Технический форум - Китайские вирусы

Технический форум (http://www.tehnari.ru/)

- - Китайские вирусы (http://www.tehnari.ru/f183/t248514/)

Китайские вирусы

Добрый день.
У меня Windows 10 и вчера столкнулся с такой проблемой, сидел себе работал в программе Blender 3D как мне выскочило окно что версия моей программы устарела и могу ее обновить, я подумал что сработала программа самообновления и нажал ОК, после чего на компьютер начало инсталить кучу китайской утилиты, я сразу отключил интернет и попытался почистить все сам но часть программ так и не смог удалить.
вот что осталось :
їмС№
KuaiZip
LuDaShi
также меня не пускает в папку WindowsApps, думаю там тоже может что-то заваляться.
подозреваю что подхватил где-то раньше какую-то гадость так как иногда монитор мигал на секунду.
Буду очень признателен за помощь и инструкцию по решению проблем.
Заранее спасибо.

Zaknapheyn,
добавьте образ автозапуска
http://www.tehnari.ru/f150/t81269/

если я правильно читал форумы, то подобные скрипты в UVS индивидуальны для каждого случая и во многих темах большими красными буквами пишется (если адресовано не вам не используйте их иначе это повредит вашей системе)

выкладываю отчет от UVS и на всякий случай еще HijackThis

выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код:



;uVS v3.87.4 [http://dsrt.dyndns.org]

;Target OS: NTv10.0

OFFSGNSAVE

;------------------------autoscript---------------------------



chklst

delvir



delref %Sys32%\NVSPCAP64.DLL

del %Sys32%\NVSPCAP64.DLL



delref %SystemDrive%\PROGRAM FILES (X86)\LUDASHI\COMPUTERZ7_X64.DLL

del %SystemDrive%\PROGRAM FILES (X86)\LUDASHI\COMPUTERZ7_X64.DLL



delref %SystemDrive%\PROGRAM FILES (X86)\LUDASHI\UTILS\COMPUTERZ12_X64.DLL

del %SystemDrive%\PROGRAM FILES (X86)\LUDASHI\UTILS\COMPUTERZ12_X64.DLL



delref %SystemDrive%\PROGRAM FILES (X86)\LUDASHI\360BASE64.DLL

del %SystemDrive%\PROGRAM FILES (X86)\LUDASHI\360BASE64.DLL



delref HTTP://NAVSMART.INFO

delref %SystemDrive%\PROGRAM FILES (X86)\UCBROWSER\APPLICATION\UPDATE_TASK.EXE

del %SystemDrive%\PROGRAM FILES (X86)\UCBROWSER\APPLICATION\UPDATE_TASK.EXE



delref %SystemDrive%\PROGRAM FILES (X86)\IOBIT\IOBIT UNINSTALLER\IOBITUNINSTALER.EXE

del %SystemDrive%\PROGRAM FILES (X86)\IOBIT\IOBIT UNINSTALLER\IOBITUNINSTALER.EXE



delref %SystemDrive%\USERS\ZAKNAPHEYN\APPDATA\LOCAL\MAIL.RU\MAILRUUPDATER.EXE

del %SystemDrive%\USERS\ZAKNAPHEYN\APPDATA\LOCAL\MAIL.RU\MAILRUUPDATER.EXE



delref %SystemDrive%\USERS\ZAKNAPHEYN\APPDATA\LOCAL\MAIL.RU\SPUTNIK\IESEARCHPLUGIN.DLL

del %SystemDrive%\USERS\ZAKNAPHEYN\APPDATA\LOCAL\MAIL.RU\SPUTNIK\IESEARCHPLUGIN.DLL



deldirex %SystemDrive%\USERS\ZAKNAPHEYN\APPDATA\LOCALLOW\UNITY\WEBPLAYER\LOADER



delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DCCFIFBOJENKENPKMNBNNDEADPFDIFFOF%26INSTALLSOURCE%3DONDEMAND%26UC



delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DOELPKEPJLGMEHAJEHFEICFBJDIOBDKFJ%26INSTALLSOURCE%3DONDEMAND%26UC



delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DOJLCEBDKBPJDPILIGKDBBKDKFJMCHBFD%26INSTALLSOURCE%3DONDEMAND%26UC



delref %SystemDrive%\PROGRAM FILES (X86)\SBQH\UC.EXE

del %SystemDrive%\PROGRAM FILES (X86)\SBQH\UC.EXE



delref %SystemDrive%\USERS\ZAKNAPHEYN\APPDATA\ROAMING\GPLYRA\GPLYRA\START.CMD

del %SystemDrive%\USERS\ZAKNAPHEYN\APPDATA\ROAMING\GPLYRA\GPLYRA\START.CMD



delref %SystemDrive%\PROGRAM FILES (X86)\MPCK\WINCOM_05R.EXE

del %SystemDrive%\PROGRAM FILES (X86)\MPCK\WINCOM_05R.EXE



delref %SystemDrive%\PROGRAM FILES (X86)\LUDASHI\LPI\HPSVC.DLL

del %SystemDrive%\PROGRAM FILES (X86)\LUDASHI\LPI\HPSVC.DLL



delref %SystemDrive%\PROGRAM FILES (X86)\KUAIZIP\X86\KUAIZIPUPDATECHECKER.DLL

del %SystemDrive%\PROGRAM FILES (X86)\KUAIZIP\X86\KUAIZIPUPDATECHECKER.DLL



delref %SystemDrive%\PROGRAM FILES (X86)\00000000-1472675334-0000-0000-1C6F658D178C\KNSU6713.TMPFS



delref %Sys32%\DRIVERS\UCGUARD.SYS

del %Sys32%\DRIVERS\UCGUARD.SYS



delref %SystemDrive%\USERS\ZAKNAPHEYN\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\PERPCKPLEWERPYDOLERCK\EXTENSIONS\OJLCEBDKBPJDPILIGKDBBKDKFJMCHBFD\12.0.11_0\ПОИСК MAIL.RU

delref %SystemDrive%\USERS\ZAKNAP~1\APPDATA\LOCAL\TEMP\MSIQL.EXE

del %SystemDrive%\USERS\ZAKNAP~1\APPDATA\LOCAL\TEMP\MSIQL.EXE



delref %SystemDrive%\PROGRAM FILES (X86)\UCBROWSER\APPLICATION\UCBROWSER.EXE

del %SystemDrive%\PROGRAM FILES (X86)\UCBROWSER\APPLICATION\UCBROWSER.EXE



delref UUC0789.EXE

delref %SystemDrive%\PROGRAM FILES (X86)\LUDASHI\COMPUTERZTRAY.EXE

del %SystemDrive%\PROGRAM FILES (X86)\LUDASHI\COMPUTERZTRAY.EXE



delref HTTP:\\NAVSMART.INFO

deltmp

delnfr

;-------------------------------------------------------------



restart

перезагрузка, пишем о старых и новых проблемах.
----------
далее,
выполните сканирование (угроз) в Malwarebytes

вот отчет от малвербайтс

KuaiZip и їмС№ все так-же пока на месте никуда не делись
и отсутствует доступ к WindowsApps

2.удалите все найденное в малваребайт
перегрузите систему
далее,
3.сделайте проверку в АдвКлинере
http://www.tehnari.ru/f150/t87975/

*****
4.в АдвКлинере, после завершения проверки,
в секции Папки снимите галки с записей mail.ru, yandex (если есть такие)
остальное удалите по кнопке Очистить
далее,

5.сделайте проверку в FRST
http://www.tehnari.ru/f150/t245622/

все сделал, отчеты во вложении

6. Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

Код:

ShellIconOverlayIdentifiers: [KzShlobj] -> {AAA0C5B8-933F-4200-93AD-B143D7FFF9F2} =>  No File

ShellIconOverlayIdentifiers: [KzShlobj2] -> {AAA0C5B8-933F-4200-93AD-B143D7FFF9F3} =>  No File

EmptyTemp:

Reboot: