Решена log ComboFix все в порядке и программу можно удалить?

[elmor]

Здравствуйте! Устав от постоянно выскакивающего черного окна на десктопе, перегревающегося компьютера и chatzum toolbar инсталлированый случайно и который никак не получалось удалить, загрузила и прокрутила ComboFix.
Предыдушие cканирования Malwarebyte и Spybot не находили никаких вирусов

Chatzum удалила с помощью HiJackThis (Fix checked ) с последующим удалением из компьютера.

Компьютер больше не перегревается, черное окно не появляется.

Помогите пожалуйста с log ComboFix.....не уверена, что все в порядке и могу ли удалить ComboFix

Прикрепляю log ComboFix, log HijackThis и log Vir.IT eXplorer Lite

Заранее благодарю за помощь

 

[Ботан]

Приветствую elmor, вы обратились в раздел оказания помощи в удалении вредоносного ПО. Консультанты в ближайшее время ответят на ваш запрос.​

__________________________________________________

Пожалуйста убедитесь в том, что вы подготовили и прикрепили к теме необходимые логи для проведения анализа:

• virusinfo_syscure.zip, virusinfo_syscheck.zip, log.txt, info.txt

Если вы этого еще не сделали, то вам необходимо прочесть тему Правила оформления запроса о помощи и подготовить логи.

__________________________________________________
С уважением, администрация SafeZone.​

 

[Severnyj]

1. Выполните правила, как указал Бот в сообщении выше

2. Скопируйте текст ниже в блокнот и сохраните как файл с названием CFScript.txt на рабочий стол.

KillAll::

File::
c:\users\USER\AppData\Local\Temp\022321~1.EXE
C:\Users\USER\AppData\Local\Temp\OLL.exe
C:\Users\USER\AppData\Local\Temp\HXC.exe
Driver::
0223211256730233mcinstcleanup
OLL
HXC
Folder::

Registry::

FileLook::

DirLook::

ClearJavaCache::

Reboot::

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix, запакуйте ComboFix.txt и прикрепите к сообщению.

3.

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Search" и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner[R1].txt.
• Прикрепите отчет к своему следующему сообщению.

 

[elmor]

прикрепляю логи



готовлю ComboFix.txt и AdwCleaner.txt

 

[akok]

www.tgsoft.it - сами устанавливали?

Добавлено через 3 минуты 45 секунд
В остальном давайте дождемся всех логов. Иначе будет каша.

Спасибо.

 

[elmor]

да, устанавливала я

прикрепляю запакованный log Combofix

и готовлю AdwCleaner

 

[elmor]

log AdwCleaner

 

[akok]

Какой у вас ноутбук?

Проверьте на www.virustotal.com файл и сообщите результат.

c:\windows\system32\rpcnetp.exe

Деинсталлируйте ComboFix: нажмите Пуск => Выполнить в окне наберите команду ComboFix /Uninstall, нажмите кнопку "ОК"

Скачайте OTCleanIt, запустите, нажмите Clean up


AVZ, меню "Файл - Выполнить скрипт" -- Скопировать ниже написанный скрипт-- Нажать кнопку "Запустить".

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 SearchRootkit(true, true);
 SetAVZGuardStatus(true);
 QuarantineFile('C:\Users\USER\AppData\Local\Temp\HXC.exe','');
 QuarantineFile('C:\Users\USER\AppData\Local\Temp\OLL.exe','');
 DeleteFile('C:\Users\USER\AppData\Local\Temp\022321~1.EXE');
 DeleteFile('C:\Users\USER\AppData\Local\Temp\OLL.exe');
 DeleteFile('C:\Users\USER\AppData\Local\Temp\HXC.exe');
 DeleteService('HXC');
 DeleteService('OLL');
 DeleteService('0223211256730233mcinstcleanup');
 BC_ImportALL;
  ExecuteSysClean;
   BC_Activate;
 RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Полученный архив отправьте на quarantine<at>safezone.cc (at=@) в заголовке (теме) письма укажите ссылку на тему.

