Помогите пожалуйста вылечить JS/Kryptik.I троянская программа

Сообщений: 13

Баллов: 6

Регистрация: 08.09.2014

Размещено 08.09.2014 21:39:24

Здравствуйте.
5 дней уже живу с этим вирусом, в принципе на работу компа не влияет, ничего не тормозит, просто постоянно выскакивает это окно:

Утилиты DrWeb и AVZ не помогли избавиться от вируса.
Сегодня уже у кого то была такая проблема, судя по вашему сайту (нашёл через поисковик).
Прошу помощи.
Винда 7 антик NOD32

Сообщений: 12962

Баллов: 10371

Регистрация: 16.03.2010

Размещено 08.09.2014 22:01:05

Нужен лог
http://forum.esetnod32.ru/forum9/topic2687/

Сообщений: 13

Баллов: 6

Регистрация: 08.09.2014

Размещено 08.09.2014 22:24:53

Вот, вроди так:

Прикрепленные файлы

1Ъ-ПК_2014-09-08_22-14-01.rar (591.49 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 09.09.2014 06:48:09

Цитата
uVS v3.82 [http://dsrt.dyndns.org]: Windows 7 Ultimate x64 (NT v6.1) build 7601 Service Pack 1 [C:\WINDOWS]

версия 3.82 слегка устарела. (не решает проблем с зараженными ярлыками, которые у вас есть в системе)

образ переделайте актуальной версией uVS 3.83b30
http://rghost.ru/57910018

+
добавьте логи расширений браузеров
http://forum.esetnod32.ru/forum9/topic10570/

Изменено: santy - 09.09.2014 06:48:46

[ Как создать образ автозапуска? ]

Сообщений: 13

Баллов: 6

Регистрация: 08.09.2014

Размещено 09.09.2014 11:01:46

Итак:
- новый образ :
- логи расширений браузеров :
Пользуюсь всегда FireFox -
Но мне не понравилась вот эта "шляпа" в GoogleChrome? я им не пользуюсь, да и нет его у меня (вроди) -

Прикрепленные файлы

1Ъ-ПК_2014-09-09_10-45-31.7z (596.76 КБ)
startup F.txt (4.81 КБ)
startup G.txt (388 Б)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 09.09.2014 11:14:28

это отключите в Хроме

Цитата
Да Extension В«Р’РёР·СѓР°Р»СЊРЅС‹Рµ Р—Р°РєР»Р°РґРєРёВ» РѕС‚ Mail.Ru 1.262 Default C:\Users\1ъ\AppData\Local\Google\Chrome\User Data\Default\Extensions\jaocgokledfmfebefgbeokdodbbdjhdd\1.262_0

и это отключите в Фаерфоксе

Цитата
Да Extension Спутник @Mail.Ru 2.5.3.134 Mail.Ru default C:\Users\1ÑŠ\AppData\Roaming\Mozilla\Firefox\Profiles\mby75csj.default\extensions\{37964A3C-4EE8-47b1-8321-34DE2C39BA4D}

образ сейчас посмотрю.

[ Как создать образ автозапуска? ]

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 09.09.2014 11:18:03

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.83 BETA 30 [http://dsrt.dyndns.org] ;Target OS: NTv6.1 OFFSGNSAVE zoo %SystemDrive%\USERS\1Ъ\APPDATA\ROAMING\FUNMOODS\UPDATEPROC\UPDATETASK.EXE addsgn A7679B19919AF45A6295AE59202AECFA4F8B940ED1BB1F10A99A84BC38B6280D23AE073E7F5527B942C18427B67F08FA9594B78DAA329EFCD388A42F38F9DD8C 9 Win32/DealPly.O [ESET-NOD32] del %SystemDrive%\PROGRAM FILES (X86)\MOZILLA FIREFOX\FIREFOX.URL del %SystemDrive%\PROGRAM FILES (X86)\INTERNET EXPLORER\IEXPLORE.URL ;------------------------autoscript--------------------------- chklst delvir delref HTTP://SEARCHFUNMOODS.COM/?F=2&A=AGNUPD&CD=2XZUYETN2Y1L1QZUYDTDYEYCYD0DTDYCYEYETB0FYCZYZY0ETN0D0TZU0CYETAZZTN1L2XZUTN1L1CZU&CR=729670854&IR= ; McAfee Security Scan Plus exec C:\Program Files\McAfee Security Scan\uninstall.exe regt 28 regt 29 deltmp delnfr ;------------------------------------------------------------- restart

