• Внимание. Восстановление баз 1С7, 1C8 и Mssql после атаки шифровальщика, подробности и отзывы читайте в профильной теме.

Решена Сами устанавливаются программы(без моего участия)

Статус
В этой теме нельзя размещать новые ответы.

Рустам

Пользователь
Сообщения
24
Реакции
1
Баллы
43
Привет всем, помогите , пожалуйста! Вчера скачал игру , после чего начали устанавливаться различные программы( без моего участия) и вечно выскакивает прога - QQPCTray.exe . что делать?
 

Вложения

Кирилл

Команда форума
Администратор
Сообщения
13,821
Реакции
6,166
Баллы
913
Здравствуйте.

Пополните, пожалуйста, базу файлов антивирусной утилиты AVZ:
  1. Запустите AVZ.
  2. Выполните обновление баз (Меню Файл - Обновление баз)
  3. Закройте все приложения, и запустите используемый в Вашей системе интернет-браузер (например Internet Explorer, FireFox, Opera и т.д. - если применяется несколько браузеров, то необходимо запустить их все для того чтобы AVZ смог проанализировать используемые браузерами модули расширения и плагины)
  4. В AVZ выберите пункт меню Файл - Стандартные скрипты. В открывшемся окне необходимо отметить скрипт № 8 ("VirusInfo.Info: Скрипт сбора файлов для экспресс-анализа ПК") и нажать кнопку "Выполнить отмеченные скрипты". Выполнение скрипта займет некоторое время, порядка 1 - 5 мин. В результате в папке AVZ будет создан подкаталог LOG, в нем архив с именем virusinfo_files_<имя_ПК>.zip
  5. Закачайте полученный архив, как описано на этой странице.
  6. Если размер архива превышает 100 Мб закачайте его на любой файлообменник, не требующий ввода капчи (например: RGhost, Zalil, UkrShara или WebFile) и укажите ссылку на скачивание в своём следующем сообщении.


