Ещё одна тема про sd-steam

[Pavel1596]

Ещё одна тема про sd-steam

Добрый день, пробовал удалить самостоятельно, удалял из реестра, из автозагрузки, удалял с помощью Grindin Anti-Malware, результат один - перезагрузка и всё восстанавливается... читал такие же темы на вашем сайте, и я так понял, что скрипт для каждого разный и без создания новой темы не обойтись...
образ автозагрузки прилогаю
Посмотреть вложение ORIGAMI012_2016-08-25_10-09-21.rar

 

[safety]

образ я посмотрю, напишите, каким образом вы получили заражение этой страницей?

 

[Pavel1596]

я сам и не знаю... возможно при установке movavi video converter, до этого с таким не сталкивался...

 

[safety]

выполняем скрипт в uVS
- скопировать содержимое кода в буфер обмена;
- стартуем uVS(start.exe), далее выбираем: текущий пользователь, меню - скрипты - выполнить скрипт из буфера обмена;
- закрываем все браузеры перед выполнением скрипта;
при деинсталляции программ - соглашаемся на деинсталляцию_удаление подтверждаем "да"

;uVS v3.87.4 [http://dsrt.dyndns.org]
;Target OS: NTv10.0
OFFSGNSAVE

;------------------------autoscript---------------------------

chklst
delvir

delref HTTP://SD-STEAM.INFO

deltmp
delnfr
;-------------------------------------------------------------

restart

перезагрузка, пишем о старых и новых проблемах.
----------
далее,
добавьте новый образ автозапуска
http://www.tehnari.ru/f150/t81269/
и
сделайте проверку в FRST
http://www.tehnari.ru/f150/t245622/

 

[Pavel1596]

перезагрузился, ничего не вылезло, автозагрузка чиста
Посмотреть вложение ORIGAMI012_2016-08-25_11-16-50.rar
Посмотреть вложение Addition.txt
Посмотреть вложение FRST.txt

 

[safety]

да, в образе пока все чисто, но проблема может вернуться после нескольких перезагрузок,
поэтому:

1. сделайте из regedit импорт этих ключей из реестра в отдельные файлы:

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Boot\{38E62C4F-F12E-4A61-82E9-194934BFFB3F}

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{38E62C4F-F12E-4A61-82E9-194934BFFB3F}

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Origami012

2
далее,
Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

CHR HKLM\...\Chrome\Extension: [iikflkcanblccfahdhdonehdalibjnif] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [iikflkcanblccfahdhdonehdalibjnif] - hxxps://clients2.google.com/service/update2/crx
Task: {38E62C4F-F12E-4A61-82E9-194934BFFB3F} - \Origami012 -> No File <==== ATTENTION
EmptyTemp:
Reboot:

 

[Pavel1596]

сейчас нашёл его в реестре
HKEY_USERS\S-1-5-21-2796159674-487656957-3052101905-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

 

[safety]

здесь и ниже надо будет убрать пробелы,
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Boot\{38E62C4F-F12E-4A61-82E9-194934BFFB3F}

 

[Pavel1596]

выполнил
Посмотреть вложение Fixlog.txt

 

[safety]

это сделали перед выполнением скрипта в FRST?

1. сделайте из regedit импорт этих ключей из реестра в отдельные файлы:
.....

если да, то добавьте эти файлы на форум в ваше сообщение.

 

[Pavel1596]

упаковал в архив, т.к. не грузит на сайт
Посмотреть вложение Documents.rar

 

[safety]

сделайте теперь еще раз проверку в FRST

 

[Pavel1596]

Посмотреть вложение Addition.txt
Посмотреть вложение FRST.txt

 

[safety]

6. Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
Запустите FRST и нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

HKU\S-1-5-21-2796159674-487656957-3052101905-1001\...\Run: [Origami012] => explorer.exe hxxp://sd-steam.info <===== ATTENTION
CHR StartupUrls: Default -> "hxxp://worldoftanks.ru/","hxxp://badapps.ru/","hxxp://torba.ws/","hxxp://battlelog.battlefield.com/bf3/ru/servers/?post-check-sum=9a33cc3b25&filtered=1&expand=1&gameexpansions=0&q=&gamepresets=1&premium=-1&ranked=1&punkbuster=1&mapRotation=-1&modeRotation=-1&password=-1&gameSize=32&gamemodes=64&maps=MP_012&settings=&regions=&country=","hxxp://tera.by/index.php","hxxp://www.youtube.com/?gl=RU&hl=ru","hxxp://torba.ws/","hxxp://wot-news.com/","hxxp://www.yandex.ru/?win=103&clid=2052585"
Task: {38E62C4F-F12E-4A61-82E9-194934BFFB3F} - \Origami012 -> No File <==== ATTENTION
EmptyTemp:
Reboot:

 

[Pavel1596]

перезагрузился, ничего не вылезло
Посмотреть вложение Fixlog.txt

 

[safety]

закрываем уязвимости, обновляем программы, наблюдаем за проблемой
http://www.tehnari.ru/f150/t83677/

 

[Pavel1596]

выполнил, всё норм, написало только одно-отключён контроль учётных записей(уже включил). спасибо за помощь!)