сайт ухо [not-a-virus:HEUR:AdWare.MSIL.DNSUnlocker.gen, not-a-virus:HEUR:AdWare.Win32.DNSUnlocker.gen ]

[Odessa]

Здравствуйте.
Проблема в том, что Google Chrome постоянно перенаправляет на yxo.warmportrait.com с открытием большого количества "левых" страниц.
Файлы прилагаю, но файла virusinfo_syscheck.zip в папке нет.

[Info_bot]

Уважаемый(ая) Odessa, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[Vvvyg]

Выполните скрипт в AVZ:

begin
 TerminateProcessByName('C:\Program Files (x86)\DNS Unlocker\dnswalters.exe');
 QuarantineFileF('C:\Program Files (x86)\DNS Unlocker', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFileF('C:\PROGRA~3\be1cf029', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFile('C:\Program Files (x86)\DNS Unlocker\dnswalters.exe', '');
 QuarantineFile('C:\Program Files\Reimage\Reimage', '');
 QuarantineFile('C:\Users\Konstantin\AppData\Local\UpdateAdmin\UpdateAdmin.exe', '');
 QuarantineFile('C:\PROGRA~3\be1cf029\fe2fc65c.dll', '');
 DeleteFile('C:\Program Files (x86)\DNS Unlocker\dnswalters.exe', '32');
 DeleteFile('dnswalters.exe', '32');
 DeleteFile('C:\Program Files\Reimage\Reimage', '32');
 DeleteFile('C:\Users\Konstantin\AppData\Local\UpdateAdmin\UpdateAdmin.exe', '32');
 DeleteFile('C:\Windows\system32\regsvr32.exe  /s /n /i:"/rt" "C:\PROGRA~3\be1cf029\fe2fc65c.dll"', '32');
 DeleteFile('C:\PROGRA~3\be1cf029\fe2fc65c.dll', '32');
 DeleteFileMask('C:\Program Files (x86)\DNS Unlocker', '*', true);
 DeleteFileMask('C:\Program Files\Reimage', '*', true);
 DeleteFileMask('C:\Users\Konstantin\AppData\Local\UpdateAdmin', '*', true);
 DeleteFileMask('C:\PROGRA~3\be1cf029', '*', true);
 DeleteDirectory('C:\Program Files (x86)\DNS Unlocker');
 DeleteDirectory('C:\Program Files\Reimage');
 DeleteDirectory('C:\Users\Konstantin\AppData\Local\UpdateAdmin');
 DeleteDirectory('C:\PROGRA~3\be1cf029');
 DelBHO('{B69F34DD-F0F9-42DC-9EDD-957187DA688D}');
 ExecuteFile('schtasks.exe', '/delete /TN "DNSWALTERS" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "ReimageUpdater" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "UpdateAdmin" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "{FC230177-9A5A-BE04-BF07-AD466AD17B10}" /F', 0, 15000, true);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
 RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
ExecuteSysClean;
 ExecuteRepair(22);
 ExecuteRepair(23);
RebootWindows(true);
end.

Компьютер перезагрузится.
Выполните в AVZ скрипт:

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt в той же папке, откуда была запущена программа.
Прикрепите эти файлы к своему следующему сообщению (можно все в одном архиве).

[Odessa]

