-000000000000\jnsz3fa0.tmp');

 TerminateProcessByName('c:\users\admin\appdata\roaming\075bfa80-1435388158-0000-0000-000000000000\knsy555f.tmp');

 TerminateProcessByName('c:\users\admin\appdata\local\075bfa80-1435406342-0000-0000-000000000000\snsvd849.tmp');

 TerminateProcessByName('c:\users\admin\appdata\local\gmsd_ru_005010015\upgmsd_ru_005010015.exe');

 StopService('gopibeko');

 StopService('resunyre');

 StopService('vicoqudu');

 QuarantineFile('c:\program files (x86)\gmsd_ru_005010015\gmsd_ru_005010015.exe', '');

 QuarantineFile('c:\program files (x86)\gmsd_ru_005010016\gmsd_ru_005010016.exe', '');

 QuarantineFile('c:\users\admin\appdata\roaming\075bfa80-1435388158-0000-0000-000000000000\hnsj57a4.tmp', '');

 QuarantineFile('c:\users\admin\appdata\roaming\075bfa80-1435388158-0000-0000-000000000000\jnsz3fa0.tmp', '');

 QuarantineFile('c:\users\admin\appdata\roaming\075bfa80-1435388158-0000-0000-000000000000\knsy555f.tmp', '');

 QuarantineFile('c:\users\admin\appdata\local\075bfa80-1435406342-0000-0000-000000000000\snsvd849.tmp', '');

 QuarantineFile('c:\users\admin\appdata\local\gmsd_ru_005010015\upgmsd_ru_005010015.exe', '');

 QuarantineFile('C:\Temp\E_SB95.tmp', '');

 QuarantineFile('C:\Users\admin\AppData\Roaming\G3KwbR7yATf2bWFJdrtyvF.exe', '');

 QuarantineFile('C:\Users\admin\AppData\Roaming\WabRZHL.exe', '');

 DeleteFile('c:\program files (x86)\gmsd_ru_005010015\gmsd_ru_005010015.exe', '32');

 DeleteFile('c:\program files (x86)\gmsd_ru_005010016\gmsd_ru_005010016.exe', '32');

 DeleteFile('c:\users\admin\appdata\roaming\075bfa80-1435388158-0000-0000-000000000000\hnsj57a4.tmp', '32');

 DeleteFile('c:\users\admin\appdata\roaming\075bfa80-1435388158-0000-0000-000000000000\jnsz3fa0.tmp', '32');

 DeleteFile('c:\users\admin\appdata\roaming\075bfa80-1435388158-0000-0000-000000000000\knsy555f.tmp', '32');

 DeleteFile('c:\users\admin\appdata\local\075bfa80-1435406342-0000-0000-000000000000\snsvd849.tmp', '32');

 DeleteFile('C:\Users\admin\AppData\Roaming\G3KwbR7yATf2bWFJdrtyvF.exe', '32');

 DeleteFile('C:\Users\admin\AppData\Roaming\WabRZHL.exe', '32');

 DeleteService('gopibeko');

 DeleteService('resunyre');

 DeleteService('vicoqudu');

 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);

 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);

 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);

 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);

 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);

 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');

ExecuteSysClean;

 ExecuteWizard('SCU', 2, 3, true);

RebootWindows(true);

end.

после выполнения скрипта компьютер перезагрузится.

Файл quarantine.zip из папки AVZ отправьте с помощью этой формы или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения. с указанием пароля: virus в теле письма.

3)

Код:

AnySend [2015/06/27 12:07:02]-->"C:\Users\admin\AppData\Roaming\ASPackage\Uninstall.exe"

Crossbrowse [20150627]-->"C:\Program Files (x86)\Crossbrowse\Crossbrowse\Application\39.6.2171.95\Installer\setup.exe" --uninstall --system-level

Driver Booster 2.3 [20150629]-->"C:\Program Files (x86)\IObit\Driver Booster\unins000.exe"

GamesDesktop 033.005010015 [20150628]-->"C:\Program Files (x86)\gmsd_ru_005010015\unins000.exe"

GamesDesktop 033.005010016 [20150629]-->"C:\Program Files (x86)\gmsd_ru_005010016\unins000.exe"

Reimage Repair [2015/06/29 18:44:42]-->C:\Program Files\Reimage\Reimage Repair\uninst.exe

SmartWeb [2015/06/27 12:08:21]-->C:\Users\admin\AppData\Local\SmartWeb\__u.exe _?=C:\Users\admin\AppData\Local\SmartWeb

Software Version Updater [2015/06/28 10:41:42]-->C:\Users\admin\AppData\Local\15136\Updater.exe /uninstall

Time tasks [2015/06/27 11:55:57]-->"C:\ProgramData\TimeTasks\uninstall.exe"

Zaxar Games Browser [2015/06/27 11:55:56]-->"C:\Program Files (x86)\Zaxar\uninstall.exe"

Обнови Софт [2015/06/29 18:10:50]-->C:\Program Files (x86)\Obnovi Soft\uninstall.exe

деинсталируйте.

