Delta-homes, PortaldoSites

[slai]

Здравствуйте.
Запускаются в браузере постоянно сайты Delta-homes, PortaldoSites. Также браузер сам закрывается. Браузеры фаирвокс и хром. Помогите пожалуйста удалить этот вирус.virusinfo_syscheck.ziphijackthis.log

[Info_bot]

Уважаемый(ая) slai, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Сделайте лог ComboFix

[slai]

ComboFix.txt

[thyrex]

Скопируйте текст ниже в Блокнот и сохраните как файл с названием CFScript.txt в корень диска С.

KillAll::

Firefox::
FF - ProfilePath - c:\users\slai\AppData\Roaming\Mozilla\Firefox\Profiles\4jluh5dx.default\
FF - prefs.js: browser.search.selectedEngine - delta-homes
FF - prefs.js: browser.startup.homepage - hxxp://www.delta-homes.com/?utm_source=b&utm_medium=newgdp&utm_campaign=eXQ&utm_content=hp&from=newgdp&uid=OCZ-VERTEX3_OCZ-A5902374NSBP3OCN&ts=1380274408
FF - ExtSQL: 2013-08-01 23:57; [email protected]; c:\users\slai\AppData\Roaming\Mozilla\Firefox\Profiles\4jluh5dx.default\extensions\[email protected]
FF - ExtSQL: 2013-08-02 23:43; {11483926-db67-4190-91b1-ef20fcec5f33}; c:\users\slai\AppData\Roaming\Mozilla\Firefox\Profiles\4jluh5dx.default\extensions\{11483926-db67-4190-91b1-ef20fcec5f33}.xpi
FF - user.js: network.cookie.cookieBehavior - 0
FF - user.js: privacy.clearOnShutdown.cookies - false
FF - user.js: security.warn_submit_insecure - false
FF - user.js: security.warn_submit_insecure.show_once - false
FF - user.js: security.warn_viewing_mixed - false
FF - user.js: security.warn_viewing_mixed.show_once - false
FF - user.js: extensions.funmoods.hmpg - true
FF - user.js: extensions.funmoods.hmpgUrl - hxxp://searchfunmoods.com/?f=1&a=iron2&ir=iron2&cd=2XzuyEtN2Y1L1QzuzytD0EyC0B0AyCyEyE0DyCyCyB0A0CtAtN0D0Tzu0CtAzzyDtN1L2XzutBtFtBtFtCtFyEtDyB&cr=523001880
FF - user.js: extensions.funmoods.dfltSrch - true
FF - user.js: extensions.funmoods.srchPrvdr - Funmoods
FF - user.js: extensions.funmoods.dnsErr - true
FF - user.js: extensions.funmoods_i.newTab - true
FF - user.js: extensions.funmoods.newTabUrl - hxxp://searchfunmoods.com/?f=2&a=iron2&ir=iron2&cd=2XzuyEtN2Y1L1QzuzytD0EyC0B0AyCyEyE0DyCyCyB0A0CtAtN0D0Tzu0CtAzzyDtN1L2XzutBtFtBtFtCtFyEtDyB&cr=523001880
FF - user.js: extensions.funmoods.tlbrSrchUrl - hxxp://searchfunmoods.com/?f=3&a=iron2&ir=iron2&cd=2XzuyEtN2Y1L1QzuzytD0EyC0B0AyCyEyE0DyCyCyB0A0CtAtN0D0Tzu0CtAzzyDtN1L2XzutBtFtBtFtCtFyEtDyB&cr=523001880&q=
FF - user.js: extensions.funmoods.id - 90E6BA644D667AC3
FF - user.js: extensions.funmoods.instlDay - 15724
FF - user.js: extensions.funmoods.vrsn - 1.5.23.22
FF - user.js: extensions.funmoods.vrsni - 1.5.23.22
FF - user.js: extensions.funmoods_i.vrsnTs - 1.5.23.2221:41:9
FF - user.js: extensions.funmoods.prtnrId - funmoods
FF - user.js: extensions.funmoods.prdct - funmoods
FF - user.js: extensions.funmoods.aflt - iron2
FF - user.js: extensions.funmoods_i.smplGrp - none
FF - user.js: extensions.funmoods.tlbrId - base
FF - user.js: extensions.funmoods.instlRef - iron2
FF - user.js: extensions.funmoods.dfltLng - 
FF - user.js: extensions.funmoods.excTlbr - false
FF - user.js: extensions.funmoods.autoRvrt - false
FF - user.js: extensions.funmoods.envrmnt - production
FF - user.js: extensions.funmoods.isdcmntcmplt - true
FF - user.js: extensions.funmoods.mntrvrsn - 1.3.0

DDS::
uStart Page = hxxp://www.delta-homes.com/?utm_source=b&utm_medium=newgdp&utm_campaign=eXQ&utm_content=hp&from=newgdp&uid=OCZ-VERTEX3_OCZ-A5902374NSBP3OCN&ts=1380280734
mDefault_Page_URL = hxxp://www.delta-homes.com/?utm_source=b&utm_medium=newgdp&utm_campaign=eXQ&utm_content=hp&from=newgdp&uid=OCZ-VERTEX3_OCZ-A5902374NSBP3OCN&ts=1380280734
mStart Page = hxxp://www.delta-homes.com/?utm_source=b&utm_medium=newgdp&utm_campaign=eXQ&utm_content=hp&from=newgdp&uid=OCZ-VERTEX3_OCZ-A5902374NSBP3OCN&ts=1380280734

После сохранения переместите CFScript.txt на пиктограмму ComboFix.exe.

