Навязчивая реклама [not-a-virus:AdWare.Win32.Agent.hdvg, not-a-virus:RiskTool.Win32.OptimizerPro.e]

**yobot** · 16.01.2016, 17:09

Есть компьютер с Windows x64. Поймал "заразу". Утилита Cure It извела 13 объектов, однако в браузерах осталась навязчивая реклама – при попытке перейти на какой-либо раздел сайта открывается новая вкладка с рекламой лотереи. Сайты производителей антивирусов не открываются совсем – сразу же выскакивает реклама лотереи. Как избавиться от "хвостов" заразы? Логи прилагаю.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 16.01.2016, 17:10

Уважаемый(ая) yobot, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**thyrex** · 16.01.2016, 23:06

Выполните скрипт в AVZ

Код:

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 QuarantineFile('C:\Users\Илюха\AppData\Local\Microsoft\Windows\toolbar.exe','');
 QuarantineFile('c:\programdata\{52b736bd-37f6-34cd-52b7-736bd37fdaf4}\hqghumeaylnlf.exe','');
 QuarantineFile('C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe','');
 QuarantineFile('C:\ProgramData\TimeTasks\TimeTasksSetup.exe','');
 QuarantineFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe','');
 DeleteService('wpnfd_1_10_0_5');
 DeleteService('qrnfd_1_10_0_8');
 DeleteService('pfnfd_1_10_0_8');
 QuarantineFile('C:\Windows\system32\drivers\wpnfd_1_10_0_5.sys','');
 QuarantineFile('C:\Windows\system32\drivers\qrnfd_1_10_0_8.sys','');
 QuarantineFile('C:\Windows\system32\drivers\pfnfd_1_10_0_8.sys','');
 SetServiceStart('nuviwyci', 4);
 DeleteService('nuviwyci');
 TerminateProcessByName('c:\users\Илюха\appdata\roaming\03000200-1424002318-0500-0006-000700080009\nssab45.tmp');
 QuarantineFile('c:\users\Илюха\appdata\roaming\03000200-1424002318-0500-0006-000700080009\nssab45.tmp','');
 DeleteFile('c:\users\Илюха\appdata\roaming\03000200-1424002318-0500-0006-000700080009\nssab45.tmp','32');
 DeleteFile('C:\Windows\system32\drivers\pfnfd_1_10_0_8.sys','32');
 DeleteFile('C:\Windows\system32\drivers\qrnfd_1_10_0_8.sys','32');
 DeleteFile('C:\Windows\system32\drivers\wpnfd_1_10_0_5.sys','32');
 DeleteFile('C:\Program Files (x86)\Zaxar\ZaxarLoader.exe','32');
 DeleteFile('C:\ProgramData\TimeTasks\TimeTasksSetup.exe','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Timestasks');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','ZaxarLoader');
 DeleteFile('C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe','32');
 DeleteFile('C:\Windows\Tasks\APSnotifierPP1.job','32');
 DeleteFile('C:\Windows\Tasks\APSnotifierPP2.job','32');
 DeleteFile('C:\Windows\Tasks\APSnotifierPP3.job','32');
 DeleteFile('C:\Windows\Tasks\Superclean.job','32');
 DeleteFile('c:\programdata\{52b736bd-37f6-34cd-52b7-736bd37fdaf4}\hqghumeaylnlf.exe','32');
 DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP1','64');
 DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP2','64');
 DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP3','64');
 DeleteFile('C:\Windows\system32\Tasks\SystemScript','64');
 DeleteFile('C:\Windows\system32\Tasks\Superclean','64');
 DeleteFile('C:\Users\Илюха\AppData\Local\Microsoft\Windows\toolbar.exe','32');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

Код:

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением в Вашей теме.

Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи

**yobot** · 17.01.2016, 16:20

Карантин загружен. Повторное сканирование выполнил. Логи прилагаются

**thyrex** · 17.01.2016, 21:30

Сделайте лог полного сканирования МВАМ

**yobot** · 18.01.2016, 21:45

Сканирование MBAM выполнил. Лог прилагается.

**yobot** · 24.01.2016, 16:02

Я прошу прощения, но данной темой кто-нибудь занимается? Выслал файлы, которые просил хелпер, и тишина на неделю...

