Показано с 1 по 19 из 19.

Браузер периодически открывает рекламные вкладки. (заявка № 196313)

  1. #1
    Junior Member Репутация
    Регистрация
    26.01.2016
    Сообщений
    18
    Вес репутации
    30

    Браузер периодически открывает рекламные вкладки.

    Браузер (любой запущенный в данный момент), периодически открывает рекламные вкладки.
    Чаще всего это: orion.zerohorizon.net, oziris.zerohorizon.net, [удалено], и особо часто ptp24.com/promote.php?id=fb9a9b909e237b49be76aaa30d95d33a
    Если ни 1 браузер не открыт, то открывается установленный по-умолчанию.
    Заметил что гадость во вкладках открывается через процесс rundll32.exe
    Ярлыки к браузерам прямые, без дополнительных св-в. (Хотя по-идее и не в них дело).
    Process Explorer с включенной проверкой virustotal ничего не нашел.
    Пробежал весь реестр на тему "start http" и "rundll32 url.dll", тоже ничего не нашел.
    В планировщике заданий тоже не нашел.

    Помогите, пожалуйста изловить заразу. Три месяца с ней борюсь, и уже не знаю куда копать.
    Логи прилагаю.


    P.S Hosts так отредактирован мной. Просто чтобы злоумышленник получил меньше реферальных.
    P.P.S Встретить бы этого Luebeck557.......
    Вложения Вложения
    Последний раз редактировалось thyrex; 26.01.2016 в 22:43.

  2. Будь в курсе!
    Реклама на VirusInfo

    Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

    Anti-Malware Telegram
     

  3. #2
    Cyber Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для Info_bot
    Регистрация
    11.05.2011
    Сообщений
    2,287
    Вес репутации
    378
    Уважаемый(ая) Exorc, спасибо за обращение на наш форум!

    Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

    information

    Информация

    Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.





    Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

  4. #3
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    99,211
    Вес репутации
    3104
    Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.
    • Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.


    1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
    2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

    3. Нажмите кнопку Scan.
    4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
    5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
    6. Полученные в пп. 4 и 5 логи заархивируйте (в один архив) и прикрепите к сообщению.
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  5. Это понравилось:


  6. #4
    Junior Member Репутация
    Регистрация
    26.01.2016
    Сообщений
    18
    Вес репутации
    30
    thyrex, спасибо за внимание к просьбе.
    Вложения Вложения
    • Тип файла: zip frst.zip (53.9 Кб, 1 просмотров)

  7. #5
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    99,211
    Вес репутации
    3104
    1. Откройте Блокнот и скопируйте в него приведенный ниже текст
    Код:
    CreateRestorePoint:
    OPR Extension: (AS Magic Player) - C:\Users\Михаил\AppData\Roaming\Opera Software\Opera Stable\Extensions\mfhnkgpdlogbknkhlgdjlejeljbhflim [2015-05-29]
    CustomCLSID: HKU\S-1-5-21-2766016837-80490527-506986372-1000_Classes\CLSID\{19170A69-A883-40D5-AF97-F6DC41495F15}\InprocServer32 -> no filepath
    CustomCLSID: HKU\S-1-5-21-2766016837-80490527-506986372-1000_Classes\CLSID\{97836AB9-12C5-4C30-A128-B75196DD1787}\InprocServer32 -> no filepath
    CustomCLSID: HKU\S-1-5-21-2766016837-80490527-506986372-1000_Classes\CLSID\{ECF41531-0840-4361-955F-1157A091842F}\InprocServer32 -> no filepath
    AlternateDataStreams: C:\Users\Михаил\Local Settings:wa
    AlternateDataStreams: C:\Users\Михаил\AppData\Local:wa
    AlternateDataStreams: C:\Users\Михаил\AppData\Local\Application Data:wa
    Reboot:
    2. Нажмите ФайлСохранить как
    3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
    4. Укажите Тип файлаВсе файлы (*.*)
    5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
    6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
    • Обратите внимание, что компьютер будет перезагружен.




    Если проблема останется, отключите все установленные расширения для браузеров и проверьте проблему
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  8. Это понравилось:


  9. #6
    Junior Member Репутация
    Регистрация
    26.01.2016
    Сообщений
    18
    Вес репутации
    30
    Попробовал, но проблема осталась актуальной =(
    Вложения Вложения

  10. #7
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    99,211
    Вес репутации
    3104
    Отключите все установленные расширения для браузеров
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  11. Это понравилось:


  12. #8
    Junior Member Репутация
    Регистрация
    26.01.2016
    Сообщений
    18
    Вес репутации
    30
    Отключил все, во всех 4-х браузерах.(IE, Opera, Firefox, Chrome), еще после вашего прошлого сообщения. Проблема к сожалению сохранилась.

