Решена Невозможно работать из-за всплывающих сообщений во всех браузерах

[lera]

Каждіе 10 секунд всплывающие сообщения, во всех браузерах - работать невозможно - помогите пожалуйста

 

[Ботан]

Приветствую lera, вы обратились в раздел оказания помощи в удалении вредоносного ПО. Консультанты в ближайшее время ответят на ваш запрос.​

__________________________________________________

Пожалуйста убедитесь в том, что вы подготовили и прикрепили к теме необходимые логи для проведения анализа:

• virusinfo_syscure.zip, virusinfo_syscheck.zip, log.txt, info.txt

Если вы этого еще не сделали, то вам необходимо прочесть тему Правила оформления запроса о помощи и подготовить логи.

***​

Рекомендации, подготовленные нашими специалистами, разрабатываются индивидуально для каждого пользователя. Не используйте рекомендации, которые подготовлены для другого пользователя - это может повредить вашей системе.

***​

Во время лечения четко придерживайтесь рекомендаций Консультантов, не удаляйте никаких файлов, не делайте дополнительные настройки утилит, не используйте других утилит без прямого указания Консультанта - любое из этих действий может привести к повреждению операционной системы и потере пользовательских данных!

__________________________________________________
С уважением, администрация SafeZone.​

 

[Сашка]

1. В логе сканирования Hijackthis отметьте:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/search
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/search

O4 - HKCU\..\Run: [4Y3Y0C3A9F7W0DXVLVXTVXC] C:\Recycle.Bin\B6232F3ADBA.exe /q

O17 - HKLM\System\CCS\Services\Tcpip\..\{0DDB5E51-4A02-450E-ACFA-F17BDB90CAC9}: NameServer = 193.111.137.200
O17 - HKLM\System\CCS\Services\Tcpip\..\{94BA9270-2E4C-4AE7-8945-60FD80CD0FB2}: NameServer = 193.111.137.200
O17 - HKLM\System\CS1\Services\Tcpip\..\{0DDB5E51-4A02-450E-ACFA-F17BDB90CAC9}: NameServer = 193.111.137.200
O17 - HKLM\System\CS2\Services\Tcpip\..\{0DDB5E51-4A02-450E-ACFA-F17BDB90CAC9}: NameServer = 193.111.137.200

нажмите "Fix checked". если пропадет подключение к интернету - в настройках сети - ipv4 - свойства - dns вручную пропишите dns своего провайдера или публичные - 8.8.8.8 alt 8.8.4.4

2. Перед выполнением скрипта выгрузите антивирусное и защитное ПО.
AVZ, меню Файл - Выполнить скрипт - Скопировать ниже написанный скрипт (без номеров строк) - Нажать кнопку Запустить.

begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('c:\users\c15b~1\appdata\local\temp\kaqh0wk.exe','');
QuarantineFile('C:\Recycle.Bin\B6232F3ADBA.exe','');
DeleteFile('C:\Recycle.Bin\B6232F3ADBA.exe','32');
DeleteFile('c:\users\c15b~1\appdata\local\temp\kaqh0wk.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','4Y3Y0C3A9F7W0DXVLVXTVXC');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','explorer');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('SCU',2,3,true);
RebootWindows(true);
end.

На время выполнения скрипта все сетевые подключения будут закрыты. После окончания компьютер перезагрузится. После перезагрузки выполнить второй скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В результате выполнения скрипта будет сформирован карантин quarantine.zip. Отправьте полученный файл quarantine.zip из папки AVZ через данную форму. Укажите ссылку на тему и ник на форуме.

3. Обновите базы АВЗ (файл - обновление баз) и сделайте новые логи AVZ и RSIT

4. Скачайте Malwarebytes' Anti-Malware или с зеркала, установите, обновите базы, выберите "Perform Full Scan" ("Полное сканирование"), нажмите "Scan" ("Сканирование"), после сканирования - Show Results ("Показать результаты") - Откройте лог и скопируйте в блокнот и прикрепите его к следующему посту. Из того что будет найдено, НИЧЕГО НЕ УДАЛЯЙТЕ САМОСТОЯТЕЛЬНО !!!
Если базы MBAM в автоматическом режиме обновить не удалось, обновите их отдельно.

5. Чтобы полностью удалить webalta, запустите AVZ - сервис - Поиск данных в реестре. В строку "образец" впишите webalta, нажмите "начать поиск", сохраните протокол и выложите в ответ. НИЧЕГО НЕ УДАЛЯЙТЕ САМОСТОЯТЕЛЬНО !!!.

 

[lera]

повторные логи

Спасибо!

 

[lera]

новые логи

Спасибо!

 

[lera]

еще логи

 

[Сашка]

отметьте найденное MBAM, нажмите "удалить"

следом еще раз запустите в Авз поиск webalta, кликните ПКМ по списку, нажмите "выбрать все" и кнопку "удалить ... "

Отпишитесь о проблеме.

 

[lera]

Помогло!!!

Спасибо большое за оперативную помощь!

 

[Сашка]

для профилактики повторных заражений скачайте и запустите SecurityCheck by glax24 , когда откроется отчет, скопируйте и вставьте его сюда, сам файл выкладывать не нужно. В отчете будет показано, что в вашей системе нуждается в обновлении и другие угрозы безопасности. Скачайте и установите обновления по ссылкам.

потом - https://safezone.cc/forum/showthread.php?t=16715