[решено] Вредоносные программы, трояны, Служба фильрации - Проблемы

[Paje]

Здравствуйте. Windows установлен года 4 назад. Антивируса ни когда не использую. В тех редких случаях когда цеплял вируса, спасался dr web cureit, awgclear(по вашей рекомендации в последнее время), и TuneUp Utilities. этого всего хватало. Но последний случай из ряда вон выходящий. И как оказалось этого всего не достаточно. Даже тему сформулировать затрудняюсь... Вначале было все как обычно, mail устанавливал свои программы и браузер Ami... Ope... Сам Использую белку. На него установилось китайское модификация (далее КМ), поиск по принуждению стоял mail, более менее КМ сносил, устанавливал заного. на несколько часов помогало. затем снова он превращался в КМ. Устанавливались затем еще доп. программы, некоторые папки до сих пор не позволяет удалит (прошло недели 2 уже, чуть более), (їмС№ одна из папок в Pr/Failes - это просто китайский браузер, всплывающее окно). Боролся dr web, затем вирус понял что его калечит. И уже запрещал скачивание, и даже теперь как помню, не открывал офф. страницу загрузки dr web. Установил новый Tu.. up utilites. Маленько (на не долго) стихло. Через сутки снова в прежнем темпе. Удаление программ через панель управление, чистка папок, реестра, автозагурзузки, отключение служб, ощутимого спокойствия не приносило. Далее программой (которую на форуме так же рекомендуют) TDSSKiller делаю нокдаун. И что примечательно, вроде все становиться более менее стабильно (по крайне мере программы после этого уже сами не устанавливались, или запуска их setup не происходило), кроме одного. Перестал работать интернет. То есть у меня wi fi, телефон ловил, а на ноуте вроде и ошибки не было, а интернета не было. Эту проблему решил тем, что в интернете есть шаги руководствуясь каким, удалось запустить интернет. Как я понял, на 3 шаге через CMD я почистил (что то, каналы не помню). И там же (вроде и у вас она в качестве рекомендуемых есть), на одном из шагов рекомендуют установить Emsi soft Anti-Malware. Установил. теперь каждый день в карантине Gen.Variant.Zusy и gen.variant.adware.summi
Выходит ошибка Archerbox.dll (по несколько раз в час) и DuiLib.dll (написал по памяти). Теперь у меня установлено Advanced system Protector, CCleaner активно. Еще до всей этой выше описанной ситуации. у меня не работало обновление виндовс, и видимо этим самым и подцепил с интернета вирус. так как в очередной раз полез искать решение в интернет, как сделать обновление рабочим. Псле этого несколько раз чего то обновлялось.
Вот и вопрос, как мне избавиться от этих ошибок dll. удалить подозрительные папки. потому что я их не могу удалить не охотником, ни TuneUp utilites. А самый главный вопрос такой, когда после более менее стабильного поведения решил поставить антивирус, то не ожиданый сюрприз в виде - Служба Базовой Фильтрации Windows отключена. И как стало ясно позже, в службах ее нет. И такая проблема еще, msconfig. Через выполнить найти не может (до того как вынес на рабочий стол. писало что не достаточно прав) и с рабочего стола не открывается. Тоже по какой то ошибке. Позже дополню, т.к. сейчас ни чего не выдает.
Кстати логи TDSSKiller остались. Прикреплю также. Настойчивость поиска mail.ru позже нашел как снять. Оказывается он вшился в расширения браузера, и сделал себя поиском по умолчанию. Даже с настроек не получалось изменить поисковую систему. Пока с расширения не отключить его. Mail.ru вообще огромный минус. И так о нем знал как о вредном носителе. Но когда в службах увидал Updatesmail.ru (как то так). А в программах "автоматическое обновление программ" (хотя это не ново), слов нет. Разве такой корпорации подобает себя так навязывать с этим гремучим браузером Амиго. Будь они не ладны. Что на них ни кто в суд не подаст...

[Paje]

Advanced System Protector - лог сканирования. Дополняю. (В архиве логи TDSSKiller; Emsi soft Anti Malware; Autologer; AdwCleaner )

[shestale]

Paje, вам "поговорить" или помочь удалить вирусы, если таковые имеются?
Если удалить, тогда Вам нужна помощь? Нам нужны ваши логи! (http://forum.oszone.net/thread-98169.html)

Ну вы и запрятали автологер)))

[shestale]

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО (http://safezone.cc/forum/showthread.php?t=18577).

Выполните скрипт в АВЗ (http://forum.oszone.net/post-1430637-4.html) (Файл - Выполнить скрипт):

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
QuarantineFileF('c:\program files\їмс№\x86', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 ,0);
QuarantineFileF('c:\program files (x86)\gubed', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 ,0);
QuarantineFileF('c:\program files (x86)\common files\services', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 ,0);
QuarantineFileF('c:\program files (x86)\winarcher', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 ,0);
QuarantineFileF('c:\users\аскомп\appdata\roaming\winsnare', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 ,0);
QuarantineFileF('"c:\program files (x86)\mio', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 ,0);
QuarantineFile('c:\program files\їмС№\x86\kuaizip.exe', '');
QuarantineFile('C:\Program Files (x86)\Gubed\GubedWinArcher.dll', '');
QuarantineFile('C:\Program Files (x86)\Common Files\Services\iThemes.dll', '');
QuarantineFile('C:\Program Files (x86)\WinArcher\Archer.dll', '');
QuarantineFile('C:\Users\АсКомп\AppData\Roaming\WinSnare\WinSnare.dll', '');
QuarantineFile('C:\Windows\svchost.exe', '');
QuarantineFile('C:\Program Files (x86)\Mupagh Update\local64spl.dll', '');
QuarantineFile('C:\Users\АсКомп\AppData\Local\Microsoft\0023368478E7D5113383AC9E481E1A8C\7A1571A05E6 B523EDFC6792B0A75FE36.exe', '');
QuarantineFile('C:\Users\АсКомп\AppData\Roaming\Adobe\Manager.exe', '');
QuarantineFile('C:\Program Files (x86)\MIO\MIO.exe', '');
QuarantineFile('C:\$Recycle.Bin\S-1-5-21-3743092464-2926001724-4255650379-1000\$RGBS56R\cstrike\ucp.cmd', '');
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\75FE36A0B2976CFDE325B6E50A7A1571" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\75FE36A0B2976CFDE325B6E50A7A1571SB" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\75FE36A0B2976CFDE325B6E50A7A1571" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\75FE36A0B2976CFDE325B6E50A7A1571SB" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Microsoft\Windows\Multimedia\Manager" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Milimili" /F', 0, 15000, true);
DeleteFile('c:\program files\їмС№\x86\kuaizip.exe', '32');
DeleteFile('C:\Program Files (x86)\Gubed\GubedWinArcher.dll', '32');
DeleteFile('C:\Program Files (x86)\Common Files\Services\iThemes.dll', '32');
DeleteFile('C:\Program Files (x86)\WinArcher\Archer.dll', '32');
DeleteFile('C:\Users\АсКомп\AppData\Roaming\WinSnare\WinSnare.dll', '32');
DeleteFile('C:\Windows\svchost.exe', '32');
DeleteFile('C:\Program Files (x86)\Mupagh Update\local64spl.dll', '32');
DeleteFile('C:\Users\АсКомп\AppData\Local\Microsoft\0023368478E7D5113383AC9E481E1A8C\7A1571A05E6B523 EDFC6792B0A75FE36.exe', '32');
DeleteFile('C:\Users\АсКомп\AppData\Roaming\Adobe\Manager.exe', '32');
DeleteFile('C:\Program Files (x86)\MIO\MIO.exe', '32');
DeleteFile('C:\$Recycle.Bin\S-1-5-21-3743092464-2926001724-4255650379-1000\$RGBS56R\cstrike\ucp.cmd', '32');
DeleteFileMask('c:\program files\їмс№\x86', '*', true);
DeleteFileMask('c:\program files (x86)\gubed', '*', true);
DeleteFileMask('c:\program files (x86)\common files\services', '*', true);
DeleteFileMask('c:\program files (x86)\winarcher', '*', true);
DeleteFileMask('c:\users\аскомп\appdata\roaming\winsnare', '*', true);
DeleteFileMask('"c:\program files (x86)\mio', '*', true);
DeleteDirectory('c:\program files\їмс№\x86');
DeleteDirectory('c:\program files (x86)\gubed');
DeleteDirectory('c:\program files (x86)\common files\services');
DeleteDirectory('c:\program files (x86)\winarcher');
DeleteDirectory('c:\users\аскомп\appdata\roaming\winsnare');
DeleteDirectory('"c:\program files (x86)\mio');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Archer\Parameters','ServiceDl l');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\WinSnare\Parameters','Service Dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Eventlog\Application\NSSM','E ventMessageFile');
DeleteService('GubedWinArcher');
DeleteService('iThemes5');
ExecuteSysClean;
ExecuteRepair(1);
ExecuteRepair(9);
ExecuteWizard('SCU', 2, 3, true);
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
RebootWindows(true);
end.



Компьютер перезагрузится.

Файл quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью этой формы (http://www.oszone.net/virusnet/) или (если размер архива превышает 8 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

Удалите параметры запуска ярлыков (http://safezone.cc/resources/clearlnk-udalenie-parametrov-zapuska-u-jarlykov.102/). Лог, который создается после удаления, прикрепите к сообщению.

Подготовьте лог AdwCleaner (http://safezone.cc/threads/kratkaja-instrukcija-po-rabote-s-utilitoj-adwcleaner.22250/).

Подготовьте новый CollectionLog (http://safezone.cc/threads/pravila-oformlenija-zaprosa-o-pomoschi.15/).

[Paje]

Да, сам придерживаюсь краткость сестра таланта. Ну что то конкретно досадило. Спасибо форуму, вам.
С Collectionlog не совсем понял.

[Paje]

Дополняю...

[shestale]

1. Удалите в AdwCleaner (http://safezone.cc/threads/kratkaja-instrukcija-po-rabote-s-utilitoj-adwcleaner.22250/#post-157088) все найденные объекты. Лог, который создается после удаления, прикрепите к сообщению.
2. С Collectionlog не совсем понял. »
Вы же уже его делали. Теперь сделайте еще раз новый.

Paje, выкладывайте те логи, которые мы запрашиваем.
Потому что вот вы выложили логи FRST, так вам потом придется их заново переделывать.

[Paje]

пардон за ожидания... не догадался(=

[Paje]

avz_log.txt

[shestale]

Paje, нужен лог АВТОЛОГЕРА!!!
Подготовьте новый CollectionLog. »
Здесь все написано.

[shestale]

Paje, от вас нужен новый CollectionLog.
http://forum.oszone.net/thread-98169.html
Диагностика
Перед началом сбора логов закройте(выгрузите) все запущенные программы и временно приостановите защиту вашего антивируса. Подробней как это сделать можете прочитать в теме Как временно выгрузить антивирусный продукт?
Распакуйте архив автоматического сборщика логов в любую удобную для Вас папку.
После распаковки у вас появится файл AutoLogger.exe, запустите его и следуйте выводимым рекомендациям.
Дождитесь окончания работы сбора логов.
По окончанию работы в папке AutoLogger расположенной там же куда распаковали архив, вы найдёте архив со своими логами. Архив имеет имя CollectionLog-yyyy.mm.dd-hh.mm. Где yyyy.mm.dd-hh.mm - дата и время запуска сканирования. Например: CollectionLog-2013.11.09-21.04
Прикрепите архив к своему сообщению в теме, где вам оказывается помощь.
И вы его уже делали. В самом первом вашем архиве он есть, поэтому если вы его сами делали, то и сейчас сделаете.

[Paje]

Разобрался. В прошлый раз не замечал такого названия файла, отсюда и непонимание было.

[shestale]

Выполните скрипт в Farbar Recovery Scan Tool (http://safezone.cc/threads/kak-vypolnit-skript-v-farbar-recovery-scan-tool.17760/)
Лог, который будет создан после выполнения скрипта, прикрепите к сообщению.
start
CreateRestorePoint:
AlternateDataStreams: C:\Windows\system32\drivers:ucdrv-x64.sys [23652]
AlternateDataStreams: C:\Windows\system32\drivers:x64 [1479458]
AlternateDataStreams: C:\Windows\system32\drivers:x86 [1205026]
AlternateDataStreams: C:\Users\АсКомп\AppData\Local:wa [178]
GroupPolicy: Restriction <======= ATTENTION
GroupPolicy\User: Restriction <======= ATTENTION
GroupPolicyScripts-x32: Restriction <======= ATTENTION
GroupPolicyScripts-x32\User: Restriction <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
CHR HKU\S-1-5-21-3743092464-2926001724-4255650379-1000\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
HKU\S-1-5-18\...\Run: [] => 0
HKLM\...\Providers\dpnp112r: C:\Program Files (x86)\Mupagh Update\local64spl.dll
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
EmptyTemp:
Reboot:
end

[Paje]

fixlog - спасибо!

[shestale]

Что с проблемами?
Только в кратце)))

[Paje]

Поразительно. Ошибки Archerbox.dll (по несколько раз в час) и DuiLib.dll перестали быть сразу же после первого ответного сообщения (скрипта). Они действительно были, и сворачивали на рабочий стол кс 1.6
Устанавливая Касперского выходила сообщение что СБФ отключена (в службах ее и вовсе не было), сейчас устанавливается и во время установки - Обнаружено несовместимое программное обесп. 360 Anti-virus Software (предлагает его удалить). Видимо тоже ошибка устранена. Осталось из всего накосяченного, это msconfig. Через выполнить найти не может, а с рабочего стола, пишет, Вы не имеете достаточных прив.... Запустите программу от имени администратора. А еще буквально час-два назад, было по другому написано что то про локальное. Ну это не так важно, как все остальное проделанное. Не знаю как попросить, ну был бы рад и рабочему msconfig.

[shestale]

http://forum.oszone.net/thread-163214.html - эту тему не смотрели?
+
Давайте еще так проверим:
Подготовьте лог МВАМ (http://safezone.cc/threads/faq-po-rabote-s-malwarebytes-anti-malware-v-2.23670/)
п.с.
лог посмотрю завтра.

[Paje]

Лог подготовил. Тему посмотрел, скачал msconfig, другого образца он, но в принципе работает. Вот после изменений пошел на перезагрузку.

[Paje]

Огромная благодарность вашей команде, шестале, все работает. Во время всей этой беды не мог создать нов.учетн. запись адм. Сейчас все это удается. Все вышеописанные ошибки исправлены. Системой можно и дальше пользоваться. Удивительно что где то еще бесплатно предлагают помощь. И как я оцениваю, профессиональную. Или не мой уровень =) Спасибо!

[shestale]

Лог подготовил. »
Так где он? Давайте глянем его.
+
Для закрытия уязвимостей вашей системы, сделайте лог, для этого обязательно скачайте свежую версию SecurityCheck by glax24 (http://safezone.cc/resources/security-check-by-glax24.25/)
Перед запуском утилиты на своем компьютере отключите(выгрузите) или приостановите защиту всех ваших антивирусных программ.
Лог, который откроется в блокноте, скопируйте и вставьте в свой ответ, сам файл выкладывать не обязательно, затем скачайте и установите все обновления по ссылкам.