Показано с 1 по 19 из 19.

Браузер периодически открывает рекламные вкладки. (заявка № 196313)

  1. #1
    Junior Member Репутация
    Регистрация
    26.01.2016
    Сообщений
    18
    Вес репутации
    4

    Браузер периодически открывает рекламные вкладки.

    Браузер (любой запущенный в данный момент), периодически открывает рекламные вкладки.
    Чаще всего это: orion.zerohorizon.net, oziris.zerohorizon.net, [удалено], и особо часто ptp24.com/promote.php?id=fb9a9b909e237b49be76aaa30d95d33a
    Если ни 1 браузер не открыт, то открывается установленный по-умолчанию.
    Заметил что гадость во вкладках открывается через процесс rundll32.exe
    Ярлыки к браузерам прямые, без дополнительных св-в. (Хотя по-идее и не в них дело).
    Process Explorer с включенной проверкой virustotal ничего не нашел.
    Пробежал весь реестр на тему "start http" и "rundll32 url.dll", тоже ничего не нашел.
    В планировщике заданий тоже не нашел.

    Помогите, пожалуйста изловить заразу. Три месяца с ней борюсь, и уже не знаю куда копать.
    Логи прилагаю.


    P.S Hosts так отредактирован мной. Просто чтобы злоумышленник получил меньше реферальных.
    P.P.S Встретить бы этого Luebeck557.......
    Вложения Вложения
    Последний раз редактировалось thyrex; 26.01.2016 в 22:43.

  2. Реклама
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,268
    Вес репутации
    326
    Уважаемый(ая) Exorc, спасибо за обращение на наш форум!

    Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

    information

    Информация

    Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.





    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. #3
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,456
    Вес репутации
    2914
    Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.
    • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.


    1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
    2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

    3. Нажмите кнопку Scan.
    4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
    5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
    6. Полученные в пп. 4 и 5 логи заархивируйте (в один архив) и прикрепите к сообщению.
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  5. thyrex получил(а) благодарность за это сообщение от


  6. #4
    Junior Member Репутация
    Регистрация
    26.01.2016
    Сообщений
    18
    Вес репутации
    4
    thyrex, спасибо за внимание к просьбе.
    Вложения Вложения
    • Тип файла: zip frst.zip (53.9 Кб, 1 просмотров)

  7. #5
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,456
    Вес репутации
    2914
    1. Откройте Блокнот и скопируйте в него приведенный ниже текст
    Код:
    CreateRestorePoint:
    OPR Extension: (AS Magic Player) - C:\Users\Михаил\AppData\Roaming\Opera Software\Opera Stable\Extensions\mfhnkgpdlogbknkhlgdjlejeljbhflim [2015-05-29]
    CustomCLSID: HKU\S-1-5-21-2766016837-80490527-506986372-1000_Classes\CLSID\{19170A69-A883-40D5-AF97-F6DC41495F15}\InprocServer32 -> no filepath
    CustomCLSID: HKU\S-1-5-21-2766016837-80490527-506986372-1000_Classes\CLSID\{97836AB9-12C5-4C30-A128-B75196DD1787}\InprocServer32 -> no filepath
    CustomCLSID: HKU\S-1-5-21-2766016837-80490527-506986372-1000_Classes\CLSID\{ECF41531-0840-4361-955F-1157A091842F}\InprocServer32 -> no filepath
    AlternateDataStreams: C:\Users\Михаил\Local Settings:wa
    AlternateDataStreams: C:\Users\Михаил\AppData\Local:wa
    AlternateDataStreams: C:\Users\Михаил\AppData\Local\Application Data:wa
    Reboot:
    2. Нажмите ФайлСохранить как
    3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
    4. Укажите Тип файлаВсе файлы (*.*)
    5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
    6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
    • Обратите внимание, что компьютер будет перезагружен.




    Если проблема останется, отключите все установленные расширения для браузеров и проверьте проблему
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  8. thyrex получил(а) благодарность за это сообщение от


  9. #6
    Junior Member Репутация
    Регистрация
    26.01.2016
    Сообщений
    18
    Вес репутации
    4
    Попробовал, но проблема осталась актуальной =(
    Вложения Вложения

  10. #7
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,456
    Вес репутации
    2914
    Отключите все установленные расширения для браузеров
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  11. thyrex получил(а) благодарность за это сообщение от


  12. #8
    Junior Member Репутация
    Регистрация
    26.01.2016
    Сообщений
    18
    Вес репутации
    4
    Отключил все, во всех 4-х браузерах.(IE, Opera, Firefox, Chrome), еще после вашего прошлого сообщения. Проблема к сожалению сохранилась.