Удалите через установку и удаление программ:
globalupdate Helper
SavePass 1.1

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

Код:
begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
TerminateProcessByName('c:\program files (x86)\tencent\qqpcmgr\10.9.16349.225\qqpctray.exe');
TerminateProcessByName('c:\program files (x86)\tencent\qqpcmgr\10.9.16349.225\qqpcrtp.exe');
TerminateProcessByName('c:\users\Анжела\appdata\roaming\2f3e6451-1433539620-e311-a367-201a067eb16f\jnsy8bf.tmp');
TerminateProcessByName('c:\users\Анжела\appdata\roaming\2f3e6451-1433539620-e311-a367-201a067eb16f\hnsi20dd.tmp');
TerminateProcessByName('c:\programdata\appmgr6.49.325397\appmgr.exe');
SetServiceStart('TSDefenseBt', 4);
SetServiceStart('TSSysKit', 4);
SetServiceStart('TSCPM', 4);
SetServiceStart('TFsFlt', 4);
SetServiceStart('TAOKernelDriver', 4);
SetServiceStart('TAOAccelerator', 4);
SetServiceStart('QQSysMonX64', 4);
SetServiceStart('QMUdisk', 4);
SetServiceStart('QQPCRTP', 4);
SetServiceStart('cybusyro', 4);
SetServiceStart('dequzody', 4);
SetServiceStart('AppMgr6.49.325397', 4);
StopService('TSDefenseBt');
StopService('TSSysKit');
StopService('TSCPM');
StopService('TFsFlt');
StopService('TAOKernelDriver');
StopService('TAOAccelerator');
StopService('QQSysMonX64');
StopService('QMUdisk');
StopService('QQPCRTP');
StopService('cybusyro');
StopService('dequzody');
StopService('AppMgr6.49.325397');
QuarantineFile('C:\ProgramData\Tencent\TSVulFw\TSVulFW.DAT', '');
QuarantineFile('C:\iexplore.bat', '');
QuarantineFile('C:\Program Files (x86)\Google\chrome.bat', '');
QuarantineFile('kozitoku.sys', '');
QuarantineFile('C:\PROGRA~2\YTDOWN~1\BROWSE~2.EXE', '');
QuarantineFile('C:\Windows\system32\Drivers\TFsFltX64.sys', '');
QuarantineFile('C:\Windows\System32\Drivers\TAOKernel64.sys', '');
QuarantineFile('C:\Windows\system32\Drivers\TAOAccelerator64.sys', '');
QuarantineFile('C:\Windows\system32\Geywsizwha.dll', '');
QuarantineFileF('C:\Users\Анжела\AppData\Roaming\Tencent', '*', true, '', 0 , 0);
QuarantineFileF('C:\ProgramData\IketYol', '*', true, '', 0 , 0);
QuarantineFile('c:\program files (x86)\winstep\nexus.exe', '');
QuarantineFile('c:\programdata\iketyol\usaasudig.exe', '');
QuarantineFileF('C:\Program Files (x86)\Tencent', '*', true, '', 0 , 0);
QuarantineFile('c:\users\Анжела\appdata\roaming\2f3e6451-1433539620-e311-a367-201a067eb16f\jnsy8bf.tmp', '');
QuarantineFile('c:\programdata\iketyol\epuiwshb.exe', '');
QuarantineFile('c:\programdata\iketyol\geywsizwha.exe', '');
QuarantineFile('c:\users\Анжела\appdata\roaming\2f3e6451-1433539620-e311-a367-201a067eb16f\hnsi20dd.tmp', '');
QuarantineFile('c:\programdata\appmgr6.49.325397\appmgr.exe', '');
DeleteFile('c:\programdata\appmgr6.49.325397\appmgr.exe', '32');
DeleteFile('C:\Windows\system32\Drivers\TAOAccelerator64.sys', '32');
DeleteFile('C:\Windows\System32\Drivers\TAOKernel64.sys', '32');
DeleteFile('C:\Windows\system32\Drivers\TFsFltX64.sys', '32');
DeleteFile('C:\Users\Анжела\AppData\Roaming\2F3E6451-1433539620-E311-A367-201A067EB16F\jnsy8BF.tmp', '32');
DeleteFile('C:\Users\Анжела\AppData\Roaming\2F3E6451-1433539620-E311-A367-201A067EB16F\hnsi20DD.tmp', '32');
DeleteFile('C:\Program Files (x86)\Google\chrome.bat', '32');
DeleteFile('C:\iexplore.bat', '32');
DeleteService('TSDefenseBt');
DeleteService('TSSysKit');
DeleteService('TSCPM');
DeleteService('TFsFlt');
DeleteService('TAOKernelDriver');
DeleteService('TAOAccelerator');
DeleteService('QQSysMonX64');
DeleteService('QMUdisk');
DeleteService('TAOFrame');
DeleteService('QQPCRTP');
DeleteService('cybusyro');
DeleteService('dequzody');
DeleteService('AppMgr6.49.325397');
DeleteFileMask('C:\Users\Анжела\AppData\Roaming\Tencent', '*', true);
DeleteFileMask('C:\Program Files (x86)\Tencent', '*', true);
DeleteDirectory('C:\Users\Анжела\AppData\Roaming\Tencent', '');
DeleteDirectory('C:\Program Files (x86)\Tencent', '');
DelBHO('{0633EE93-D776-472f-A0FF-E1416B8B2E3D}');
DelCLSID('{63332668-8CE1-445D-A5EE-25929176714E}');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved', '{63332668-8CE1-445D-A5EE-25929176714E}');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved', '{CBDECEF7-7A29-4cbf-A009-2673D82C7BF9}');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Run', 'QQPCTray');
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
BC_ImportALL;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('SCU',2,3,true);
RebootWindows(true);
end.
Компьютер перезагрузится.

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 8 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

- Перетащите лог Check_Browsers_LNK.log на утилиту ClearLNK. Отчёт о работе прикрепите.


Для повторной диагностики запустите снова AutoLogger. В первом диалоговом окне нажмите "ОК", удерживая нажатой клавишу "Shift".


  • Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
  • Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
  • Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.
 

