при нажатии на любую ссылку в браузере открывается реклама [not-a-virus:AdWare.Win32.BHO.bdms, , not-a-virus:AdWare.Win32.WProtManager.f ]

[iyulka]

Здравствуйте.

Прошу помощи...

Поймала вирус, который при первом нажатии на любую ссылку открывает какую-то рекламу и на
флешке какой-то файл ".exe", который не поддается удалению

[Info_bot]

Уважаемый(ая) iyulka, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[regist]

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Windows Vista/Seven необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[R0].txt.
• Прикрепите отчет к своему следующему сообщению.

[iyulka]

Все проделала.
Вот ссылка на результаты проверки: http://virusinfo.info/virusdetector/...C6CE0820C6BA9E

и отчет

[Vvvyg]

Удалите всё найденное в AdwCleaner, дождитесь окончания удаления и перезагрузите систему по требованию программы.
После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[S0].txt, прикрепите к своему следующему сообщению.

Очистите кэш и cookies-файлы браузеров.

Выполните скрипт в AVZ:

begin
 QuarantineFile('C:\Users\Няшка\smss.exe','');
 QuarantineFile('C:\Users\Няшка\AppData\Local\Temp\KEQXFI.tmp','');
 DeleteFile('C:\Users\Няшка\AppData\Local\Temp\KEQXFI.tmp','32');
 DeleteFile('C:\Users\Няшка\smss.exe','32');
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
ExecuteWizard('SCU',2,2,true);
RebootWindows(true);
end.

Компьютер перезагрузится.
Выполните в AVZ скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Какая буква диска флэшки с неудаляемым exe-файлом?

[iyulka]

Сделано

Файл сохранён как 140611_053431_quarantine_5397ea6714470.zip
Размер файла 20085965
MD5 319fc459d80fd61aa7d81f0c438c1cb2

Буква диска H, только файл уже куда-то делся, зато появился какой-то файл с названием "ntuser1.bak"

Проблема с рекламой к сожалению осталась

[regist]

- Сделайте лог полного сканирования МВАМ. с подключённой флешкой.

[iyulka]

Вот лог МВАМ

[regist]

1) Удалите вручную папки

C:\AdwCleaner\
E:\avz4\avz4\Quarantine\

2) Удалите в MBAM только

Обнаруженные ключи в реестре:  7
HKCU\SOFTWARE\ryeisxxxgwaivbbengkihnsoiewjyt (Malware.Trace) -> Действие не было предпринято.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{157ce350-1a6e-4c52-bb0e-9c1d630ca9e4} (PUP.Optional.MegaBrowse.A) -> Действие не было предпринято.
HKCR\CLSID\{157ce350-1a6e-4c52-bb0e-9c1d630ca9e4} (PUP.Optional.MegaBrowse.A) -> Действие не было предпринято.
HKCR\TypeLib\{c22c4103-983e-4e6b-9b2f-e514ae4a7ce4} (PUP.Optional.MegaBrowse.A) -> Действие не было предпринято.
HKCR\Interface\{A27094C9-5382-42C0-9BAA-CB028FEAD18B} (PUP.Optional.MegaBrowse.A) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{157CE350-1A6E-4C52-BB0E-9C1D630CA9E4} (PUP.Optional.MegaBrowse.A) -> Действие не было предпринято.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{157CE350-1A6E-4C52-BB0E-9C1D630CA9E4} (PUP.Optional.MegaBrowse.A) -> Действие не было предпринято.

Обнаруженные параметры в реестре:  1
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|smss (Trojan.FakeMS) -> Параметры: C:\Users\Няшка\smss.exe -> Действие не было предпринято.

C:\Users\Няшка\smss.exe (Trojan.FakeMS) -> Действие не было предпринято.

+ на ваше усмотрение, но рекомендую удалить

C:\Users\Няшка\Downloads\MediaGet_id387191ids1s.exe (PUP.Adware.MediaGet) -> Действие не было предпринято.
C:\Users\Няшка\Downloads\MediaGet_id387417ids1s.exe (PUP.Adware.MediaGet) -> Действие не было предпринято.
C:\Users\Няшка\Downloads\schastlivaya-zvezda-_torrentino.exe (PUP.Optional.LoadMoney) -> Действие не было предпринято.
C:\Users\Няшка\Downloads\udar-krovi-_torrentino.exe (PUP.Optional.LoadMoney) -> Действие не было предпринято.
C:\Users\Няшка\Downloads\udar_krovi_strike_the_blood_01-10_iz_25_2013_hdtv_720p_l1 (1).exe (PUP.Optional.Zona) -> Действие не было предпринято.
C:\Users\Няшка\Downloads\udar_krovi_strike_the_blood_01-10_iz_25_2013_hdtv_720p_l1.exe (PUP.Optional.Zona) -> Действие не было предпринято.
C:\Users\Няшка\Downloads\UltimateCodecsSetup.exe (PUP.Optional.AdlSoft) -> Действие не было предпринято.
C:\Users\Няшка\Downloads\vrata_shteyna_deja_vyu_-_steins-gate_fuka_ryouiki_no_deja_vu_2013_bdrip (1).exe (PUP.Optional.LoadMoney) -> Действие не было предпринято.
C:\Users\Няшка\Downloads\vrata_shteyna_deja_vyu_-_steins-gate_fuka_ryouiki_no_deja_vu_2013_bdrip.exe (PUP.Optional.LoadMoney) -> Действие не было предпринято.

