Решена Реклама в браузере.

Тема в разделе "Лечение компьютерных вирусов", создана пользователем DGD, 12 май 2016.

Статус темы:
Закрыта.
  1. DGD
    Оффлайн

    DGD Пользователь

    Сообщения:
    50
    Симпатии:
    1
    Добрый день. При переходе на различные страницы браузера всегда выскакивает реклама.
     

    Вложения:

    Последнее редактирование: 12 май 2016
  2. Chinaski
    Оффлайн

    Chinaski Ассоциация VN

    Сообщения:
    2.277
    Симпатии:
    502
    DGD, эти приложения вам знакомы?
    Код (Text):
    888poker
    Prezi
    Unity Web Player
    Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

    Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

    Код (Text):

    begin
    ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
    ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
    if not IsWOW64
    then
      begin
       SearchRootkit(true, true);
       SetAVZGuardStatus(True);
      end;
     StopService('condef');
     QuarantineFile('C:\Users\USER\AppData\Local\SystemDir\nethost.exe', '');
     QuarantineFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe', '');
     QuarantineFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe', '');
     QuarantineFile('C:\Users\USER\AppData\Local\Microsoft\Extensions\extsetup.exe', '');
     QuarantineFile('C:\Users\USER\AppData\Roaming\Adobe\NativePlugin\OOBA\PPAPI\670D53B0-9BC3-4B02-9A70-249E20CF627A\6B7272D8-A459-4567-8903-6D9427AB449C.exe', '');
     QuarantineFile('C:\WINDOWS\system32\drivers\condef.sys', '');
     QuarantineFileF('C:\Users\USER\appdata\local\microsoft\extensions', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js, *.com', true, '', 0, 0);
     QuarantineFileF('C:\Users\USER\AppData\Local\SystemDir', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js, *.com', true, '', 0, 0);
     QuarantineFileF('C:\ProgramData\KRB Updater Utility', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js, *.com', true, '', 0, 0);
     QuarantineFileF('C:\Program Files (x86)\Kinoroom Browser', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js, *.com', true, '', 0, 0);
     QuarantineFileF('C:\Users\USER\AppData\Roaming\Adobe\NativePlugin\OOBA\PPAPI\670D53B0-9BC3-4B02-9A70-249E20CF627A', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js, *.com', true, '', 0, 0);
     DeleteFile('C:\WINDOWS\system32\drivers\condef.sys', '32');
     DeleteFile('C:\Users\USER\AppData\Roaming\Adobe\NativePlugin\OOBA\PPAPI\670D53B0-9BC3-4B02-9A70-249E20CF627A\6B7272D8-A459-4567-8903-6D9427AB449C.exe', '32');
     DeleteFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe', '32');
     DeleteFile('C:\WINDOWS\system32\Tasks\Microsoft\KRBUUS\KRB Updater Utility Service', '64');
     DeleteFile('C:\WINDOWS\system32\Tasks\Microsoft\extsetup', '64');
     DeleteFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe', '32');
     DeleteFile('C:\WINDOWS\system32\Tasks\Microsoft\KRBUUS\KRBLNKRUN', '64');
     DeleteFile('C:\WINDOWS\system32\Tasks\Microsoft\SafeBrowser', '64');
     DeleteFile('C:\WINDOWS\system32\Tasks\Microsoft\Windows\A670D53B0-9BC3-4B02-9A70-249E20CF627A', '64');
     DeleteFile('C:\WINDOWS\system32\Tasks\Microsoft\Windows\extsetup', '64');
     DeleteFile('C:\WINDOWS\system32\Tasks\Microsoft\Windows\SafeBrowser', '64');
     DeleteFile('C:\WINDOWS\system32\Tasks\nethost task', '64');
     DeleteFile('C:\Users\USER\AppData\Local\SystemDir\nethost.exe', '32');
     DeleteFile('C:\Users\USER\appdata\local\microsoft\extensions\extsetup.exe', '32');
     DeleteService('condef');
     DeleteFileMask('C:\Users\USER\appdata\local\microsoft\extensions', '*', true);
     DeleteFileMask('C:\Users\USER\AppData\Local\SystemDir', '*', true);
     DeleteFileMask('C:\ProgramData\KRB Updater Utility', '*', true);
     DeleteFileMask('C:\Program Files (x86)\Kinoroom Browser', '*', true);
     DeleteFileMask('C:\Users\USER\AppData\Roaming\Adobe\NativePlugin\OOBA\PPAPI\670D53B0-9BC3-4B02-9A70-249E20CF627A', '*', true);
     DeleteDirectory('C:\Users\USER\appdata\local\microsoft\extensions');
     DeleteDirectory('C:\Users\USER\AppData\Local\SystemDir');
     DeleteDirectory('C:\ProgramData\KRB Updater Utility');
     DeleteDirectory('C:\Program Files (x86)\Kinoroom Browser');
     DeleteDirectory('C:\Users\USER\AppData\Roaming\Adobe\NativePlugin\OOBA\PPAPI\670D53B0-9BC3-4B02-9A70-249E20CF627A');
     RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', 'SafeBrowser');
     RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', '670D53B0-9BC3-4B02-9A70-249E20CF627A');
     ClearHostsFile;
    BC_ImportAll;
    ExecuteSysClean;
    BC_Activate;
    RebootWindows(true);
    end.
     
