Браузеры взбесились #3

**Savransky** · 28.01.2016, 13:54

Добрый день.

В третий раз обращаюсь к вам со схожей темой.
Предыдущее обращение - здесь: http://virusinfo.info/showthread.php?t=195940

Мне показалось, что всё разрешилось, но не тут-то было:
Во-первых, по адресу C:\Users\...\AppData\Local\Microsoft\Extensions засел файл extsetup.exe, который сбрасывал все плагины и поисковики в FF. Я удалил всё содержимое папки Extensions.
Во-вторых, в Chrome стало невозможно сменить пользователя, то есть оно предлагает зайти под каким-то ранее запомненным логином, а на "Sign in with a different account" не реагирует и "изначального" пользователя не удаляет. И на рабочем столе после каждой загрузки появлялась иконка-ссылка Chrome.
И, наконец, в-третьих, FF вообще прекратил запускаться... то есть, запускается только по ссылке, присланной, скажем, в Скайп или по html-ярлыку созданному вручную, а вот иконкой или командой firefox.exe, а также "готовым" ярлыком, типа, присутствующего в папке AVZ ([DEFAULT] BASEURL=http://z-oleg.com/secur/avz/ [InternetShortcut] URL=http://z-oleg.com/secur/avz/ IconFile=http://z-oleg.com/favicon.ico IconIndex=1) процесс firefox.exe запускается (у меня сейчас в task manager висит пять ФФ), но окно не открывается.

В общем, буду очень признателен за помощь.

P.S. CureIt в безопасном режиме и Avast, запущенный до загрузки винды, ничего не нашли.

Надоело быть жертвой? Стань профи по информационной безопасности, получай самую свежую информацию об угрозах и средствах защиты от ведущего российского аналитического центра Anti-Malware.ru:

**Info_bot** · 28.01.2016, 13:55

Уважаемый(ая) Savransky, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

**regist** · 28.01.2016, 17:00

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

Код:

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFile('C:\Users\SERGE\AppData\Local\Microsoft\Extensions\extsetup.exe', '');
 QuarantineFile('C:\Program Files (x86)\Common Files\Adobe\OOBA\PDApp\PPAPI\F4903645-3373-4C66-A256-EA9814D7AD47.exe', '');
 QuarantineFileF('c:\program files (x86)\kinoroom browser', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFileF('c:\programdata\krb updater utility', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe', '');
 QuarantineFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe', '');
 DeleteFile('C:\Program Files (x86)\Common Files\Adobe\OOBA\PDApp\PPAPI\F4903645-3373-4C66-A256-EA9814D7AD47.exe', '32');
 DeleteFile('C:\Users\SERGE\AppData\Local\Microsoft\Extensions\extsetup.exe', '32');
 DeleteFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe', '32');
 DeleteFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe', '32');
 ExecuteFile('schtasks.exe', '/delete /TN "KRB Updater Utility Service" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "KRBLNKRUN" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "ADD27CC19-209F-489B-B0ED-49F3493D9654" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "extsetup" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "SafeBrowser" /F', 0, 15000, true);
 DeleteFileMask('c:\program files (x86)\kinoroom browser', '*', true);
 DeleteFileMask('c:\programdata\krb updater utility', '*', true);
 DeleteDirectory('c:\program files (x86)\kinoroom browser');
 DeleteDirectory('c:\programdata\krb updater utility');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', 'DD27CC19-209F-489B-B0ED-49F3493D9654');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', 'SafeBrowser');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\amigo', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\CCleaner Monitoring', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\mailruhomesearch', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\MailRuUpdater', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SpybotPostWindows10UpgradeReInstall', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SwitchBoard', 'command');
 RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Kinoroom Browser', 'command');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

сделайте лог HiJackThis 2.0.6 Alfa 1.5

- сделайте лог Check Browsers' LNK by Dragokas & regist. Заархивируйте его и прикрепите к сообщению.

**Savransky** · 28.01.2016, 17:52

Скрипт выполнил. Карантин не загружается. Пишет: "Ошибка загрузки. Данный файл уже был загружен". Кстати, я посмотрел "карантинный" архив - он почему-то пустой... С браузерами пока те же проблемы.

**regist** · 28.01.2016, 19:10

Сообщение от regist

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

где ссылка?

