Множество ошибок Windows, сбоев работы системы, точно присутствует вирус

[Windshifter]

Множество ошибок Windows, сбоев работы системы, точно присутствует вирус

Аппаратная конфигурация:
Тип ПК: Ноутбук MacBook Air 2013
Оперативная память: 4 гигабайта
Видеокарта: интегрированная

Системная конфигурация:
Операционная система: MS Windows 7 Максимальная SP1 (лицензия), установлена с Boot Camp
Разрядность ОС: х64

Здравствуйте, подскажите пожалуйста. Очень нужно без переустановки Винды и восстановления системы (точек восстановления нет):fase:.

Проблемы (в хронологии обнаружения):
1) Был случайно установлен пакет агрессивных программ Mail.ru, Спутник Mail, Amigo... Проверяла Касперским - ничего.
В списке программ и компонентов данные программы отсутствовали. Просто для галочки восстановила файл hosts.

2) Нещадно стала уменьшаться память на диске, проверяла диск на ошибки - ничего, потом оказалось, что в фоне
устанавливались ёмкие программы. Удалила все причины, но... потом высветилась ошибка виртуальной памяти 0xc000012d
(оказалось, что каким-то волшебным образом уменьшился файл подкачки) - исправила; ну а далее снова та же проблема.
*Ранее все службы работали.

3) В Mozilla Firefox открываются вкладки казино "Вулкан". Опять делала полную проверку Касперким - ни-че-го. Никаких
дополнений в браузере нет. И стандартными способами вроде очистки кэша и куки или полному сносу - последующей переустановкой
это не решается.

4) При обновлении (Центр Обновления Windows) высвечивалась ошибка, код 80070002 - исправила.

5) Две программы - Auslogistics Boostspeed и Auslogistics Driver Updater перестали запускаться, выскакивает ошибка 0xc0000022.

6) Стал вылетать браузер с неизвестной ошибкой. И Firefox, и Google Chrome. При том, в первом Казино, во втором Mail.ru

7) Планировщик задач выдает ошибку:
a) "Выбранная задача "{0}" больше не существует. Чтобы просмотреть текущие задачи, нажмите "Обновить",
b) "Служба планировщика задач недоступна. Планировщик задач попытается выполнить повторное подключение"...

8) При запуске в командной строке sfc/scannow высвечивается:
"Защите ресурсов Windows не удается запустить службу восстановления."

9) При попытке запустить службу "Установщик модулей Windows":
"Не удалось запустить службу Установщик модулей Windows на Локальный компьютер."
"Ошибка 32: процесс не может получить доступ к файлу, так как этот файл занят другим процессом."

10) Приложения стали зависать, особенно qTorrent, графические редакторы.

11) Я не могу сказать точно, все ли это или нет. Вышеизложенное происходило в порядке - ошибка-исправить-ошибка-исправить-ошибка....

Может ли быть причиной всех проблем один вирус? :tears:И как его уничтожить? :gor:
Даже не знаю с чего начать и в чем корень проблемы.:star2:
Пожалуйста, помогите.

 

[IronArgument]

http://www.tehnari.ru/f35/t113762/

 

[Windshifter]

Образ автозапуска в uVS

 

[Windshifter]

Я извиняюсь, неужели никто не может помочь. Все, тема потухла? Уже день прошел.

 

[Vladimir_S]

Я извиняюсь, неужели никто не может помочь. Все, тема потухла? Уже день прошел.

Сударь, наберитесь терпения: Вам обязательно помогут. У нас высококлассные вирусологи, но они, знаете ли, живые люди, и работают с запросами, когда выбирают на это время. Личное, между прочим. Так что не надо понукать и подгонять: Вам никто здесь ничем не обязан. Но, повторяю, помогают ВСЕМ. Где-то в течение 1-2 суток. Ждите.

 

[Windshifter]

Спасибо, просто не знала, вдруг забыли так сказать. А у меня обнаружилось несколько новых проблем.

При загрузке отображается пустой экран (рабочий стол без иконок и пуска) около 2х минут.

Разделов планировщика заданий в реестре не существует. Пишет, что сокращает путь до HKEY_LOCAL_MACHINE\Software\Microsoft.

