Появляются рекламные окна http://www.bycontext.com/

[Ivan Devyatov]

Здравствуйте.

Помогите, пожалуйста, удалить вирус.

Появляются окна рекламного содержания, с адресом сайта хттп://ввв.bycontext.com/. Перед появлением появляются всплывающие страницы "Ads by sale-o".

Скриншоты проявления вируса и диагностические файлы прилагаю. Спасибо.

[Info_bot]

Уважаемый(ая) Ivan Devyatov, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

Ссылку на рекламный сайт уберите.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочками также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).

[Ivan Devyatov]

готово

[Vvvyg]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

CreateRestorePoint:
HKLM\...\Run: [] => [X]
FF Extension: Record Page - C:\Documents and Settings\devyatov.iv.MGN\Application Data\Mozilla\Firefox\Profiles\u544rtsn.default\Extensions\{6de38adc-6ad3-48b2-96dd-ad2202b71487}.xpi [2015-05-26]
Task: C:\WINDOWS\Tasks\AppKeeper.job => c:\documents and settings\all users\application data\{e12a36c6-0b3a-1311-e12a-a36c60b3db18}\8294626444917614776e.exe--startup=1 --singledevyatov.iv
EmptyTemp:
Reboot:

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!
Отключите до перезагрузки антивирус, закройте все браузеры, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Очистите кэш и cookies-файлы браузеров и сообщите, что с проблемой.

[Ivan Devyatov]

Все сделал. Проблема осталась.

[Vvvyg]

Такой fixlist.txt скормите Farbar Recovery Scan Tool:

Folder: C:\Documents and Settings\devyatov.iv.MGN\Local Settings\Application Data\Google\Chrome\User Data\Default\Local Storage

Дождитесь, пока будет сформирован Fixlog.txt и прикрепите его к своему следующему сообщению.

[Ivan Devyatov]

сделал

[Vvvyg]

Такой fixlist.txt примените:

2015-06-23 15:15 - 2015-06-23 15:15 - 0490496 _____ () C:\Documents and Settings\devyatov.iv.MGN\Local Settings\Application Data\Google\Chrome\User Data\Default\Local Storage\chrome-extension_ehloibeiaffhibffchiobihgcainmcep_0.local storage
2015-06-23 15:15 - 2015-06-23 15:15 - 0003608 _____ () C:\Documents and Settings\devyatov.iv.MGN\Local Settings\Application Data\Google\Chrome\User Data\Default\Local Storage\chrome-extension_ehloibeiaffhibffchiobihgcainmcep_0.local storage-journal
2015-06-23 15:25 - 2015-06-23 15:25 - 0003072 _____ () C:\Documents and Settings\devyatov.iv.MGN\Local Settings\Application Data\Google\Chrome\User Data\Default\Local Storage\http_pstatic.eshopcomp.com_0.localstorage
2015-06-23 15:25 - 2015-06-23 15:25 - 0003608 _____ () C:\Documents and Settings\devyatov.iv.MGN\Local Settings\Application Data\Google\Chrome\User Data\Default\Local Storage\http_pstatic.eshopcomp.com_0.localstorage-journal
2015-06-23 16:13 - 2015-06-23 16:13 - 0003072 _____ () C:\Documents and Settings\devyatov.iv.MGN\Local Settings\Application Data\Google\Chrome\User Data\Default\Local Storage\http_superpctools.com_0.localstorage
2015-06-23 16:13 - 2015-06-23 16:13 - 0000512 _____ () C:\Documents and Settings\devyatov.iv.MGN\Local Settings\Application Data\Google\Chrome\User Data\Default\Local Storage\http_superpctools.com_0.localstorage-journal
2015-06-23 16:04 - 2015-06-23 16:04 - 0003072 _____ () C:\Documents and Settings\devyatov.iv.MGN\Local Settings\Application Data\Google\Chrome\User Data\Default\Local Storage\https_pstatic.eshopcomp.com_0.localstorage
2015-06-23 16:04 - 2015-06-23 16:04 - 0003608 _____ () C:\Documents and Settings\devyatov.iv.MGN\Local Settings\Application Data\Google\Chrome\User Data\Default\Local Storage\https_pstatic.eshopcomp.com_0.localstorage-journal
2015-06-23 15:15 - 2015-06-23 16:05 - 0010240 _____ () C:\Documents and Settings\devyatov.iv.MGN\Local Settings\Application Data\Google\Chrome\User Data\Default\Local Storage\https_www.donation-tools.org_0.localstorage
2015-06-23 15:15 - 2015-06-23 16:05 - 0010832 _____ () C:\Documents and Settings\devyatov.iv.MGN\Local Settings\Application Data\Google\Chrome\User Data\Default\Local Storage\https_www.donation-tools.org_0.localstorage-journal
EmptyTemp:

После перезагрузки сообщите, что с проблемой.

[Ivan Devyatov]

Сделал. Проблема сохранилась.

- - - - -Добавлено - - - - -

Кажется нашел. Зашел на сайт этой заразы (представляете была ссылка) и там пишут, как отключить. Оказывается это простое расширение для браузера. Зашел в настройки браузера и отключил хттп://ввв.bycontext.com/?aff_id=1151&subaff_id=1188_102101&sbrand=sale-o&pn=cjs&sr=ys

Пишут там так:

OWERED BY SALE-O

You are receiving this offers thanks to an agreement with SALE-O.
By having SALE-O installed on your computer our contextualization technology is able to deliver and display relevant and smart advertisement to you.

In case you would like to uninstall this or any other existing software on your computer, below you will find some simple instructions on how to do so.
DEACTIVATE VIA CONTROL PANEL

1. WINDOWS 7 & VISTA

1.1 - From the Start Menu, select Control Panel.
1.2 - Under Programs click the Uninstall a Program link.
1.3 - Select the program you wish to remove and right click then select Uninstall/Change.
1.4 - Follow the prompts to finish the uninstallation of the software.
2. WINDOWS XP

2.1 - From the Start Menu, select Control Panel.
2.2 - Click on the Add or Remove Programs icon.
2.3 - Select the program you wish to remove and click on the Remove or Change/Remove button.
2.4 - Follow the prompts to finish the uninstallation of the software.
3. WINDOWS 95, 98, ME, NT, 2000, AND XP IN CLASSIC VIEW

3.1 - From the Start Menu, select Settings, and then Control Panel.
3.2 - Double-click the Add/Remove Programs icon.
3.3 - Select the program you wish to remove and click on the Remove or Change/Remove button.
3.4 - Follow the prompts to finish the uninstallation of the software.
PLEASE NOTE:

Upon uninstall of the software certain data such as folders, files, registry keys, and cookies, may remain on your machine. If you need further information on how to remove a program from your computer, please visit the Microsoft Official help section.
DEACTIVATE VIA BROWSER EXTENSION

TO UNINSTALL AN EXTENSION AND REMOVE IT COMPLETELY FROM YOUR BROWSER:

1. FIREFOX

1.1 - Click the menu button and choose Add-ons. The Add-ons Manager tab will open.
1.2 - In the Add-ons Manager tab, select the Extensions or Appearance panel.
1.3 - Select the add-on you wish to remove.
1.4 - Click the Remove button.
1.5 - Click Restart now if it pops up. Your tabs will be saved and restored after the restart.
2. CHROME

2.1 - Click the Chrome menu Chrome menu on the browser toolbar.
2.2 - Click Tools.
2.3 - Select Extensions.
2.4 - Click the trash can icon an extension from Chrome by the extension you’d like to completely remove.
2.5 - A confirmation dialog appears, click Remove.
3. INTERNET EXPLORER

3.1 - Open the desktop, and then tap or click the Internet Explorer icon on the taskbar.
3.2 - Tap or click the Tools button Tools button , and then tap or click Manage add-ons.
3.3 - Under Show, tap or click All add-ons, and then select the add-on you want to turn off.
3.4 - Tap or click Disable, and then tap or click Close.

У меня хром. Т.е. двигался по пункту про хром и пока тьфу-тьфу полет нормальный.

[Vvvyg]

Интересно, в логах ни этого расширения, ни ссылки на рекламный сайт не было.

Удалите папку C:\FRST со всем содержимым.

Выполните рекомендации после лечения.

[Ivan Devyatov]

Спасибо большое.