Китайские вирусы

Zaknapheyn · 01.09.2016, 13:26

Добрый день.
У меня Windows 10 и вчера столкнулся с такой проблемой, сидел себе работал в программе Blender 3D как мне выскочило окно что версия моей программы устарела и могу ее обновить, я подумал что сработала программа самообновления и нажал ОК, после чего на компьютер начало инсталить кучу китайской утилиты, я сразу отключил интернет и попытался почистить все сам но часть программ так и не смог удалить.
вот что осталось :
їмС№
KuaiZip
LuDaShi
также меня не пускает в папку WindowsApps, думаю там тоже может что-то заваляться.
подозреваю что подхватил где-то раньше какую-то гадость так как иногда монитор мигал на секунду.
Буду очень признателен за помощь и инструкцию по решению проблем.
Заранее спасибо.

safety · 01.09.2016, 13:53

Zaknapheyn,
добавьте образ автозапуска
Как создать образ автозапуска в uVS. Краткая инструкция

Zaknapheyn · 01.09.2016, 13:55

если я правильно читал форумы, то подобные скрипты в UVS индивидуальны для каждого случая и во многих темах большими красными буквами пишется (если адресовано не вам не используйте их иначе это повредит вашей системе)

Zaknapheyn · 01.09.2016, 14:05

выкладываю отчет от UVS и на всякий случай еще HijackThis

safety · 01.09.2016, 14:23

выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

Код:

;uVS v3.87.4 [http://dsrt.dyndns.org]
;Target OS: NTv10.0
OFFSGNSAVE
;------------------------autoscript---------------------------

chklst
delvir

delref %Sys32%\NVSPCAP64.DLL
del %Sys32%\NVSPCAP64.DLL

delref %SystemDrive%\PROGRAM FILES (X86)\LUDASHI\COMPUTERZ7_X64.DLL
del %SystemDrive%\PROGRAM FILES (X86)\LUDASHI\COMPUTERZ7_X64.DLL

delref %SystemDrive%\PROGRAM FILES (X86)\LUDASHI\UTILS\COMPUTERZ12_X64.DLL
del %SystemDrive%\PROGRAM FILES (X86)\LUDASHI\UTILS\COMPUTERZ12_X64.DLL

delref %SystemDrive%\PROGRAM FILES (X86)\LUDASHI\360BASE64.DLL
del %SystemDrive%\PROGRAM FILES (X86)\LUDASHI\360BASE64.DLL

delref HTTP://NAVSMART.INFO
delref %SystemDrive%\PROGRAM FILES (X86)\UCBROWSER\APPLICATION\UPDATE_TASK.EXE
del %SystemDrive%\PROGRAM FILES (X86)\UCBROWSER\APPLICATION\UPDATE_TASK.EXE

delref %SystemDrive%\PROGRAM FILES (X86)\IOBIT\IOBIT UNINSTALLER\IOBITUNINSTALER.EXE
del %SystemDrive%\PROGRAM FILES (X86)\IOBIT\IOBIT UNINSTALLER\IOBITUNINSTALER.EXE

delref %SystemDrive%\USERS\ZAKNAPHEYN\APPDATA\LOCAL\MAIL.RU\MAILRUUPDATER.EXE
del %SystemDrive%\USERS\ZAKNAPHEYN\APPDATA\LOCAL\MAIL.RU\MAILRUUPDATER.EXE

delref %SystemDrive%\USERS\ZAKNAPHEYN\APPDATA\LOCAL\MAIL.RU\SPUTNIK\IESEARCHPLUGIN.DLL
del %SystemDrive%\USERS\ZAKNAPHEYN\APPDATA\LOCAL\MAIL.RU\SPUTNIK\IESEARCHPLUGIN.DLL

deldirex %SystemDrive%\USERS\ZAKNAPHEYN\APPDATA\LOCALLOW\UNITY\WEBPLAYER\LOADER

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DCCFIFBOJENKENPKMNBNNDEADPFDIFFOF%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DOELPKEPJLGMEHAJEHFEICFBJDIOBDKFJ%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DOJLCEBDKBPJDPILIGKDBBKDKFJMCHBFD%26INSTALLSOURCE%3DONDEMAND%26UC

delref %SystemDrive%\PROGRAM FILES (X86)\SBQH\UC.EXE
del %SystemDrive%\PROGRAM FILES (X86)\SBQH\UC.EXE

delref %SystemDrive%\USERS\ZAKNAPHEYN\APPDATA\ROAMING\GPLYRA\GPLYRA\START.CMD
del %SystemDrive%\USERS\ZAKNAPHEYN\APPDATA\ROAMING\GPLYRA\GPLYRA\START.CMD

delref %SystemDrive%\PROGRAM FILES (X86)\MPCK\WINCOM_05R.EXE
del %SystemDrive%\PROGRAM FILES (X86)\MPCK\WINCOM_05R.EXE

delref %SystemDrive%\PROGRAM FILES (X86)\LUDASHI\LPI\HPSVC.DLL
del %SystemDrive%\PROGRAM FILES (X86)\LUDASHI\LPI\HPSVC.DLL

delref %SystemDrive%\PROGRAM FILES (X86)\KUAIZIP\X86\KUAIZIPUPDATECHECKER.DLL
del %SystemDrive%\PROGRAM FILES (X86)\KUAIZIP\X86\KUAIZIPUPDATECHECKER.DLL

delref %SystemDrive%\PROGRAM FILES (X86)\00000000-1472675334-0000-0000-1C6F658D178C\KNSU6713.TMPFS

delref %Sys32%\DRIVERS\UCGUARD.SYS
del %Sys32%\DRIVERS\UCGUARD.SYS

delref %SystemDrive%\USERS\ZAKNAPHEYN\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\PERPCKPLEWERPYDOLERCK\EXTENSIONS\OJLCEBDKBPJDPILIGKDBBKDKFJMCHBFD\12.0.11_0\ПОИСК MAIL.RU
delref %SystemDrive%\USERS\ZAKNAP~1\APPDATA\LOCAL\TEMP\MSIQL.EXE
del %SystemDrive%\USERS\ZAKNAP~1\APPDATA\LOCAL\TEMP\MSIQL.EXE

delref %SystemDrive%\PROGRAM FILES (X86)\UCBROWSER\APPLICATION\UCBROWSER.EXE
del %SystemDrive%\PROGRAM FILES (X86)\UCBROWSER\APPLICATION\UCBROWSER.EXE

delref UUC0789.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\LUDASHI\COMPUTERZTRAY.EXE
del %SystemDrive%\PROGRAM FILES (X86)\LUDASHI\COMPUTERZTRAY.EXE

delref HTTP:\\NAVSMART.INFO
deltmp
delnfr
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
----------
далее,
выполните сканирование (угроз) в Malwarebytes

Zaknapheyn · 01.09.2016, 14:58

вот отчет от малвербайтс

Zaknapheyn · 01.09.2016, 15:06

KuaiZip и їмС№ все так-же пока на месте никуда не делись
и отсутствует доступ к WindowsApps

safety · 01.09.2016, 16:16

2.удалите все найденное в малваребайт
перегрузите систему
далее,
3.сделайте проверку в АдвКлинере
Как выполнить проверку в AdwCleaner?

*****
4.в АдвКлинере, после завершения проверки,
в секции Папки снимите галки с записей mail.ru, yandex (если есть такие)
остальное удалите по кнопке Очистить
далее,

5.сделайте проверку в FRST
Как создать логи FRST

Zaknapheyn · 01.09.2016, 16:47

все сделал, отчеты во вложении

safety · 01.09.2016, 17:19

6. Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

Код:

ShellIconOverlayIdentifiers: [KzShlobj] -> {AAA0C5B8-933F-4200-93AD-B143D7FFF9F2} =>  No File
ShellIconOverlayIdentifiers: [KzShlobj2] -> {AAA0C5B8-933F-4200-93AD-B143D7FFF9F3} =>  No File
EmptyTemp:
Reboot:

01.09.2016, 13:26	#1 (permalink)
Zaknapheyn Member Регистрация: 01.09.2016 Сообщений: 25 Сказал(а) спасибо: 0 Поблагодарили 0 раз(а) в 0 сообщениях Репутация: 10	Китайские вирусы Добрый день. У меня Windows 10 и вчера столкнулся с такой проблемой, сидел себе работал в программе Blender 3D как мне выскочило окно что версия моей программы устарела и могу ее обновить, я подумал что сработала программа самообновления и нажал ОК, после чего на компьютер начало инсталить кучу китайской утилиты, я сразу отключил интернет и попытался почистить все сам но часть программ так и не смог удалить. вот что осталось : їмС№ KuaiZip LuDaShi также меня не пускает в папку WindowsApps, думаю там тоже может что-то заваляться. подозреваю что подхватил где-то раньше какую-то гадость так как иногда монитор мигал на секунду. Буду очень признателен за помощь и инструкцию по решению проблем. Заранее спасибо.

01.09.2016, 17:19	#10 (permalink)
safety Member Регистрация: 12.07.2011 Сообщений: 31,192 Записей в дневнике: 6 Сказал(а) спасибо: 1 Поблагодарили 21 раз(а) в 7 сообщениях Репутация: 15348	6. Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool: Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении! Код: ShellIconOverlayIdentifiers: [KzShlobj] -> {AAA0C5B8-933F-4200-93AD-B143D7FFF9F2} => No File ShellIconOverlayIdentifiers: [KzShlobj2] -> {AAA0C5B8-933F-4200-93AD-B143D7FFF9F3} => No File EmptyTemp: Reboot:

01.09.2016, 13:26
Helpmaster Member Регистрация: 08.03.2016 Сообщений: 0	Предлагаю вам почитать схожие темы Китайские вирусы Китайские программы Китайские фонарики Китайские иероглифы

01.09.2016, 13:53	#2 (permalink)
safety Member Регистрация: 12.07.2011 Сообщений: 31,192 Записей в дневнике: 6 Сказал(а) спасибо: 1 Поблагодарили 21 раз(а) в 7 сообщениях Репутация: 15348	Zaknapheyn, добавьте образ автозапуска Как создать образ автозапуска в uVS. Краткая инструкция

01.09.2016, 13:55	#3 (permalink)
Zaknapheyn Member Регистрация: 01.09.2016 Сообщений: 25 Сказал(а) спасибо: 0 Поблагодарили 0 раз(а) в 0 сообщениях Репутация: 10	если я правильно читал форумы, то подобные скрипты в UVS индивидуальны для каждого случая и во многих темах большими красными буквами пишется (если адресовано не вам не используйте их иначе это повредит вашей системе)

Ads
Яндекс Member Регистрация: 31.10.2006 Сообщений: 40200 Записей в дневнике: 0 Сказал(а) спасибо: 0 Поблагодарили 0 раз(а) в 0 сообщениях Репутация: 55070

01.09.2016, 15:06	#7 (permalink)
Zaknapheyn Member Регистрация: 01.09.2016 Сообщений: 25 Сказал(а) спасибо: 0 Поблагодарили 0 раз(а) в 0 сообщениях Репутация: 10	KuaiZip и їмС№ все так-же пока на месте никуда не делись и отсутствует доступ к WindowsApps

01.09.2016, 16:16	#8 (permalink)
safety Member Регистрация: 12.07.2011 Сообщений: 31,192 Записей в дневнике: 6 Сказал(а) спасибо: 1 Поблагодарили 21 раз(а) в 7 сообщениях Репутация: 15348	2.удалите все найденное в малваребайт перегрузите систему далее, 3.сделайте проверку в АдвКлинере Как выполнить проверку в AdwCleaner? *** 4.в АдвКлинере, после завершения проверки, в секции Папки снимите галки с записей mail.ru, yandex (если есть такие) остальное удалите по кнопке Очистить** далее, 5.сделайте проверку в FRST Как создать логи FRST