    Компьютер перезагрузится. После перезагрузки, выполните такой скрипт:

    Код (Text):
    begin
    CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
    end.
    Полученный архив quarantine.zip из папки с распакованной утилитой AVZ отправьте с помощью этой формы или (если размер архива превышает 8 MB) на этот почтовый ящик: quarantine <at> safezone.cc (замените <at> на @) с указанием ссылки на тему в теме (заголовке) сообщения и с указанием пароля: virus в теле письма.

    Для повторной диагностики запустите снова AutoLogger. В первом диалоговом окне нажмите "ОК", удерживая нажатой клавишу "Shift".



    • Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
    • Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
    • Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
    • Прикрепите отчет к своему следующему сообщению.

    Подробнее читайте в этом руководстве.
     
  3. DGD
    Оффлайн

    DGD Пользователь

    Сообщения:
    50
    Симпатии:
    1
    Да знакомы.

    Выкладываю логи.
     

    Вложения:

  4. Chinaski
    Оффлайн

    Chinaski Ассоциация VN

    Сообщения:
    2.277
    Симпатии:
    502
    • Запустите повторно AdwCleaner (by Xplode) (в ОС Vista/Windows 7, 8, 8.1, 10 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать").
    • По окончанию сканирования снимите галочки со следующих строк (если продуктами mail.ru и Амиго не пользуетесь тоне снимайте):
      Код (Text):

      Папка Найдено : C:\Program Files (x86)\Mail.Ru
      Папка Найдено : C:\WINDOWS\SysWOW64\config\systemprofile\AppData\Local\Amigo
      Папка Найдено : C:\USERs\USER\AppData\Local\Amigo
      Папка Найдено : C:\USERs\USER\AppData\Roaming\MailProducts
      Файл Найдено : C:\USERs\USER\Favorites\Mail.Ru.url
      Файл Найдено : C:\USERs\USER\Favorites\Mail.Ru Агент - используй для общения!.url
      Ключ Найдено : HKCU\Software\Amigo
      Ключ Найдено : HKCU\Software\AppDataLow\Software\Mail.Ru
      Ключ Найдено : HKLM\SOFTWARE\Mail.Ru
      Ключ Найдено : HKU\S-1-5-21-2231447338-1803245036-2056782687-1002\Software\Amigo
      Ключ Найдено : HKU\S-1-5-21-2231447338-1803245036-2056782687-1002\Software\AppDataLow\Software\Mail.Ru
       
    • Нажмите кнопку "Clean" ("Очистка") и дождитесь окончания удаления.
    • Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C1].txt.
    • Прикрепите отчет к своему следующему сообщению
    Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

    Подробнее читайте в этом руководстве.



    Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

    Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
    Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
    Отметьте галочкой также "Shortcut.txt".

    Нажмите кнопку Scan.
    После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
    Подробнее читайте в этом руководстве.
     
  5. DGD
    Оффлайн

    DGD Пользователь

    Сообщения:
    50
    Симпатии:
    1
    Готово.
     

    Вложения:

    • FRST.txt
      Размер файла:
      93 КБ
      Просмотров:
      1
    • Addition.txt
      Размер файла:
      39,2 КБ
      Просмотров:
      1
    • Shortcut.txt
      Размер файла:
      65,2 КБ
      Просмотров:
      2
  6. Chinaski
    Оффлайн

    Chinaski Ассоциация VN

    Сообщения:
    2.277
    Симпатии:
    502
    DGD,
    Создайте текстовый файл fixlist.txt в папке с Farbar Recovery Scan Tool, скопируйте в него текст из окна "код" ниже и сохраните.
    Код (Text):
    start
    CreateRestorePoint:
    Task: {06ACD643-7008-4CCC-8DD2-AF19044E9CA2} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> No File <==== ATTENTION
    Task: {105E8358-9A03-4507-B86A-97664F13AF11} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> No File <==== ATTENTION
    Task: {1A990143-7C7C-4CBF-9EB4-9CD4890E1224} - \Microsoft\Windows\A670D53B0-9BC3-4B02-9A70-249E20CF627A -> No File <==== ATTENTION
    Task: {7704378B-A108-45D5-B3B0-7CAF3B0992BD} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> No File <==== ATTENTION
    Task: {7BA36A13-E118-454A-9399-FF4E445FA6F0} - System32\Tasks\Microsoft\extsetup => C:\Users\USER\AppData\Local\Microsoft\Extensions\extsetup.exe
    Task: {7F93C11E-0512-445F-87D4-51DAA9F18044} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> No File <==== ATTENTION
    Task: {829C405D-D178-4BDE-9F7D-24DABD8FCE12} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> No File <==== ATTENTION
    Task: {83279821-4D37-47AE-A847-B060A169DAF6} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeReminderTime -> No File <==== ATTENTION
    Task: {B61E0C75-96B6-475A-A3E5-C84C526FE3E6} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeTime -> No File <==== ATTENTION
    Task: {D2310B87-03B7-437A-9A7B-67A4E968C40B} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> No File <==== ATTENTION
    Task: {D45C65DF-7FD5-4153-BD80-C01B6905E3D7} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> No File <==== ATTENTION
    Task: {D88FACBB-6145-40A2-8A2C-61D4E127F49D} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> No File <==== ATTENTION
    Task: {E2E3D50C-1BE3-4539-905A-5187091785FE} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> No File <==== ATTENTION
    Task: {EC1D4CE8-37F0-472C-8BA9-B4A3717C768F} - \Microsoft\Windows\Setup\GWXTriggers\OnIdle-5d -> No File <==== ATTENTION
    Task: {F431338E-B3D2-471B-8DEC-A0B783FE7DA2} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> No File <==== ATTENTION
    FirewallRules: [{D310F39B-B2C2-4DC8-9FDE-6D0DF87CAB22}] => (Allow) C:\Program Files\UBar\ubar.exe
    HKLM\...\Policies\Explorer\Run: [SafeBrowser] => C:\Users\USER\AppData\Local\Microsoft\Extensions\extsetup.exe
    GroupPolicy: Restriction - Chrome <======= ATTENTION
    CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
    CHR HomePage: Default -> hxxp://aztiwin.ru/?utm_content=094ef9ef1c8635e95fad13f3d1d3bbe0&utm_source=startpm&utm_term=5442FDCF32305805B5D0AB626A39A686
    EmptyTemp:
    Reboot:
    end
    Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
    Компьютер будет перезагружен автоматически.
    Подробнее читайте в этом руководстве.


