Решена Реклама в браузере.

DGD · 12 Май 2016

Добрый день. При переходе на различные страницы браузера всегда выскакивает реклама.

Chinaski · 12 Май 2016

DGD, эти приложения вам знакомы?

Код:

888poker
Prezi
Unity Web Player

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 StopService('condef');
 QuarantineFile('C:\Users\USER\AppData\Local\SystemDir\nethost.exe', '');
 QuarantineFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe', '');
 QuarantineFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe', '');
 QuarantineFile('C:\Users\USER\AppData\Local\Microsoft\Extensions\extsetup.exe', '');
 QuarantineFile('C:\Users\USER\AppData\Roaming\Adobe\NativePlugin\OOBA\PPAPI\670D53B0-9BC3-4B02-9A70-249E20CF627A\6B7272D8-A459-4567-8903-6D9427AB449C.exe', '');
 QuarantineFile('C:\WINDOWS\system32\drivers\condef.sys', '');
 QuarantineFileF('C:\Users\USER\appdata\local\microsoft\extensions', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js, *.com', true, '', 0, 0);
 QuarantineFileF('C:\Users\USER\AppData\Local\SystemDir', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js, *.com', true, '', 0, 0);
 QuarantineFileF('C:\ProgramData\KRB Updater Utility', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js, *.com', true, '', 0, 0);
 QuarantineFileF('C:\Program Files (x86)\Kinoroom Browser', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js, *.com', true, '', 0, 0);
 QuarantineFileF('C:\Users\USER\AppData\Roaming\Adobe\NativePlugin\OOBA\PPAPI\670D53B0-9BC3-4B02-9A70-249E20CF627A', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js, *.com', true, '', 0, 0);
 DeleteFile('C:\WINDOWS\system32\drivers\condef.sys', '32');
 DeleteFile('C:\Users\USER\AppData\Roaming\Adobe\NativePlugin\OOBA\PPAPI\670D53B0-9BC3-4B02-9A70-249E20CF627A\6B7272D8-A459-4567-8903-6D9427AB449C.exe', '32');
 DeleteFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe', '32');
 DeleteFile('C:\WINDOWS\system32\Tasks\Microsoft\KRBUUS\KRB Updater Utility Service', '64');
 DeleteFile('C:\WINDOWS\system32\Tasks\Microsoft\extsetup', '64');
 DeleteFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe', '32');
 DeleteFile('C:\WINDOWS\system32\Tasks\Microsoft\KRBUUS\KRBLNKRUN', '64');
 DeleteFile('C:\WINDOWS\system32\Tasks\Microsoft\SafeBrowser', '64');
 DeleteFile('C:\WINDOWS\system32\Tasks\Microsoft\Windows\A670D53B0-9BC3-4B02-9A70-249E20CF627A', '64');
 DeleteFile('C:\WINDOWS\system32\Tasks\Microsoft\Windows\extsetup', '64');
 DeleteFile('C:\WINDOWS\system32\Tasks\Microsoft\Windows\SafeBrowser', '64');
 DeleteFile('C:\WINDOWS\system32\Tasks\nethost task', '64');
 DeleteFile('C:\Users\USER\AppData\Local\SystemDir\nethost.exe', '32');
 DeleteFile('C:\Users\USER\appdata\local\microsoft\extensions\extsetup.exe', '32');
 DeleteService('condef');
 DeleteFileMask('C:\Users\USER\appdata\local\microsoft\extensions', '*', true);
 DeleteFileMask('C:\Users\USER\AppData\Local\SystemDir', '*', true);
 DeleteFileMask('C:\ProgramData\KRB Updater Utility', '*', true);
 DeleteFileMask('C:\Program Files (x86)\Kinoroom Browser', '*', true);
 DeleteFileMask('C:\Users\USER\AppData\Roaming\Adobe\NativePlugin\OOBA\PPAPI\670D53B0-9BC3-4B02-9A70-249E20CF627A', '*', true);
 DeleteDirectory('C:\Users\USER\appdata\local\microsoft\extensions');
 DeleteDirectory('C:\Users\USER\AppData\Local\SystemDir');
 DeleteDirectory('C:\ProgramData\KRB Updater Utility');
 DeleteDirectory('C:\Program Files (x86)\Kinoroom Browser');
 DeleteDirectory('C:\Users\USER\AppData\Roaming\Adobe\NativePlugin\OOBA\PPAPI\670D53B0-9BC3-4B02-9A70-249E20CF627A');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', 'SafeBrowser');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', '670D53B0-9BC3-4B02-9A70-249E20CF627A');
 ClearHostsFile;
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится. После перезагрузки, выполните такой скрипт:

Код:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Полученный архив quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 8 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

Для повторной диагностики запустите снова AutoLogger. В первом диалоговом окне нажмите "ОК", удерживая нажатой клавишу "Shift".

Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
Прикрепите отчет к своему следующему сообщению.

Подробнее читайте в этом руководстве.

DGD · 12 Май 2016

Chinaski написал(а):
DGD, эти приложения вам знакомы?

Да знакомы.

Выкладываю логи.

Chinaski · 12 Май 2016

Запустите повторно AdwCleaner (by Xplode) (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать").

По окончанию сканирования снимите галочки со следующих строк (если продуктами mail.ru и Амиго не пользуетесь тоне снимайте):

Код:

Папка Найдено : C:\Program Files (x86)\Mail.Ru
Папка Найдено : C:\WINDOWS\SysWOW64\config\systemprofile\AppData\Local\Amigo
Папка Найдено : C:\USERs\USER\AppData\Local\Amigo
Папка Найдено : C:\USERs\USER\AppData\Roaming\MailProducts
Файл Найдено : C:\USERs\USER\Favorites\Mail.Ru.url
Файл Найдено : C:\USERs\USER\Favorites\Mail.Ru Агент - используй для общения!.url
Ключ Найдено : HKCU\Software\Amigo
Ключ Найдено : HKCU\Software\AppDataLow\Software\Mail.Ru
Ключ Найдено : HKLM\SOFTWARE\Mail.Ru
Ключ Найдено : HKU\S-1-5-21-2231447338-1803245036-2056782687-1002\Software\Amigo
Ключ Найдено : HKU\S-1-5-21-2231447338-1803245036-2056782687-1002\Software\AppDataLow\Software\Mail.Ru

Нажмите кнопку "Clean" ("Очистка") и дождитесь окончания удаления.
Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C1].txt.
Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

Подробнее читайте в этом руководстве.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Подробнее читайте в этом руководстве.

DGD · 12 Май 2016

Готово.

Chinaski · 13 Май 2016

DGD,
Создайте текстовый файл fixlist.txt в папке с Farbar Recovery Scan Tool, скопируйте в него текст из окна "код" ниже и сохраните.

Код:

start
CreateRestorePoint:
Task: {06ACD643-7008-4CCC-8DD2-AF19044E9CA2} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> No File <==== ATTENTION
Task: {105E8358-9A03-4507-B86A-97664F13AF11} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> No File <==== ATTENTION
Task: {1A990143-7C7C-4CBF-9EB4-9CD4890E1224} - \Microsoft\Windows\A670D53B0-9BC3-4B02-9A70-249E20CF627A -> No File <==== ATTENTION
Task: {7704378B-A108-45D5-B3B0-7CAF3B0992BD} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> No File <==== ATTENTION
Task: {7BA36A13-E118-454A-9399-FF4E445FA6F0} - System32\Tasks\Microsoft\extsetup => C:\Users\USER\AppData\Local\Microsoft\Extensions\extsetup.exe
Task: {7F93C11E-0512-445F-87D4-51DAA9F18044} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> No File <==== ATTENTION
Task: {829C405D-D178-4BDE-9F7D-24DABD8FCE12} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> No File <==== ATTENTION
Task: {83279821-4D37-47AE-A847-B060A169DAF6} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeReminderTime -> No File <==== ATTENTION
Task: {B61E0C75-96B6-475A-A3E5-C84C526FE3E6} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeTime -> No File <==== ATTENTION
Task: {D2310B87-03B7-437A-9A7B-67A4E968C40B} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> No File <==== ATTENTION
Task: {D45C65DF-7FD5-4153-BD80-C01B6905E3D7} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> No File <==== ATTENTION
Task: {D88FACBB-6145-40A2-8A2C-61D4E127F49D} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> No File <==== ATTENTION
Task: {E2E3D50C-1BE3-4539-905A-5187091785FE} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> No File <==== ATTENTION
Task: {EC1D4CE8-37F0-472C-8BA9-B4A3717C768F} - \Microsoft\Windows\Setup\GWXTriggers\OnIdle-5d -> No File <==== ATTENTION
Task: {F431338E-B3D2-471B-8DEC-A0B783FE7DA2} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> No File <==== ATTENTION
FirewallRules: [{D310F39B-B2C2-4DC8-9FDE-6D0DF87CAB22}] => (Allow) C:\Program Files\UBar\ubar.exe
HKLM\...\Policies\Explorer\Run: [SafeBrowser] => C:\Users\USER\AppData\Local\Microsoft\Extensions\extsetup.exe
GroupPolicy: Restriction - Chrome <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
CHR HomePage: Default -> hxxp://aztiwin.ru/?utm_content=094ef9ef1c8635e95fad13f3d1d3bbe0&utm_source=startpm&utm_term=5442FDCF32305805B5D0AB626A39A686
EmptyTemp:
Reboot:
end

Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
Подробнее читайте в этом руководстве.

После сделайте повторные логи по правилам и проверьте наличие проблемы.

DGD · 14 Май 2016

Выкладываю повторные логи. Проблема осталась. В браузере выскакивают сообщения..

Chinaski · 14 Май 2016

DGD,
"Пофиксите" в HijackThis (некоторые строки могут отсутствовать):

Код:

O4 - HKLM\..\Policies\Explorer\Run: [AppDownloads] "C:\Program Files (x86)\Common Files\92775BC1-378F-4ADE-95A8-8BC8E20FA07A\208E07EB-8371-471F-928D-80F12C4377F0.exe" /S
O4-64 - HKLM\..\Policies\Explorer\Run: [AppDownloads] "C:\Program Files (x86)\Common Files\92775BC1-378F-4ADE-95A8-8BC8E20FA07A\208E07EB-8371-471F-928D-80F12C4377F0.exe" /S

- Исправьте с помощью утилиты ClearLNK следующие ярлыки, отчёт о работе прикрепите:

Код:

"C:\Users\Public\Desktop\Aliexpress.lnk"
"C:\Users\Public\Desktop\Black Desert.lnk"
"C:\Users\Public\Desktop\LiteMF.lnk"
"C:\Users\Public\Desktop\Star Conflict.lnk"
"C:\Users\Public\Desktop\War Thunder.lnk"
"C:\Users\Public\Desktop\Новости.lnk"
"C:\ProgramData\Microsoft\Windows\Start Menu\Aliexpress.lnk"
"C:\ProgramData\Microsoft\Windows\Start Menu\Black Desert.lnk"
"C:\ProgramData\Microsoft\Windows\Start Menu\LiteMF.lnk"
"C:\ProgramData\Microsoft\Windows\Start Menu\Star Conflict.lnk"
"C:\ProgramData\Microsoft\Windows\Start Menu\War Thunder.lnk"
"C:\ProgramData\Microsoft\Windows\Start Menu\Новости.lnk"
"C:\Users\USER\Favorites\Links\Интернет.url"

в каком браузере проблема? попробуйте в Google Chrome удалить следующие расширения:

Код:

Extension jomedebcifmgdlbdonichejeehmgajac 0 Chrome Cleanup Tool 6.0.79
Extension ahioohiemdfkfcelamlfppdioddokmda 1 Безопасность GOOGLE 6.0.77

DGD · 25 Май 2016

Расширения не удалось удалить. Сделал полный сброс настроек браузера. Проблемы исчезли. Спасибо за помощь.

Chinaski · 26 Май 2016

Удалите папку С:\FRST

Пожалуйста, запустите adwcleaner.exe
Нажмите Uninstall (Деинсталлировать).
Подтвердите удаление нажав кнопку: Да.

Подробнее читайте в этом руководстве.

Выполните скрипт в AVZ при наличии доступа в интернет:

Код:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Выполните рекомендации после лечения.

Решена Реклама в браузере.

Переводчик Google

DGD

Участник

Вложения

Chinaski

DGD

Участник

Вложения

Chinaski

DGD

Участник

Вложения

Chinaski

DGD

Участник

Вложения

Chinaski

DGD

Участник

Chinaski