- - - - -Добавлено - - - - -

+

Профиксите в HiJackThis 2.0.6 Alfa 1.5

Код:

O2 - BHO: (no name) - AutorunsDisabled - (no file)
O4 - MSConfig..HKLM: 2013/11/29 [AdobeCS5ServiceManager] "C:\Program Files (x86)\Common Files\Adobe\CS5ServiceManager\CS5ServiceManager.exe" -launchedbylogin (no file)
O4 - MSConfig..HKLM: 2013/11/29 [AdobeCS6ServiceManager] "C:\Program Files (x86)\Common Files\Adobe\CS6ServiceManager\CS6ServiceManager.exe" -launchedbylogin (no file)
O4 - MSConfig..HKLM: 2013/11/29 [SwitchBoard] C:\Program Files (x86)\Common Files\Adobe\SwitchBoard\SwitchBoard.exe (no file)
O4 - MSConfig..HKLM: 2015/10/15 [SpybotPostWindows10UpgradeReInstall] "C:\Program Files\Common Files\AV\Spybot - Search and Destroy\Test.exe" (no file)
O4 - MSConfig..HKLM: 2016/01/18 [Kinoroom Browser]  (no file)
O4 - MSConfig..HKLM: 2016/01/18 [MailRuUpdater] C:\Users\SERGE\AppData\Local\Mail.Ru\MailRuUpdater.exe (no file)
O4 - MSConfig..HKLM: 2016/01/18 [amigo] C:\Users\SERGE\AppData\Local\Amigo\Application\amigo.exe --no-startup-window (no file)
O4 - MSConfig..HKLM: 2016/01/18 [mailruhomesearch] "C:\Users\SERGE\AppData\Local\Mail.Ru\Sputnik\ptls\mailruhomesearch.exe" --pr_deferred (no file)
O9 - Extra button: (no name) - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - (no file)
O18 - Protocol: wlpg - {E43EF6CD-A37A-4A9B-9E6F-83F89B8E6324} - (no file)
O22 - ScheduledTask: (Disabled) GoogleUpdateTaskMachineCore - {root} - C:\Program Files (x86)\Google\Update\GoogleUpdate.exe /c (no file)
O22 - ScheduledTask: (Disabled) GoogleUpdateTaskMachineUA - {root} - C:\Program Files (x86)\Google\Update\GoogleUpdate.exe /ua /installsource scheduler (no file)

- Исправьте с помощью утилиты ClearLNK следующие ярлыки, отчёт о работе прикрепите:

Код:

C:\Users\SERGE\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk
C:\Users\SERGE\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Интернет.lnk
C:\Users\SERGE\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Вконтакте.lnk
C:\Users\SERGE\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Одноклассники.lnk

Код:

C:\Users\SERGE\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk
C:\Users\SERGE\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.ico

удалите это вручную.

Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S1].txt.
Прикрепите отчет к своему следующему сообщению.

**Savransky** · 28.01.2016, 19:45

Приношу свои извинения за отсутствие ссылки на проверку карантина... не заметил.
Вот она: http://virusinfo.info/virusdetector/...97D013E19AEF45
Вот соответствующая тема на форуме: http://virusinfo.info/showthread.php?t=196408
.....
Пофиксил... строки 02 и 09 не фиксятся (пишет "закройте все окна браузеров и эксплорера и продолжите". У меня всё закрыто, жму на "ОК", список пропадает, а при нажатии на кнопку "проверить" эти строки возвращаются)
.....
Ярлыки пофиксил (ClearLNK)
.....
Файлы удалил
.....
Просканировал adwcleaner_ом

**regist** · 28.01.2016, 22:15

Сообщение от Savransky

Пофиксил... строки 02 и 09 не фиксятся (пишет закройте все окна браузеров и эксплорера и продолжите. У меня всё закрыто, жму на "ОК", список пропадает, а при нажатии на кнопку "проверить" эти строки возвращаются)

А попробуйте в старой версии HiJackThis, о результате отпишитесь.

- Удалите в AdwCleaner всё кроме папок от mail.ru и Yandex - если программами от mail.ru и Yandex не пользуетесь, то их тоже удалите. Отчет после удаления прикрепите.

**Savransky** · 28.01.2016, 23:42

"Старый добрый" ХайДжек справился с этими двумя строчками, при помощи АдвКлинер удалил всё, кроме Яндекса, потом сам вручную удалил из папок Яндекса всё, относящееся к Яндекс-бару, а Пунто оставил - я им "сто лет" пользуюсь... но, браузеры ведут себя по-прежнему так, как вели (((

UPD: Сбросил "на ноль" настройки Chrome. С ним теперь, вроде, всё в порядке. Осталась проблема с Firefox. Пытался сносить его, чистил как мог все остатки, ставил заново - всё то же самое.

**regist** · 29.01.2016, 11:13

Сделайте свежий лог AdwCleaner-а.

А если запустить FireFox в безопасном режиме, то тоже не работает?

**Savransky** · 29.01.2016, 15:10

В общем, как-то так:

1. В безопасном режиме работает (раньше, кстати, по-моему, не работал). В нормальном - нет, то есть, по-прежнему, запускает процесс, а окно не запускает.

2. AdwCleaner в последнем сканировании нашёл только 5 папок Yandex и больше ничего, кроме ключа HKCU\Software\Conduit. Я его удалил.

3. На всякий случай отключил автозагрузку Punto, "закамментил" все Яндекс-папки, перезагрузился. В итоге, AdwCleaner не находит вообще ничего, а ФФ, по-прежнему, в Safe mode запускает окно, а в Normal - нет ((

**regist** · 29.01.2016, 18:00

Пожалуйста, запустите adwcleaner.exe
Нажмите Uninstall (Деинсталлировать).
Подтвердите удаление нажав кнопку: Да.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

**Savransky** · 29.01.2016, 20:57

Farbar Recovery Scan Tool

... вот... я просил о Фарбаре в своём прошлом посте: http://virusinfo.info/showthread.php?t=195940
АдвКлинер удалил.

Готово...

**regist** · 29.01.2016, 23:00

Код:

Task: {53AE4CEE-7569-459E-A6CD-4B97B95A108E} - System32\Tasks\Microsoft\Windows\WURM\ATWURM => cmd
Task: {CA44206E-4CEA-4430-97E5-7D248AAE1A32} - System32\Tasks\Microsoft\Windows\WURM\ATWURM_OL => cmd

WURM\ATWURM - вам знакомо?

Все эти расширения сами ставили?