Файлы прилагаю

[Vvvyg]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

CreateRestorePoint:
Tcpip\Parameters: [NameServer] 82.163.143.171 82.163.142.173
Tcpip\..\Interfaces\{223E64A1-0344-4F67-AE08-0DB1AF19841B}: [NameServer] 82.163.143.171 82.163.142.173
Tcpip\..\Interfaces\{223E64A1-0344-4F67-AE08-0DB1AF19841B}: [DhcpNameServer] 82.163.143.171
Tcpip\..\Interfaces\{596DB409-1A64-4041-A985-84668FC562A2}: [NameServer] 82.163.143.171 82.163.142.173
Tcpip\..\Interfaces\{596DB409-1A64-4041-A985-84668FC562A2}: [DhcpNameServer] 82.163.143.171
Tcpip\..\Interfaces\{B5B97522-C924-4AEC-AC93-594C64F144ED}: [NameServer] 82.163.143.171,82.163.142.173
CMD: ipconfig /flushdns
CHR HKLM-x32\...\Chrome\Extension: [bhjcgomkanpkpblokebecknhahgkcmoo] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [necfmkplpminfjagblfabggomdpaakan] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pjfkgjlnocfakoheoapicnknoglipapd] - hxxp://clients2.google.com/service/update2/crx
2016-03-05 18:48 - 2016-03-05 19:00 - 00000140 _____ C:\Windows\Reimage.ini
2016-03-05 18:47 - 2016-03-05 18:48 - 00772016 _____ (Reimage®) C:\Users\Konstantin\Downloads\ReimageRepair.exe
2016-03-04 21:57 - 2016-03-04 21:57 - 00000000 ____D C:\ProgramData\46ad07be-6c57-0
2016-03-04 21:52 - 2016-03-04 21:52 - 00000000 ____D C:\Users\Все пользователи\46ad07be-6891-0
2016-03-04 21:52 - 2016-03-04 21:52 - 00000000 ____D C:\ProgramData\46ad07be-6891-0
2016-02-19 17:09 - 2016-03-04 21:54 - 00000000 ____D C:\ProgramData\46ad07be-4b63-0
2016-02-19 17:04 - 2016-03-04 21:51 - 00000000 ____D C:\ProgramData\46ad07be-1055-0
2016-02-19 17:03 - 2016-02-19 17:03 - 00000000 ____D C:\ProgramData\{15c380f4-412c-0}
2016-02-19 17:03 - 2016-02-19 17:03 - 00000000 ____D C:\ProgramData\{0c9ed6f3-112c-1}
2016-02-19 17:04 - 2016-01-05 19:47 - 00000000 ____D C:\ProgramData\819e9e98-5eb3-1
2016-02-19 17:04 - 2016-01-05 19:47 - 00000000 ____D C:\ProgramData\819e9e98-4061-0
Task: {239B9C7A-EEB1-4448-B808-96F4DCA6A44F} - System32\Tasks\{080C0947-050C-0578-0D11-0A7F0D05110A} => powershell.exe -nologo -executionpolicy bypass -noninteractive -windowstyle hidden -EncodedCommand JABFAHIAcgBvAHIAQQBjAHQAaQBvAG4AUAByAGUAZgBlAHIAZQBuAGMAZQA9ACIAcwB0AG8AcAAiADsAJABzAGMAPQAiAFMAaQBsAGUAbgB0AGwAeQBDAG8AbgB0AGkAbgB1AGUAIgA7ACQAVwBhAHIAbgBpAG4AZwBQAHIAZQBmAGUAcgBlAG4AYwBlAD0AJABzAGMAOwAkAFAAcgBvAGcA (the data entry has 9460 more characters).
CMD: reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{E1527582-8509-4011-B922-29E3FB548882}_is1" /f /reg:32
EmptyTemp:
Reboot:

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, закройте все браузеры, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Сообщите, что с проблемой.

[Odessa]

Проблема решена.
Спасибо большое!

[Vvvyg]

Удалите папку C:\FRST со всем содержимым.

Выполните рекомендации после лечения.

[Odessa]

Здравствуйте.
После 3х недель спокойного пользования вновь начал запускаться сайт ухо.
Скажите, пожалуйста, можно ли теперь выполнить все те указания, которые давались ранее для удаления этой проблемы?

[Vvvyg]

Нет, давайте логи сначала. Новые Farbar Recovery Scan Tool сделайте.

[Odessa]

файлы прилагаю

[Vvvyg]

Какие настройки DNS в роутере?

Расширения, стартовые страницы? программы от Mail.Ru нужны?