 

[Vladimir_S]

просто не знала

Ох, извините, не знал, что Вы не "сударь", а "сударыня"... Ответил бы не в таком резком тоне.

 

[safety]

@Windshifter

выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

;uVS v3.87.9 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
OFFSGNSAVE

hide %SystemDrive%\USERS\DIANA\DOWNLOADS\AUTOCAD_ELECTRICAL_2017_RUSSIAN_WIN_32_64BIT_WI_RU-RU_SETUP_WEBINSTALL.EXE
hide %SystemDrive%\PROGRAM FILES (X86)\AUSLOGICS\AUSLOGICS BOOSTSPEED\SYSTEMINFORMATION.EXE
;------------------------autoscript---------------------------

chklst
delvir

deldirex %SystemDrive%\USERS\DIANA\APPDATA\LOCALLOW\UNITY\WEBPLAYER\LOADER

deldirex %SystemDrive%\USERS\ГОСТЬ\APPDATA\LOCALLOW\UNITY\WEBPLAYER\LOADER

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DCCFIFBOJENKENPKMNBNNDEADPFDIFFOF%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DOELPKEPJLGMEHAJEHFEICFBJDIOBDKFJ%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DOJLCEBDKBPJDPILIGKDBBKDKFJMCHBFD%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DIIKFLKCANBLCCFAHDHDONEHDALIBJNIF%26INSTALLSOURCE%3DONDEMAND%26UC

delref HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DLMJEGMLICAMNIMMFHCMPKCLMIGMMCBEH%26INSTALLSOURCE%3DONDEMAND%26UC

deltmp
delnfr
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
----------
далее,
выполните сканирование (угроз) в Malwarebytes

 

[Windshifter]

В общем, до того момента как Вы ответили я успела просканить систему MBAM, ADW и DW Cureit!. Также получилось открыть планировщик. Удалила 3 процесса, один из них запускал новую вкладку в браузере. Ошибка, которую я описывала, все также высвечивается. Что произошло после этого... Странно: не могу открывать некоторые ветки реестра (нет доступа), также не знаю насчет утилиты JumpReg (может в ней дело), да и вообще довольно часто пишет про отсутствие доступа и такое происходит вне зависимости от того захожу я под админом или нет. Загрузка стала значительно дольше. Пару раз комп зависал после нее намертво. CHKDSK не шел, была какая-то ошибка (не заскринила), запустила через безопасный режим, все оказалось также хорошо и заодно висы прекратились. Рабочий стол так же пустует несколько минут. И все ярлыки на рабочем столе обрели снизу слева значок неопознанных программ. В окне "профили пользователей" (свойства системы) почему-то отображается прошлое имя учетки администратора (поменяла давно). Команда sfc /scannow теперь идет нормально, ничего плохого не обнаружила.
Так как я поступила очень глупо и проверяла до того как Вы мне ответили, теперь не знаю делать этот скрипт или нет, подскажите пожалуйста насчет этого. Также в журнале Dr.Web увидела следующее:
"Error in CConnect::OnConnection: Failed to initializw plugin: Explorer is NULL!".
Отчеты о всех сканированиях прикладываю.

 

[safety]

4.в АдвКлинере, после завершения проверки,
в секции Папки снимите галки с записей mail.ru, yandex (если есть такие)
остальное удалите по кнопке Очистить
далее,

5.сделайте проверку в FRST
http://www.tehnari.ru/f150/t245622/

 

[highman]

safety
Мне вот стало интересно, почему всегда даёшь этот совет.

в секции Папки снимите галки с записей mail.ru, yandex (если есть такие)

Почему их нужно оставить? Есть договоренность?

 

[safety]

@highman,
возможно, кто-то использует яндекс-браузеры, или майлушные утилиты (майлру_агент), поэтому я предупреждаю заранее, что Adwcleaner детектирует это.
но его можно сохранить, если убрать галки.

