• Внимание. Восстановление баз 1С7, 1C8 и Mssql после атаки шифровальщика, подробности и отзывы читайте в профильной теме.

Решена Недолеченный ПК

Статус
В этой теме нельзя размещать новые ответы.

fseto

Активный пользователь
Сообщения
1,437
Реакции
320
Баллы
463
Вчера в 2 ночи скачал и запустил файл. запускал уже все подряд, т.к. не мог найти нужный мне драйвер, как все-таки поймал нечесть. Куча ярлыков сразу установилось совместно с вулканом, открывающиеся вкладки, редиректы и т.д., таких случаев было много на форуме.
Вроде решил визуальную проблему, когда взялся за uVS, лечение проводил днем.
Щас писал статью на форуме после чего отошел мин на 10, по возвращению оказалось, что Ябраузер удален, хорошо, что все сохранилось в черновик.
Посмотрите логи пожалуйста...
не загружаются файлы, логи скинул по ссылке

zalil.su - лучший способ обмениваться файлами. Бесплатный файлообменник
 
Последнее редактирование модератором:

Кирилл

Команда форума
Администратор
Сообщения
13,845
Реакции
6,188
Баллы
913
@fseto C:\Users\123\AppData\Roaming\RAVBg6.exe - это твое?

Program Files\Skillbrains\Updater\1.7.0.5 -? (Похоже от Ligtshot)
  1. Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.
  2. Откройте папку с распакованной утилитой uVS и запустите файл start.exe. В открывшимся окне выберите пункт "Запустить под текущим пользователем".
  3. Выделите и правой кнопкой мыши скопируйте следующий скрипт в буфер обмена:
    Код:
    ;uVS v3.87.8 [http://dsrt.dyndns.org]
    ;Target OS: NTv6.1
    v388c
    breg
    sreg
    zoo %SystemDrive%\$RECYCLE.BIN\S-1-5-21-1792540248-693599133-726422472-1000\$I0BBTSA.EXE
    dirzoo %SystemDrive%\PROGRAM FILES\SKILLBRAINS\UPDATER\1.7.2.0
    delref HTTPS://%66%65%65%64.%73%6F%6E%69%63-%73%65%61%72%63%68.%63%6F%6D/?P=MKO_AWFZXIPYRAHDGKBRHOJYN9_5EDL7QPPMXLOEZUFOGNKAUWGLZOVT71UXFVCSVQENCNQFN6MMTXV7XVN_USVLFX_CTODCOYRKOVSNYISLH2IZ6GYTVFZYT1QBUPYXEVZVWPZLXENU60P1GCJV3VWGUA_S7SIARJLJLWBYRGUNT87Y-AWT3VH6EP_YDM
    zoo %SystemDrive%\USERS\123\APPDATA\ROAMING\RAVBG6.EXE
    zoo %SystemDrive%\USERS\123\APPDATA\ROAMING\MICROSOFT\WINDOWS\START MENU\PROGRAMS\STARTUP\X.VBS
    delall %SystemDrive%\PROGRAM FILES\TORRENT SEARCH\IEEF\HZKPJF3G.DLL
    
    czoo
    deltmp
    areg
  4. В uVS выберите пункт меню "Скрипт" => "Выполнить скрипт находящийся в буфере обмена..."
  5. Нажмите на кнопку "Выполнить" и дождитесь окончания работы программы. Прошу учесть, что компьютер может быть перезагружен.
  6. После выполнения скрипта зайдите в папку, где распакована утилита uVS найдите архив, имя которого соответствует дате и времени запуска скрипта с префиксом ZOO_ (например: ZOO_2013-06-30_22-04-27.7z)
    Если архив отсутствует, то заархивруйте папку ZOO с паролем virus.​
  7. Полученный архив отправьте с помощью этой формы или (если размер архива превышает 8 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.
  8. Подробнее читайте в этом руководстве.


  • Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
  • Запустите его (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S1].txt.
  • Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 
Последнее редактирование:

fseto

Активный пользователь
Сообщения
1,437
Реакции
320
Баллы
463

Кирилл

Команда форума
Администратор
Сообщения
13,845
Реакции
6,188
Баллы
913
Исправил,теперь можно.
 

fseto

Активный пользователь
Сообщения
1,437
Реакции
320
Баллы
463
карантин от uvs отправил на почту- quarantine * safezone, т.к на oszone не загрузилось, странно, проблема на сервере или у меня...
 

Вложения

Кирилл

Команда форума
Администратор
Сообщения
13,845
Реакции
6,188
Баллы
913
- Удалите в AdwCleaner всё кроме папок от mail.ru - если программами от mail.ru не пользуетесь, то их тоже удалите. Отчет после удаления прикрепите.