Подготовьте лог SecurityCheck by screen317

 

[elmor]

Windows Vista Home Basic
Service Pack 2
Hewlett-Packard
HP Compaq 6735s
AMD Sempron(tm) SI-42 2.10 Ghz
(RAM) 2,00 GB



прикрепляю результат virustotal.com

 

[Severnyj]

Еще вот этот лог нужен:

Подготовьте лог SecurityCheck by screen317

 

[elmor]

GetAVZDirectory + quarantine.zip отправлен на quarantine<at>safezone.cc. Надеюь, что ничего не перепутала. Прикрепляю лог SecurityCheck by screen317

 

[Severnyj]

Старые версии Java удалите через установку/удаление программ (Панель управления - Программы и компоненты):

 Java(TM) 6 Update 20  
 Java 7 Update 7  
 Java(TM) 6 Update 7

Скачайте и установите последнюю версию Java (Статья про Java)

Устав от постоянно выскакивающего черного окна на десктопе, перегревающегося компьютера

У Вас слишком много программ в автозагрузке, отметьте галочками ненужные из списка ниже и пофиксите в HiJackThis:

O4 - HKLM\..\Run: [StartCCC] "c:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe"
O4 - HKLM\..\Run: [accrdsub] "c:\Program Files\ActivIdentity\ActivClient\accrdsub.exe"
O4 - HKLM\..\Run: [WatchDog] C:\Program Files\InterVideo\DVD Check\DVDCheck.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Program Files\Common Files\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [ataDaemon] C:\Program Files\AliceTiAiuta\McciTrayApp.exe
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Program Files\Analog Devices\Core\smax4pnp.exe
O4 - HKLM\..\Run: [KiesTrayAgent] C:\Program Files\Samsung\Kies\KiesTrayAgent.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [APSDaemon] "C:\Program Files\Common Files\Apple\Apple Application Support\APSDaemon.exe"
O4 - HKCU\..\Run: [LightScribe Control Panel] C:\Program Files\Common Files\LightScribe\LightScribeControlPanel.exe -hidden
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [ISUSPM Startup] C:\PROGRA~1\COMMON~1\INSTAL~1\UPDATE~1\isuspm.exe -startup
O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe
O4 - HKCU\..\Run: [KiesPDLR] C:\Program Files\Samsung\Kies\External\FirmwareUpdate\KiesPDLR.exe
O4 - HKCU\..\Run: [KiesPreload] C:\Program Files\Samsung\Kies\Kies.exe /preload

Несколько антивирусных и антишпионских программ могут вызвать замедление и нестабильность работы компьютера.

Оставьте:

• Avast
• MBAM

Деинсталлируйте:

• Spybot S&D
• VirIT eXplorer

Ознакомьтесь с этими рекомендациями

+

Способы повышения быстродействия компьютера

Как самочувствие компьютера?

 

[elmor]

Компьютер чувствует себя намного лучше. Спасибо!
Проблемы с Explorer, там до сих пор "сидит" chatzum и много старых не нужных компонентов. Наверное нужно заменить его на на Оперу?
Попыталась обновить Vlc с версии 1.6, которая работала хорошо на последнюю 2.0.1..... не воспроизводит.
HiJack, SecurityCheck, adwcleaner, avz можно удалить?

 

[Severnyj]

• Запустите повторно AdwCleaner (by Xplode) (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Delete" и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner[S1].txt.
• Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления может потребоваться перезагрузка компьютера!!!