**thyrex** · 25.01.2016, 21:47

Удалите в МВАМ все, кроме

Код:

PUP.Optional.OpenCandy, E:\download\DAEMON_Tools_Lite_4.45.1_Setup.exe, , [d349ab900099270f8a96fece6a9a4cb4], 
Rogue.FakeAV.ED, F:\All-CS 1.6 Final\cstrike\addons\amxmodx\data\WinCSX.exe, , [a3790a313168a294d3349d0606fa7e82], 
RiskWare.Tool.CK, F:\Need for Speed Hot Pursuit\NFSHP_Activator.exe, , [25f7da611b7eb185b158659c867ce61a],

**yobot** · 30.01.2016, 20:46

Выполнил удаление в MBAM. Нужно ли удалять карантин MBAM?

**thyrex** · 01.02.2016, 20:00

Скачайте Farbar Recovery Scan Tool

и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Полученные в пп. 4 и 5 логи заархивируйте (в один архив) и прикрепите к сообщению.

**yobot** · 02.02.2016, 21:37

Выполнено. Логи FRST прилагаю в архиве

**thyrex** · 04.02.2016, 20:13

Сделайте лог CheckBrowsers' Lnk

1. Откройте Блокнот и скопируйте в него приведенный ниже текст

Код:

CreateRestorePoint:
BHO: No Name -> {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} -> No File
BHO-x32: No Name -> {D5FEC983-01DB-414A-9456-AF95AC9ED7B5} -> No File
Toolbar: HKU\S-1-5-21-2581375619-3293643829-1591474834-1000 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
FF HKLM\...\Firefox\Extensions: [jid1-n5ARdBzHkUEdAA@jetpack] - C:\Users\Илюха\AppData\Roaming\Mozilla\Extensions\jid1-n5ARdBzHkUEdAA@jetpack
FF Extension: SuperMegaBest.com - C:\Users\Илюха\AppData\Roaming\Mozilla\Extensions\jid1-n5ARdBzHkUEdAA@jetpack [2015-02-18] [not signed]
FF HKLM-x32\...\Firefox\Extensions: [jid1-n5ARdBzHkUEdAA@jetpack] - C:\Users\Илюха\AppData\Roaming\Mozilla\Extensions\jid1-n5ARdBzHkUEdAA@jetpack
CHR HKLM-x32\...\Chrome\Extension: [bgknpfancpeamejmcooedljjnaddldhg] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [bgomnbpelpcdicbnicimghcecemjpbef] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [cegdomhocaeoedbdpfolmgjkjaijfomo] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [fidibeiehaokohhbnkdjmkcapgnndfkc] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [gdknicmnhbaajdglbinpahhapghpakch] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [gndaciceccgapjhpniecknjlmmlanaem] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [ilamgbdaebkbpkkmfmmfbnaamkhijdek] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [jdkihdhlegcdggknokfekoemkjjnjhgi] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [jedelkhanefmcnpappfhachbpnlhomai] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [jkagakiplhpgacmegfblcddbckenmiio] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [kjlpdpfmpoggibmjgmbaoidffidifakh] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [kppacdmmddediahklmcgkgdhhoojemmd] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [mdeldjolamfbcgnndjmjjiinnhbnbnla] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [mfmjpfoggikolkfilofbpgcnhdcgahib] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [odkmedfomghphdnmmemhkpoanggcfbbe] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [ofdgafmdegfkhfdfkmllfefmcmcjllec] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pfjgibhmcgncmjhdodpaolfbjpjjajal] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pgaidlfgjkmeendhknafahppllbniejm] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pganlglbhgfjfgopijbhemcpbehjnpia] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pnooffjhclkocplopffdbcdghmiffhji] - hxxps://clients2.google.com/service/update2/crx
OPR StartupUrls: "hxxp://www.yandex.ru/?win=156&clid=1985535","hxxp://searsh.ru/","hxxp://searsh.ru/"
2015-11-28 12:23 - 2015-11-28 12:24 - 00000923 _____ C:\Users\Илюха\Desktop\Calculator.lnk
2015-11-28 12:23 - 2015-11-28 12:23 - 00000000 ____D C:\Users\Илюха\AppData\Roaming\Calculator
2015-05-29 10:12 - 2015-08-07 05:22 - 0000024 _____ () C:\Users\Илюха\AppData\Roaming\appdataFr25.bin
2015-03-12 19:26 - 2015-05-02 20:30 - 0000020 _____ () C:\Users\Илюха\AppData\Roaming\appdataFr3.bin
2015-01-02 18:54 - 2015-02-15 15:47 - 0000142 ____H () C:\Users\Илюха\AppData\Local\Yandex.bat
2015-01-02 18:54 - 2014-06-19 20:23 - 0103752 ____H () C:\Users\Илюха\AppData\Local\Yаndех.bаt.exe
2014-08-24 04:16 - 2014-08-24 04:16 - 0000122 ____H () C:\ProgramData\help.bat
C:\Users\Все пользователи\help.bat
C:\Users\Илюха\AppData\Local\Temp\0764790B-1457-4319-9955-40C307739B7B.exe
