Вирус в файле hosts

@gapaomega · Регистрация: 15.05.2014

Author24 — интернет-сервис помощи студентам

Здравствуйте, проблема заключается в том что в файле hosts появились неизвестные значения, и везде начала всплывать реклама в виде баннеров и автоматического открытия "левых ссылок", файл редактироваться не хочет ни в какую, как лечить эту заразу?

@gapaomega · 15.05.2014, 09:23 **[ТС]**

так же реклама присутствует в стиме и в Доте 2

@gapaomega · 15.05.2014, 10:22 **[ТС]**

UPD: обновил логи

@Sandor · 15.05.2014, 11:24

Здравствуйте!

Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их -
это может повредить вашей системе!!! Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила запроса о помощи.
____________________________________________

1. Пофиксите в HijackThis следующие строчки (утилиту запускать правой кнопкой от имени администратора!):

Код

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&text={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&text={searchTerms}
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:9880

2. В свойствах ярлыков

C:\Users\Gapar\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk
C:\Users\Gapar\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk
C:\Users\Gapar\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk
C:\Users\Gapar\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Амиго.lnk

в поле Объект удалите

приписку

"http://yamdex.net/?zid=161958040&uid=a893ec7c57bbee873fd0989246b47c92&type=12"

При необходимости на вкладке Общая снимите галочку Только чтение.

3. Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

Код

begin
 ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 TerminateProcessByName('c:\users\gapar\appdata\local\pirritsuggestor\pirritservice.exe');
 TerminateProcessByName('c:\users\gapar\appdata\local\pirritsuggestor\pirritdesktop.exe');
 StopService('PirritDesktop');
 StopService('GamesRS');
 QuarantineFile('C:\Users\Gapar\appdata\local\pirritsuggestor\pirritdesktop.exe','');
 QuarantineFile('C:\Program Files (x86)\GamesRS\GUpdater.exe','');
 QuarantineFile('c:\users\gapar\appdata\local\pirritsuggestor\pirritservice.exe','');
 DeleteFile('c:\users\gapar\appdata\local\pirritsuggestor\pirritdesktop.exe','32');
 DeleteFile('C:\Program Files (x86)\GamesRS\GUpdater.exe','32');
 DeleteFileMask('C:\Users\Gapar\appdata\local\pirritsuggestor\', '*.*', true);
 DeleteFileMask('C:\Program Files (x86)\GamesRS', '*.*', true);
 DeleteDirectory('C:\Users\Gapar\appdata\local\pirritsuggestor\');
 DeleteDirectory('C:\Program Files (x86)\GamesRS');
 DeleteService('PirritDesktop');
 DeleteService('GamesRS');
 ExecuteSysClean;
 ExecuteWizard('SCU',2,3,true);
 RebootWindows(true);
end.

Компьютер перезагрузится.

4. После перезагрузки выполните такой скрипт:

Код

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

Полученный архив quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью этой формы или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

5. Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift.

@gapaomega · 15.05.2014, 12:48 **[ТС]**

вот обновленные логи

@gapaomega · 15.05.2014, 13:07 **[ТС]**

все ушло спасибо огромное!

@Sandor · 15.05.2014, 13:13

Для профилактики и защиты от повторных заражений скачайте и запустите SecurityCheck by glax24. Когда откроется отчет, скопируйте и вставьте его сюда, сам файл выкладывать не нужно. В отчете будет показано, что в вашей системе нуждается в обновлении и другие угрозы безопасности.
Скачайте и установите обновления по ссылкам.

Рекомендации после удаления вредоносного ПО

@gapaomega 0 / 0 / 0 Регистрация: 15.05.2014 Сообщений: 5
	15.05.2014, 09:23 [ТС]	2
	так же реклама присутствует в стиме и в Доте 2 0

@Sandor 21981 / 15761 / 3046 Регистрация: 08.10.2012 Сообщений: 64,054
	15.05.2014, 11:24	4
	Здравствуйте! Внимание! Рекомендации написаны специально для этого пользователя. Если рекомендации написаны не для вас, не используйте их - это может повредить вашей системе!!! Если у вас похожая проблема - создайте тему в разделе Лечение компьютерных вирусов и выполните Правила запроса о помощи. ____________________________________________ 1. Пофиксите в HijackThis следующие строчки (утилиту запускать правой кнопкой от имени администратора!): Код R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&text={searchTerms} R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&text={searchTerms} R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:9880 2. В свойствах ярлыков C:\Users\Gapar\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk C:\Users\Gapar\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk C:\Users\Gapar\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Google Chrome.lnk C:\Users\Gapar\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\Амиго.lnk в поле Объект удалите приписку "http://yamdex.net/?zid=161958040&uid=a893ec7c57bbee873fd0989246b47c92&type=12" При необходимости на вкладке Общая снимите галочку Только чтение. 3. Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО. Выполните скрипт в АВЗ (Файл - Выполнить скрипт): Код begin ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.'); ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); TerminateProcessByName('c:\users\gapar\appdata\local\pirritsuggestor\pirritservice.exe'); TerminateProcessByName('c:\users\gapar\appdata\local\pirritsuggestor\pirritdesktop.exe'); StopService('PirritDesktop'); StopService('GamesRS'); QuarantineFile('C:\Users\Gapar\appdata\local\pirritsuggestor\pirritdesktop.exe',''); QuarantineFile('C:\Program Files (x86)\GamesRS\GUpdater.exe',''); QuarantineFile('c:\users\gapar\appdata\local\pirritsuggestor\pirritservice.exe',''); DeleteFile('c:\users\gapar\appdata\local\pirritsuggestor\pirritdesktop.exe','32'); DeleteFile('C:\Program Files (x86)\GamesRS\GUpdater.exe','32'); DeleteFileMask('C:\Users\Gapar\appdata\local\pirritsuggestor\', '.', true); DeleteFileMask('C:\Program Files (x86)\GamesRS', '.', true); DeleteDirectory('C:\Users\Gapar\appdata\local\pirritsuggestor\'); DeleteDirectory('C:\Program Files (x86)\GamesRS'); DeleteService('PirritDesktop'); DeleteService('GamesRS'); ExecuteSysClean; ExecuteWizard('SCU',2,3,true); RebootWindows(true); end. Компьютер перезагрузится. 4. После перезагрузки выполните такой скрипт: Код begin CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); end. Полученный архив quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью этой формы или на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма. 5. Повторите логи по правилам. Для повторной диагностики запустите снова Autologger. В первом диалоговом окне нажмите ОК, удерживая нажатой клавишу Shift. 0

@gapaomega 0 / 0 / 0 Регистрация: 15.05.2014 Сообщений: 5
	15.05.2014, 13:07 [ТС]	6
	все ушло спасибо огромное! 0

@Sandor 21981 / 15761 / 3046 Регистрация: 08.10.2012 Сообщений: 64,054
	15.05.2014, 13:13	7
	Для профилактики и защиты от повторных заражений скачайте и запустите SecurityCheck by glax24. Когда откроется отчет, скопируйте и вставьте его сюда, сам файл выкладывать не нужно. В отчете будет показано, что в вашей системе нуждается в обновлении и другие угрозы безопасности. Скачайте и установите обновления по ссылкам. Рекомендации после удаления вредоносного ПО 0