4)

Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

regist, http://files.webfile.ru/065ca68ee014...ff795985033aaa - архив.
Скрипт выполнил quarantine отправил по форме

regist, В пункте 3, что нужно сделать?

Цитата:

Цитата ildar89m

В пункте 3, что нужно сделать? »

...

Цитата:

Цитата regist

деинсталируйте. »

regist,
AnySend [2015/06/27 12:07:02]-->"C:\Users\admin\AppData\Roaming\ASPackage\Uninstall.exe"нет такого адреса папки Users нет.

Crossbrowse [20150627]-->"C:\Program Files (x86)\Crossbrowse\Crossbrowse\Application\39.6.2171.95\Installer\setup.exe" --uninstall --system-level Дошел до этого файла setup.exe, дальше ничего нет.

Driver Booster 2.3 [20150629]-->"C:\Program Files (x86)\IObit\Driver Booster\unins000.exe" этого адреса тоже нет. Driver Booster - нет.

Software Version Updater [2015/06/28 10:41:42]-->C:\Users\admin\AppData\Local\15136\Updater.exe /uninstall. "uninstall" - отсутствует.

Time tasks [2015/06/27 11:55:57]-->"C:\ProgramData\TimeTasks\uninstall.exe Нет такого адреса.

Обнови Софт [2015/06/29 18:10:50]-->C:\Program Files (x86)\Obnovi Soft\uninstall.exe
файл uninstall.exe отсутствует.

regist, C:\AdwCleaner\AdwCleaner[R0].txt.

ildar89m,

Цитата:

Цитата ildar89m

нет такого адреса папки Users нет. »

Цитата:

Цитата ildar89m

Дошел до этого файла setup.exe, дальше ничего нет »

Надо было через установку и удаление программ!
Деинсталируйте все перечисленные программы через установку и удаление и потом переделайте лог.

regist,
Там где у меня программы и компаненты не все эти названия вирусов есть. Лог отправил - MD5: F8B6C3BCE0BE1B90CA7E5ACE270F96F7

Цитата:

Цитата ildar89m

Там где у меня программы и компаненты не все эти названия вирусов есть. »

все эти названия взяты из ваших логов из списка установленных у вас программ. Так что удаляйте их штатным образом, а потом делайте свежий лог.

regist,
нет таких в списке последний "обнови софт" нашел но он не удаляется

Цитата:

Цитата ildar89m

"обнови софт" нашел но он не удаляется »

Жмите в этом сообщение да. Затем свежий лог сканирования AdwCleaner-а.

regist, лог выложил MD5: 518075793E53F7BD5DA8E38589DC7D82

Цитата:

Цитата regist

Затем свежий лог сканирования AdwCleaner-а. »

???

Sandor, regist, Все что смог сделать я сделал, удалил только некоторые по, больше их не видно. Потом сделал свежий лог и выложил. У меня плодятся эти программы.

Цитата:

Цитата ildar89m

Потом сделал свежий лог и выложил. »

где и когда? Мы его уже два дня ждём.

regist, новый лог! MD5: BAC2EE20E87177C651023304289EAF4B

ildar89m, речь идет о другом логе:

Цитата:

Цитата regist

лог сканирования AdwCleaner-а »

т.е.

Скачайте заново AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

ildar89m, я просил

Цитата:

Цитата Sandor

Скачайте заново AdwCleaner (by Xplode) »

т.к. у Вас:

Цитата:

AdwCleaner v4.207 - Отчёт создан 01/07/2015 в 17:16:09

а сегодня - 13/07/2015. И версия AdwCleaner за это время успела обновиться.

Пожалуйста, запустите adwcleaner.exe
Нажмите Uninstall (Удалить).
Подтвердите удаление нажав кнопку: Да.

Подробнее читайте в этом руководстве.

Что сейчас с проблемами?

Sandor, Удалил. Как узнать остались ли вирусы? Логи выкладывать?

