Реклама в браузере, при нажатии на любое место страницы открывается непрошеная вкладка

[Алексей5891]

Здравствуйте, прошу помочь. На нормальных сайтах, в местах где рекламных баннеров быть не должно они есть (на всех сайтах одно и то же: увеличение органов, лёгкий заработок и предсказания будущего), кроме того есть ещё кое-что очень не приятное, а именно, довольно часто при нажатии в любое место экрана открывается ещё одна вкладка или две (казино вулкан, новости, и другие полезные вещи вроде "экономителей" бензина и то, что их скоро запретят, ранее было ещё окно имитирующее сайт ВКонтакте и предупреждение, что пора завязывать с детским порно, но эта проблема вроде как побеждена).

Очень вас прошу помочь решить сию неприятную проблему, видел, что многие обращаются с аналогичными ситуациями.

Антивирусы ничем не помогают. Ни др.Веб ни Касперский (в безопасном режиме). Постоянный антивирус Касперский. ОС виндовс 7 (64). Браузер Хром. (расширения отображаются только 2 оба нормальные).

Прошу прощения, если заполнил, что-то не так. Благодарю.

[Info_bot]

Уважаемый(ая) Алексей5891, спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

Выполните скрипт в AVZ:

begin
 QuarantineFile('C:\Windows\system32\DRIVERS\BDMWrench_x64.sys', '');
 DeleteFile('C:\Windows\system32\DRIVERS\BDMWrench_x64.sys', '32');
 DeleteFile('C:\iexplore.bat', '32');
 DeleteService('BDMNetMon');
 DeleteService('bd0004');
 DeleteService('bd0002');
 DeleteService('bd0001');
 DeleteService('BDMWrench_x64');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\baiduAnTray', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\mobilegeni daemon', 'command');
ExecuteSysClean;
RebootWindows(true);
end.

Компьютер перезагрузится.
Выполните в AVZ скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Обновите базы AVZ ("Файл" -> "Обновление баз"), выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.

Сделайте лог AdwCleaner (by Xplode).
Сделайте лог Check Browsers' LNK.

[Алексей5891]

Благодарю. Высылаю запрошенные файлы.

Примечание: утилита Adw после сканирования, когда я хотел её уже закрыть, предложила очистить найденные вещи, я очистил их. После перезагрузки проблема осталась, реклама висит там где не надо.

Ещё раз благодарю.

[Vvvyg]

Вообще-то надо было дождаться рекомендаций, а не очищать всё подряд.

Перетащите лог Check_Browsers_LNK.log на утилиту ClearLNK. Отчёт о работе прикрепите.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочками также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа.
Прикрепите эти три файла к своему следующему сообщению.

[Алексей5891]

Благодарю. Могу вас заверить, что самоуправства больше не случиться.

Высылаю что требуется.

[Vvvyg]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  No File
CHR HomePage: Default -> hxxp://home.webalta.ru/?link
Unlock: HKLM\System\CurrentControlSet\Services\bd0001
Unlock: HKLM\System\CurrentControlSet\Services\bd0002
Unlock: HKLM\System\CurrentControlSet\Services\BDMWrench_x64
R1 BDMWrench_x64; C:\Windows\System32\DRIVERS\BDMWrench_x64.sys [130888 2015-01-19] (Baidu)
S1 bd0001; system32\DRIVERS\bd0001.sys [X]
S1 bd0002; system32\DRIVERS\bd0002.sys [X]
2015-01-19 22:40 - 2014-12-15 09:40 - 00130888 _____ (Baidu) C:\Windows\system32\Drivers\BDMWrench_x64.sys
Task: {0AAEB517-890D-44E9-A8E8-E8C31E8B6641} - System32\Tasks\avast! Emergency Update => C:\Program Files\AVAST Software\Avast\AvastEmUpdate.exe
EmptyTemp:
Reboot:

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool (на рабочий стол в Вашем случае).
Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Очистите кэш и cookies-файлы браузеров и сообщите, что с проблемой.

[Алексей5891]

Благодарю.
Увы, уважаемый, проблема осталась.
Прикладываю файл.

[Vvvyg]

Удалите папку C:\FRST со всем содержимым.

Сделайте аппаратный сброс настроек роутера кнопкой reset, настройте заново, смените пароль на веб-интерфейс роутера на сложный.
Очистите кеш и куки брoузеров и кэш DNS.

[Алексей5891]

Папку удалил, очистил корзину. Пароль изменил. Очистил всё при помощи ССleaner. Перезагрузил комп. К несчастью вижу и сейчас на вашем сайте, что "медики ахнули", "вся Россия в шоке" и т.д. Баннеры остались. Они даже как буд-то мутировали если раньше бывало, что при нажатии в любое место на сайте открывалась вкладка, то сегодня у меня вместо сайта загрузился подосланный сайт, т.е. сначала загрузился правильный, а затем при входе на сайт у меня в этой же вкладке загрузился другой сайт. такие дела

[Vvvyg]

Пароль на роутере поменять недостаточно. Делайте всё, что я написал.

[Алексей5891]

Вы меня не так поняли. Я его сбросил, настроил и перепаролил. Так написал просто.