Скрытый текст

FireFox:
========
FF ProfilePath: C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720
FF DefaultSearchEngine: Yandex Search
FF SelectedSearchEngine: Yandex Search
FF Plugin: @adobe.com/FlashPlayer -> C:\Windows\system32\Macromed\Flash\NPSWF64_20_0_0_286.dll [2016-01-25] ()
FF Plugin: @microsoft.com/GENUINE -> disabled [No File]
FF Plugin: @Microsoft.com/NpCtrl,version=1.0 -> C:\Program Files\Microsoft Silverlight\5.1.41212.0\npctrl.dll [2015-12-11] ( Microsoft Corporation)
FF Plugin: adobe.com/AdobeAAMDetect -> C:\Program Files (x86)\Common Files\Adobe\OOBE\PDApp\CCM\Utilities\npAdobeAAMDetect64.dll [2014-04-28] (Adobe Systems)
FF Plugin-x32: @adobe.com/FlashPlayer -> C:\Windows\SysWOW64\Macromed\Flash\NPSWF32_20_0_0_286.dll [2016-01-25] ()
FF Plugin-x32: @adobe.com/ShockwavePlayer -> C:\Windows\SysWOW64\Adobe\Director\np32dsw_1215155.dll [2014-12-02] (Adobe Systems, Inc.)
FF Plugin-x32: @microsoft.com/GENUINE -> disabled [No File]
FF Plugin-x32: @Microsoft.com/NpCtrl,version=1.0 -> C:\Program Files (x86)\Microsoft Silverlight\5.1.41212.0\npctrl.dll [2015-12-11] ( Microsoft Corporation)
FF Plugin-x32: @microsoft.com/WLPG,version=16.4.3528.0331 -> C:\Program Files (x86)\Windows Live\Photo Gallery\NPWLPG.dll [2014-03-31] (Microsoft Corporation)
FF Plugin-x32: @nvidia.com/3DVision -> C:\Program Files (x86)\NVIDIA Corporation\3D Vision\npnv3dv.dll [2016-01-23] (NVIDIA Corporation)
FF Plugin-x32: @nvidia.com/3DVisionStreaming -> C:\Program Files (x86)\NVIDIA Corporation\3D Vision\npnv3dvstreaming.dll [2016-01-23] (NVIDIA Corporation)
FF Plugin-x32: @tools.google.com/Google Update;version=3 -> C:\Program Files (x86)\Google\Update\1.3.29.1\npGoogleUpdate3.dll [2015-12-02] (Google Inc.)
FF Plugin-x32: @tools.google.com/Google Update;version=9 -> C:\Program Files (x86)\Google\Update\1.3.29.1\npGoogleUpdate3.dll [2015-12-02] (Google Inc.)
FF Plugin-x32: Adobe Reader -> C:\Program Files (x86)\Adobe\Acrobat Reader DC\Reader\AIR\nppdf32.dll [2015-12-18] (Adobe Systems Inc.)
FF Plugin-x32: adobe.com/AdobeAAMDetect -> C:\Program Files (x86)\Common Files\Adobe\OOBE\PDApp\CCM\Utilities\npAdobeAAMDetect32.dll [2014-04-28] (Adobe Systems)
FF SearchPlugin: C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\searchplugins\google-language-fr.xml [2011-07-13]
FF SearchPlugin: C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\searchplugins\googlebe.xml [2011-07-13]
FF SearchPlugin: C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\searchplugins\googlefr.xml [2011-07-13]
FF SearchPlugin: C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\searchplugins\priceru.xml [2011-10-10]
FF SearchPlugin: C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\searchplugins\youtube.xml [2011-07-13]
FF Extension: Adblock Plus Pop-up Addon - C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\extensions\[email protected] [2016-01-28]
FF Extension: ZenMate Security, Privacy & Unblock VPN - C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\Extensions\[email protected] [2016-01-28]
FF Extension: Dictionnaires français - C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\Extensions\[email protected] [2016-01-29]
FF Extension: SaveFrom.net helper - C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\Extensions\[email protected] [2016-01-28]
FF Extension: Russian Hunspell spellchecking dictionary - C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\Extensions\[email protected] [2016-01-29]
FF Extension: Awesome screenshot: Capture and Annotate - C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\Extensions\[email protected] [2016-01-28]
FF Extension: Français Language Pack - C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\Extensions\[email protected] [2016-01-29]
FF Extension: Russian (RU) Language Pack - C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\Extensions\[email protected] [2016-01-29]
FF Extension: Russian spellchecking dictionary - C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\Extensions\[email protected] [2016-01-29] [not signed]
FF Extension: Adblock Plus - C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\Extensions\{d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d}.xpi [2016-01-28]
FF HKLM-x32\...\Firefox\Extensions: [{49BCD101-2F9F-4DF6-8EBC-E55D9C620A73}] - C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\pdrzor2n.default\extensions\[email protected] => not found

Chrome:
=======
CHR HomePage: Default -> mail.ru/cnt/11956636?gp=801006
CHR DefaultSearchURL: Default -> hxxp://go.mail.ru/search?q={searchTerms}&fr=xtn11
CHR DefaultSearchKeyword: Default -> mail.ru
CHR DefaultSuggestURL: Default -> hxxp://suggests.go.mail.ru/chrome?q={searchTerms}
CHR Profile: C:\Users\SERGE\AppData\Local\Google\Chrome\User Data\Default
CHR Extension: (Диск Google) - C:\Users\SERGE\AppData\Local\Google\Chrome\User Data\Default\Extensions\apdfllckaahabafndbhieahigkjlhalf [2015-10-21]
CHR Extension: (YouTube) - C:\Users\SERGE\AppData\Local\Google\Chrome\User Data\Default\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo [2015-09-24]
CHR Extension: (Google Search) - C:\Users\SERGE\AppData\Local\Google\Chrome\User Data\Default\Extensions\coobgpohoikkiipiblmjeljniedjpjpf [2015-10-29]
CHR Extension: (ZenMate - IP & Browser Check) - C:\Users\SERGE\AppData\Local\Google\Chrome\User Data\Default\Extensions\dchhalahcjpkabdgonjhoogdcipienhf [2015-11-01]
CHR Extension: (ZenMate Security, Privacy & Unblock VPN) - C:\Users\SERGE\AppData\Local\Google\Chrome\User Data\Default\Extensions\fdcgdnkidjaadafnichfpabhfomcebme [2015-11-17]
CHR Extension: (Google*Документы офлайн) - C:\Users\SERGE\AppData\Local\Google\Chrome\User Data\Default\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi [2015-11-21]
CHR Extension: (Safe box) - C:\Users\SERGE\AppData\Local\Google\Chrome\User Data\Default\Extensions\ldgfbffkinooeloadekpmfoklnobpien [2016-01-28]
CHR Extension: (Платежная система Интернет-магазина Chrome) - C:\Users\SERGE\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda [2015-08-06]
CHR Extension: (Gmail) - C:\Users\SERGE\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjkljhegncpnkpknbcohdijeoejaedia [2015-04-14]

