Решена Открытие вкладок в браузере

Статус
В этой теме нельзя размещать новые ответы.

dueto

Новый пользователь
Сообщения
15
Реакции
2
Добрый день! Уже обращался с проблемой майнера, которую успешно решили. На этот раз ноутбук не мой, но проблема следующая. При запуске ноутбука открывается вкладки сомнительного характера (б*нгокамс). Curelt выявил 46 угроз и 44 из них решил. А вот две не смог. Помогите пожалуйста..
 
Здравствуйте!

 
Сделал логи. Совсем забыл, так бы сразу прикрепил еще в первом сообщении.
 

Вложения

  • CollectionLog-2023.09.13-18.25.zip
    94.8 KB · Просмотры: 4
Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ из папки Autologger (Файл - Выполнить скрипт):
Код:
  begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
  SearchRootkit(true, true);
  SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Users\1\appdata\local\microsoft\extensions\extsetup.exe','');
 QuarantineFile('C:\Users\1\appdata\locallow\searchgo\searchgo.dll','');
 QuarantineFile('C:\Users\1\appdata\local\askpartnernetwork\toolbar\updater\idc\idcldr_x64.exe','');
 QuarantineFile('C:\Users\1\appdata\local\askpartnernetwork\toolbar\updater\idc\idcldr.exe','');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','1','x32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','1','x64');
 DeleteFile('C:\Users\1\appdata\local\askpartnernetwork\toolbar\updater\idc\idcldr.exe','32');
 DeleteFile('C:\Users\1\appdata\local\askpartnernetwork\toolbar\updater\idc\idcldr_x64.exe','32');
 DeleteFile('C:\Users\1\appdata\local\askpartnernetwork\toolbar\updater\idc\idcsrvstub.dll','32');
 DeleteFile('C:\Users\1\appdata\locallow\searchgo\searchgo.dll','32');
 DeleteFile('C:\Users\1\appdata\local\microsoft\extensions\extsetup.exe','32');
   BC_Activate;
  ExecuteSysClean;
  ExecuteWizard('SCU', 2, 3, true);
 BC_ImportALL;
RebootWindows(true);
end.
Компьютер перезагрузится.

После перезагрузки, выполните такой скрипт:

Код:
begin
DeleteFile(GetAVZDirectory+'quarantine.7z');
ExecuteFile(GetAVZDirectory+'7za.exe', 'a -mx9 -pmalware quarantine .\Quarantine\*', 1, 300000, false);
end.

Файл quarantine.7z из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 10 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: malware в теле письма.

"Пофиксите" в HijackThis (некоторые строки могут отсутствовать):
Код:
R0 - HKCU\Software\Microsoft\Internet Explorer\Main: [Default_Page_URL] = http://v9.com?type=hp&ts=1450258570&from=mych123&uid=st750lx003-1ac154_w200qeh3xxxxw200qeh3&z=c20c531ea0d32f2c3230153g3z0wce8oew1bawcmdo
R0 - HKLM\Software\Microsoft\Internet Explorer\Main: [Default_Page_URL] = http://v9.com?type=hp&ts=1450258570&from=mych123&uid=st750lx003-1ac154_w200qeh3xxxxw200qeh3&z=c20c531ea0d32f2c3230153g3z0wce8oew1bawcmdo
R0-32 - HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Main: [Default_Page_URL] = http://v9.com?type=hp&ts=1450258570&from=mych123&uid=st750lx003-1ac154_w200qeh3xxxxw200qeh3&z=c20c531ea0d32f2c3230153g3z0wce8oew1bawcmdo
R4 - SearchScopes: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\{425ED333-6083-428a-92C9-0CFC28B9D1BF}: [URL] = http://v9.com/web?type=ds&ts=1450258570&from=zzgbkk123&uid=st750lx003-1ac154_w200qeh3xxxxw200qeh3&z=c20c531ea0d32f2c3230153g3z0wce8oew1bawcmdo&q={searchTerms} - V9
R4 - SearchScopes: HKCU\Software\Microsoft\Internet Explorer\SearchScopes\6790CB4663406B347AE949813350AAD5: [URL] = http://search.qvo6.com/web/?utm_source=b&utm_medium=amt&from=amt&uid=ST750LX003-1AC154_W200QEH3XXXXW200QEH3&ts=1377497047 - qvo6
R4 - SearchScopes: HKLM\Software\Microsoft\Internet Explorer\SearchScopes\{33BB0A4E-99AF-4226-BDF6-49120163DE86}: [URL] = http://search.qvo6.com/web/?utm_source=b&utm_medium=amt&from=amt&uid=ST750LX003-1AC154_W200QEH3XXXXW200QEH3&ts=1377497047 - qvo6
O2 - HKLM\..\BHO: (no name) - {318A227B-5E9F-45bd-8999-7F8F10CA4CF5} - (no file)
O2-32 - HKLM\..\BHO: (no name) - {8E5E2654-AD2D-48bf-AC2D-D17F00898D06} - (no file)
O2-32 - HKLM\..\BHO: (no name) - {9cf699ca-2174-4ed8-bec1-ba82095edce0} - (no file)
O2-32 - HKLM\..\BHO: (no name) - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - (no file)
O2-32 - HKLM\..\BHO: Weatherbar - {17177FAA-3830-43D3-A70B-FDE532676B1E} - C:\Program Files (x86)\tooldev342\Weatherbar\TracersToolbarBHO_x86.dll (file missing)
O3 - HKLM\..\Toolbar: (no name) - {318A227B-5E9F-45bd-8999-7F8F10CA4CF5} - (no file)
O3-32 - HKLM\..\Toolbar: (no name) - {8E5E2654-AD2D-48bf-AC2D-D17F00898D06} - (no file)
O4 - HKCU\..\Run: [DUP] = "C:\Program Files (x86)\DriverUpdaterPro\DriverUpdaterPro.exe" /ot /as /ss (file missing)
O22 - Task (.job): (Running) DealPlyLiveUpdateTaskMachineCore.job - C:\Program Files (x86)\DealPlyLive\Update\DealPlyLive.exe (file missing)
O22 - Task (.job): (Running) newSI_1497.job - C:\Users\1\AppData\Roaming\newSI_1497\s_inst.exe (file missing)
O22 - Task (.job): (Running) newSI_2.job - C:\Users\1\AppData\Roaming\newSI_2\s_inst.exe (file missing)
O22 - Task (.job): (Running) newSI_21.job - C:\Users\1\AppData\Roaming\newSI_21\s_inst.exe (file missing)
O22 - Task (.job): AmiUpdXp.job - C:\Users\1\AppData\Local\SwvUpdater\Updater.exe (file missing)
O22 - Task (.job): AutoKMS.job - C:\Windows\AutoKMS\AutoKMS.exe (file missing)
O22 - Task (.job): Dealply.job - C:\Users\1\AppData\Roaming\Dealply\UpdateProc\UPDATE~1.EXE (file missing)
O22 - Task (.job): DigitalSite.job - C:\Users\1\AppData\Roaming\DigitalSite\UpdateProc\UPDATE~1.EXE (file missing)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{0641BF0C-7042-4041-9BA6-26D5E158D253} - \DealPlyLiveUpdateTaskMachineUA (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{42C44607-2AFB-4330-91A2-7BF9FE7B7234} - \newSI_21 (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{4FFDE42E-AEBC-44CC-B03B-A38881DB05D4} - \SystemScript (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{5938AFBC-4488-49D0-A741-9FE93DF7CC60} - \DealPlyLiveUpdateTaskMachineCore (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{6F4BD9A9-DB11-41D0-B40A-86C3369A5221} - \newSI_1497 (no xml)
O22 - Task: (damaged) HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{B9C01535-B831-45D5-B90A-9E0E5EB0F260} - \newSI_2 (no xml)
O22 - Tasks: (damaged) \WPD\SqmUpload_S-1-5-21-2068639322-578692409-522817522-1013 - C:\Windows\system32\rundll32.exe portabledeviceapi.dll,#1 (user missing) (sign: 'Microsoft')
O22 - Tasks: (damaged) ASUS P4G - C:\Program Files\ASUS\P4G\BatteryLife.exe (user missing) (sign: 'ASUSTeK Computer Inc.')
O22 - Tasks: (damaged) OrbitumUpdateTaskUserS-1-5-21-2068639322-578692409-522817522-1013Core - C:\Users\Михаил\AppData\Local\Orbitum\Update\GoogleUpdate.exe /c (file missing) (user missing)
O22 - Tasks: (damaged) OrbitumUpdateTaskUserS-1-5-21-2068639322-578692409-522817522-1013UA - C:\Users\Михаил\AppData\Local\Orbitum\Update\GoogleUpdate.exe /ua /installsource scheduler (file missing) (user missing)
O22 - Tasks: (disabled) crxbroBrowserUpdateCore - C:\Program Files (x86)\crxbro Browser\crxbro\bin\browserServer.exe -c (file missing)
O22 - Tasks: (disabled) crxbroBrowserUpdateUA - C:\Program Files (x86)\crxbro Browser\crxbro\bin\browserServer.exe -update (file missing)
O22 - Tasks: (disabled) crxbroCheckTask - C:\Program Files (x86)\crxbro Browser\crxbro\bin\browserServer.exe -t (file missing)
O23 - Service S2: Windows Service Modules - (WSModules) - C:\Program Files (x86)\crxbro Browser\crxbro\bin\browserServer.exe Files (x86)\crxbro Browser\crxbro\bin\browserServer.exe (file missing)