  13. #9
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    99,211
    Вес репутации
    3104
    Интернет через роутер?
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  14. Это понравилось:


  15. #10
    Junior Member Репутация
    Регистрация
    26.01.2016
    Сообщений
    18
    Вес репутации
    30
    Да.

  16. #11
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    99,211
    Вес репутации
    3104
    Сделайте аппаратный сброс настроек роутера, введите правильные настройки.
    Смените пароль к настройкам роутера на более сложный.
    Очистите куки и кэш браузеров, перезагрузите компьютер.

    Проверьте проблему
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  17. Это понравилось:


  18. #12
    Junior Member Репутация
    Регистрация
    26.01.2016
    Сообщений
    18
    Вес репутации
    30
    Сделано, проблема сохранилась(

  19. #13
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    99,211
    Вес репутации
    3104
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  20. Это понравилось:


  21. #14
    Junior Member Репутация
    Регистрация
    26.01.2016
    Сообщений
    18
    Вес репутации
    30
    Сделал. Так же то что он нашел я убрал (кроме тех файлов которые я создавал лично в visual studio)
    Вложения Вложения
    • Тип файла: txt log.txt (4.2 Кб, 1 просмотров)

  22. #15
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    99,211
    Вес репутации
    3104
    Изменения есть?
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  23. Это понравилось:


  24. #16
    Junior Member Репутация
    Регистрация
    26.01.2016
    Сообщений
    18
    Вес репутации
    30
    Увы нет.

  25. #17
    Невымерший Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для thyrex
    Регистрация
    07.03.2009
    Адрес
    Soligorsk, Belarus
    Сообщений
    99,211
    Вес репутации
    3104
    Сделайте лог AdwCleaner
    Microsoft MVP 2012-2016 Consumer Security
    Microsoft MVP 2016 Reconnect

  26. Это понравилось:


  27. #18
    Junior Member Репутация
    Регистрация
    26.01.2016
    Сообщений
    18
    Вес репутации
    30
    Он ничего не нашел. Отчет прилагаю.

    P.S Может вы можете посоветовать какой-нибудь аналог диспетчера задач или process explorer который бы показывал, процессы не в реальном времени а сохранял момент запуска процесса. Потому что я успеваю увидеть что что-то запускается, но он тут же закрывается и через мгновение открывается рекламная вкладка.
    Вложения Вложения

  28. #19
    Junior Member Репутация
    Регистрация
    26.01.2016
    Сообщений
    18
    Вес репутации
    30
    В общем, победил я гада. Если вдруг кому любопытно (или кто из поисковых систем, с такой же проблемой). То вирусом оказался файл wermgr.exe находящийся по адресу C:\ProgramData\Microsoft\Windows\WER. Он маскируется под программу Windows Problem Reporting и полный правильный её адрес C:\Windows\System32\wermgr.exe. !!!Учтите папка C:\ProgramData\Microsoft\Windows\WER является рабочей папкой для настоящей программы wermgr и в ней ничего менять не стоит!!!
    Что собственно делал вирус, он стучался по адресу "stats.ayeaye.arvixe.com" откуда скачивал зашифрованный файл manhattan.enc, и на его основании создавал файлик c расширением ini (в котором были те самые рекламные ссылки). Все это происходило в папке C:\Users\Имя_Пользователя\AppData\Local\Temp. После этого исполнял команду "rundll32 url.dll,FileProtocolHandler httpрекламная_ссылка*
    Резюмирую кратко: если у вас на компьютере по адресу C:\ProgramData\Microsoft\Windows\WER есть программа wermgr.exe то просто удалите ее. Остальное не трогать!
    Последний раз редактировалось Exorc; 10.02.2016 в 00:32.

Похожие темы

  1. Браузер систематически открывает новые вкладки с рекламой
    От Станислав Киров в разделе Помогите!
    Ответов: 5
    Последнее сообщение: 23.04.2015, 11:22
  2. Ответов: 3
    Последнее сообщение: 12.09.2014, 16:21
  3. Ответов: 17
    Последнее сообщение: 16.03.2014, 09:55
  4. Ответов: 2
    Последнее сообщение: 29.10.2013, 08:28
  5. Ответов: 11
    Последнее сообщение: 24.10.2013, 23:59

Свернуть/Развернуть Ваши права в разделе

  • Вы не можете создавать новые темы
  • Вы не можете отвечать в темах
  • Вы не можете прикреплять вложения
  • Вы не можете редактировать свои сообщения
  •  
Page generated in 0.01429 seconds with 18 queries