Вопрос такой тогда: у меня схема подключения такая:
1. в коридоре стоит модем к нему оптоволокно, а от него к стационарному компу провод (так было сначала)
2. с появлением андроидов и ноутбука (с которого я работаю, и с которым и случилось всё вышеописанное) возникла необходимость в вай-фай
3. тогда я поставил ещё роутер (к нему идёт провод от модема) и он раздаёт вай фай и от него же идёт провод к старому компу.

так вот я сбросил настройки и проделал все необходимые операции именно с последним (вай-файным) роутером. может здесь где-то моя ошибка?

а как попасть в веб-интерфейс первого модема (который в коридоре) я даже не задумывался. может и его надо было reset'нуть?

[Vvvyg]

Скорее всего, модем не причём. Сообщите модель своего роутера, точно, вплоть до ревизии.

Скачайте утилиту MiniToolBox и сохраните на рабочем столе.

Запустите при подключённом интернете, отметьте следующие пункты:

• Список настроек прокси Internet Explorer
• Список настроек прокси Firefox
• Список из файла Hosts
• Список настроек IP
• Список настроек Winsock
• Список последних 10 записей журнала событий
• Список установленных программ
• Только проблемных
• Список юзеров, разделов и размера памяти
• Список дампа памяти
• список точек восстановления

и нажмите Старт.

После завершения сбора информации откроется отчет Result.txt, прикрепите его к своему сообщению. Если вы закрыли отчет утилиты, он будет находиться в той же папке, откуда была запущена утилита.

[Алексей5891]

Роутер:
Модель DIR 620
Версия прошивки 1.3.3
Время сборки Fri Jul 20 17:43:18 MSK 2012
Производитель D-Link Russia
Ревизия web 8b353653365a28f14a4632c061d23dd323dd919f
Описание Root filesystem image for DIR-620

Прикрепляю также запрошенный файл

[Vvvyg]

Нужна аппаратная ревизия, на брюхе роутера на наклейке написана. Что-то вроде:

P/n: RIR620EEU... A1E
H/W Ver.: A1 F/W Ver.: 1.0.6

Какие настройки DNS сейчас прописаны в роутере?

[Алексей5891]

P/N RIR620D1B...D1E
H/W Ver.: D1
F/W Ver:1.3.3

Всё что нашёл я у себя связанного с DNS
1. В панели управления - сеть и интернет - ... - с-ва беспроводного подкл. - протокол интернета 4 - Получить DNS сервера автоматически

2. веб интрфейс роутера - Настройка сервера имен: выбран маршрут по умолчанию, интерфейс wan, сервер имен: 192.168.1.1

[Vvvyg]

http://ftp.dlink.ru/pub/Router/DIR-6...sdk-master.bin - прошивка для этой модели, обновлять только при подключении по кабелю.

Так, теперь проясняется ситуация. Похоже, взломали всё-таки провайдерский модем, т. к. его адрес прописан в качестве DNS-сервера в роутере.
Пропишите пока на роутере как сервер имён 8.8.8.8. И посмотрите, на странице Сеть / LAN галочка "DNS Relay" стоит? Если да - уберите, сохраните настройки, перезагрузите роутер, очистите кеш и куки брoузеров и кэш DNS и проверьте, что с рекламой.

[Алексей5891]

Сделано, но ничего не помогло
Или не в полной мере помогло. Сначала показалось что состояние несколько улучшилось.
Итак, ещё раз перечислю симптомы на всякий случай:
1. по-прежнему на сайтах всплывают рекламы стилизованные под сообщения ВК, или несколько иначе выглядящие (в виде столбика с картинками и т.д.)
2. по-прежнему на сайтах висит реклама (пророчества Ванги и средства от простатита) там где её раньше не наблюдалось
3. и к сожалению осталась фича открывания новых вкладок, хотя первые минуты внушали надежду что хотя бы это пропало ))

если это о чём-то говорит то новая ссылка (вирусовая) открывается когда то на ней самой частенько бывает написано,что-то вроде traefllab/rotator а затем уже на этой ссылке проявляется всё что угодно казино, плэй маркет гугловский и т.д.

Благодарю за помощь. Есть ли ещё средства кроме перестановки виндоуса? (что весьма не желательно для меня).

[Vvvyg]

Я думаю, что не в системе дело, а в роутере.

Проверьте, проблема в Firefox и Internet Explorer наблюдается?

Выполните скрипт в AVZ:

var
STR : TStringList;
CMDFile: string;
begin
STR := TStringList.Create;
STR.Add('ipconfig /all > diag.log');
STR.Add('nslookup mc.yandex.ru >> diag.log');
STR.Add('nslookup mc.yandex.ru 8.8.8.8 >> diag.log');
STR.SaveToFile(GetAVZDirectory + 'diag.cmd');
CMDFile:= GetAVZDirectory + 'diag.cmd';
ExecuteFile(CMDFile, '', 0, 200000, true);
ExecuteFile('cmd.exe', '/u /c type diag.log > diag1.log', 0, 10000, true);
DeleteFile(GetAVZDirectory + 'diag.log');
DeleteFile(GetAVZDirectory + 'diag.cmd');
end.

После его работы в папке с AVZ появится файл diag1.log, прикрепите его к своему следующему сообщению.

[Алексей5891]

По-видимому проблема наблюдается только в Хроме, судил по одному и тому же сайту Фаерфокс и ИЕ загрузили сайт без тех баннеров, которые сразу же грузятся в хроме на этом сайте.