  • Скачайте AdwCleaner и сохраните его на Рабочем столе.
  • Запустите его через правую кн. мыши от имени администратора, нажмите кнопку "Scan Now" ("Запустить проверку") и дождитесь окончания сканирования.
  • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[Sxx].txt.
  • Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.
 
После перезагрузки перестал открываться браузер с подозрительными ссылками, что не может не радовать.
 

Вложения

  • AdwCleaner[S00].txt
    38.3 KB · Просмотры: 2
Последнее редактирование:
Приблудами от Mail.Ru и MediaGet пользуетесь?
 
  • Запустите повторно AdwCleaner через правую кн. мыши от имени администратора, нажмите кнопку "Scan Now" ("Запустить проверку").
  • По окончанию сканирования снимите галочки со следующих строк:
    Код:
    PUP.Optional.Zona               C:\Program Files\Zona
    PUP.Optional.Zona               C:\Users\1\AppData\Roaming\Zona
    PUP.Optional.Zona               C:\Users\1\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Zona.lnk
    PUP.Optional.Zona               C:\Users\1\Desktop\Zona.lnk
    PUP.Optional.Zona               C:\Windows\ZonaUpdater.log
  • нажмите кнопку "Quarantine" ("Карантин") и дождитесь окончания удаления.
  • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\Logs\AdwCleaner[Cxx].txt (где x - любая цифра).
  • Прикрепите отчет к своему следующему сообщению.
  • (Обратите внимание - C и S - это разные буквы).
Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

Подробнее читайте в этом руководстве.


Скачайте Farbar Recovery Scan Tool (или с зеркала) и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с вашей операционной системой. Если вы не уверены, какая версия подойдет для вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на вашей системе.
Когда программа запустится, нажмите Да (Yes) для соглашения с предупреждением.

Нажмите кнопку Сканировать (Scan).
После окончания сканирования будут созданы отчеты FRST.txt и Addition.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.
 
Извиняюсь, что так долго не мог ответить, не было возможности.
Сделал всё как сказали.
Вот.
 

Вложения

  • AdwCleaner[C01].txt
    27.7 KB · Просмотры: 1
  • Addition.txt
    118.2 KB · Просмотры: 1
  • FRST.txt
    61.3 KB · Просмотры: 1
1.
В системе установлены два антивируса:
Avast Antivirus
Kaspersky Anti-Virus
Не считая Защитника Windows.
Это не усиливает, а наоборот, ослабляет защиту системы.
Один из них деинсталлируйте, один оставьте.