Opera:
=======
OPR Extension: (Safe box) - C:\Users\SERGE\AppData\Roaming\Opera Software\Opera Stable\Extensions\ldgfbffkinooeloadekpmfoklnobpien [2016-01-28]
[2016-01-27]

Скрыть

особенно интересует знакомы ли вам

Код:

FF Extension: Russian spellchecking dictionary - C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\Extensions\[email protected] [2016-01-29] [not signed]
OPR Extension: (Safe box) - C:\Users\SERGE\AppData\Roaming\Opera Software\Opera Stable\Extensions\ldgfbffkinooeloadekpmfoklnobpien [2016-01-28]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

Код:

start
CreateRestorePoint:
bl (x32 Version: 1.0.0 - Your Company Name) Hidden
ph (x32 Version: 1.0.0 - Your Company Name) Hidden
Task: {1D02981B-1E00-4678-85A4-547180D4BD7F} - System32\Tasks\Microsoft\Windows\ADD27CC19-209F-489B-B0ED-49F3493D9654 => C:\Program Files (x86)\Common Files\Adobe\OOBA\PDApp\PPAPI\F4903645-3373-4C66-A256-EA9814D7AD47.exe
Task: {24E0E456-7D8B-435D-AC11-6707A2B4243A} - System32\Tasks\Microsoft\Windows\extsetup => C:\Users\SERGE\AppData\Local\Microsoft\Extensions\extsetup.exe
Task: {2DD57B7B-761D-4BEB-A1F6-99EB86B90D2F} - System32\Tasks\Microsoft\Windows\SafeBrowser => C:\Users\SERGE\AppData\Local\Microsoft\Extensions\extsetup.exe
Task: {7DB9CE03-5BAC-4167-9CBD-17EACF07A47C} - System32\Tasks\Microsoft\KRBUUS\KRB Updater Utility Service => C:\ProgramData\KRB Updater Utility\krbupdater.exe
Task: {D7E45C6E-7682-46F2-B75F-82B2AD3F5DA7} - System32\Tasks\Microsoft\KRBUUS\KRBLNKRUN => C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe
Task: {DB848C49-7CB5-4759-8907-6ED4AC530E2D} - System32\Tasks\Microsoft\extsetup => C:\Users\SERGE\AppData\Local\Microsoft\Extensions\extsetup.exe
FF HKLM-x32\...\Firefox\Extensions: [{49BCD101-2F9F-4DF6-8EBC-E55D9C620A73}] - C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\pdrzor2n.default\extensions\[email protected] => not found
OPR Extension: (Smart Browser™) - C:\Users\SERGE\AppData\Roaming\Opera Software\Opera Stable\Extensions\icejakkhehfppngiieninffokmlkhpib [2016-01-21]
OPR Extension: (Smart Browser™) - C:\Users\SERGE\AppData\Roaming\Opera Software\Opera Stable\Extensions\mnodmjdgoadhalodifblaaikgcfgchfb [2016-01-27]
GroupPolicy: Restriction - Chrome <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
EmptyTemp:
Reboot:
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!
Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Код:

bl (x32 Version: 1.0.0 - Your Company Name) Hidden
ph (x32 Version: 1.0.0 - Your Company Name) Hidden

Деинсталируйте эти программы.

**Savransky** · 30.01.2016, 00:23

1

WURM\ATWURM - вам знакомо?

не знаю, что это такое

2
расширения на ФФ ставил, на Хром - нет, Оперы у меня нет вообще (была когда-то...)
Текущие расширения ФФ: http://savepic.ru/8463546.png
Текущие плагины ФФ: http://savepic.ru/8467642.png

3
словари ставил, но, по-моему, уже после того, как присылал логи... во всяком случае, ставил их стандартным способом:
http://savepic.ru/8458426.png

4
Farbar Recovery Scan Tool...
готово

5

bl (x32 Version: 1.0.0 - Your Company Name) Hidden
ph (x32 Version: 1.0.0 - Your Company Name) Hidden

готово

**regist** · 30.01.2016, 09:37

Что с проблемой?

Если осталась, то попробуйте удалить словари и ещё раз проверь проблему.

Сообщение от Savransky

не знаю, что это такое

Сможете самостоятельно через планировщик заданий удалить или скриптом удалить?

- - - - -Добавлено - - - - -

расширение Safe box, кстати, у вас не только в Опере стоит, но и в Хроме. Я так понимаю вам оно вам не знакомо?

**Savransky** · 30.01.2016, 13:34

1. Проблема осталась

2. Словари удалил.

3. "WURM-tasks" удалил.

4. У меня ВООБЩЕ нет Оперы, а в Хроме стоит Safe box, но отключён. В ФФ его нет.

**regist** · 30.01.2016, 13:50

1)

Сообщение от Savransky

а в Хроме стоит Safe box, но отключён.

Повторю вопрос вы его сами ставили? Или понятия не имеете откуда это расширение взялось?

2) Удалите папку C:\FRST со всем содержимым.

3) Сделайте свежие логи FRST.

**Savransky** · 30.01.2016, 14:34

Повторю вопрос вы его сами ставили?

Не помню... вряд ли. Удалить?

**regist** · 30.01.2016, 15:42

Код:

FF Extension: Awesome screenshot: Capture and Annotate - C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\Extensions\[email protected] [2016-01-28]

А это сами ставили? Попробуйте удалить и проверьте проблему.

- - - - -Добавлено - - - - -

Скриптом удалим оба расширения.

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

Код:

start
CreateRestorePoint:
FF Extension: Awesome screenshot: Capture and Annotate - C:\Users\SERGE\AppData\Roaming\Mozilla\Firefox\Profiles\bv64tnq0.default-1453970425720\Extensions\[email protected] [2016-01-28]
CHR Extension: (Safe box) - C:\Users\SERGE\AppData\Local\Google\Chrome\User Data\Default\Extensions\ldgfbffkinooeloadekpmfoklnobpien [2016-01-28]
OPR Extension: (Safe box) - C:\Users\SERGE\AppData\Roaming\Opera Software\Opera Stable\Extensions\ldgfbffkinooeloadekpmfoklnobpien [2016-01-28]
2016-01-18 22:01 - 2016-01-18 22:17 - 00000000 ____D C:\Users\SERGE\AppData\LocalLow\Unity
AlternateDataStreams: C:\Program Files\Common Files\Microsoft Shared:Y3Kkvw6TiDkptIH1s3np
AlternateDataStreams: C:\ProgramData\Microsoft:pNCwCxtyZN6I0ofeGD1w
AlternateDataStreams: C:\ProgramData\Microsoft:sy4wK3cSfvv8B2ogWTmzPhN0

EmptyTemp:
Reboot:
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!
Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

После этого проверьте проблему.

**Savransky** · 30.01.2016, 16:33

Awesome screenshot сам ставил... и очень давно пользуюсь... но, когда проблема возникла, сносил все расширения в ФФ - не помогло, так что, сомневаюсь, но попробую...

- - - - -Добавлено - - - - -

1. Не помогло

2. Оперы у меня ДАВНО нет... папку ...\Roaming\Opera Software\... снёс вообще вручную

3. В логе написано, что safe box moved successfully, но в Хроме он "висит": http://savepic.ru/8461336.png... удалил

- - - - -Добавлено - - - - -

Небольшое уточнение: когда Вы спрашивали, запускается ли ФФ в безопасном режиме, я Вас, вероятно, неправильно понял. С шифтом он не запускается тоже... то есть, не открывается окно, а процесс запускается. А я имел в виду Windows safe mode ( F8 ). Там он запускается нормально.

Браузеры взбесились #3 (заявка № 196399)

Опции темы