Выскакивает реклама сайтов при клике по ссылкам в браузере IE [not-a-virus:AdWare.Win32.Tirrip.s, not-a-virus:AdWare.Win32.Tirrip.f ]

[deni3]

Здравствуйте.
Недавно в IE появилась реклама поверх сайтов и редирект на рекламный сайт при клике по любой ссылке. Проверил штатным антивирусом, ничего не нашел.
До этого в установленных программах удалил dealpopup и что-то с названием pirrit. Но проблема не исчезла.
Далее очистил куки и прочее в IE, проверил иконку, но и это не помогло.
Прошу вашей помощи.
Заранее спасибо.

[Info_bot]

Уважаемый(ая) deni3, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[regist]

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true); 
 QuarantineFile('C:\Users\Денис\AppData\Roaming\newSI_5\s_inst.exe','');
 QuarantineFile('C:\Users\Денис\AppData\Roaming\newSI_200\s_inst.exe','');
 QuarantineFileF('C:\Users\Денис\AppData\Roaming\newSI_5\','*', true,'',0 ,0);
 DeleteFile('C:\Users\Денис\AppData\Roaming\newSI_200\s_inst.exe','32');
 DeleteFile('C:\Users\Денис\AppData\Roaming\newSI_5\s_inst.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','newSI_200');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','newSI_5');
 DeleteFileMask('C:\Users\Денис\AppData\Roaming\newSI_5\', '*', true);
 DeleteFileMask('C:\Users\Денис\AppData\Roaming\newSI_200\', '*', true);
 DeleteDirectory('C:\Users\Денис\AppData\Roaming\newSI_5\');
 DeleteDirectory('C:\Users\Денис\AppData\Roaming\newSI_200\');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в АВЗ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

ProxyServer = http=127.0.0.1:40302 - если сами не прописывали, то

Профиксите в HijackThis

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:40302

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

[deni3]

Добрый день.
Скачал adwcleaner и запустил на ночь, он нашел и удалил несколько зловредов.
После перезагрузки, выполнил скрипты как описано выше, кроме этого

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyServer = http=127.0.0.1:40302

был с началом на R1 ProxyServer, но другие цифры в конце, пофиксил.

далее сделал логи авз и хайджеком (во вложении)

- - - Добавлено - - -

Заметил что забыл выполнить второй скрипт для авз.
Сделаю и повторю логи.

[regist]

Из прикреплённых файлов я просил только два лога .

Карантин из вложений уберите.

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

где?

базы AVZ в предыдущих логах были свежие, теперь старые

Обновляйте базы и переделывайте.

[deni3]

все по инструкции, что бы дважды не вставать, на всякий закидываю все логи.

[regist]

где?

когда-нибудь увижу ссылку на отчёт с карантином или хотя бы MD5?

----------

1) Жду ссылку на этот отчёт.

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

2) Выполните скрипт

3) Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true); 
 QuarantineFile('C:\Users\Денис\AppData\Roaming\newSI_1\s_inst.exe','');
 DeleteFile('C:\Users\Денис\AppData\Roaming\newSI_1\s_inst.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','newSI_1');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 DeleteFileMask('C:\Users\Денис\AppData\Roaming\newSI_1\', '*', true);
 DeleteDirectory('C:\Users\Денис\AppData\Roaming\newSI_1\');
ExecuteSysClean;
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

После выполнения скрипта компьютер перезагрузится.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

4) Профиксите в HijackThis

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:41271

5) Сделайте полный образ автозапуска uVS только программу скачайте отсюда

[deni3]

Добрый день.
Отключил антивирус и брендмауэр.
Запустил скрипт.
ПК перезагрузил руками.
Файл quarantine.zip загрузил, но выдает ошибку. т.к. еще до этого загружал старый вариант. Повторно не получается
Пофиксил в HijackThis.
ссылка на образ автозапуска (слишком большой, потому на я.диске) https://yadi.sk/d/-Rmr9AieYmyYv

[mike 1]

Здравствуйте!

Закройте все программы, временно выгрузите антивирус, файрволл и прочее защитное ПО.

Важно! на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. Выполните скрипт в АВЗ (Файл - Выполнить скрипт):