2.
Через Панель управления (Параметры) - Удаление программ (Приложения) - удалите нежелательное ПО:
Adobe Flash Player 32 NPAPI
Adobe Flash Player 32 PPAPI
Bonjour
Skype Click to Call
TNod User & Password Finder

3.
Примите к сведению - после выполнения скрипта (возможно) все открытые вкладки браузеров будут закрыты, произойдет выход из аккаунтов, временные файлы, корзина, история браузеров, куки и кэш будут очищены.
  • Отключите до перезагрузки антивирус.
  • Выделите следующий код:
    Код:
    Start::
    CloseProcesses:
    SystemRestore: On
    CreateRestorePoint:
    HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiSpyware] Ограничение <==== ВНИМАНИЕ
    HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiVirus] Ограничение <==== ВНИМАНИЕ
    HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Ограничение <==== ВНИМАНИЕ
    HKU\S-1-5-21-2068639322-578692409-522817522-1002\...\MountPoints2: {003eacea-169b-11e3-be97-6c71d9218b4e} - "F:\AutoRun.exe"
    HKU\S-1-5-21-2068639322-578692409-522817522-1002\...\MountPoints2: {09743f6c-e884-11e3-bf16-bf7039a4310d} - "F:\HTC_Sync_Manager_PC.exe"
    HKU\S-1-5-21-2068639322-578692409-522817522-1002\...\MountPoints2: {236e4280-12b8-11e3-be94-6c71d9218b4e} - "F:\AutoRun.exe"
    HKU\S-1-5-21-2068639322-578692409-522817522-1002\...\MountPoints2: {236e4315-12b8-11e3-be94-6c71d9218b4e} - "F:\AutoRun.exe"
    HKU\S-1-5-21-2068639322-578692409-522817522-1002\...\MountPoints2: {6a308f4c-2c1a-11e3-bea0-6c71d9218b4e} - "F:\HTC_Sync_Manager_PC.exe"
    HKU\S-1-5-21-2068639322-578692409-522817522-1002\...\MountPoints2: {90c46157-1879-11e3-be97-6c71d9218b4e} - "F:\AutoRun.exe"
    HKU\S-1-5-21-2068639322-578692409-522817522-1002\...\MountPoints2: {aa5612c1-06b0-11e9-800d-60a44c702d91} - "F:\HiSuiteDownLoader.exe"
    HKU\S-1-5-21-2068639322-578692409-522817522-1002\...\MountPoints2: {b8ee8f58-12cf-11e3-be95-6c71d9218b4e} - "F:\AutoRun.exe"
    HKU\S-1-5-21-2068639322-578692409-522817522-1002\...\MountPoints2: {c07ce3b3-274a-11e3-be9f-6c71d9218b4e} - "F:\HTC_Sync_Manager_PC.exe"
    HKU\S-1-5-21-2068639322-578692409-522817522-1002\...\MountPoints2: {cf5903d4-1c32-11e3-be98-001e101fb0f4} - "F:\AutoRun.exe"
    HKU\S-1-5-21-2068639322-578692409-522817522-1002\...\MountPoints2: {cf590414-1c32-11e3-be98-001e101fb0f4} - "F:\AutoRun.exe"
    HKU\S-1-5-21-2068639322-578692409-522817522-1002\...\MountPoints2: {e08fdfce-c972-11e8-8008-60a44c702d91} - "F:\HiSuiteDownLoader.exe"
    HKU\S-1-5-21-2068639322-578692409-522817522-1002\...\MountPoints2: {e9de686e-1b74-11e3-be97-6c71d9218b4e} - "H:\AutoRun.exe"
    ShortcutTarget: Schedule.lnk -> C:\Users\1\AppData\Local\Schedule\Schedule.exe (Нет файла)
    Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Stаrt GееkВuddy.lnk [2015-05-17]
    ShortcutTarget: Stаrt GееkВuddy.lnk -> C:\Users\1\AppData\Roaming\Browsers\exe.rehcnual.bat (Нет файла)
    Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Zaxar Games Browser.lnk [2013-10-17] <==== ВНИМАНИЕ
    ShortcutTarget: Zaxar Games Browser.lnk -> C:\Program Files\Zaxar\ZaxarLoader.exe (Нет файла) <==== ВНИМАНИЕ
    HKLM\SOFTWARE\Policies\Google: Ограничение <==== ВНИМАНИЕ
    HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Ограничение <==== ВНИМАНИЕ
    FF HKLM\...\Thunderbird\Extensions: [eplgTb@eset.com] - C:\Program Files\ESET\ESET NOD32 Antivirus\Mozilla Thunderbird => не найдено
    FF HKLM-x32\...\Thunderbird\Extensions: [msktbird@mcafee.com] - C:\Program Files\McAfee\MSK => не найдено
    FF HKLM-x32\...\Thunderbird\Extensions: [eplgTb@eset.com] - C:\Program Files\ESET\ESET NOD32 Antivirus\Mozilla Thunderbird => не найдено
    C:\Users\1\AppData\Local\Google\Chrome\User Data\Default\Extensions\cpegcopcfajiiibidlaelhjjblpefbjk
    C:\Users\1\AppData\Local\Google\Chrome\User Data\Default\Extensions\hdpgllbnilfcbckbdchjcfgopijgllcm
    C:\Users\1\AppData\Local\Google\Chrome\User Data\Default\Extensions\lgdnilodcpljomelbbnpgdogdbmclbni
    CHR HKLM-x32\...\Chrome\Extension: [cpegcopcfajiiibidlaelhjjblpefbjk]
    CHR HKLM-x32\...\Chrome\Extension: [hdpgllbnilfcbckbdchjcfgopijgllcm]
    CHR HKLM-x32\...\Chrome\Extension: [lgdnilodcpljomelbbnpgdogdbmclbni]
    AlternateDataStreams: C:\ProgramData\Temp:D8999815 [149]
    FirewallRules: [{443EF453-E0D4-470E-B248-5472F0737B4F}] => (Allow) LPort=2869
    FirewallRules: [{20D1C1DF-2454-4BC7-8ADF-1E5DC86E36C7}] => (Allow) LPort=1900
    FirewallRules: [{3260084B-B949-4A4F-8F2A-44FE38B09474}] => (Allow) C:\Users\1\AppData\Local\MediaGet2\mediaget.exe => Нет файла
    FirewallRules: [{222F718C-7E10-4374-899B-0D667FF320D4}] => (Allow) C:\Users\1\AppData\Local\MediaGet2\mediaget.exe => Нет файла
    FirewallRules: [{DF16BE0E-2E78-4070-A460-C481127DA409}] => (Allow) C:\Program Files\Bonjour\mDNSResponder.exe (Apple Inc. -> Apple Inc.)
    FirewallRules: [{24082318-2A84-4543-89E5-CD7E0BF5AEB5}] => (Allow) C:\Program Files\Bonjour\mDNSResponder.exe (Apple Inc. -> Apple Inc.)
    FirewallRules: [{507EACAA-61F2-445A-9443-8652CE317515}] => (Allow) C:\Program Files (x86)\Bonjour\mDNSResponder.exe (Apple Inc. -> Apple Inc.)
    FirewallRules: [{DA5FCE44-DC8D-4540-9EA2-961E6E6493D8}] => (Allow) C:\Program Files (x86)\Bonjour\mDNSResponder.exe (Apple Inc. -> Apple Inc.)
    ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
    EmptyTemp:
    Reboot:
    End::
  • Скопируйте выделенный текст (правой кнопкой - Копировать).
  • Запустите FRST (FRST64) от имени администратора.
  • Нажмите Исправить (Fix) один раз (!) и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Подробнее читайте в этом руководстве.
 