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:
Код:
start
CreateRestorePoint:
Task: {37DDD310-225A-4B4D-9FB1-ACD9F68E0E7B} - \Driver Booster SkipUAC (123) -> No File <==== ATTENTION
Task: {BA98F42B-FD3F-4BCE-8E9B-D19EB87212CE} - \Microsoft\Windows\Multimedia\Manager -> No File <==== ATTENTION
AlternateDataStreams: C:\Users\123\Local Settings:init [5442592]
AlternateDataStreams: C:\Users\123\AppData\Local:init [5442592]
AlternateDataStreams: C:\Users\123\AppData\Local\Application Data:init [5442592]
FirewallRules: [TCP Query User{585FD97B-71F1-42EB-91A7-BE898AA5B2DE}C:\users\123\appdata\local\mediaget2\mediaget.exe] => C:\users\123\appdata\local\mediaget2\mediaget.exe
FirewallRules: [UDP Query User{EBC5E620-D7E9-46BC-AACB-95AC8161B61F}C:\users\123\appdata\local\mediaget2\mediaget.exe] => C:\users\123\appdata\local\mediaget2\mediaget.exe
FirewallRules: [{D66D0ED4-7FEE-4E65-A792-BB788FD82790}] => C:\Users\123\AppData\Local\Amigo\Application\amigo.exe
File: C:\Users\123\AppData\Roaming\Microsoft\idrahdib\jgfgadrj.exe
C:\Users\123\AppData\Roaming\Microsoft\idrahdib\jgfgadrj.exe
HKU\S-1-5-21-1792540248-693599133-726422472-1000\...\Run: [FastStone] => C:\Users\123\AppData\Roaming\Microsoft\idrahdib\jgfgadrj.exe
HKU\S-1-5-21-1792540248-693599133-726422472-1000\...\Policies\Explorer\Run: [AppDataLow] => C:\Users\123\AppData\Roaming\Microsoft\jrfveeui\jgfgadrj.exe
GroupPolicy: Restriction - Windows Defender <======= ATTENTION
GroupPolicy\User: Restriction ? <======= ATTENTION
Folder: D C:\Program Files\41CPFZ2HZU
2017-01-13 12:27 - 2017-01-13 12:27 - 00000000 ____D C:\Program Files\41CPFZ2HZU
2017-01-13 11:41 - 2017-01-13 11:41 - 00000000 ____D C:\Program Files\GQO05MKGVP
2017-01-13 11:38 - 2017-01-13 11:38 - 00000000 ____D C:\Program Files\K13MQUVWWM
2017-01-13 02:00 - 2017-01-13 12:40 - 00000000 ____D C:\Program Files\Y015O3RMLN
2017-01-13 02:00 - 2017-01-13 02:00 - 01906987 _____ C:\Users\123\AppData\Roaming\Y-phase.tst
2017-01-13 02:00 - 2017-01-13 02:00 - 00982016 _____ C:\Users\123\AppData\Roaming\Y-phase.exe
EmptyTemp:
Reboot:
end
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!
Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
Подробнее читайте в этом руководстве.


mail ru - ваше или удаляем?

Пожалуйста, заархивируйте папку C:\FRST\Quarantine, установив пароль virus, и полученный архив отправьте на этот почтовый ящик: quarantine<at>safezone.cc (замените <at> на @ ).
В тексте письма укажите ссылку на данную тему и пароль - virus .



Сообщите о наличии проблем.
 

fseto

Активный пользователь
Сообщения
1,437
Реакции
320
Баллы
463

Вложения

Кирилл

Команда форума
Администратор
Сообщения
13,845
Реакции
6,188
Баллы
913
никаких mail, удаляем конечно.
Давай свежий лог FRST +

  • Загрузите SecurityCheck by glax24 отсюда и сохраните утилиту на Рабочем столе.
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7)
  • Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.
Подробнее читайте в этом разделе форума поддержки утилиты.
 
Последнее редактирование:

Кирилл

Команда форума
Администратор
Сообщения
13,845
Реакции
6,188
Баллы
913
Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:
Код:
start
CreateRestorePoint:
(Mail.Ru) C:\Program Files\Mail.Ru\MailRuUpdater\MailRuUpdater.exe
HKU\S-1-5-21-1792540248-693599133-726422472-1000\...\Run: [MailRuUpdater] => C:\Users\123\AppData\Local\Mail.Ru\MailRuUpdater.exe
SearchScopes: HKU\S-1-5-21-1792540248-693599133-726422472-1000 -> DefaultScope {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={SearchTerms}&product_id=%7BCFDC3B76-9397-478A-BF9E-F9996D74CD41%7D&gp=821112
SearchScopes: HKU\S-1-5-21-1792540248-693599133-726422472-1000 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={SearchTerms}&product_id=%7BCFDC3B76-9397-478A-BF9E-F9996D74CD41%7D&gp=821112
R2 Updater.Mail.Ru; C:\Program Files\Mail.Ru\MailRuUpdater\MailRuUpdater.exe [4157656 2016-10-21] (Mail.Ru)
2017-01-13 02:00 - 2017-01-13 13:55 - 00000000 ____D C:\Users\123\AppData\Local\Mail.Ru
2017-01-13 02:00 - 2017-01-13 12:40 - 00000000 ____D C:\Program Files\BestCleaner
2017-01-13 02:00 - 2017-01-13 12:24 - 00000000 ____D C:\Program Files\Mail.Ru
2017-01-13 02:00 - 2017-01-13 02:00 - 00000000 ____D C:\Users\Все пользователи\Mail.Ru
2017-01-13 02:00 - 2017-01-13 02:00 - 00000000 ____D C:\ProgramData\Mail.Ru
2017-01-13 01:59 - 2017-01-13 12:40 - 00000000 ____D C:\Program Files\OWUR7J9BGK
Task: {8635021A-7A22-48AC-8FCA-DBAF97A8D160} - System32\Tasks\MailRuUpdater => C:\Users\123\AppData\Local\Mail.Ru\MailRuUpdater.exe
EmptyTemp:
Reboot:
end
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!
Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
Подробнее читайте в этом руководстве.


Удалите папку C:\FRST


  • Пожалуйста, запустите adwcleaner.exe
  • Нажмите Файл - Деинсталлировать.
  • Подтвердите удаление нажав кнопку: Да.

Подробнее читайте в этом руководстве.

Устраните:

Internet Explorer 8.0.7601.17514 Внимание! Скачать обновления
^Онлайн установка. Последняя версия доступна при включенном обновлении Windows через интернет.^
Автоматическое обновление отключено

WinRAR 5.20 (32-разрядная) v.5.20.0 Внимание! Скачать обновления


Выполните рекомендации после лечения.


Удачи.
 
Статус
В этой теме нельзя размещать новые ответы.
Сверху Снизу