[Odessa]

Простите, я в этом ничего не понимаю. могу только сказать, что программы от мэил.ру не нужны

[Vvvyg]

Насчёт роутера - придётся что-то понять, видимо, в нём дело. Зайдите в настройки: http://192.168.0.1/, логин/пароль смотрите в руководстве по роутеру. Обычно - admin/admin. Настройки DNS в разделе WAN обычно.

Программа Cloud Mail.Ru тоже не нужна? Тогда удалите.

[Odessa]

Вам это нужно? DNS Server: 194.143.136.1 , 194.143.136.2 ?
Облако мейл мне нужно.

[Vvvyg]

Настройки DNS верные.
"Ухо" во всех браузерах вылазит?

[Odessa]

из браузеров есть Гугл Хром - основной и Експлоер - пооткрывал вкладки там, какие-то сайты пытались запуститься, но антивирусник их блокирует. в Хроме почему-то не блокируется, вылазит "ухо" и запускается реклама.

[Vvvyg]

Посмотрите на странице статуса роутера его текущий внешний (WAN) адрес и сообщите мне в личном сообщении.

- - - - -Добавлено - - - - -

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

CreateRestorePoint:
HKU\S-1-5-21-3812593388-1228430867-2270901597-1001\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://mail.ru/cnt/10445?gp=811005
FF Homepage: hxxp://mail.ru/cnt/10445?gp=811005
FF Extension: Домашняя страница Mail.Ru - C:\Users\Konstantin\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2016-03-17]
FF Extension: Визуальные закладки @Mail.Ru - C:\Users\Konstantin\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [2016-03-17]
CHR HomePage: Default -> mail.ru/cnt/11956636?rciguc__PARAM__
CHR StartupUrls: Default -> "hxxp://mail.ru/cnt/10445?gp=811001"
CHR Extension: (Домашняя страница Mail.Ru) - C:\Users\Konstantin\AppData\Local\Google\Chrome\User Data\Default\Extensions\lbjjfiihgfegniolckphpnfaokdkbmdm [2016-03-18]
CHR Extension: (Визуальные Закладки Mail.Ru) - C:\Users\Konstantin\AppData\Local\Google\Chrome\User Data\Default\Extensions\oelpkepjlgmehajehfeicfbjdiobdkfj [2016-03-18]
CHR HKLM-x32\...\Chrome\Extension: [lbjjfiihgfegniolckphpnfaokdkbmdm] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [oelpkepjlgmehajehfeicfbjdiobdkfj] - hxxps://clients2.google.com/service/update2/crx
2016-03-17 18:12 - 2016-03-17 18:12 - 00000000 ____D C:\Users\Konstantin\AppData\Roaming\ImageCropResize
2016-03-17 18:11 - 2016-03-17 18:19 - 00000000 ____D C:\Users\Konstantin\AppData\Local\GoCoupons
2016-03-17 18:11 - 2016-03-17 18:18 - 00000000 ____D C:\Users\Konstantin\AppData\LocalLow\Unity
2016-03-17 18:11 - 2016-03-17 18:18 - 00000000 ____D C:\Users\Konstantin\AppData\Local\Unity
2016-03-17 18:11 - 2016-03-17 18:11 - 00000000 ____D C:\Users\Konstantin\Downloads\Torrentex
2016-03-17 18:10 - 2016-03-17 18:18 - 00000000 ____D C:\Users\Konstantin\AppData\Local\Amigo
2016-03-17 18:09 - 2016-03-17 18:11 - 00000000 ____D C:\Users\Konstantin\AppData\Roaming\MailProducts
CMD: ipconfig /flushdns
EmptyTemp:
Reboot:

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, закройте все браузеры, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Очистите кэш и cookies-файлы браузеров и сообщите, что с проблемой.

[Odessa]

Если раньше сайт "ухо" с переходом на рекламу открывался в новой вкладке, то теперь открывается новое окно с рекламой.

[Vvvyg]

Куки/кэш чистили?

Скачайте программу Universal Virus Sniffer и сделайте полный образ автозапуска uVS.

[Odessa]

Все чистил.