Повторите логи по правилам. Для повторной диагностики скачайте свежий и запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

Через Панель управления - Удаление программ - удалите:

Цитата:

VKMusic 4

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в AVZ (Файл - Выполнить скрипт):

Код:

begin

ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);

 QuarantineFile('C:\Users\admin\appdata\local\15136\updater.exe','');

 QuarantineFile('C:\ProgramData\Service1104\Service1104.exe','');

 QuarantineFile('C:\Users\admin\local settings\application data\ExtensionInstaller_14\extinst.exe','');

 QuarantineFile('C:\Users\admin\local settings\application data\ExtensionInstaller_14\config.json','');

 QuarantineFile('C:\ProgramData\TomorrowGames\TomorrowGames.exe','');

 QuarantineFile('C:\ProgramData\TomorrowGames\TomorrowGames64.dll','');

 QuarantineFile('C:\ProgramData\TomorrowGames\TomorrowGames32.dll','');

 QuarantineFile('C:\Program Files (x86)\Zaxar\timetasks.exe','');

 QuarantineFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe','');

 QuarantineFile('C:\Program Files (x86)\Zaxar\ZaxarGameBrowser.exe','');

 QuarantineFile('C:\Users\admin\AppData\Roaming\075BFA80-1435388158-0000-0000-000000000000\knsn9D3A.tmp', '');

 QuarantineFile('C:\Users\admin\AppData\Roaming\87wLaD6xwWD0iudA.exe', '');

 QuarantineFile('C:\Users\admin\AppData\Roaming\BYAIAMUF.exe', '');

 QuarantineFile('C:\Users\admin\AppData\Roaming\GNOK.exe', '');

 QuarantineFile('C:\Users\admin\AppData\Roaming\vhxQdOIoielAw.exe', '');

 DeleteFile('C:\Program Files (x86)\Zaxar\ZaxarGameBrowser.exe','32');

 DeleteFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe','32');

 DeleteFile('C:\Program Files (x86)\Zaxar\timetasks.exe','32');

 DeleteFile('C:\ProgramData\TomorrowGames\TomorrowGames32.dll','32');

 DeleteFile('C:\ProgramData\TomorrowGames\TomorrowGames64.dll','32');

 DeleteFile('C:\ProgramData\TomorrowGames\TomorrowGames.exe','32');

 DeleteFile('C:\Users\admin\local settings\application data\ExtensionInstaller_14\config.json','32');

 DeleteFile('C:\Users\admin\local settings\application data\ExtensionInstaller_14\extinst.exe','32');

 DeleteFile('C:\Users\admin\appdata\local\15136\updater.exe','32');

 DeleteFile('C:\Users\admin\AppData\Roaming\075BFA80-1435388158-0000-0000-000000000000\knsn9D3A.tmp', '32');

 DeleteFile('C:\Users\admin\AppData\Roaming\87wLaD6xwWD0iudA.exe', '32');

 DeleteFile('C:\Users\admin\AppData\Roaming\BYAIAMUF.exe', '32');

 DeleteFile('C:\Users\admin\AppData\Roaming\GNOK.exe', '32');

 DeleteFile('C:\Users\admin\AppData\Roaming\vhxQdOIoielAw.exe', '32');

 ExecuteFile('schtasks.exe', '/delete /TN "87wLaD6xwWD0iudA.job" /F', 0, 15000, true);

 ExecuteFile('schtasks.exe', '/delete /TN "BYAIAMUF.job" /F', 0, 15000, true);

 ExecuteFile('schtasks.exe', '/delete /TN "GNOK.job" /F', 0, 15000, true);

 ExecuteFile('schtasks.exe', '/delete /TN "vhxQdOIoielAw.job" /F', 0, 15000, true);

 ExecuteFile('schtasks.exe', '/delete /TN "87wLaD6xwWD0iudA" /F', 0, 15000, true);

 ExecuteFile('schtasks.exe', '/delete /TN "BYAIAMUF" /F', 0, 15000, true);

 ExecuteFile('schtasks.exe', '/delete /TN "GNOK" /F', 0, 15000, true);

 ExecuteFile('schtasks.exe', '/delete /TN "DWCSYTTKQ1" /F', 0, 15000, true);

 ExecuteFile('schtasks.exe', '/delete /TN "ExtensionInstallerX_14" /F', 0, 15000, true);

 ExecuteFile('schtasks.exe', '/delete /TN "vhxQdOIoielAw" /F', 0, 15000, true);

 DeleteService('cytulygo');

 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ZaxarGameBrowser','command');

 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ZaxarLoader','command');

 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Timestasks','command');

ExecuteSysClean;

 ExecuteWizard('SCU', 2, 3, true);

 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');

RebootWindows(true);

end.

Компьютер перезагрузится.

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 8 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

Еще раз:

Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Sandor, Теперь все в порядке в компе?

Пожалуйста, запустите adwcleaner.exe
Нажмите Uninstall (Удалить).
Подтвердите удаление, нажав кнопку: Да.

Подробнее читайте в этом руководстве.

Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.