Рустам

Пользователь
Сообщения
24
Реакции
1
Баллы
43
Прошу заметить, что во время Выполнения Скрипта возникали ошибки( программа показывала "не отвечает" и к тому же в самой программе в окне, где выполняется скрипт, было видно, что скрипт выполняется с ошибками( ошибка прямого чтения) что -то вроде такого в итоге я не дождался выполнения. Ниже все то, что удалось выполнить.

http://files.webfile.ru/7d487fac4ca31115cff3d39d71a97372
 

Вложения

Кирилл

Команда форума
Администратор
Сообщения
13,821
Реакции
6,166
Баллы
913
Рустам, скрипт написан верно.
Выполнения Скрипта возникали ошибки
Это служебная информация,которая никак не повлияет на итог выполнения скрипта.
Программа не отвечает - это нормально,подождите,даже если это займет минут 20.

Давайте повтор с момента:

 

Рустам

Пользователь
Сообщения
24
Реакции
1
Баллы
43
Скрипт я выполнил( извините , что первый раз не дождался , все ОК). Прикрепляю файлы. ЧТО мне делать далее?
 

Вложения

Кирилл

Команда форума
Администратор
Сообщения
13,821
Реакции
6,166
Баллы
913
  • Запустите повторно AdwCleaner (by Xplode) (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать"), а по окончанию сканирования нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S0].txt.
  • Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

Подробнее читайте в этом руководстве.


Повторите лог adwcleaner
 

Рустам

Пользователь
Сообщения
24
Реакции
1
Баллы
43
Повторить лог adwcleaner?? Или auto logger? А то я не знаю как сделать лог adwcleaner =(. Отчет по adwcleaner ниже! Спасибо , что помогаете!
И еще, у меня поисковая система не изменилась в Гугл Хром. Там ранее была возможность выбора ( яндекс или гугл) , а сейчас стоит GetSearch и изменить его нельзя( пишет, что "ЭТОТ ПАРАМЕТР ВКЛЮЧЕН АДМИНИСТРАТОРОМ).
 

Вложения

Кирилл

Команда форума
Администратор
Сообщения
13,821
Реакции
6,166
Баллы
913
система не изменилась в Гугл Хром
Дойдет и до этого.

Загрузитесь в безопасном режиме.

  • Запустите повторно AdwCleaner (by Xplode) (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать"), а по окончанию сканирования нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S0].txt.
  • Прикрепите отчет к своему следующему сообщению
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

Подробнее читайте в этом руководстве.
 

Кирилл

Команда форума
Администратор
Сообщения
13,821
Реакции
6,166
Баллы
913
Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочками также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 

