Win10 домашняя (64bit) + Chrom: всплывающая реклама и переадресация на левые сайты [not-a-virus:HEUR:AdWare.Win32.DNSUnlocker.gen ]

[Timur4ik]

В браузере Хром под Win10 периодически появляется фрейм с левой рекламой, иногда ссылки меню сайтов или подобные ссылки/кнопки перенаправлятся на левые сайты с какими то играми и прочей фигней к тематике родительского сайта не имеющие отношения.
Была попытка устранить проблему установкой Nod32 - результат нулевой, вирус не обнаружен, реклама периодически проявляется, перенаправления на лево продолжаются.
При отключении в браузере разрешения на использование java проблема исчезала, но так же перестает работать функционал на многих нужных сайтах.
Действовал удаленно (пациент - не мой комп, использовался TeamViewer 11 11.0.56083) согласно инструкции:
- снес Nod32 c перезагрузкой;
- ОС 64bit - запуск AVZ от имени админа - скрипт по сбору инфы;
- OC 64bit - запуск HijackThis от имени админа, использовался переименованный вариант game.exe;
логи приатачил
С уважением!

[Info_bot]

Уважаемый(ая) Timur4ik, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[regist]

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

begin
 ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
 ClearQuarantineEx(true);
 QuarantineFileF('c:\users\alex\appdata\local\systemdir', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
 QuarantineFile('C:\Users\ALeX\AppData\Local\SystemDir\nethost.exe', '');
 QuarantineFile('C:\PROGRA~3\97c70634\9d417aeb.dll', '');
 DeleteFile('C:\PROGRA~3\97c70634\9d417aeb.dll', '32');
 DeleteFile('C:\Users\ALeX\AppData\Local\SystemDir\nethost.exe', '32');
 DeleteFile('C:\PROGRA~3\97c70634\9d417aeb.dll');
 ExecuteFile('schtasks.exe', '/delete /TN "nethost task" /F', 0, 15000, true);
 ExecuteFile('schtasks.exe', '/delete /TN "{917E4008-57AE-18EB-F3D4-EC1E924E7444}" /F', 0, 15000, true);
 DeleteFileMask('c:\users\alex\appdata\local\systemdir', '*', true);
 DeleteDirectory('c:\users\alex\appdata\local\systemdir');
 CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
 ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S1].txt.
• Прикрепите отчет к своему следующему сообщению.

[Timur4ik]

- Проведите эту процедуру....

В описании ПО четко написано для каких виндоуз предназначена эта утилита. У меня Windows 10 Домашняя 64bit, такая ОС отсутствует в списке. Иначе я бы провел эту процедуру без дополнительных указаний.

[regist]

В описании ПО четко написано для каких виндоуз предназначена эта утилита.

Где это написано?

И жду ссылку на отчёт после проведения этой процедуры.
+ всё остальное указанное у меня в посте.

[Timur4ik]

Где это написано?

И жду ссылку на отчёт после проведения этой процедуры.
+ всё остальное указанное у меня в посте.

написано тут, куда привела ссылка:
http://clip2net.com/s/3vqQoHB
и тут на страничке AVZ:
http://clip2net.com/s/3vqQcsY

win10 не упоминается

далее действую по вашей последней инструкции

С уважением!

[regist]

и тут на страничке AVZ:

А как по вашему вы ей лог собирали если она вашу систему не поддерживает?
И читаем тут http://z-oleg.com/secur/news/news1364.php

- - - - -Добавлено - - - - -

А 10-ка поддерживалось вообще начиная с версии 4.45 в 4,46 правка в связи с выходом обнов на 10-ку.

[Timur4ik]

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Процедуру провел, карантинный файл через форму отправить пока не удалось, возможно из-за размера или ресурс не доступен, браузер выдал сообщение с заголовком: "The connection was reset" + стандартные фразы по поводу прокси и т.п.