+

Пополните, пожалуйста, базу безопасных файлов антивирусной утилиты AVZ:

1. Запустите AVZ.
2. Выполните обновление баз (Меню Файл - Обновление баз)
3. Закройте все приложения, и запустите используемый в Вашей системе интернет-браузер (например Internet Explorer, FireFox, Opera и т.д. - если применяется несколько браузеров, то необходимо запустить их все для того чтобы AVZ смог проанализировать используемые браузерами модули расширения и плагины)
4. В AVZ выберите пункт меню Файл - Стандартные скрипты. В открывшемся окне необходимо отметить скрипт № 4 ("Скрипт сбора неопознанных и подозрительных файлов") и нажать кнопку "Выполнить отмеченные скрипты". Выполнение скрипта займет некоторое время, порядка 1 - 5 мин. В результате в папке AVZ будет создан подкаталог LOG, в нем архив с именем virusinfo_files_<имя_ПК>.zip
5. Закачайте полученный архив, как описано на этой странице.
6. Если размер архива превышает 20 Мб закачайте его на любой файлообменник, не требующий ввода капчи (например: RGhost, Zalil, Dump.Ru или WebFile) и оставьте ссылку на скачивание в своём сообщение.

 

[akok]

Проблема решена?

 

[elmor]

@ akoK: еще нет

@ Severnyj:

прикреплен лог AdwCleaner

 

[Severnyj]

После AdwCleaner - как дела с Internet Explorer?

Если все еще присутствует тулбар, то Подготовьте лог OTL by OldTimer

 

[elmor]

Explorer не "лечится", chatzum инсталлировался с попыткой установить EasyPhp 12, который, похоже, нужно грамотно удалить....его нет в инсталлированных программах, но есть в C:\Program Files.
Запуская Explorer выходит сообщение: одна программа (не понятно какая) меняет установку с google.it на chatzum.

Сообщения OTL (не знаю на сколько вам поможет эта информация):
C:\Users\Default повреждённый и не читается, выполнить утилит Chkdsk; если провожу старт-> поиск-папку не видно

то же самое для C:\users\USER\AppData\Roaming\Microsoft\Protect\S-1-5-21-3627282963-1625274485-11350039368-1004

последние изменения сделаны 27/01/12, не открывается;

прикрепляю логи OTL
Еще раз спасибо вам за помощь!

 

[Severnyj]

О, мы с Вами можем и помучатся, с этой подменой, готовы?

Первое:

• Запустите повторно OTL by OldTimer или OTL.com или OTL.scr.
  
  Обратите внимание, что утилиты необходимо запускать от имени Администратора. По умолчанию в Windows XP так и есть. В Windows Vista и Windows 7 администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать Запуск от имени Администратора, при необходимости укажите пароль администратора и нажмите "Да".
  
• В окно Custom Scans/Fixes скопируйте следующую информацию:
  
  

  :processes
  :OTL
  SRV - File not found [Auto | Stopped] -- C:\VEXPLite\viritsvc.exe -- (viritsvclite)
  SRV - File not found [Auto | Stopped] -- C:\Program Files\xampp\apache\bin\apache.exe -- (Apache2)
  DRV - File not found [Kernel | On_Demand | Stopped] -- C:\Program Files\Lavasoft\Ad-Aware\KernExplorer.sys -- (Lavasoft Kernexplorer)
  IE - HKLM\..\SearchScopes,DefaultScope = {0633EE93-D776-472f-A0FF-E1416B8B2E3A}
  IE - HKLM\..\SearchScopes\{664976B9-9336-4887-BED3-FD019971DEA1}: "URL" = http://search.chatzum.com/?q={searchTerms}
  IE - HKCU\..\SearchScopes\{CCC7A320-B3CA-4199-B1A6-9F516DD69829}: "URL" = http://search.chatzum.com/?q={searchTerms}
  O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - No CLSID value found.
  O16 - DPF: {C345E174-3E87-4F41-A01C-B066A90A49B4} http://trial.trymicrosoftoffice.com/trialoaa/buymsoffice_assets/framework//microsoft/wrc32.ocx (WRC Class)
  O16 - DPF: {F27237D7-93C8-44C2-AC6E-D6057B9A918F} https://juniper.net/dana-cached/sc/JuniperSetupClient.cab (JuniperSetupClientControl Class)
  ActiveX: {2179C5D3-EBFF-11CF-B6FD-00AA00B4E220} - 
  ActiveX: {44BBA848-CC51-11CF-AAFA-00AA00B6015C} - 
  [2012/10/07 14.50.20 | 000,000,000 | --SD | C] -- C:\32788R22FWJFW
  [2006/11/02 14.51.16 | 000,000,227 | RHS- | M] () -- C:\windows\assembly\Desktop.ini
  [2012/10/04 17.09.47 | 000,000,000 | ---D | C] -- C:\VEXPLite
  :Services
  