Когда сохранится новый отчет ComboFix.txt, прикрепите его к сообщению.

[slai]

Выполнил.ComboFix.txt

[thyrex]

Все на месте

Пофиксите в HiJack

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.delta-homes.com/?utm_source=b&utm_medium=newgdp&utm_campaign=eXQ&utm_content=hp&from=newgdp&uid=OCZ-VERTEX3_OCZ-A5902374NSBP3OCN&ts=1380280734
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.delta-homes.com/?utm_source=b&utm_medium=newgdp&utm_campaign=eXQ&utm_content=hp&from=newgdp&uid=OCZ-VERTEX3_OCZ-A5902374NSBP3OCN&ts=1380280734
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.delta-homes.com/?utm_source=b&utm_medium=newgdp&utm_campaign=eXQ&utm_content=hp&from=newgdp&uid=OCZ-VERTEX3_OCZ-A5902374NSBP3OCN&ts=1380280734
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.delta-homes.com/?utm_source=b&utm_medium=newgdp&utm_campaign=eXQ&utm_content=hp&from=newgdp&uid=OCZ-VERTEX3_OCZ-A5902374NSBP3OCN&ts=1380280734

Зайдите в папку c:\users\slai\AppData\Roaming\Mozilla\Firefox\Prof iles\4jluh5dx.default\
Откройте в Блокноте файл user.js и удалите из него записи

extensions.funmoods.hmpg - true
extensions.funmoods.hmpgUrl - hxxp://searchfunmoods.com/?f=1&a=iron2&ir=iron2&cd=2XzuyEtN2Y1L1QzuzytD0EyC0B0AyCyEyE0DyCyCyB0A0CtAtN0D0Tzu0CtAzzyDtN1L2XzutBtFtBtFtCtFyEtDyB&cr=523001880
extensions.funmoods.dfltSrch - true
extensions.funmoods.srchPrvdr - Funmoods
extensions.funmoods.dnsErr - true
extensions.funmoods_i.newTab - true
extensions.funmoods.newTabUrl - hxxp://searchfunmoods.com/?f=2&a=iron2&ir=iron2&cd=2XzuyEtN2Y1L1QzuzytD0EyC0B0AyCyEyE0DyCyCyB0A0CtAtN0D0Tzu0CtAzzyDtN1L2XzutBtFtBtFtCtFyEtDyB&cr=523001880
extensions.funmoods.tlbrSrchUrl - hxxp://searchfunmoods.com/?f=3&a=iron2&ir=iron2&cd=2XzuyEtN2Y1L1QzuzytD0EyC0B0AyCyEyE0DyCyCyB0A0CtAtN0D0Tzu0CtAzzyDtN1L2XzutBtFtBtFtCtFyEtDyB&cr=523001880&q=
extensions.funmoods.id - 90E6BA644D667AC3
extensions.funmoods.instlDay - 15724
extensions.funmoods.vrsn - 1.5.23.22
extensions.funmoods.vrsni - 1.5.23.22
extensions.funmoods_i.vrsnTs - 1.5.23.2221:41:9
extensions.funmoods.prtnrId - funmoods
extensions.funmoods.prdct - funmoods
extensions.funmoods.aflt - iron2
extensions.funmoods_i.smplGrp - none
extensions.funmoods.tlbrId - base
extensions.funmoods.instlRef - iron2
extensions.funmoods.dfltLng - 
extensions.funmoods.excTlbr - false
extensions.funmoods.autoRvrt - false
extensions.funmoods.envrmnt - production
extensions.funmoods.isdcmntcmplt - true
extensions.funmoods.mntrvrsn - 1.3.0

[slai]

Сделал, но проблема осталась=(

[thyrex]

Новые логи HiJack и ComboFix сделайте

[slai]

hijackthis.logComboFix.txt

[thyrex]

В файле prefs.js удалите browser.startup.homepage

[slai]

Удаляю, а эти строки все равно восстанавливаются. Вернее чють измененные строки появляются.

[thyrex]

Это только в Firefox уже?

[slai]

В опере тоже.

[thyrex]

Попробуйте переустановить браузеры с полной зачисткой всех следов

[slai]

Перепутал название не опера, а хром. Переустановил мозилу и хром вроде нормально пока. Может как то проверить не остались ли следы?

[thyrex]

Удалите ComboFix

[slai]

Удалил. Спасибо вам большое.