Постоянные перенаправления, реклама, скорость работы браузеров низкая [not-a-virus:AdWare.Win32.SwiftBrowse.r, not-a-virus:AdWare.Win32.SearchProtect.sp ]

**4ip4ik** · 05.07.2015, 14:05

Добрый день!

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 05.07.2015, 14:07

Уважаемый(ая) 4ip4ik, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**Nikkollo** · 05.07.2015, 17:01

Запускайте HijackThis правой кнопкой мыши - "Запуск от имени Администратора".
Пофиксите в HijackThis только указанные строки (как пофиксить):

Код:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.luckysearches.com/?type=hppp&ts=1429705527&from=cmi&uid=395049983_1052514_4C7399D1
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.luckysearches.com/web/?type=dspp&ts=1429705527&from=cmi&uid=395049983_1052514_4C7399D1&q={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.luckysearches.com/web/?type=dspp&ts=1429705527&from=cmi&uid=395049983_1052514_4C7399D1&q={searchTerms}
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.luckysearches.com/?type=hppp&ts=1429705527&from=cmi&uid=395049983_1052514_4C7399D1
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.luckysearches.com/?type=hppp&ts=1429705527&from=cmi&uid=395049983_1052514_4C7399D1
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.luckysearches.com/web/?type=dspp&ts=1429705527&from=cmi&uid=395049983_1052514_4C7399D1&q={searchTerms}
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.luckysearches.com/web/?type=dspp&ts=1429705527&from=cmi&uid=395049983_1052514_4C7399D1&q={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.luckysearches.com/?type=hppp&ts=1429705527&from=cmi&uid=395049983_1052514_4C7399D1

Запускайте AVZ правой кнопкой мыши - "Запуск от имени Администратора".
Выполните скрипт в AVZ (как выполнить):

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 TerminateProcessByName('c:\program files\xtab\cmdshell.exe');
 TerminateProcessByName('c:\program files\xtab\protectservice.exe');
 TerminateProcessByName('c:\program files\xtab\hpnotify.exe');
 ClearQuarantine;
 QuarantineFile('C:\Users\руслан\appdata\local\microsoft\start menu\вoйти в интeрнeт.exe','');
 QuarantineFile('C:\Program Files\deal keeper\bin\dealkeeper.browseradapter.exe','');
 QuarantineFile('C:\Users\руслан\AppData\Roaming\luckysearches\UninstallManager.exe','');
 DelBHO('{3593C8B9-8E18-4B4B-B7D3-CB8BEB1AA42C}');
 QuarantineFile('C:\Users\руслан\AppData\Roaming\Browsers\exe.resworb.bat','');
 QuarantineFile('C:\Users\руслан\AppData\Roaming\Browsers\exe.erolpxei.bat','');
 QuarantineFile('C:\Users\руслан\AppData\Roaming\Browsers\exe.emorhc.bat','');
