santy (Все сообщения пользователя) - Форум технической поддержки ESET NOD32

постоянно вылезает адрес заблокирован, url rhsrv.com/qwerty/connect_api.php

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 20.12.2015 16:18:41

новый образ не нужен,

далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic10688/

[ Как создать образ автозапуска? ]

Перейти

постоянно вылезает адрес заблокирован, url rhsrv.com/qwerty/connect_api.php

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 20.12.2015 14:25:56

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.86.7 [http://dsrt.dyndns.org] ;Target OS: NTv6.1 v385c OFFSGNSAVE delall %SystemDrive%\PROGRAMDATA\VKSAVER\VKSAVER.EXE ;------------------------autoscript--------------------------- chklst delvir delref %SystemDrive%\PROGRAMDATA\VKSAVER\VKSAVER3.DLL delref HTTP://MAPRUT.RU/?UTM_SOURCE=UOUA03&UTM_CONTENT=D36B8E9A32BF6A2F4162AE31118069C9 delref HTTP://VKPLAYERPRO.RU/INDEX.XML?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DKNEGGODALBCMGDKKFHBHBICBBAHNACJB%26INSTALLSOURCE%3DONDEMAND%26UC delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DMFMJPFOGGIKOLKFILOFBPGCNHDCGAHIB%26INSTALLSOURCE%3DONDEMAND%26UC delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPFJGIBHMCGNCMJHDODPAOLFBJPJJAJAL%26INSTALLSOURCE%3DONDEMAND%26UC delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPGAIDLFGJKMEENDHKNAFAHPPLLBNIEJM%26INSTALLSOURCE%3DONDEMAND%26UC delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\PFJGIBHMCGNCMJHDODPAOLFBJPJJAJAL\3.0.2_0\ПОИСК MAIL.RU ; Pandora Service exec C:\Program Files (x86)\PANDORA.TV\PanService\unins000.exe deltmp delnfr ;------------------------------------------------------------- restart

Код


;uVS v3.86.7 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
OFFSGNSAVE
delall %SystemDrive%\PROGRAMDATA\VKSAVER\VKSAVER.EXE
;------------------------autoscript---------------------------

chklst
delvir

delref %SystemDrive%\PROGRAMDATA\VKSAVER\VKSAVER3.DLL

delref HTTP://MAPRUT.RU/?UTM_SOURCE=UOUA03&UTM_CONTENT=D36B8E9A32BF6A2F4162AE31118069C9

delref HTTP://VKPLAYERPRO.RU/INDEX.XML?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DKNEGGODALBCMGDKKFHBHBICBBAHNACJB%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DMFMJPFOGGIKOLKFILOFBPGCNHDCGAHIB%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPFJGIBHMCGNCMJHDODPAOLFBJPJJAJAL%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPGAIDLFGJKMEENDHKNAFAHPPLLBNIEJM%26INSTALLSOURCE%3DONDEMAND%26UC

delref %SystemDrive%\USERS\USER\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\PFJGIBHMCGNCMJHDODPAOLFBJPJJAJAL\3.0.2_0\ПОИСК MAIL.RU

; Pandora Service
exec  C:\Program Files (x86)\PANDORA.TV\PanService\unins000.exe
deltmp
delnfr
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
------------
далее,
сделайте дополнительно быструю проверку системы в малваребайт
http://forum.esetnod32.ru/forum9/topic10688/

[ Как создать образ автозапуска? ]

Перейти

постоянно вылезает адрес заблокирован, url rhsrv.com/qwerty/connect_api.php

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 20.12.2015 11:50:09

переделайте образ. архив не раскрывается.

[ Как создать образ автозапуска? ]

Перейти

постоянно вылезает адрес заблокирован, url rhsrv.com/qwerty/connect_api.php

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 20.12.2015 11:15:25

Александр,
прочтите внимательно инструкцию.
http://forum.esetnod32.ru/forum9/topic2687/

нужен файл: ваш компьютер_дата-время.7z (или txt)

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] s.coldsearch.com, Не удается избавится от заразы.

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 19.12.2015 09:42:04

если проблемы решены,

выполните рекомендации:
http://forum.esetnod32.ru/forum9/topic12354/

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] s.coldsearch.com, Не удается избавится от заразы.

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 19.12.2015 05:19:00

6. Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

Код
GroupPolicyScripts: Restriction <======= ATTENTION CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION OPR Extension: (Универсальный перевод для Chrome) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\chklaanhfefbnpoihckbnefhakgolnmc [2015-05-11] EmptyTemp: Reboot:

Код

GroupPolicyScripts: Restriction <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
OPR Extension: (Универсальный перевод для Chrome) - C:\Users\User\AppData\Roaming\Opera Software\Opera Stable\Extensions\chklaanhfefbnpoihckbnefhakgolnmc [2015-05-11]
EmptyTemp:
Reboot:

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы с расширением .xtbl; .breaking_bad, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: readme*.txt

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 18.12.2015 20:26:04

Светлана,
по очистке системы выполните:

