11 ответов в этой теме

[dr.warkuta]

Доктор постоянно находит вирус и лечит его, но спустя какое то время он находит его снова.

 

Заранее благодарю!

 

https://disk.yandex.ru/d/7qpX0GJFkLjRfQ

[Dr.Robot]

1. Если Вы подозреваете у себя на компьютере вирусную активность и хотите получить помощь в этом разделе,

Вам необходимо кроме описания проблемы приложить к письму логи работы двух программ - сканера Dr. Web (или CureIt!, если антивирус Dr. Web не установлен на Вашем ПК), DrWeb SysInfo. Дождитесь окончания работы сканера Dr. Web или CureIt!, прежде, чем запускать DrWeb SysInfo. Без логов помочь Вам не сможет даже самый квалифицированный специалист. Так как логи могут иметь большой объём, превышающий ограничения форума, то рекомендуем закачать их на какой-нибудь файлообменник, а на форуме указать ссылку.

2. Если у Вас зашифрованы файлы,

Внимание! Услуга по расшифровке файлов предоставляется только лицензионным пользователям продуктов Dr.Web, у которых на момент заражения была установлена актуальная коммерческая лицензия Dr.Web Security Space или Dr.Web Enterprise Security Suite.

Что НЕ нужно делать:
- лечить и удалять найденные антивирусом вирусы в автоматическом режиме или самостоятельно. Можно переместить всё найденное в карантин, а после спросить специалистов или не предпринимать никаких действий, а просто сообщить название найденных вирусов;
- переустанавливать операционную систему;
- менять расширение у зашифрованных файлов;
- очищать папки с временными файлами, а также историю браузера;
- использовать самостоятельно без консультации с вирусным аналитиком Dr. Web дешифраторы из "Аптечки сисадмина" Dr. Web;
- использовать дешифраторы рекомендуемые в других темах с аналогичной проблемой.

Что необходимо сделать:
- прислать в вирусную лабораторию Dr. Web https://support.drweb.com/new/free_unlocker/?keyno=&for_decode=1 несколько зашифрованных файлов и, если есть, их не зашифрованные копии в категорию Запрос на лечение. Дожидаться ответа на Вашу почту вирусного аналитика и далее следовать его указаниям ведя с ним переписку по почте. На форуме рекомендуется указать номер тикета вирлаба - это номер Вашего запроса, содержащий строку вида [drweb.com #3219200];

[Severnyj]

Скачайте Farbar Recovery Scan Tool или с зеркала сохраните на Рабочем столе.

 

Примечание: необходимо выбрать версию, совместимую по разрядности с Вашей операционной системой.

Как узнать разрядность моей системы?

 

• Запустите программу. Когда программа запустится, нажмите Yes (Да) для соглашения с предупреждением об отказе от ответственности.

Убедитесь, что в разделе Optional Scan (Дополнительное Сканирование) отмечены галочки List BCD (Список BCD) и 90 Days Files (Файлы за 90 дней).

Нажмите кнопку Scan (Сканировать).

 

После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа. Запакуйте отчеты в архив и прикрепите его к своему следующему сообщению.

[dr.warkuta]

Во вложении.

Прикрепленные файлы:

•  FRST64.rar   29,22К   2 Скачано раз

Сообщение было изменено dr.warkuta: 20 Февраль 2025 - 20:44

[AndreyKa]

Здравствуйте!

 

Не знаю где это настраивается в браузере Chrome, но думаю, что дело в этом адресе:

 

StartupUrls: Default -> "hxxp://search.us.com/?guid={93EC54D5-24D1-4C0B-BC49-397A7E740B0A}&serpv=5"

[Severnyj]

Удалите остатки антивируса AVG с помощью утилиты удаления по инструкции

 

Отключите до перезагрузки антивирус.

Выделите следующий код:

 