Вот.
 

Вложения

  • Fixlog.txt
    12.8 KB · Просмотры: 1
Что сейчас с проблемой?
 
Проблема решена, браузер перестал открываться, спасибо вам большое!
Выручаете уже не в первый раз!
 
Отлично!

В завершение и на будущее:
1.
  • Пожалуйста, запустите adwcleaner.exe
  • В меню Параметры прокрутите вниз и выберите Удалить.

Переименуйте FRST.exe (или FRST64.exe) в uninstall.exe и запустите.
Компьютер перезагрузится.

Остальные утилиты лечения и папки можно просто удалить.

2.
  • Загрузите SecurityCheck by glax24 & Severnyj, сохраните утилиту на Рабочем столе и извлеките из архива.
  • Запустите из меню по щелчку правой кнопки мыши Запустить от имени администратора
  • Если увидите предупреждение от вашего фаервола или SmartScreen относительно программы SecurityCheck, не блокируйте ее работу
  • Дождитесь окончания сканирования, откроется лог в блокноте с именем SecurityCheck.txt
  • Если Вы закрыли Блокнот, то найти этот файл можно в корне системного диска в папке с именем SecurityCheck, например C:\SecurityCheck\SecurityCheck.txt
  • Прикрепите этот файл к своему следующему сообщению.
 
Статус
В этой теме нельзя размещать новые ответы.
Назад
Сверху Снизу