 QuarantineFile('C:\Users\руслан\AppData\Local\34323030-1429715458-3741-4235-3935FFFFFFFF\bnsw134B.exe','');
 QuarantineFile('C:\Program Files\Zaxar\ZaxarLoader.exe','');
 QuarantineFile('C:\Program Files\Twilight Tech\Pretty Search\dummyDlg.exe','');
 QuarantineFile('C:\Users\руслан\AppData\Roaming\34323030-1429704592-3741-4235-3935FFFFFFFF\nsu8B4B.tmp','');
 QuarantineFile('C:\Program Files\XTab\ProtectService.exe','');
 QuarantineFile('C:\Program Files\XTab\IeWatchDog.dll','');
 QuarantineFile('C:\Program Files\XTab\BrowerWatchCH.dll','');
 QuarantineFile('c:\program files\xtab\protectservice.exe','');
 QuarantineFile('c:\program files\xtab\hpnotify.exe','');
 QuarantineFile('c:\program files\xtab\cmdshell.exe','');
 DeleteFile('c:\program files\xtab\cmdshell.exe','32');
 DeleteFile('c:\program files\xtab\hpnotify.exe','32');
 DeleteFile('c:\program files\xtab\protectservice.exe','32');
 DeleteFile('C:\Program Files\XTab\BrowerWatchCH.dll','32');
 DeleteFile('C:\Program Files\XTab\IeWatchDog.dll','32');
 DeleteFile('C:\Program Files\XTab\ProtectService.exe','32');
 BC_DeleteSvc('IHProtect Service');
 DeleteFile('C:\Users\руслан\AppData\Roaming\34323030-1429704592-3741-4235-3935FFFFFFFF\nsu8B4B.tmp','32');
 BC_DeleteSvc('hyzucyro');
 DeleteFile('C:\Program Files\Twilight Tech\Pretty Search\dummyDlg.exe','32');
 DeleteFile('C:\Program Files\Zaxar\ZaxarLoader.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\ZaxarLoader','command');
 DeleteFile('C:\Users\руслан\AppData\Local\34323030-1429715458-3741-4235-3935FFFFFFFF\bnsw134B.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\WinCheck','command');
 DeleteFile('C:\Users\руслан\AppData\Roaming\Browsers\exe.emorhc.bat','32');
 DeleteFile('C:\Users\руслан\AppData\Roaming\Browsers\exe.erolpxei.bat','32');
 DeleteFile('C:\Users\руслан\AppData\Roaming\Browsers\exe.resworb.bat','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\vlntnyqvgf','command');
 DeleteFile('C:\Users\руслан\AppData\Roaming\luckysearches\UninstallManager.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\{14422763-C06B-4D3B-8AAE-A7A8E03A11A7}','32');
 DeleteFile('C:\Program Files\deal keeper\bin\dealkeeper.browseradapter.exe','32');
 DeleteFile('C:\Users\руслан\appdata\local\microsoft\start menu\вoйти в интeрнeт.exe','32');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
 DeleteFileMask('c:\program files\xtab','*', true);
 DeleteDirectory('c:\program files\xtab');    
BC_ImportAll;
ExecuteSysClean;
ExecuteWizard('TSW',2,2,true);
ExecuteWizard('SCU',2,2,true);
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Загрузите quarantine.zip из папки AVZ по красной ссылке "Прислать запрошенный карантин" в шапке этой темы.