выполняем скрипт в uVS:
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код
;uVS v3.86.7 [http://dsrt.dyndns.org] ;Target OS: NTv6.1 v385c OFFSGNSAVE zoo %SystemDrive%\USERS\STAR\APPDATA\LOCAL\MEDIAGET2\MEDIAGET-UNINSTALLER.EXE addsgn 9252771A116AC1CC0B44554E33231995AF8CBA7E8EBD1EA3F0C44EA2D3388D5DF8652EEF3F559D492A5BF198CD08CA1481CE336395DB6B5F26028CA4D985CC8F 14 Win32:FakeSys-BF [PUP] ;------------------------autoscript--------------------------- chklst delvir deldirex %SystemDrive%\PROGRAM FILES\ELITEUNZIP_AA\BAR\3.BIN deldirex %SystemDrive%\USERS\STAR\APPDATA\LOCAL\MEDIAGET2 deldirex %SystemDrive%\PROGRAM FILES\ELITEUNZIP deldirex %SystemRoot%\ASSEMBLY\NATIVEIMAGES_V4.0.30319_32\ELITEUNZIP\5E77729476C496009859B1B27281B6CF deldirex %SystemDrive%\USERS\STAR\APPDATA\LOCALLOW\UNITY\WEBPLAYER\LOADER delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DFDJDJKKJOIOMAFNIHNOBKINNFJNNLHDG%26INSTALLSOURCE%3DONDEMAND%26UC delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPCHFCKKCCLDKBCLGDEPKAONAMKIGNANH%26INSTALLSOURCE%3DONDEMAND%26UC delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DFCFENMBOOJPJINHPGGGODEFCCIPIKBPD%26INSTALLSOURCE%3DONDEMAND%26UC deldirex %SystemDrive%\USERS\STAR\APPDATA\LOCAL\MEDIA GET LLC\MEDIAGET2\USER_SEARCH\TSERVERINFO deldirex %SystemDrive%\USERS\STAR\APPDATA\LOCAL\MEDIA GET LLC\MEDIAGET2\USER_SEARCH\ISERVERINFO deldirex %SystemDrive%\USERS\STAR\APPDATA\LOCAL\MEDIA GET LLC\MEDIAGET2\USER_SEARCH\SSERVERINFO deldirex %SystemDrive%\USERS\STAR\APPDATA\LOCAL\MEDIA GET LLC\MEDIAGET2 ; Ask Toolbar exec MsiExec.exe /X{86D4B82A-ABED-442A-BE86-96357B70F4FE} /quiet ; Ask Toolbar Updater exec Updater\Updater.exe -uninstall deltmp delnfr ;------------------------------------------------------------- restart

Код


;uVS v3.86.7 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
OFFSGNSAVE

zoo %SystemDrive%\USERS\STAR\APPDATA\LOCAL\MEDIAGET2\MEDIAGET-UNINSTALLER.EXE
addsgn 9252771A116AC1CC0B44554E33231995AF8CBA7E8EBD1EA3F0C44EA2D3388D5DF8652EEF3F559D492A5BF198CD08CA1481CE336395DB6B5F26028CA4D985CC8F 14 Win32:FakeSys-BF [PUP]

;------------------------autoscript---------------------------

chklst
delvir

deldirex %SystemDrive%\PROGRAM FILES\ELITEUNZIP_AA\BAR\3.BIN

deldirex %SystemDrive%\USERS\STAR\APPDATA\LOCAL\MEDIAGET2

deldirex %SystemDrive%\PROGRAM FILES\ELITEUNZIP

deldirex %SystemRoot%\ASSEMBLY\NATIVEIMAGES_V4.0.30319_32\ELITEUNZIP\5E77729476C496009859B1B27281B6CF

deldirex %SystemDrive%\USERS\STAR\APPDATA\LOCALLOW\UNITY\WEBPLAYER\LOADER

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DFDJDJKKJOIOMAFNIHNOBKINNFJNNLHDG%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTP://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DPCHFCKKCCLDKBCLGDEPKAONAMKIGNANH%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DFCFENMBOOJPJINHPGGGODEFCCIPIKBPD%26INSTALLSOURCE%3DONDEMAND%26UC

deldirex %SystemDrive%\USERS\STAR\APPDATA\LOCAL\MEDIA GET LLC\MEDIAGET2\USER_SEARCH\TSERVERINFO

deldirex %SystemDrive%\USERS\STAR\APPDATA\LOCAL\MEDIA GET LLC\MEDIAGET2\USER_SEARCH\ISERVERINFO

deldirex %SystemDrive%\USERS\STAR\APPDATA\LOCAL\MEDIA GET LLC\MEDIAGET2\USER_SEARCH\SSERVERINFO

deldirex %SystemDrive%\USERS\STAR\APPDATA\LOCAL\MEDIA GET LLC\MEDIAGET2

; Ask Toolbar
exec MsiExec.exe /X{86D4B82A-ABED-442A-BE86-96357B70F4FE} /quiet
; Ask Toolbar Updater
exec Updater\Updater.exe -uninstall
deltmp
delnfr
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
------------

по расшифровке документов напишите в [email protected] при наличие лицензии на антивирус ESET

[ Как создать образ автозапуска? ]

Перейти

файлы зашифрованы с расширением .xtbl; .breaking_bad, Filecoder.ED / Encoder.858 / Ransom.Shade; ransom_note: readme*.txt

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 18.12.2015 18:23:55

добавьте образ автозапуска системы
http://forum.esetnod32.ru/forum9/topic2687/

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] Атака путем подделки записей кэша ARP

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 18.12.2015 18:22:44

еще раз запустите мбам, далее, не начиная канирование, зайдите в историю, там должны быть все логи сканирования, которые уже завершились

[ Как создать образ автозапуска? ]

Перейти

[ Закрыто] s.coldsearch.com, Не удается избавится от заразы.

Сообщений: 17977

Баллов: 28762

Регистрация: 16.03.2010

Размещено 18.12.2015 18:21:00

далее,
3.сделайте проверку в АдвКлинере
http://forum.esetnod32.ru/forum9/topic7084/

*****
4.в АдвКлинере, после завершения проверки,
в секции Папки снимите галки с записей mail.ru, yandex (если есть такие)
остальное удалите по кнопке Очистить
далее,

5.сделайте проверку в FRST
http://pchelpforum.ru/f26/t24207/2/#post1257991

[ Как создать образ автозапуска? ]

Перейти