  13. #9
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,456
    Вес репутации
    2914
    Интернет через роутер?
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  14. thyrex получил(а) благодарность за это сообщение от


  15. #10
    Junior Member Репутация
    Регистрация
    26.01.2016
    Сообщений
    18
    Вес репутации
    4
    Да.

  16. #11
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,456
    Вес репутации
    2914
    Сделайте аппаратный сброс настроек роутера, введите правильные настройки.
    Смените пароль к настройкам роутера на более сложный.
    Очистите куки и кэш браузеров, перезагрузите компьютер.

    Проверьте проблему
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  17. thyrex получил(а) благодарность за это сообщение от


  18. #12
    Junior Member Репутация
    Регистрация
    26.01.2016
    Сообщений
    18
    Вес репутации
    4
    Сделано, проблема сохранилась(

  19. #13
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,456
    Вес репутации
    2914
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  20. thyrex получил(а) благодарность за это сообщение от


  21. #14
    Junior Member Репутация
    Регистрация
    26.01.2016
    Сообщений
    18
    Вес репутации
    4
    Сделал. Так же то что он нашел я убрал (кроме тех файлов которые я создавал лично в visual studio)
    Вложения Вложения
    • Тип файла: txt log.txt (4.2 Кб, 1 просмотров)

  22. #15
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,456
    Вес репутации
    2914
    Изменения есть?
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  23. thyrex получил(а) благодарность за это сообщение от


  24. #16
    Junior Member Репутация
    Регистрация
    26.01.2016
    Сообщений
    18
    Вес репутации
    4
    Увы нет.

  25. #17
    Странствующий хэлпер Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    90,456
    Вес репутации
    2914
    Сделайте лог AdwCleaner
    Microsoft MVP 2012, 2013, 2014, 2015, 2016 Consumer Security

  26. thyrex получил(а) благодарность за это сообщение от


  27. #18
    Junior Member Репутация
    Регистрация
    26.01.2016
    Сообщений
    18
    Вес репутации
    4
    Он ничего не нашел. Отчет прилагаю.

    P.S Может вы можете посоветовать какой-нибудь аналог диспетчера задач или process explorer который бы показывал, процессы не в реальном времени а сохранял момент запуска процесса. Потому что я успеваю увидеть что что-то запускается, но он тут же закрывается и через мгновение открывается рекламная вкладка.
    Вложения Вложения

  28. #19
    Junior Member Репутация
    Регистрация
    26.01.2016
    Сообщений
    18
    Вес репутации
    4
    В общем, победил я гада. Если вдруг кому любопытно (или кто из поисковых систем, с такой же проблемой). То вирусом оказался файл wermgr.exe находящийся по адресу C:\ProgramData\Microsoft\Windows\WER. Он маскируется под программу Windows Problem Reporting и полный правильный её адрес C:\Windows\System32\wermgr.exe. !!!Учтите папка C:\ProgramData\Microsoft\Windows\WER является рабочей папкой для настоящей программы wermgr и в ней ничего менять не стоит!!!
    Что собственно делал вирус, он стучался по адресу "stats.ayeaye.arvixe.com" откуда скачивал зашифрованный файл manhattan.enc, и на его основании создавал файлик c расширением ini (в котором были те самые рекламные ссылки). Все это происходило в папке C:\Users\Имя_Пользователя\AppData\Local\Temp. После этого исполнял команду "rundll32 url.dll,FileProtocolHandler httpрекламная_ссылка*
    Резюмирую кратко: если у вас на компьютере по адресу C:\ProgramData\Microsoft\Windows\WER есть программа wermgr.exe то просто удалите ее. Остальное не трогать!
    Последний раз редактировалось Exorc; 10.02.2016 в 00:32.

Присоединяйтесь к нам в соцсетях!

Мы делаем все возможное, чтобы помогать людям в защите и лечении компьютеров.

Похожие темы

  1. Браузер систематически открывает новые вкладки с рекламой
    От Станислав Киров в разделе Помогите!
    Ответов: 5
    Последнее сообщение: 23.04.2015, 11:22
  2. Ответов: 3
    Последнее сообщение: 12.09.2014, 16:21
  3. Ответов: 17
    Последнее сообщение: 16.03.2014, 09:55
  4. Ответов: 2
    Последнее сообщение: 29.10.2013, 08:28
  5. Ответов: 11
    Последнее сообщение: 24.10.2013, 23:59

Свернуть/Развернуть Ваши права в разделе

  • Вы не можете создавать новые темы
  • Вы не можете отвечать в темах
  • Вы не можете прикреплять вложения
  • Вы не можете редактировать свои сообщения
  •  
Page generated in 0.00193 seconds with 21 queries