Сделайте заново лог virusinfo_syscheck.zip и лог HijackThis (пункты 2 и 3 раздела "Диагностика" правил) и приложите в теме.

Подготовьте лог AdwCleaner
http://virusinfo.info/showthread.php...=1#post1041844
и приложите его в теме.

Сделайте лог CheckBrowserLnk
и приложите в теме.

**4ip4ik** · 05.07.2015, 19:17

вот

**Nikkollo** · 05.07.2015, 20:46

Скачайте на рабочий стол эту утилиту.
Перетащите на нее мышью лог CheckBrowserLnk.log.

Удалите все найденное в AdwCleaner.
Как удалить:
http://virusinfo.info/showthread.php...=1#post1041864

Запускайте AVZ правой кнопкой мыши - "Запуск от имени Администратора".
Выполните скрипт в AVZ (как выполнить):

Код:

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
 BC_DeleteFile('C:\Windows\system32\DRIVERS\bd0003.sys');
 BC_DeleteFile('C:\Windows\system32\DRIVERS\BDArKit.sys');
 BC_DeleteFile('C:\Windows\system32\DRIVERS\BDEnhanceBoost.sys');
 BC_DeleteFile('C:\Windows\system32\DRIVERS\BDFileDefend.sys');
 BC_DeleteFile('C:\Windows\system32\DRIVERS\BDMNetMon.sys');
 BC_DeleteFile('C:\Windows\system32\DRIVERS\BDMWrench.sys');
 BC_DeleteFile('C:\Windows\system32\DRIVERS\BdSandBox.sys');
 BC_DeleteSvc('BDKVRTP');
 BC_DeleteSvc('BDMRTP');
 BC_DeleteSvc('BDArKit');
 BC_DeleteSvc('BdSandBox');
 BC_DeleteSvc('BDMWrench');
 BC_DeleteSvc('BDMNetMon');
 BC_DeleteSvc('BDFileDefend');
 BC_DeleteSvc('BDEnhanceBoost');
 BC_DeleteSvc('bd0003');
 BC_DeleteSvc('bd0001');
 BC_DeleteSvc('bd0002');
 BC_DeleteSvc('lwnfd_1_10_0_14');
 BC_DeleteSvc('QMUdisk');
 BC_DeleteSvc('TS888');
 DeleteFile('C:\Program Files\Baidu\BaiduAn\4.0.0.5166\BaiduAnTray.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\BaiduAnTray','command');
 DeleteFile('C:\Program Files\Baidu\BaiduSd\3.0.0.4605\BaiduSdTray.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\baidusdTray','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\KometaLaunchPanel','command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\kometaup','command');
 DeleteFile('C:\Users\руслан\AppData\Roaming\Browsers\exe.emorhc.bat','32');
 DeleteFile('C:\Users\руслан\AppData\Roaming\Browsers\exe.erolpxei.bat','32');
 DeleteFile('C:\Users\руслан\AppData\Roaming\Browsers\exe.resworb.bat','32');
 DeleteFile('C:\Windows\system32\Tasks\Crossbrowse','32');
 DeleteFile('C:\Windows\system32\DRIVERS\BDArKit.sys','32');
 DeleteFile('C:\Users\руслан\appdata\local\microsoft\start menu\вoйти в интeрнeт.exe','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

Сделайте заново лог virusinfo_syscheck.zip (пункт 2 раздела "Диагностика" правил) и приложите в теме.

Сделайте заново лог AdwCleaner
http://virusinfo.info/showthread.php...=1#post1041844
и приложите его в теме.

**4ip4ik** · 05.07.2015, 21:23

Вот

**Nikkollo** · 05.07.2015, 22:24

Удалите все найденное в AdwCleaner.
Как удалить:
http://virusinfo.info/showthread.php...=1#post1041864

Что с проблемой?

**4ip4ik** · 05.07.2015, 22:58

удалило все браузеры, всё с рабочего стола

**Nikkollo** · 05.07.2015, 23:26

Ярлыки браузеров удалились с рабочего стола?
В меню Пуск - все программы есть ярлыки?

**4ip4ik** · 05.07.2015, 23:50

В пуске тоже всё слетело, и к тому же интернет теперь запускается только вручную....

- - - - -Добавлено - - - - -

Ладно то такое...мелочи жизни востановлю, главное рекламы больше нет и тормозов тоже. Спасибо за помощь

**Nikkollo** · 06.07.2015, 00:19

Да, я ошибся... перестарался...
Прошу прошения.
Но похоже ошибка не фатальная.
Если есть вопросы по ее функционированию, то пишите здесь.
Еще раз извиняюсь.

**CyberHelper** · 06.07.2015, 00:29

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 7
В ходе лечения обнаружены вредоносные программы:
1. c:\program files\deal keeper\bin\dealkeeper.browseradapter.exe - not-a-virus:AdWare.Win32.SwiftBrowse.r ( DrWEB: Trojan.Yontoo.1742, BitDefender: Adware.MPlug.Q )
2. c:\program files\xtab\browerwatchch.dll - not-a-virus:AdWare.Win32.SearchProtect.rw ( DrWEB: Adware.Mutabaha.119 )
3. c:\program files\xtab\cmdshell.exe - not-a-virus:AdWare.Win32.SearchProtect.sp
4. c:\program files\xtab\hpnotify.exe - not-a-virus:AdWare.Win32.SearchProtect.se
5. c:\program files\xtab\iewatchdog.dll - not-a-virus:AdWare.Win32.SearchProtect.sp ( DrWEB: Adware.Mutabaha.120 )
6. c:\program files\xtab\protectservice.exe - not-a-virus:AdWare.Win32.SearchProtect.sd ( DrWEB: Adware.Mutabaha.266 )

Постоянные перенаправления, реклама, скорость работы браузеров низкая [not-a-virus:AdWare.Win32.SwiftBrowse.r, not-a-virus:AdWare.Win32.SearchProtect.sp ] (заявка № 186595)

Опции темы