Код


;uVS v3.83 BETA 30 [http://dsrt.dyndns.org]
;Target OS: NTv6.1

OFFSGNSAVE
zoo %SystemDrive%\USERS\1Ъ\APPDATA\ROAMING\FUNMOODS\UPDATEPROC\UPDATETASK.EXE
addsgn A7679B19919AF45A6295AE59202AECFA4F8B940ED1BB1F10A99A84BC38B6280D23AE073E7F5527B942C18427B67F08FA9594B78DAA329EFCD388A42F38F9DD8C 9 Win32/DealPly.O [ESET-NOD32]

del %SystemDrive%\PROGRAM FILES (X86)\MOZILLA FIREFOX\FIREFOX.URL
del %SystemDrive%\PROGRAM FILES (X86)\INTERNET EXPLORER\IEXPLORE.URL
;------------------------autoscript---------------------------

chklst
delvir

delref HTTP://SEARCHFUNMOODS.COM/?F=2&A=AGNUPD&CD=2XZUYETN2Y1L1QZUYDTDYEYCYD0DTDYCYEYETB0FYCZYZY0ETN0D0TZU0CYETAZZTN1L2XZUTN1L1CZU&CR=729670854&IR=

; McAfee Security Scan Plus
exec C:\Program Files\McAfee Security Scan\uninstall.exe

regt 28
regt 29

deltmp
delnfr
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic10688/

[ Как создать образ автозапуска? ]

Сообщений: 13

Баллов: 6

Регистрация: 08.09.2014

Размещено 09.09.2014 12:19:21

Всё сделал, но вирус по прежнему вылазит :

Вот лог из Malwarebytes Anti-Malware :

Прикрепленные файлы

11.txt (6.63 КБ)

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 09.09.2014 12:26:30

это оставьте в мбам

Цитата
Processes: 1 RiskWare.Tool.CK, C:\Windows\KMService.exe, 1836, Delete-on-Reboot, [fd9864874536b0862987c4370af76c94] Files: 18 RiskWare.Tool.CK, C:\Windows\KMService.exe, Delete-on-Reboot, [fd9864874536b0862987c4370af76c94],

остальное все удалите,

далее,

сделайте проверку в АдвКлинере
http://forum.esetnod32.ru/forum9/topic7084/
----

в АдвКлинере, после завершения сканирования, в секции Папки снимите галки с записей mail.ru, yandex

остальное удалите по кнопке Очистить
----------
пишем результат

если проблема не решится, добавьте лог журнала обнаружения угроз
http://forum.esetnod32.ru/forum9/topic1408/

Изменено: santy - 09.09.2014 12:28:18

[ Как создать образ автозапуска? ]

Сообщений: 13

Баллов: 6

Регистрация: 08.09.2014

Размещено 09.09.2014 12:46:38

это оставьте в мбам

Цитата
Processes: 1 RiskWare.Tool.CK, C:\Windows\KMService.exe, 1836, Delete-on-Reboot, [fd9864874536b0862987c4370af76c94] Files: 18 RiskWare.Tool.CK, C:\Windows\KMService.exe, Delete-on-Reboot, [fd9864874536b0862987c4370af76c94],

остальное все удалите,

Пожалуйста поподробней: что такое "мбам" и где это?

[ Закрыто ] Помогите пожалуйста вылечить JS/Kryptik.I троянская программа , сложный вирус JS/Kriptik