 

[highman]

Ясно. Просто считаю, что утилиты мэйлру и яндекс на уровне вирусов, считаю удаление их хорошим делом)))

 

[safety]

ну, кто-то использует в своей бизнес-модели майлру-агента, так что если удалять, то своими руками. в рабочей сети, действительно детект майл_ру забил все логи после того, как было включено в настройках "детектировать потенциально опасные программы". В особенности старается майл_ру updater, так что если выносить эту семейку на помойку, но всю под корень, иначе, через апдейтер она снова восстановит все свои приложения.

 

[highman]

Согласен на все 146 %)))

 

[Windshifter]

Не вижу в Adw Cleaner раздела "папки".

FRST сделала.

Часа три назад все было более менее хорошо, делаю перезагрузку - и в итоге загрузилась система с временной учетной записью. Потом написало ошибку, и то, что данные во временном профиле не сохраняются. Ошибка архивации (во вложении). Нашла в Program Files/ Common Files папку вроде бы удаленного крякнутого оффиса ("Microsoft Shared"). Я ее конечно самостоятельно не создавала. Там командир "ВЛАДЕЛЕЦ-СОЗДАТЕЛЬ" и "ThrustedInstaller". Когда открываю окно свойства, параметры доступа - там не отображается клавиша переназначения владельца и галочка неактивного цвета на особых разрешениях. Там же, только в другой папке были указаны 4 неизвестных профиля со знаком вопроса и рандомными символами. Винда у меня абсолютно точно не стоит поверх другой. Когда все же переназначила владельца, хоть получилось только забить равные права, решила удалить. А при попытке удаления - "это общая сетевая папка". Common Files - это же общие файлы... Это мой ноут, и на нем никто больше не сидит и доступа по сети не получал. Удалять ее?

На счет харда получается так: файловая система: NTFS, конечно же диск имеет два раздела - по каждому на ось (Винда и Макинтош). Память уменьшается, но после перезагрузки восстанавливается исходное значение (только чуть меньше). Victoria HDD нашла четыре Бэда (и не нашла вообще убитых секторов), я заremap'ила, и все ок. Можно ли как-то узнать подробно - на что тратится память. Просто ранее у меня было установлено в фоне три идентичных пакета Microsoft Office, и я думала, что удалила все с этим связанное.

То есть не делать скрипт в uVS?

Спасибо.

 

[Windshifter]

Согласен на все 146 %)))

,
Не подскажите пожалуйста, как удалить поиск mail.ru из Internet Explorer? Везде пишут, что это невозможно на определенный момент.(

 

[highman]

Есть радикальный способ, но Вы не хотите переустановку. В большинстве случаев, советы safety вылечивают систему полностью. Но иногда, к сожалению, система настолько повреждена, что несрабатывает лечение.

То есть не делать скрипт в uVS?

Делать конечно.

 

[Windshifter]

Safety, я сделала скрипт. Во время загрузки было несколько сообщений: несколько файлов из папки Microsoft (dll) - невозможно открыть, нет доступа; и какой-то путь со словом гугл - отсутствует.

 

[safety]

по логу FRST выполните.

6. Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

GroupPolicy: Restriction - Chrome <======= ATTENTION
GroupPolicy\User: Restriction - Chrome <======= ATTENTION
GroupPolicyScripts: Restriction <======= ATTENTION
Toolbar: HKU\S-1-5-21-886656509-2758341413-359672524-1000 -> No Name - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} -  No File
Toolbar: HKU\S-1-5-21-886656509-2758341413-359672524-1000 -> No Name - {405DFEAE-1D2F-4649-BE08-C92313C3E1CE} -  No File
Toolbar: HKU\S-1-5-21-886656509-2758341413-359672524-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-02272017155608942 -> No Name - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} -  No File
Toolbar: HKU\S-1-5-21-886656509-2758341413-359672524-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-02272017155608942 -> No Name - {405DFEAE-1D2F-4649-BE08-C92313C3E1CE} -  No File
Toolbar: HKU\S-1-5-21-886656509-2758341413-359672524-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-02272017165614478 -> No Name - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} -  No File
Toolbar: HKU\S-1-5-21-886656509-2758341413-359672524-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-02272017165614478 -> No Name - {405DFEAE-1D2F-4649-BE08-C92313C3E1CE} -  No File
Toolbar: HKU\S-1-5-21-886656509-2758341413-359672524-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-02272017175722574 -> No Name - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} -  No File
Toolbar: HKU\S-1-5-21-886656509-2758341413-359672524-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-02272017175722574 -> No Name - {405DFEAE-1D2F-4649-BE08-C92313C3E1CE} -  No File
Toolbar: HKU\S-1-5-21-886656509-2758341413-359672524-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-02272017185633931 -> No Name - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} -  No File
Toolbar: HKU\S-1-5-21-886656509-2758341413-359672524-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-02272017185633931 -> No Name - {405DFEAE-1D2F-4649-BE08-C92313C3E1CE} -  No File
FF Extension: (No Name) - C:\Users\Diana\AppData\Roaming\Mozilla\Firefox\Profiles\4vrbjd5q.default-1469923335257\Extensions\5673-bc74-a366-38f8 [2017-02-14] [not signed]
FF Extension: (IObit Surfing Protection & Ads Removal) - C:\Users\Diana\AppData\Roaming\Mozilla\Firefox\Profiles\4vrbjd5q.default-1469923335257\Extensions\ascsurfingprotectionnew@iobit.com.xpi [2016-10-18]
FF Extension: (Checker Plus for Google Drive) - C:\Users\Diana\AppData\Roaming\Mozilla\Firefox\Profiles\4vrbjd5q.default-1469923335257\Extensions\checkerplusforgoogledrive@jasonsavard.com.xpi [2016-10-14]
CHR HKLM\...\Chrome\Extension: [eahebamiopdhefndnmappcihfajigkka] - hxxps://chrome.google.com/webstore/detail/eahebamiopdhefndnmappcihfajigkka
CHR HKLM\...\Chrome\Extension: [flliilndjeohchalpbbcdekjklbdgfkk] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [hkhkiakolggnnicallabhkobalpeplpi] - <no Path/update_url>
CHR HKLM\...\Chrome\Extension: [iikflkcanblccfahdhdonehdalibjnif] - hxxps://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-886656509-2758341413-359672524-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [apdfllckaahabafndbhieahigkjlhalf] - <no Path/update_url>
CHR HKU\S-1-5-21-886656509-2758341413-359672524-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [lmjegmlicamnimmfhcmpkclmigmmcbeh] - hxxps://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-886656509-2758341413-359672524-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-02272017155608942\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [apdfllckaahabafndbhieahigkjlhalf] - <no Path/update_url>
CHR HKU\S-1-5-21-886656509-2758341413-359672524-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-02272017155608942\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [lmjegmlicamnimmfhcmpkclmigmmcbeh] - hxxps://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-886656509-2758341413-359672524-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-02272017165614478\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [apdfllckaahabafndbhieahigkjlhalf] - <no Path/update_url>
CHR HKU\S-1-5-21-886656509-2758341413-359672524-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-02272017165614478\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [lmjegmlicamnimmfhcmpkclmigmmcbeh] - hxxps://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-886656509-2758341413-359672524-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-02272017175722574\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [apdfllckaahabafndbhieahigkjlhalf] - <no Path/update_url>
CHR HKU\S-1-5-21-886656509-2758341413-359672524-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-02272017175722574\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [lmjegmlicamnimmfhcmpkclmigmmcbeh] - hxxps://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-886656509-2758341413-359672524-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-02272017185633931\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [apdfllckaahabafndbhieahigkjlhalf] - <no Path/update_url>
CHR HKU\S-1-5-21-886656509-2758341413-359672524-1000-{ED1FC765-E35E-4C3D-BF15-2C2B11260CE4}-02272017185633931\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [lmjegmlicamnimmfhcmpkclmigmmcbeh] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [eahebamiopdhefndnmappcihfajigkka] - hxxps://chrome.google.com/webstore/detail/eahebamiopdhefndnmappcihfajigkka
CHR HKLM-x32\...\Chrome\Extension: [flliilndjeohchalpbbcdekjklbdgfkk] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [hkhkiakolggnnicallabhkobalpeplpi] - <no Path/update_url>
EmptyTemp:
Reboot:

пишем, что с проблемой