Кирилл

Команда форума
Администратор
Сообщения
13,821
Реакции
6,166
Баллы
913
Создайте текстовый файл fixlist.txt в папке с Farbar Recovery Scan Tool, скопируйте в него текст из окна "код" ниже и сохраните.
Код:
start
CreateRestorePoint:
HKLM-x32\...\Run: [ QQPCTray] => "C:\Program Files (x86)\Tencent\QQPCMgr\10.9.16349.225\QQPCTray.exe"  /regrun
HKLM-x32\...\Run: [gmsd_ru_269] => [X]
ShellIconOverlayIdentifiers: [.QMDeskTopGCIcon] -> {B7667919-3765-4815-A66D-98A09BE662D6} => C:\Program Files (x86)\Tencent\QQPCMgr\10.9.16349.225\QMGCShellExt64.dll No File
HKU\S-1-5-21-4206751043-1975737388-2937809838-1001\Software\Microsoft\Internet Explorer\Main,Search Page = http://spacesearch.ru/?ri=1&rsid=78edf675f7b0a8b824a1b685dd3f4181&q={searchTerms}
HKU\S-1-5-21-4206751043-1975737388-2937809838-1001\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://spacesearch.ru/?ri=1&rsid=78edf675f7b0a8b824a1b685dd3f4181&q={searchTerms}
HKU\S-1-5-21-4206751043-1975737388-2937809838-1002\Software\Microsoft\Internet Explorer\Main,Start Page = http://kiryandr-soft.org/
BHO: 电脑管家网页防火墙 -> {7C260B4B-F7A0-40B5-B403-BEFCDC6A4C3B} -> C:\Program Files (x86)\Tencent\QQPCMgr\10.9.16349.225\TSWebMon64.dat No File
FF Plugin-x32: @qq.com/QQPCMgr -> C:\Program Files (x86)\Tencent\QQPCMgr\10.9.16349.225\npQMExtensionsMozilla.dll No File
CHR Extension: (Tabie) - C:\Users\Анжела\AppData\Local\Google\Chrome\User Data\Default\Extensions\bfaohpmjmhdgnjblojekjlnadhehiadj [2015-06-07]
CHR Extension: (Chrome Hotword Shared Module) - C:\Users\Анжела\AppData\Local\Google\Chrome\User Data\Default\Extensions\lccekmodgklaepjeofjdjpbminllajkg [2015-06-07]
S2 QQSysMonX64; \??\C:\Program Files (x86)\Tencent\QQPCMgr\10.9.16349.225\QQSysMonX64.sys [X]
S1 TSCPM; \??\C:\Program Files (x86)\Tencent\QQPCMgr\10.9.16349.225\tscpm64.sys [X]
S3 TFsFlt; C:\Windows\System32\Drivers\TFsFltX64.sys [87864 2015-06-06] (电脑管家)
Task: C:\Windows\Tasks\bEqmz6CY.job => C:\Users\эяэяэяэяэяэя\AppData\Roaming\bEqmz6CY.exe <==== ATTENTION
AlternateDataStreams: C:\ProgramData\TEMP:D8999815
AlternateDataStreams: C:\Users\Анжела\OneDrive:ms-properties
AlternateDataStreams: C:\Users\Все пользователи\TEMP:D8999815
[-HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\QQPCRTP]
[-HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\Geywsizwha]
[-HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\QQPCRTP]
FirewallRules: [{972ACF71-902A-4656-A6CA-2BF7F471DAC9}] => (Allow) C:\program files (x86)\common files\tencent\qqdownload\130\tencentdl.exe
FirewallRules: [{ED29B6B7-4704-4F1D-BEC2-CE0F89879116}] => (Allow) C:\program files (x86)\common files\tencent\qqdownload\130\bugreport_xf.exe
EmptyTemp:
Reboot:
end
Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
Подробнее читайте в этом руководстве.


Сообщите какие проблемы остаются.
 

Рустам

Пользователь
Сообщения
24
Реакции
1
Баллы
43
Сделано.
Спасибо Вам огромное! Очень благодарен Вам! Если что, обращусь .
 

Вложения

Кирилл

Команда форума
Администратор
Сообщения
13,821
Реакции
6,166
Баллы
913
Давайте контрольный замер.

Для повторной диагностики запустите снова AutoLogger. В первом диалоговом окне нажмите "ОК", удерживая нажатой клавишу "Shift".

  • Загрузите SecurityCheck by glax24 отсюда и сохраните утилиту на Рабочем столе.
  • Запустите двойным щелчком мыши (если Вы используете Windows XP) или из меню по щелчку правой кнопки мыши Запустить от имени администратора (если Вы используете Windows Vista/7)
  • Если увидите предупреждение от вашего фаервола относительно программы SecurityCheck, не блокируйте ее работу.
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt;
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.
Подробнее читайте в этом разделе форума поддержки утилиты.
 

Рустам

Пользователь
Сообщения
24
Реакции
1
Баллы
43
Здравствуйте, это снова я. Я не заходил на сайт, поэтому не отправлял Вам крайний отчет, но у меня теперь появилась другая проблема. А именно : При переходе по ссылкам в "хроме" открываются окна с рекламой. Вы мне поможете?
 

akok

Команда форума
Администратор
Сообщения
17,677
Реакции
13,479
Баллы
2,203
Нужны свежие логи, посмотрим что повлияло + свежий лог AdwCleaner
 

akok

Команда форума
Администратор
Сообщения
17,677
Реакции
13,479
Баллы
2,203
Все, что нашел AdwCleaner можно удалить. В хроме есть установленные неизвестные дополнения?
 

Рустам

Пользователь
Сообщения
24
Реакции
1
Баллы
43
Хорошо, удалю. Да , есть парочка. Вот названия : Boomerang for Gmail1.2.4 . Tabie0.1
 
Статус
В этой теме нельзя размещать новые ответы.
Сверху Снизу