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол

Выполните скрипт в АВЗ -

После выполнения скрипта компьютер перезагрузится.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

Выполнено, файл загружен через форму, сообщение после загрузки:
/*
Файл сохранён как 160312_002021_quarantine_56e3369582a48.zip
Размер файла 226647
MD5 28ffbce5e9f36bb83fe2047182416d4e
*/

- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log)

• Скачайте AdwCleaner (by Xplode) и сохраните его на Рабочем столе.
• Запустите его (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора), нажмите кнопку "Scan" ("Сканировать") и дождитесь окончания сканирования.
• Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[S1].txt.
• Прикрепите отчет к своему следующему сообщению.

Повторно выполнены пункты инструкции по диагностике 2. и 3. + сканирование утилитой AdwCleaner.
Файлы приатачил.

- - - - -Добавлено - - - - -

Здравствуйте!

- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.

Так и не удалось отправить архив карантина через указанную форму.
Если есть возможность сообщить другую ссылку для загрузки архива - буду благодарен!
На всякий случай ссылка на этот архив на Яндекс-диске: https://yadi.sk/d/GgARguWBq6mKV

[regist]

MediaGet - советую деинсталируйте.

Программы от Mail.ru используете?

Процедуру провел, карантинный файл через форму отправить пока не удалось, возможно из-за размера

Размер: 261,5 MB

да из-за размера, ограничение 256Mb. Пожалуйста, файл с ЯД пока не удаляйте, попросил вручную на FTP его отгрузить.
Либо сами можете разбить архив на два по этой инструкции.

[Timur4ik]

MediaGet - советую деинсталируйте.

Программы от Mail.ru используете?

Не используют, удалю.

- - - - -Добавлено - - - - -

да из-за размера, ограничение 256Mb. Пожалуйста, файл с ЯД пока не удаляйте, попросил вручную на FTP его отгрузить.
Либо сами можете разбить архив на два по этой инструкции.

Могу просто переархивировать или заархивировать повторно 7-zip-ом с разбивкой на части.
"эту инструкцию" не понял, сори...

С уважением.

[regist]

Могу просто переархивировать или заархивировать повторно 7-zip-ом с разбивкой на части.

форма не примет, но уже вручную перезалили.

• Запустите повторно AdwCleaner (by Xplode) (в ОС Vista/Windows 7/8 необходимо запускать через правую кн. мыши от имени администратора).
• В меню Настройки отметьте:
  
  • Сброс политик IE
  • Сброс политик Chrome
• Нажмите кнопку "Scan" ("Сканировать"), а по окончанию сканирования нажмите кнопку "Cleaning" ("Очистка") и дождитесь окончания удаления.
• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C1].txt.
• Прикрепите отчет к своему следующему сообщению

Внимание: Для успешного удаления нужна перезагрузка компьютера!!!.

[Timur4ik]

• Когда удаление будет завершено, отчет будет сохранен в следующем расположении: C:\AdwCleaner\AdwCleaner[C1].txt.

Приатачил

[regist]

что с проблемой?

[Timur4ik]

что с проблемой?

Пока ничего сказать не могу, выполнил удаленно последние ваши инструкции, но протестировать не удалось.
Думаю завтра проведу тестирование и обязательно сообщу результат.

С уважением!

- - - - -Добавлено - - - - -

Пока никаких изменений, реклама по прежнем проявляется!

[regist]

Сделайте свежий лог AdwCleaner-а.

Реклама только в Хроме?

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

[Timur4ik]

Проблема решена !!! Рекламных фреймов и перенаправлений не наблюдается !
Вы рекомендовали деинсталировать MediaGet - был удален AdwCleaner-ом на предыдущем сеансе диагностики.
Удалил все расширения Chrom относящиеся к ресурсу mail.ru.

Ниже описанные пункты выполнялись уже после того как исчезла проблема:

1. тестирование на возникновением проблемы проводил на следующих браузерах: Chrom (оригинальный с расширениями), Safari, iceDragon с расширениями (COMODO).