begin
 ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
  then
   begin
    SearchRootkit(true, true);
    SetAVZGuardStatus(true);
   end;
 ClearQuarantine;
 TerminateProcessByName('c:\program files (x86)\gamesrs\gupdater.exe');
 TerminateProcessByName('c:\users\Денис\appdata\local\freewarekeyboardminimal\freewarekeyboardminimal.exe');
 TerminateProcessByName('c:\users\Денис\appdata\local\freewarekeyboardminimal\dashboardpythonsoftware.exe');
 SetServiceStart('EncondingRawScript.exe', 4);
 SetServiceStart('DLCRemoteTask.exe', 4);
 SetServiceStart('DefaultMetafileMinimal.exe', 4);
 SetServiceStart('BIOSDaemonInterpreter.exe', 4);
 SetServiceStart('GamesRS', 4);
 SetServiceStart('FreewareKeyboardMinimal.exe', 4);
 StopService('EncondingRawScript.exe');
 StopService('DLCRemoteTask.exe');
 StopService('DefaultMetafileMinimal.exe');
 StopService('BIOSDaemonInterpreter.exe');
 StopService('GamesRS');
 StopService('FreewareKeyboardMinimal.exe');
 QuarantineFile('C:\Users\Денис\AppData\Roaming\newSI_1\s_inst.exe','');
 QuarantineFile('C:\Users\Денис\AppData\Local\EncondingRawScript\EncondingRawScript.exe','');
 QuarantineFile('C:\Users\Денис\AppData\Local\DLCRemoteTask\DLCRemoteTask.exe','');
 QuarantineFile('C:\Users\Денис\AppData\Local\DefaultMetafileMinimal\DefaultMetafileMinimal.exe','');
 QuarantineFile('C:\Users\Денис\AppData\Local\BIOSDaemonInterpreter\BIOSDaemonInterpreter.exe','');
 QuarantineFile('c:\program files (x86)\gamesrs\gupdater.exe','');
 QuarantineFile('c:\users\Денис\appdata\local\freewarekeyboardminimal\freewarekeyboardminimal.exe','');
 QuarantineFile('c:\users\Денис\appdata\local\freewarekeyboardminimal\dashboardpythonsoftware.exe','');
 DeleteFile('c:\users\Денис\appdata\local\freewarekeyboardminimal\dashboardpythonsoftware.exe','32');
 DeleteFile('C:\Users\Денис\AppData\Local\FreewareKeyboardMinimal\FreewareKeyboardMinimal.exe','32');
 DeleteFile('C:\Program Files (x86)\GamesRS\GUpdater.exe','32');
 DeleteFile('C:\Users\Денис\AppData\Local\BIOSDaemonInterpreter\BIOSDaemonInterpreter.exe','32');
 DeleteFile('C:\Users\Денис\AppData\Local\DefaultMetafileMinimal\DefaultMetafileMinimal.exe','32');
 DeleteFile('C:\Users\Денис\AppData\Local\DLCRemoteTask\DLCRemoteTask.exe','32');
 DeleteFile('C:\Users\Денис\AppData\Local\EncondingRawScript\EncondingRawScript.exe','32');
 DeleteFile('C:\Users\Денис\AppData\Roaming\newSI_1\s_inst.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','newSI_1');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 DeleteService('EncondingRawScript.exe');
 DeleteService('DLCRemoteTask.exe');
 DeleteService('DefaultMetafileMinimal.exe');
 DeleteService('BIOSDaemonInterpreter.exe');
 DeleteService('GamesRS');
 DeleteService('FreewareKeyboardMinimal.exe');
 DeleteFileMask('C:\Users\Денис\AppData\Roaming\newSI_1', '*', true, ' ');
 DeleteFileMask('C:\Users\Денис\AppData\Local\EncondingRawScript', '*', true, ' ');
 DeleteFileMask('C:\Users\Денис\AppData\Local\DLCRemoteTask', '*', true, ' ');
 DeleteFileMask('C:\Users\Денис\AppData\Local\DefaultMetafileMinimal', '*', true, ' ');
 DeleteFileMask('C:\Users\Денис\AppData\Local\BIOSDaemonInterpreter', '*', true, ' ');
 DeleteFileMask('c:\program files (x86)\gamesrs', '*', true, ' ');
 DeleteDirectory('C:\Users\Денис\AppData\Roaming\newSI_1');     
 DeleteDirectory('C:\Users\Денис\AppData\Local\EncondingRawScript');     
 DeleteDirectory('C:\Users\Денис\AppData\Local\DLCRemoteTask');     
 DeleteDirectory('C:\Users\Денис\AppData\Local\DefaultMetafileMinimal');     
 DeleteDirectory('C:\Users\Денис\AppData\Local\BIOSDaemonInterpreter');     
 DeleteDirectory('c:\program files (x86)\gamesrs');                
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;    
RebootWindows(false);
end.

Внимание! Будет выполнена перезагрузка компьютера. После перезагрузки компьютера выполните скрипт в АВЗ:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Пришлите карантин согласно Приложения 2 правил по красной ссылке Прислать запрошенный карантин вверху темы

Важно! на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. Пофиксите следующие строчки в HiJackThis если они у вас есть.

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:41271

Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

[deni3]

Сдела все по инструкции.

В хайджеке строка которую нужно было пофиксить как всегда не совпала с полученной. А так все ОК.

Вложение 488172Вложение 488173Файл сохранён как 140806_174338_quarantine_53e2694a8d70e.zip
Размер файла 167081
MD5 4ad2a021630372e6d9964ab09253183e

[regist]

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true); 
 QuarantineFile('C:\Users\Денис\AppData\Roaming\newSI_1\s_inst.exe','');
 DeleteFile('C:\Users\Денис\AppData\Roaming\newSI_1\s_inst.exe');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','newSI_1');
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
 DeleteFileMask('C:\Users\Денис\AppData\Roaming\newS', '*', true);
 DeleteDirectory('C:\Users\Денис\AppData\Roaming\newS');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

Профиксите в HijackThis

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *origin.com;*ea.com;*akamaihd.net

Ещё раз повторю

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

+ сделайте свежий образ автозапуска uVS

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 2
• Обработано файлов: 4
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\program files (x86)\gamesrs\gupdater.exe - not-a-virus:AdWare.Win32.Tirrip.f ( DrWEB: Adware.Pirrit.2, BitDefender: Application.Generic.641080, AVAST4: Win32:PirritSuggestor-A [Adw] )
  2. c:\users\денис\appdata\local\freewarekeyboardminim al\freewarekeyboardminimal.exe - not-a-virus:AdWare.Win32.Tirrip.s ( AVAST4: Win32:Adware-gen [Adw] )