    После сделайте повторные логи по правилам и проверьте наличие проблемы.
     
  7. DGD
    Оффлайн

    DGD Пользователь

    Сообщения:
    50
    Симпатии:
    1
    фото12.png Выкладываю повторные логи. Проблема осталась. В браузере выскакивают сообщения.. фото11.png
     

    Вложения:

    Последнее редактирование: 14 май 2016
  8. Chinaski
    Оффлайн

    Chinaski Ассоциация VN

    Сообщения:
    2.277
    Симпатии:
    502
    DGD,
    "Пофиксите" в HijackThis (некоторые строки могут отсутствовать):
    Код (Text):

    O4 - HKLM\..\Policies\Explorer\Run: [AppDownloads] "C:\Program Files (x86)\Common Files\92775BC1-378F-4ADE-95A8-8BC8E20FA07A\208E07EB-8371-471F-928D-80F12C4377F0.exe" /S
    O4-64 - HKLM\..\Policies\Explorer\Run: [AppDownloads] "C:\Program Files (x86)\Common Files\92775BC1-378F-4ADE-95A8-8BC8E20FA07A\208E07EB-8371-471F-928D-80F12C4377F0.exe" /S
     
    - Исправьте с помощью утилиты ClearLNK следующие ярлыки, отчёт о работе прикрепите:
    Код (Text):

    "C:\Users\Public\Desktop\Aliexpress.lnk"
    "C:\Users\Public\Desktop\Black Desert.lnk"
    "C:\Users\Public\Desktop\LiteMF.lnk"
    "C:\Users\Public\Desktop\Star Conflict.lnk"
    "C:\Users\Public\Desktop\War Thunder.lnk"
    "C:\Users\Public\Desktop\Новости.lnk"
    "C:\ProgramData\Microsoft\Windows\Start Menu\Aliexpress.lnk"
    "C:\ProgramData\Microsoft\Windows\Start Menu\Black Desert.lnk"
    "C:\ProgramData\Microsoft\Windows\Start Menu\LiteMF.lnk"
    "C:\ProgramData\Microsoft\Windows\Start Menu\Star Conflict.lnk"
    "C:\ProgramData\Microsoft\Windows\Start Menu\War Thunder.lnk"
    "C:\ProgramData\Microsoft\Windows\Start Menu\Новости.lnk"
    "C:\Users\USER\Favorites\Links\Интернет.url"
     

    в каком браузере проблема? попробуйте в Google Chrome удалить следующие расширения:
    Код (Text):
    Extension jomedebcifmgdlbdonichejeehmgajac 0 Chrome Cleanup Tool 6.0.79
    Extension ahioohiemdfkfcelamlfppdioddokmda 1 Безопасность GOOGLE 6.0.77
     
  9. DGD
    Оффлайн

    DGD Пользователь

    Сообщения:
    50
    Симпатии:
    1
    Расширения не удалось удалить. Сделал полный сброс настроек браузера. Проблемы исчезли. Спасибо за помощь.
     
  10. Chinaski
    Оффлайн

    Chinaski Ассоциация VN

    Сообщения:
    2.277
    Симпатии:
    502
    Удалите папку С:\FRST

    • Пожалуйста, запустите adwcleaner.exe
    • Нажмите Uninstall (Деинсталлировать).
    • Подтвердите удаление нажав кнопку: Да.

    Подробнее читайте в этом руководстве.


    Выполните скрипт в AVZ при наличии доступа в интернет:

    Код (Text):
    var
    LogPath : string;
    ScriptPath : string;

    begin
     LogPath := GetAVZDirectory + 'log\avz_log.txt';
     if FileExists(LogPath) Then DeleteFile(LogPath);
     ScriptPath := GetAVZDirectory +'ScanVuln.txt';

      if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
        if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
           ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
           exit;
          end;
      end;
     if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
    end.
    После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

    Выполните рекомендации после лечения.
     
Статус темы:
Закрыта.

Поделиться этой страницей