C:\Users\Илюха\AppData\Local\Temp\0CE392E7-1327-49DC-B75E-22B1E1A8A024.exe
C:\Users\Илюха\AppData\Local\Temp\1A186334D7494409.exe
C:\Users\Илюха\AppData\Local\Temp\1E506784711A9999.exe
C:\Users\Илюха\AppData\Local\Temp\22B7258D-36FD-491B-BBCB-3ED9899D5AC6.exe
C:\Users\Илюха\AppData\Local\Temp\26A449FFC75D720.exe
C:\Users\Илюха\AppData\Local\Temp\42B63D22462D3DAF.exe
C:\Users\Илюха\AppData\Local\Temp\44221250A41F95.exe
C:\Users\Илюха\AppData\Local\Temp\446CD8014591400A.exe
C:\Users\Илюха\AppData\Local\Temp\4CF5860261FD2A0F.exe
C:\Users\Илюха\AppData\Local\Temp\57C874BB98FB37AC.exe
C:\Users\Илюха\AppData\Local\Temp\6BD37C32A0C3B8FF.exe
C:\Users\Илюха\AppData\Local\Temp\6DFF15D1EBCBB51A.exe
C:\Users\Илюха\AppData\Local\Temp\724237A54D2CAE3E.exe
C:\Users\Илюха\AppData\Local\Temp\798E74A9C93FEF52.exe
C:\Users\Илюха\AppData\Local\Temp\80EB5E5E-AA34-4CB5-9DBF-541829F51DE9.exe
C:\Users\Илюха\AppData\Local\Temp\89E209A4B38B4439.exe
C:\Users\Илюха\AppData\Local\Temp\92640E7BC74C386C.exe
C:\Users\Илюха\AppData\Local\Temp\9FD935DB-BDF8-4E44-B9B3-107319AAA604.exe
C:\Users\Илюха\AppData\Local\Temp\A74E57B517718E8E.exe
C:\Users\Илюха\AppData\Local\Temp\AB054A617484FBEA.exe
C:\Users\Илюха\AppData\Local\Temp\AED2DA4314C95354.exe
C:\Users\Илюха\AppData\Local\Temp\AmigoDistrib.exe
C:\Users\Илюха\AppData\Local\Temp\amigo_setup.exe
C:\Users\Илюха\AppData\Local\Temp\CB380B635917C8F4.exe
C:\Users\Илюха\AppData\Local\Temp\CDE243578AE4B0B8.exe
C:\Users\Илюха\AppData\Local\Temp\ChromeSetup.exe
C:\Users\Илюха\AppData\Local\Temp\D3D2A35BBA38A0CC.exe
C:\Users\Илюха\AppData\Local\Temp\DF92951F9BC169A0.exe
C:\Users\Илюха\AppData\Local\Temp\EF3184CBBAD0C7FC.exe
C:\Users\Илюха\AppData\Local\Temp\EF5ED79D40F7AE16.exe
C:\Users\Илюха\AppData\Local\Temp\F0722_s_30803.exe
C:\Users\Илюха\AppData\Local\Temp\F0BD40C99F6A6BF2.exe
C:\Users\Илюха\AppData\Local\Temp\F224C9AB6014A05C.exe
C:\Users\Илюха\AppData\Local\Temp\F5C0E995-040A-45C7-8C0D-0E593B2A10E2.exe
C:\Users\Илюха\AppData\Local\Temp\F825BB56E00D84B3.exe
C:\Users\Илюха\AppData\Local\Temp\G0722_s_70904.exe
C:\Users\Илюха\AppData\Local\Temp\KB3A37FC79B516D662.exe
C:\Users\Илюха\AppData\Local\Temp\KB5DE7DA93D6DB94E4.exe
C:\Users\Илюха\AppData\Local\Temp\lite_installer.exe
C:\Users\Илюха\AppData\Local\Temp\nss23BA.exe
C:\Users\Илюха\AppData\Local\Temp\nss8E.exe
C:\Users\Илюха\AppData\Local\Temp\tmp80B4.exe
C:\Users\Илюха\AppData\Local\Temp\tmp8B55.exe
C:\Users\Илюха\AppData\Local\Temp\tmpB3F9.exe
C:\Users\Илюха\AppData\Local\Temp\tmpD74C.exe
C:\Users\Илюха\AppData\Local\Temp\tmpDAB3.exe
C:\Users\Илюха\AppData\Local\Temp\tmpE9BA.exe
CustomCLSID: HKU\S-1-5-21-2581375619-3293643829-1591474834-1000_Classes\CLSID\{0F22A205-CFB0-4679-8499-A6F44A80A208}\InprocServer32 -> C:\Users\Илюха\AppData\Local\Google\Update\1.3.25.5\psuser_64.dll => No File
CustomCLSID: HKU\S-1-5-21-2581375619-3293643829-1591474834-1000_Classes\CLSID\{355EC88A-02E2-4547-9DEE-F87426484BD1}\InprocServer32 -> C:\Users\Илюха\AppData\Local\Google\Update\1.3.23.9\psuser_64.dll => No File
CustomCLSID: HKU\S-1-5-21-2581375619-3293643829-1591474834-1000_Classes\CLSID\{38216570-5DB1-45F8-A344-B0C4E252B14B}\InprocServer32 -> C:\Users\Илюха\AppData\Local\Google\Update\1.3.26.7\psuser_64.dll => No File
CustomCLSID: HKU\S-1-5-21-2581375619-3293643829-1591474834-1000_Classes\CLSID\{90B3DFBF-AF6A-4EA0-8899-F332194690F8}\InprocServer32 -> C:\Users\Илюха\AppData\Local\Google\Update\1.3.24.15\psuser_64.dll => No File
CustomCLSID: HKU\S-1-5-21-2581375619-3293643829-1591474834-1000_Classes\CLSID\{D0336C0B-7919-4C04-8CCE-2EBAE2ECE8C9}\InprocServer32 -> C:\Users\Илюха\AppData\Local\Google\Update\1.3.25.11\psuser_64.dll => No File
CustomCLSID: HKU\S-1-5-21-2581375619-3293643829-1591474834-1000_Classes\CLSID\{FE498BAB-CB4C-4F88-AC3F-3641AAAF5E9E}\InprocServer32 -> C:\Users\Илюха\AppData\Local\Google\Update\1.3.24.7\psuser_64.dll => No File
Task: {0CE6A02D-03AE-4DD5-ABFA-3B6AB9BCE6A7} - \{2A9004B6-9FF9-BCE9-5366-289E79E78732} -> No File <==== ATTENTION
Task: {3A4B495E-3F19-4514-8F53-4AD9BAB2F2E5} - \Funmoods -> No File <==== ATTENTION
Task: {B13E9B6D-9AA0-457F-BE81-7DD175927160} - \Обновление Браузера Яндекс  -> No File <==== ATTENTION
Task: {B663DB7A-8046-4018-BBE8-48D209A58F61} - \SystemScript -> No File <==== ATTENTION
Reboot:

2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

Обратите внимание, что компьютер будет перезагружен.

**yobot** · 07.02.2016, 01:31

Выполнено. Лои прилагаю.

**thyrex** · 08.02.2016, 19:35

Скачайте ClearLNK и сохраните архив с утилитой на Рабочем столе.
1. Распакуйте архив с утилитой в отдельную папку.
2. Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке

3. Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
4. Прикрепите этот отчет к своему следующему сообщению.

**yobot** · 09.02.2016, 22:19

Выполнено. Лог прилагаю.

**thyrex** · 10.02.2016, 19:35

Что с проблемой?

**yobot** · 11.02.2016, 12:09

После очистки кэша браузеров проблема была решена. Думаю что тему можно закрывать.

**thyrex** · 12.02.2016, 19:17

Удалите МВАМ

**CyberHelper** · 12.02.2016, 19:27

Статистика проведенного лечения:

Получено карантинов: 1
Обработано файлов: 2
В ходе лечения обнаружены вредоносные программы:
1. c:\programdata\{52b736bd-37f6-34cd-52b7-736bd37fdaf4}\hqghumeaylnlf.exe - not-a-virus:RiskTool.Win32.OptimizerPro.e ( DrWEB: Program.Unwanted.274 )
2. c:\users\илюха\appdata\roaming\03000200-1424002318-0500-0006-000700080009\nssab45.tmp - not-a-virus:AdWare.Win32.Agent.hdvg

Навязчивая реклама [not-a-virus:AdWare.Win32.Agent.hdvg, not-a-virus:RiskTool.Win32.OptimizerPro.e] (заявка № 195847)

Опции темы