  :Files
  ipconfig /flushdns /c
  :Reg
  
  :Commands
  [EMPTYTEMP]
  [purity]
  [start explorer]
  [Reboot]

• Проверьте, что весь текст скрипта был скопирован / вставлен верно и нажмите кнопку "Run Fix"
• Компьютер перезагрузится.
• После перезагрузки откройте папку "C:\_OTL\MovedFiles", найдите последний .log файл (лог в формате mmddyyyy_hhmmss.log), откройте и скопируйте текст из него в следующее сообщение.

Второе:

1. Скачайте RogueKiller отсюда или отсюда и сохраните его на Рабочем столе
2. Сохраните все несохраненные данные и закройте все открытые приложения!!!
3. Отсоедините от компьютера все внешние USB-накопители!
4. Если у Вас Vista или Windows 7, щелкните по значку RogueKiller правой кнопкой мыши и выберите пункт "Запустить от имени Администратора"
5. Если у Вас Windows XP, просто запустите RogueKiller двойным щелчком мыши.
6. Подождите пока RogueKiller произведет предварительное сканирование...
7. Затем нажмите кнопку "Scan"
   
   
8. Дождитесь окончания сканирования, когда в статусном окне отобразится надпись "Scan Finished"
9. Нажмите кнопку Report и скопируйте текст из окна Блокнота в следующее сообщение.
10. Или найдите на рабочем столе лог вида: RKreport[1].txt и прикрепите его к следующему сообщению
11. Закройте RogueKiller.

Примечание: Без указания хелпера ничего самостоятельно не удаляйте!!!

Третье:

1. Скачайте архив TDSSKiller.zip и распакуйте его в отдельную папку;
2. Запустите файл TDSSKiller.exe;
3. Нажмите кнопку "Изменить параметры проверки";
4. Установите все галочки, кроме "Объекты для проверки" - "Загруженные модули";
5. Подтвердите изменение настроек нажатием кнопки "ОК";
6. Нажмите кнопку "Начать проверку";
7. В процессе проверки могут быть обнаружены объекты двух типов:
   • вредоносные (точно было установлено, какой вредоносной программой поражен объект);
   • подозрительные (тип вредоносного воздействия точно установить невозможно).
8. По окончании проверки утилита выводит список обнаруженных объектов с их подробным описанием.
9. Для вредоносных объектов утилита автоматически определяет действие: Лечить или Удалить.
10. Для подозрительных объектов утилита предоставляет выбор действия пользователю (по умолчанию Пропустить).
11. Самостоятельно без указания хелпера ничего не не удаляйте!!!
12. После нажатия кнопки Продолжить утилита выполняет выбранные действия и выводит результат.
13. Прикрепите лог утилиты к своему следующему сообщению

По умолчанию утилита выводит отчет работы в корень системного диска (диска, на котором установлена операционная система, как правило, это диск С:\).
Имя отчета имеет следующий вид: ИмяУтилиты.ВерсияДатаВремя_log.txt
Например, C:\TDSSKiller.2.4.7_23.07.2010_15.31.43_log.txt

 

[elmor]

ну, то, что мне мучится придется так это понятно было, а вы, похоже, развлекаетесь arty:

Лог ОТL:

All processes killed
========== PROCESSES ==========
========== OTL ==========
Error: No service named viritsvclite was found to stop!
Service\Driver key viritsvclite not found.
File C:\VEXPLite\viritsvc.exe not found.
Error: No service named Apache2 was found to stop!
Service\Driver key Apache2 not found.
File C:\Program Files\xampp\apache\bin\apache.exe not found.
Error: No service named Lavasoft Kernexplorer was found to stop!
Service\Driver key Lavasoft Kernexplorer not found.
File C:\Program Files\Lavasoft\Ad-Aware\KernExplorer.sys not found.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\\DefaultScope| /E : value set successfully!
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{664976B9-9336-4887-BED3-FD019971DEA1}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{664976B9-9336-4887-BED3-FD019971DEA1}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{CCC7A320-B3CA-4199-B1A6-9F516DD69829}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CCC7A320-B3CA-4199-B1A6-9F516DD69829}\ not found.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\\{47833539-D0C5-4125-9FA8-0819E2EAAC93} not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{47833539-D0C5-4125-9FA8-0819E2EAAC93}\ not found.
Starting removal of ActiveX control {C345E174-3E87-4F41-A01C-B066A90A49B4}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{C345E174-3E87-4F41-A01C-B066A90A49B4}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{C345E174-3E87-4F41-A01C-B066A90A49B4}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{C345E174-3E87-4F41-A01C-B066A90A49B4}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{C345E174-3E87-4F41-A01C-B066A90A49B4}\ not found.
Starting removal of ActiveX control {F27237D7-93C8-44C2-AC6E-D6057B9A918F}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{F27237D7-93C8-44C2-AC6E-D6057B9A918F}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F27237D7-93C8-44C2-AC6E-D6057B9A918F}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{F27237D7-93C8-44C2-AC6E-D6057B9A918F}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F27237D7-93C8-44C2-AC6E-D6057B9A918F}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{2179C5D3-EBFF-11CF-B6FD-00AA00B4E220}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{2179C5D3-EBFF-11CF-B6FD-00AA00B4E220}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Active Setup\Installed Components\{2179C5D3-EBFF-11CF-B6FD-00AA00B4E220}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{2179C5D3-EBFF-11CF-B6FD-00AA00B4E220}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{44BBA848-CC51-11CF-AAFA-00AA00B6015C}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{44BBA848-CC51-11CF-AAFA-00AA00B6015C}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Active Setup\Installed Components\{44BBA848-CC51-11CF-AAFA-00AA00B6015C}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{44BBA848-CC51-11CF-AAFA-00AA00B6015C}\ not found.
Folder C:\32788R22FWJFW\ not found.
File C:\windows\assembly\Desktop.ini not found.
Folder C:\VEXPLite\ not found.
========== SERVICES/DRIVERS ==========
========== FILES ==========
[color=#A23BEC]< ipconfig /flushdns /c >[/color]
Configurazione IP di Windows
Cache del resolver DNS svuotata.
C:\Users\USER\Desktop\cmd.bat deleted successfully.
C:\Users\USER\Desktop\cmd.txt deleted successfully.
========== REGISTRY ==========
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: All Users
 
User: Default
 
User: Default User
 
User: Public
->Temp folder emptied: 0 bytes
 
User: USER
->Temp folder emptied: 53369685 bytes
->Temporary Internet Files folder emptied: 6872679 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 60239245 bytes
->Google Chrome cache emptied: 6157570 bytes
->Flash cache emptied: 11101053 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 6688 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 871830 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temporary Internet Files folder emptied: 0 bytes
RecycleBin emptied: 0 bytes
 
Total Files Cleaned = 132,00 mb
 
 
OTL by OldTimer - Version 3.2.69.0 log created on 10092012_165336

Files\Folders moved on Reboot...
File move failed. C:\windows\temp\_avast_\Webshlock.txt scheduled to be moved on reboot.

PendingFileRenameOperations files...

Registry entries deleted on Reboot...

+ лог RKreport + лог TDSSKiller

Вы, наверное, волшебники? :angel:

Компьютер заработал как новенький, даже перегружать страшно, catzum пропал, похоже все в порядке! :yahoo: