Словил вирус, нужна помощь - Форум технической поддержки ESET NOD32

Сообщений: 26

Баллов: 13

Регистрация: 02.07.2016

Размещено 02.07.2016 09:40:14

Добрый день! У меня такая проблема. Я, кажется, где-то подхватил вирус и сейчас компьютер работает не совсем правильно. При включении иногда не видно мышку и приходится перезагружать компьютер. После входа в систему под учетной записью администратора появляется уведомление "Windows не удалось подключиться к службе клиент групповой политики", т.е. чтобы зайти под учетной записью обычного пользователя приходится перезапускать компьютер. Также иногда лагает проводник и рабочий стол. При нажатии ПКМ в проводнике он перестает отвечать и сделать в нем больше ничего нельзя, приходится его закрывать. Такая же ситуация и с рабочим столом - при нажатии ПКМ он чернеет, все пропадает, но через секунду все заново появляется, но то, что должно было произойти после нажатия ПКМ не происходит. Также иногда ярлыки на рабочем столе меняют свои места. Еще перестал работать Google Chrome, пришлось перейти на Opera. Плюс ко всему не могу включить антивирус ESET Smart Sucurety, выдается ошибка "Ошибка подключения к ядру ESET Smart Sucurety". Прошу вашей помощи!

Изменено: Руслан Измайлов - 02.07.2016 11:20:13

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 02.07.2016 10:17:06

добавьте образ автозапуска системы,
можно из безопасного режима системы

[ Как создать образ автозапуска? ]

Сообщений: 26

Баллов: 13

Регистрация: 02.07.2016

Размещено 02.07.2016 11:08:58

Сделал образ в обычном (не безопасном) режиме.

Прикрепленные файлы

LENOVO1337_2016-07-02_10-59-37.rar (861.29 КБ)

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 02.07.2016 11:44:58

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.87.4 [http://dsrt.dyndns.org] ;Target OS: NTv10.0 OFFSGNSAVE ;------------------------autoscript--------------------------- chklst delvir deldirex %SystemDrive%\USERS\N37AA~1.IZM\APPDATA\ROAMING\FUNMOODS\UPDATE~1 deldirex %SystemDrive%\USERS\ЛИЛИЯ\APPDATA\LOCALLOW\UNITY\WEBPLAYER\LOADER deldirex %SystemDrive%\USERS\РУСЛАН52\APPDATA\LOCALLOW\UNITY\WEBPLAYER\LOADER deldirex %SystemDrive%\USERS\N.IZMAYLOV\APPDATA\LOCALLOW\UNITY\WEBPLAYER\LOADER delref HTTP://SEARCHFUNMOODS.COM/?F=1&A=IRON2&IR=IRON2&CD=2XZUYETN2Y1L1QZUTC0ATA0EZZ0EYB0AYDYCTAYB0CTATAYBTN0D0TZU0CTAZZZYTN1L2XZUTBTFTBTFTCTFYETDYB&CR=1143665427 deldirex %SystemDrive%\PROGRAM FILES (X86)\ASKPARTNERNETWORK\TOOLBAR delref %SystemDrive%\USERS\РУСЛАН52\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\BACKUP DEFAULT\EXTENSIONS\BBJCIAHCEAMGODCOIDKJPCHNOKGFPPHH\1.0_0\FUNMOODS ; OpenAL exec C:\Program Files (x86)\OpenAL\OpenAL.exe" /U deltmp delnfr ;------------------------------------------------------------- regt 28 regt 29 restart

Код


;uVS v3.87.4 [http://dsrt.dyndns.org]
;Target OS: NTv10.0
OFFSGNSAVE
;------------------------autoscript---------------------------

chklst
delvir

deldirex %SystemDrive%\USERS\N37AA~1.IZM\APPDATA\ROAMING\FUNMOODS\UPDATE~1

deldirex %SystemDrive%\USERS\ЛИЛИЯ\APPDATA\LOCALLOW\UNITY\WEBPLAYER\LOADER

deldirex %SystemDrive%\USERS\РУСЛАН52\APPDATA\LOCALLOW\UNITY\WEBPLAYER\LOADER

deldirex %SystemDrive%\USERS\N.IZMAYLOV\APPDATA\LOCALLOW\UNITY\WEBPLAYER\LOADER

delref HTTP://SEARCHFUNMOODS.COM/?F=1&A=IRON2&IR=IRON2&CD=2XZUYETN2Y1L1QZUTC0ATA0EZZ0EYB0AYDYCTAYB0CTATAYBTN0D0TZU0CTAZZZYTN1L2XZUTBTFTBTFTCTFYETDYB&CR=1143665427

deldirex %SystemDrive%\PROGRAM FILES (X86)\ASKPARTNERNETWORK\TOOLBAR

delref %SystemDrive%\USERS\РУСЛАН52\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\BACKUP DEFAULT\EXTENSIONS\BBJCIAHCEAMGODCOIDKJPCHNOKGFPPHH\1.0_0\FUNMOODS

; OpenAL
exec  C:\Program Files (x86)\OpenAL\OpenAL.exe" /U
deltmp
delnfr
;-------------------------------------------------------------

regt 28
regt 29
restart

перезагрузка, пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic10688/

[ Как создать образ автозапуска? ]

Сообщений: 26

Баллов: 13

Регистрация: 02.07.2016

Размещено 02.07.2016 15:52:06

После перезагрузки уведомление "Windows не удалось подключиться к службе клиент групповой политики" не появилось, при нажатии ПКМ в проводнике работает все нормально. Но я писал, что это происходит иногда, и, возможно, сейчас просто повезло. Если это опять появится - я напишу. Новых проблем на первый взгляд не появилось. Malwarebytes обнаружено 474 угрозы. Я не закрыл программу, жду рекомендаций, что делать далее.

Прикрепленные файлы

Malwarebytes.txt (80.65 КБ)

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 02.07.2016 15:59:35

2.удалите все найденное в малваребайт
перегрузите систему
далее,
3.сделайте проверку в АдвКлинере
http://forum.esetnod32.ru/forum9/topic7084/

*****
4.в АдвКлинере, после завершения проверки,
в секции Папки снимите галки с записей mail.ru, yandex (если есть такие)
остальное удалите по кнопке Очистить
далее,

5.сделайте проверку в FRST
http://forum.esetnod32.ru/forum9/topic2798/

[ Как создать образ автозапуска? ]

Сообщений: 26

Баллов: 13

Регистрация: 02.07.2016

Размещено 02.07.2016 16:24:53

После перезагрузки система установила какие-то обновления (не знаю, это так и должно быть или просто очередное обновление вышло). Уведомление "Windows не удалось подключиться к службе клиент групповой политики" не появилось, при нажатии ПКМ в проводнике работает все нормально. После проверке в АдвКлинере удалил на всякий случай все папки, перезагрузил компьютер. Уведомление "Windows не удалось подключиться к службе клиент групповой политики" не появилось, при нажатии ПКМ в проводнике работает все нормально. Предоставляю отчеты от АдвКлинера и FRST.

Прикрепленные файлы

AdwCleaner[C1].txt (13.94 КБ)
FRST.txt (93.84 КБ)
Addition.txt (45.27 КБ)

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 02.07.2016 16:46:57

Руслан,
групповые политики используются на вашем компьютере?

Цитата
GroupPolicyUsers\S-1-5-21-752984167-4187725138-2815777225-1007\User: Restriction <======= ATTENTION GroupPolicyUsers\S-1-5-21-752984167-4187725138-2815777225-1006\User: Restriction <======= ATTENTION GroupPolicyUsers\S-1-5-21-752984167-4187725138-2815777225-1003\User: Restriction <======= ATTENTION

[ Как создать образ автозапуска? ]

Сообщений: 17962

Баллов: 14369

Регистрация: 16.03.2010

Размещено 02.07.2016 16:49:57

6. Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

Код
GroupPolicyUsers\S-1-5-21-752984167-4187725138-2815777225-1007\User: Restriction <======= ATTENTION GroupPolicyUsers\S-1-5-21-752984167-4187725138-2815777225-1006\User: Restriction <======= ATTENTION GroupPolicyUsers\S-1-5-21-752984167-4187725138-2815777225-1003\User: Restriction <======= ATTENTION FF HKLM-x32\...\Thunderbird\Extensions: [[email protected]] - C:\Program Files\McAfee\MSK => not found CHR Extension: (HTTPS Everywhere) - C:\Users\Руслан52\AppData\Local\Google\Chrome\User Data\Backup Default\Extensions\gcbommkclmclpchllfjekcdonpmejbdp [2016-04-06] CHR Extension: (HTTPS Everywhere) - C:\Users\Руслан52\AppData\Local\Google\Chrome\User Data\Default\Extensions\gcbommkclmclpchllfjekcdonpmejbdp [2016-04-17] EmptyTemp: Reboot:

Код

GroupPolicyUsers\S-1-5-21-752984167-4187725138-2815777225-1007\User: Restriction <======= ATTENTION
GroupPolicyUsers\S-1-5-21-752984167-4187725138-2815777225-1006\User: Restriction <======= ATTENTION
GroupPolicyUsers\S-1-5-21-752984167-4187725138-2815777225-1003\User: Restriction <======= ATTENTION 
FF HKLM-x32\...\Thunderbird\Extensions: [[email protected]] - C:\Program Files\McAfee\MSK => not found
CHR Extension: (HTTPS Everywhere) - C:\Users\Руслан52\AppData\Local\Google\Chrome\User Data\Backup Default\Extensions\gcbommkclmclpchllfjekcdonpmejbdp [2016-04-06]
CHR Extension: (HTTPS Everywhere) - C:\Users\Руслан52\AppData\Local\Google\Chrome\User Data\Default\Extensions\gcbommkclmclpchllfjekcdonpmejbdp [2016-04-17]
EmptyTemp:
Reboot:

[ Как создать образ автозапуска? ]

Сообщений: 26

Баллов: 13

Регистрация: 02.07.2016

Размещено 02.07.2016 17:04:31

Прикрепил файл Fixlog.txt. На счет групповых политик ничего сказать не могу, так как не совсем уверен. Если подскажете, как это выяснить - скажу.

Прикрепленные файлы

Fixlog.txt (2.63 КБ)