Компьютер живёт своей жизнью, в VK добавилась программа для скачивания аудио и видео

@alisa12345 · Регистрация: 09.05.2015

Компьютер живет своей жизнью
собственно, та же самая ситуация, только без участия аваста. и в вк добавилась прога для скачивания аудио и видио, нигде не могу найти её корни и удалить. при этом пользуюсь нормальной прогой savefrom.net. мне действовать так же как указано там?

@thyrex · 09.05.2015, 11:37

Правила оформления запроса лечения. Если не будет логов, мы отправим вас в эту тему

@alisa12345 · 09.05.2015, 12:23 **[ТС]**

...

@thyrex · 09.05.2015, 14:40

Выполните скрипт в AVZ

Код

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
QuarantineFile('C:\Users\Алиса\AppData\Local\SystemDir\nethost.exe','');
 QuarantineFile('C:\Users\44E9~1\AppData\Roaming\Funmoods\UPDATE~1\UPDATE~1.EXE','');
 QuarantineFile('C:\Users\44E9~1\AppData\Roaming\DSite\UPDATE~1\UPDATE~1.EXE','');
 QuarantineFile('C:\Program Files (x86)\Microsoft Data\install_addons.exe','');
 QuarantineFile('C:\Windows\system32\drivers\lwnfd_1_10_0_14.sys','');
 DeleteFile('C:\Windows\system32\drivers\lwnfd_1_10_0_14.sys','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\vhcungjyfw','command');
 DeleteFile('C:\Program Files (x86)\Microsoft Data\install_addons.exe','32');
 DeleteFile('C:\Users\44E9~1\AppData\Roaming\DSite\UPDATE~1\UPDATE~1.EXE','32');
 DeleteFile('C:\Users\44E9~1\AppData\Roaming\Funmoods\UPDATE~1\UPDATE~1.EXE','32');
 DeleteFile('C:\Users\Алиса\AppData\Local\SystemDir\nethost.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\nethost task','64');
 DeleteFile('C:\Windows\system32\Tasks\Funmoods','64');
 DeleteFile('C:\Windows\system32\Tasks\DSite','64');
 DeleteFile('C:\Windows\system32\Tasks\chrome5_logon','64');
 DeleteFile('C:\Windows\system32\Tasks\chrome5','64');
 DeleteService('lwnfd_1_10_0_14');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Компьютер перезагрузится.

Выполните скрипт в AVZ

Код

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

Отправьте c:\quarantine.zip при помощи этой формы

Сделайте новые логи по правилам

@alisa12345 · 10.05.2015, 16:04 **[ТС]**

...

@thyrex · 10.05.2015, 17:18

Скачайте Farbar Recovery Scan Tool [img]http://i.**********/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
[img]http://i.**********/B92LqRQ.png[/img]
Нажмите кнопку Scan.
После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

@alisa12345 · 10.05.2015, 19:26 **[ТС]**

...

@thyrex · 10.05.2015, 19:47

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:

Код

CreateRestorePoint:
HKU\S-1-5-21-2212062426-645522490-1671755098-1001\...\Run: [amigo] => [X]
GroupPolicy: Group Policy on Chrome detected <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
CHR HKU\S-1-5-21-2212062426-645522490-1671755098-1001\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://do-search.com/web/?type=ds&ts=1429533153&from=cor&uid=ST9500325AS_S2WGJX7AXXXXS2WGJX7A&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Search Page = http://do-search.com/web/?type=ds&ts=1429533153&from=cor&uid=ST9500325AS_S2WGJX7AXXXXS2WGJX7A&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://do-search.com/web/?type=ds&ts=1429533153&from=cor&uid=ST9500325AS_S2WGJX7AXXXXS2WGJX7A&q={searchTerms}
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Default_Search_URL = http://do-search.com/web/?type=ds&ts=1429533153&from=cor&uid=ST9500325AS_S2WGJX7AXXXXS2WGJX7A&q={searchTerms}
HKU\S-1-5-21-2212062426-645522490-1671755098-1001\Software\Microsoft\Internet Explorer\Main,Start Page = http://baltysya.ru/?utm_source=startpage03&utm_content=ceacbb0e3f6c2dcd4ee77273dc8641fb
FF Homepage: hxxp://baltysya.ru/?utm_source=startpage03&utm_content=ceacbb0e3f6c2dcd4ee77273dc8641fb
FF Extension: NetFilterPRO - C:\Users\Алиса\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\admin@netfilter.pro [2015-04-28]
CHR HomePage: Default -> hxxp://baltysya.ru/?utm_source=startpage03&utm_content=ceacbb0e3f6c2dcd4ee77273dc8641fb
CHR StartupUrls: Default -> "hxxp://baltysya.ru/?utm_source=startpage03&utm_content=ceacbb0e3f6c2dcd4ee77273dc8641fb"
CHR Extension: (NetFilterPRO) - C:\Users\Алиса\AppData\Local\Google\Chrome\User Data\Default\Extensions\plmlpbcjkpppncefeoongifnpinjmegf [2015-05-10]
CHR HKLM\...\Chrome\Extension: [kneggodalbcmgdkkfhbhbicbbahnacjb] - http://tninewy.ru/index.xml
CHR HKU\S-1-5-21-2212062426-645522490-1671755098-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [kneggodalbcmgdkkfhbhbicbbahnacjb] - http://tninewy.ru/index.xml
CHR HKLM-x32\...\Chrome\Extension: [kneggodalbcmgdkkfhbhbicbbahnacjb] - http://tninewy.ru/index.xml
OPR StartupUrls: "hxxp://baltysya.ru/?utm_source=startpage03&utm_content=ceacbb0e3f6c2dcd4ee77273dc8641fb"
OPR Extension: (NetFilterPRO) - C:\Users\Алиса\AppData\Roaming\Opera Software\Opera Stable\Extensions\plmlpbcjkpppncefeoongifnpinjmegf [2015-04-28]
2015-04-28 18:51 - 2015-04-29 18:55 - 00000000 ____D () C:\Users\Алиса\AppData\Local\Kometa
2015-04-28 18:43 - 2015-04-28 18:43 - 00000000 ____D () C:\Users\Алиса\AppData\Local\Вoйти в Интeрнет
2015-04-28 18:36 - 2015-04-28 18:36 - 00000000 ____D () C:\Users\Алиса\AppData\Local\Поиcк в Интeрнете
2015-04-28 18:34 - 2015-05-10 16:41 - 00000000 ____D () C:\Program Files (x86)\Microsoft Data
2015-04-28 18:34 - 2015-04-28 18:34 - 00000042 _____ () C:\Users\Алиса\AppData\Roaming\5769C26B163B89997
2015-04-28 18:34 - 2015-04-28 18:34 - 00000006 _____ () C:\Users\Алиса\AppData\Roaming\smw_inst
2015-04-28 18:33 - 2015-05-10 16:41 - 00000000 ____D () C:\Users\Алиса\AppData\Local\SystemDir
2015-04-20 18:37 - 2015-04-20 18:37 - 00000000 ____D () C:\Users\Все пользователи\2f4d2c3400004ce4
2015-04-20 18:37 - 2015-04-20 18:37 - 00000000 ____D () C:\ProgramData\2f4d2c3400004ce4
Task: {46950DBE-86E8-4844-937D-088926ACA1F6} - \chrome5_logon No Task File <==== ATTENTION
Task: {7735DB18-E762-4BF4-9BD3-644B77746E05} - \chrome5 No Task File <==== ATTENTION
Task: {7A2B24FB-4E48-4D78-990E-8722559A9814} - \Funmoods No Task File <==== ATTENTION
Task: {85FDD957-9EE6-4AFF-AE50-9AF9E5F91245} - \DSite No Task File <==== ATTENTION
Task: {C1897048-DA65-475F-AB9D-4EFFBD4E119E} - \nethost task No Task File <==== ATTENTION
Reboot:

Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
Обратите внимание, что компьютер будет перезагружен.

@alisa12345 · 11.05.2015, 14:29 **[ТС]**

...

@thyrex · 11.05.2015, 14:50

Что с проблемой?

@alisa12345 · 11.05.2015, 15:50 **[ТС]**

всё в норме, спасибо огромное) как здорово что есть такой форум)

@Sandor · 11.05.2015, 16:03

В завершение -

Выполните скрипт в AVZ при наличии доступа в интернет:

Код

var
LogPath : string;
ScriptPath : string;
begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';
  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else 
begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) 
else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить.
В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player.

Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления (если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

Прочтите и выполните Рекомендации после удаления вредоносного ПО

@alisa12345 0 / 0 / 0 Регистрация: 09.05.2015 Сообщений: 6
		1
	Компьютер живёт своей жизнью, в VK добавилась программа для скачивания аудио и видео 09.05.2015, 11:27. Показов 1004. Ответов 11 Метки нет (Все метки) Компьютер живет своей жизнью собственно, та же самая ситуация, только без участия аваста. и в вк добавилась прога для скачивания аудио и видио, нигде не могу найти её корни и удалить. при этом пользуюсь нормальной прогой savefrom.net. мне действовать так же как указано там? 0

@thyrex 11319 / 6433 / 1333 Регистрация: 06.09.2009 Сообщений: 24,367
	09.05.2015, 11:37	2
	Правила оформления запроса лечения. Если не будет логов, мы отправим вас в эту тему 0

@thyrex 11319 / 6433 / 1333 Регистрация: 06.09.2009 Сообщений: 24,367
	10.05.2015, 17:18	6
	Скачайте Farbar Recovery Scan Tool [img]http://i.********/NAAC5Ba.png[/img] и сохраните на Рабочем столе. Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением. Убедитесь, что в окне Optional Scan** отмечены "List BCD" и "Driver MD5". [img]http://i.********/B92LqRQ.png[/img] Нажмите кнопку Scan. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении. Если программа была запущена в первый раз, будет создан отчет (Addition.txt**). Пожалуйста, прикрепите его в следующем сообщении. 0

@thyrex 11319 / 6433 / 1333 Регистрация: 06.09.2009 Сообщений: 24,367
	11.05.2015, 14:50	10
	Что с проблемой? 1

@alisa12345 0 / 0 / 0 Регистрация: 09.05.2015 Сообщений: 6
	11.05.2015, 15:50 [ТС]	11
	всё в норме, спасибо огромное) как здорово что есть такой форум) 0

@Sandor 20085 / 14828 / 2807 Регистрация: 08.10.2012 Сообщений: 60,184
	11.05.2015, 16:03	12
	В завершение - Выполните скрипт в AVZ при наличии доступа в интернет: Код var LogPath : string; ScriptPath : string; begin LogPath := GetAVZDirectory + 'log\avz_log.txt'; if FileExists(LogPath) Then DeleteFile(LogPath); ScriptPath := GetAVZDirectory +'ScanVuln.txt'; if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!'); exit; end; end; if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false) end. После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к браузерам, Java, Adobe Acrobat/Reader и Adobe Flash Player. Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления (если таковые будут). Перезагрузите компьютер. Снова выполните этот скрипт и убедитесь, что уязвимости устранены. Прочтите и выполните Рекомендации после удаления вредоносного ПО 0

Опции темы