2. свежий лог AdwCleaner-а - отправляю все логи из директории AdwCleaner-а (AdwCleaner.7z), последний запуск делался уже при отсутствии проблемы.

3. Farbar Recovery Scan Tool - выполнил согласно инструкции, логи приатачил (FRST.7z), запуск делался при отсутствии проблемы.

С уважением и благодарностью !

[regist]

• Пожалуйста, запустите adwcleaner.exe
• Нажмите Uninstall (Деинсталлировать).
• Подтвердите удаление нажав кнопку: Да.

Создайте точку восстановления системы.

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:

start
CreateRestorePoint:
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  No File
BHO: Kaspersky Protection plugin -> {C66D064F-82FE-4E1A-B06A-B2490BA48B18} -> C:\Program Files (x86)\Kaspersky Lab\Kaspersky Internet Security 16.0.0\x64\IEExt\ie_plugin.dll => No File
BHO-x32: Kaspersky Protection plugin -> {C66D064F-82FE-4E1A-B06A-B2490BA48B18} -> C:\Program Files (x86)\Kaspersky Lab\Kaspersky Internet Security 16.0.0\IEExt\ie_plugin.dll => No File
BHO-x32: No Name -> {c7c5384f-d9e9-4db1-8c72-135ecccbc571} -> No File
Toolbar: HKLM - Kaspersky Protection toolbar - {3507FA00-ADA2-4A02-99B9-51AD26CA9120} - C:\Program Files (x86)\Kaspersky Lab\Kaspersky Internet Security 16.0.0\x64\IEExt\ie_plugin.dll No File
Toolbar: HKLM-x32 - Kaspersky Protection toolbar - {3507FA00-ADA2-4A02-99B9-51AD26CA9120} - C:\Program Files (x86)\Kaspersky Lab\Kaspersky Internet Security 16.0.0\IEExt\ie_plugin.dll No File
FF Homepage: hxxp://opatolo.ru/?utm_content=83d5920a52d67260f4213f8bddf9126c&utm_source=startpm&utm_term=6359A3E3F1184E735BC062D29CDF8F8B
FF Homepage: hxxp://opatolo.ru/?utm_content=83d5920a52d67260f4213f8bddf9126c&utm_source=startpm&utm_term=6359A3E3F1184E735BC062D29CDF8F8B
EmptyTemp:
Reboot:
end

и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. При сохранении выберите кодировку Юникод!
Отключите до перезагрузки антивирус, запустите FRST, нажмите Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

[Timur4ik]

Приветствую!
пропала проблема и я перестал отслеживать посты этой темы

постараюсь выполнить ваши указания в ближайшее время

С уважением.

- - - - -Добавлено - - - - -

в этом временном промежутке установил на пациента Comodo Free Internet Security

инструкции выполнил, все запуски производил от имени админа:
- adwcleaner.exe - Uninstall (хотя Comodo уже и так зачистил весь карантин);
- перезаписал файл fixlist.txt для Farbar Recovery Scan Tool согласно инструкции;
- выключил Comodo IS;
- запустил FRST;
- получил Fixlog.txt;
- разрешил перезагрузку системы.

Fixlog.txt приатачил.


С уважением.

[regist]

папку C:\FRST удалите.

Выполните скрипт в AVZ при наличии доступа в интернет:

var
LogPath : string;
ScriptPath : string;

begin
 LogPath := GetAVZDirectory + 'log\avz_log.txt';
 if FileExists(LogPath) Then DeleteFile(LogPath);
 ScriptPath := GetAVZDirectory +'ScanVuln.txt';

  if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
    if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
       ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
       exit;
      end;
  end;
 if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

Советы и рекомендации после лечения компьютера

[Timur4ik]

- FRST удалил (правда не понял в чем тут фишка);
- скрипт AVZ выполнил с сообщением что уязвимости не обнаружены, в блокноте файл не открывался, по видимому было нечего открывать;
- ваш совет по обновлению ПО Java и Adobe втолковал юзеру.

Будут ли ещё какие то инструкции ?

С уважением.