отпишитесь, что с проблемой?

[iyulka]

Простите, что так долго, сын забрал компьютер на выходные...
Все проделала, проблема решилась частично, теперь реклама открывается только на некоторых сайтах, например "www.lostfilm.tv"

[Vvvyg]

Скачайте утилиту OTL by OldTimer. Запустите OTL.EXE, установите галочки в следующих пунктах настройки:

Scan All Users
Include 64Bit Scans - в случае 64-разрядной системы;
Output: Minimal Output;
File Scans: Use Company-Name WhiteList и Skip Microsoft Files;
Lop Check;
Purity Check.

В окне File Age установите 30 days
Остальные параметры оставьте по умолчанию.
Скопируйте текст

%USERPROFILE%\AppData\Local\*.url /S
%USERPROFILE%\AppData\Local\*.lnk /S
%PROGRAMFILES%\*.url /S
%PROGRAMFILES%\*.lnk /S
%ProgramFiles(x86)%\*.lnk /S
%ProgramFiles(x86)%\*.url /S
%CommonProgramFiles%\*.*
%ALLUSERSPROFILE%\ntuser.pol
%SystemRoot%\System32\GroupPolicy\Machine\Registry.pol

в окно Custom Scans/Fixes и нажмите Run Scan.

После окончания сканирования программа создаст два файла: OTL.TXT и EXTRAS.TXT, упакуйте их в архив ZIP или RAR и прикрепите их к своему следующему сообщению в теме.

[iyulka]

Вот все сделала

[Vvvyg]

Отключите до перезагрузки антивирус, запустите OTL (в Windows Vista/7/8 необходимо запускать через правую кнопку мыши от имени администратора), скопируйте скрипт ниже в окно Custom Scans/Fixes, закройте все браузеры и нажмите Run Fix

:OTL
DPF: {CAFEEFAC-0016-0000-0045-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_45-windows-i586.cab (Java Plug-in 1.6.0_45)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} http://java.sun.com/update/1.6.0/jinstall-1_6_0_45-windows-i586.cab (Java Plug-in 10.55.2)
[2014.05.25 16:18:01 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\BeeStSaveForuYoeu

:Files

msiexec.exe /X{26A24AE4-039D-4CA4-87B4-2F83216045FF} /quiet /qn /norestart /c
msiexec.exe /X{497C131E-2032-051B-B32A-C69A960FBB13} /quiet /qn /norestart /c
msiexec.exe /X{51417852-174C-88D4-34A0-D0FE7858BE47} /quiet /qn /norestart /c
autorun.inf /alldrives
recycler /alldrives
ipconfig /flushdns /c

:Commands
[EMPTYTEMP]
[EMPTYJAVA]
[EMPTYFLASH]
[purity]
[Reboot]

Компьютер перезагрузится и откроет в блокноте лог выполнения скрипта, прикрепите его к своему следующему сообщению.

Очистите кэш и cookies-файлы браузеров и проверьте проблему.

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 55
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\program files (x86)\mega browse\megabrowsebho.dll - not-a-virus:AdWare.Win32.Agent.ahbx ( DrWEB: Trojan.BPlug.28, BitDefender: Gen:Variant.Adware.BHO.Agent.4 )
  2. c:\program files (x86)\saufaeweb\2.dll - not-a-virus:AdWare.Win32.BHO.bdms ( DrWEB: Trojan.Crossrider.7276, AVAST4: Win32:Adware-gen [Adw] )
  3. c:\program files (x86)\suptab\dpinterface32.dll - not-a-virus:AdWare.Win32.Agent.aljt ( DrWEB: Adware.Mutabaha.50 )
  4. c:\program files (x86)\suptab\suptab.dll - not-a-virus:AdWare.Win32.Agent.aljt ( DrWEB: Adware.Mutabaha.50, BitDefender: Adware.Agent.ODR )
  5. c:\program files (x86)\youtubeadblocker\bxusikp2kp.dll - not-a-virus:AdWare.Win32.BHO.bdms ( DrWEB: Trojan.Crossrider.7276, AVAST4: Win32:Adware-gen [Adw] )
  6. c:\programdata\greenapp\sw-booster\sw-booster.exe - Trojan-Downloader.Win32.Adload.dyhq ( BitDefender: Trojan.Agent.WDCR.C, AVAST4: Win32:Agent-ASOA [Trj] )
  7. c:\programdata\iepluginservice\pluginservice.exe - not-a-virus:AdWare.Win32.Agent.aljb ( DrWEB: Adware.Mutabaha.50 )
  8. c:\programdata\jonicoupon\rp.dll - not-a-virus:AdWare.Win32.MultiPlug.bfk ( BitDefender: Application.Generic.645804 )
  9. c:\programdata\wpm\wprotectmanager.exe - not-a-virus:AdWare.Win32.WProtManager.f ( DrWEB: Trojan.Wprot.3, AVAST4: Win32:Agent-ATRV [Trj] )
  10. c:\progra~2\suptab\search~1.dll - not-a-virus:AdWare.Win32.Agent.aljt ( DrWEB: Adware.Mutabaha.50, BitDefender: Adware.Agent.ODR )
  11. c:\progra~2\suptab\search~2.dll - not-a-virus:AdWare.Win32.Agent.aljt ( DrWEB: Adware.Mutabaha.50, BitDefender: Adware.Agent.ODR )