Spoiler

Start::
CloseProcesses:
SystemRestore: On
CreateRestorePoint:
Unlock: C:\FRST\
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Ограничение <==== ВНИМАНИЕ
HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
CHR StartupUrls: Default -> "hxxp://vk.com/","hxxp://mail.ru/","hxxp://www.google.ru/","hxxp://search.us.com/?guid={93EC54D5-24D1-4C0B-BC49-397A7E740B0A}&serpv=5","hxxps://www.google.com/"
CHR HKU\S-1-5-21-3823538948-3761229238-2850873834-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj]
CHR HKLM-x32\...\Chrome\Extension: [efaidnbmnnnibpcajpcglclefindmkaj]
CHR HKLM-x32\...\Chrome\Extension: [mbckjcfnjmoiinpgddefodcighgikkgn]
AV: AVG Antivirus (Enabled - Up to date) {18A975F9-A60C-37D8-E30B-4BEF31AD3411}
FW: AVG Antivirus (Enabled) {2092F4DC-EC63-3680-C854-E2DACF7E736A}
FW: AVG Antivirus (Enabled) {77FCDD80-5C3B-5549-57A4-B1A62BD5FB8F}
ShellIconOverlayIdentifiers: [00avg] -> {472083B1-C522-11CF-8763-00608CC02F24} => C:\Program Files\AVG\Antivirus\ashShell.dll -> Нет файла
ShellIconOverlayIdentifiers-x32-x32: [ SkyDrivePro1 (ErrorConflict)] -> {8BA85C75-763B-4103-94EB-9470F12FE0F7} => C:\PROGRA~2\MICROS~3\Office16\GROOVEEX.DLL -> Нет файла
ShellIconOverlayIdentifiers-x32-x32: [ SkyDrivePro2 (SyncInProgress)] -> {CD55129A-B1A1-438E-A425-CEBC7DC684EE} => C:\PROGRA~2\MICROS~3\Office16\GROOVEEX.DLL -> Нет файла
ShellIconOverlayIdentifiers-x32-x32: [ SkyDrivePro3 (InSync)] -> {E768CD3B-BDDC-436D-9C13-E1B39CA257B1} => C:\PROGRA~2\MICROS~3\Office16\GROOVEEX.DLL -> Нет файла
ShellIconOverlayIdentifiers-x32: [00avg] -> {472083B1-C522-11CF-8763-00608CC02F24} => C:\Program Files\AVG\Antivirus\ashShell.dll -> Нет файла
ContextMenuHandlers1: [AVG] -> {472083B1-C522-11CF-8763-00608CC02F24} => C:\Program Files\AVG\Antivirus\ashShell.dll -> Нет файла
ContextMenuHandlers3: [00avg] -> {472083B1-C522-11CF-8763-00608CC02F24} => C:\Program Files\AVG\Antivirus\ashShell.dll -> Нет файла
ContextMenuHandlers6: [AVG] -> {472083B1-C522-11CF-8763-00608CC02F24} => C:\Program Files\AVG\Antivirus\ashShell.dll -> Нет файла
IE trusted site: HKU\S-1-5-21-3823538948-3761229238-2850873834-1000\...\localhost -> localhost
IE trusted site: HKU\S-1-5-21-3823538948-3761229238-2850873834-1000\...\webcompanion.com -> hxxp://webcompanion.com
FirewallRules: [{8AAE308C-6AED-4870-854C-D97362FE73A4}] => (Allow) LPort=51001
FirewallRules: [{4A44B0EA-6CCA-46F4-B8DD-ABC83B4C1BAE}] => (Allow) LPort=51000
FirewallRules: [{ACCBED80-34D1-4283-BE25-95261FFE5817}] => (Allow) LPort=3704
FirewallRules: [{395E7167-64F6-4116-B896-7E4E59EA1AAB}] => (Allow) LPort=3703
FirewallRules: [{F9191C7D-516A-435F-A355-423FAF1BFCFE}] => (Allow) LPort=5353
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
EmptyTemp:
startbatch:
del /s /q "%userprofile%\AppData\Local\Google\Chrome\User Data\Default\Cache\*.*"
del /s /q "%userprofile%\AppData\Local\Google\Chrome\User Data\Default\Code Cache\Js\*.*"
del /s /q "%userprofile%\AppData\Local\Microsoft\Edge\User Data\Default\Cache\*.*"
del /s /q "%userprofile%\AppData\Local\Microsoft\Edge\User Data\Default\Code Cache\Js\*.*"
del /s /q "%userprofile%\AppData\Local\Opera Software\Opera Stable\Default\Cache\Cache_Data\*.*" >nul
del /s /q "%userprofile%\AppData\Local\Yandex\YandexBrowser\User Data\Default\Cache\*.*" >nul
del /s /q C:\Windows\Temp\*.* >nul
del /s /q "%userprofile%\AppData\Local\temp\*.*" >nul
del /s /q C:\Windows\Minidump\*.dmp >nul
endbatch:
Reboot:
End::

Скопируйте выделенный текст (правой кнопкой - Копировать).

Запустите FRST (FRST64) от имени администратора.

Нажмите Fix (Исправить) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению. Вставлять код никуда не нужно - он будет выполнен из буфера обмена.

Компьютер будет перезагружен автоматически.

Сообщение было изменено Severnyj: 20 Февраль 2025 - 21:24

[dr.warkuta]

В скрепке

Прикрепленные файлы:

•  Fixlog.txt   863,67К   1 Скачано раз

[Severnyj]

Проблема решена?

[dr.warkuta]

Проблема решена?

 

 

Похоже, что проблема решена. Благодарю!

У меня еще на 3 девайсах такая же проблема, видимо тоже остатки AVG. Если я запущу на них FRST64 с этим же кодом, то не будет траблов?

[Severnyj]

Скрипты FRST пишутся индивидуально для каждой системы, на других - в лучшем случае ничего плохого не случится, в худшем можно потерять какие-либо данные.

 

Деинсталлируйте Farbar Recovery Scan Tool - переименуйте FRST.exe (FRST64.exe) в Uninstall.exe и запустите.

Компьютер будет перезагружен автоматически.

 

Остатки AVG удалять только так:

Удалите остатки антивируса AVG с помощью утилиты удаления по инструкции

[dr.warkuta]

FRST64 удалил. Спасибо еще раз!

[Severnyj]

Удачи!