Реклама и произвольное открытие окон браузера после установки торрент-клиента [not-a-virus:AdWare.Win32.Agent.xxcysm, not-a-virus:AdWare.Win32.Agent.xxczkv ]

[Dmitry Pljonkin]

Здравствуйте

После установки торрент-клиента (MediaGet) при старте системы стали открываться окна firefox'а, на сайтах стала показываться реклама, которой там на самом деле быть не должно, стали открываться окна бразуера со всяким трешем при кликах по страницам (не по ссылкам).

McAffee, Windows Defender и Avast Free Antivirus ничего не нашли.

Помогите, пожалуйста, зачистить комп от этой заразы.

[Info_bot]

Уважаемый(ая) Dmitry Pljonkin, спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитой Autologger, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[SQ]

Здравствуйте,

Удалите Pbot через установку программ в панели управления.

AVZ выполнить следующий скрипт.
Важно на ОС: Windows Vista/7/8/8.1 AVZ запускайте через контекстное меню проводника от имени Администратора.

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true); 
 DelBHO('{95E84BD3-3604-4AAC-B2CA-D9AC3E55B64B}');
 TerminateProcessByName('c:\program files (x86)\youtube adblock\ieef\o7hqqgb.exe');
 TerminateProcessByName('C:\Program Files (x86)\Youtube AdBlock\trzF0EE.tmp');
 QuarantineFile('c:\program files (x86)\youtube adblock\ieef\o7hqqgb.exe','');
 QuarantineFile('C:\Program Files (x86)\Youtube AdBlock\IEEF\zRViKz.dll','');
 QuarantineFileF('c:\program files (x86)\youtube adblock\ieef', '*.exe,*.dll,*.sys, *.pif', false,'', 0, 0);
 QuarantineFile('C:\Users\manul.beast\appdata\local\fupdate\fupdate.exe','');
 QuarantineFile('C:\Users\manul.beast\AppData\Roaming\PBot\app.py','');
 QuarantineFile('C:\Users\manul.beast\AppData\Roaming\PBot\ml.py','');
 QuarantineFileF('C:\Users\manul.beast\AppData\Roaming\PBot', '*.exe,*.dll,*.sys, *.pif', false,'', 0, 0);
 QuarantineFile('C:\Users\manul.beast\AppData\Roaming\TablacusApp\TablacusApp.exe','');
 DeleteFile('C:\Program Files (x86)\Youtube AdBlock\IEEF\MDd69a.DLL','32');
 DeleteFile('c:\program files (x86)\youtube adblock\ieef\o7hqqgb.exe','32');
 DeleteFile('C:\Program Files (x86)\Youtube AdBlock\IEEF\zRViKz.dll','32');
 DeleteFile('C:\Program Files (x86)\Youtube AdBlock\trzF0EE.tmp','32');
 DeleteFile('C:\Users\manul.beast\AppData\Local\fupdate\fupdate.exe','32');
 DeleteFile('C:\Users\manul.beast\AppData\Roaming\PBot\app.py','32');
 DeleteFile('C:\Users\manul.beast\AppData\Roaming\PBot\ml.py','32');
 DeleteFile('C:\Users\manul.beast\AppData\Roaming\TablacusApp\TablacusApp.exe','32');
 DeleteFile('C:\Users\manul.beast\Favorites\Links\Интернет.url','32');
 ExecuteFile('schtasks.exe', '/delete /TN "fupdate" /F', 0, 15000, true); 
 ExecuteFile('schtasks.exe', '/delete /TN "PBot2" /F', 0, 15000, true); 
 ExecuteFile('schtasks.exe', '/delete /TN "PBot" /F', 0, 15000, true); 
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','PBot');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','TablacusApp');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','weqgeudvih');
 DeleteFileMask('C:\Users\manul.beast\appdata\local\fupdate', '*', true, ' ');
 DeleteDirectory('C:\Users\manul.beast\appdata\local\fupdate');
 DeleteFileMask('C:\Users\manul.beast\AppData\Roaming\PBot', '*', true, ' ');
 DeleteDirectory('C:\Users\manul.beast\AppData\Roaming\PBot');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

После выполнения скрипта компьютер перезагрузится.

После перезагрузки:
- Выполните в AVZ:

begin
 CreateQurantineArchive(GetAVZDirectory+'quarantine.zip'); 
end.

Файл quarantine.zip из папки AVZ загрузите по ссылке "Прислать запрошенный карантин" вверху темы.

- Подготовьте лог AdwCleaner и приложите его в теме.

[Dmitry Pljonkin]

Здравствуйте!

PBot в списке программ для удаления не было, по-моему, я его раньше удалял.
Скрипт выполнил.

После перезагрузки открылось окно Firefox с рекламой.

Карантин загрузил, лог AdwCleaner'а прикрепляю.

В C:\Users\manul.beast\AppData\Local\Temp куча файлов, в том числе .exe и .reg. Их удалить?

[SQ]

Удалите в AdwCleaner всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

[Dmitry Pljonkin]

Все зачистил AdwCleaner'ом.

Реклама на сайтах поверх контента больше не отрисовывается, но после перезапуска все равно сам по себе стартует Firefox и открывает сайты (по партнерским/рекламным ссылкам) - алиэкспресс, вайлдберрис и т.п.

AdwCleaner[C0].txt - лог очистки
AdwCleaner[S2].txt - лог после очистки и ребута
CollectionLog-2017.01.21-23.02.zip - сканирование AutoLogger'ом после ребута

[SQ]

- Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

• Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
• Убедитесь, что в окне Optional Scan отмечены "List BCD" и "Driver MD5".
  
• Нажмите кнопку Scan.
• После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.
• Если программа была запущена в первый раз, будет создан отчет (Addition.txt). Пожалуйста, прикрепите его в следующем сообщении.

[Dmitry Pljonkin]

Добрый день!

[SQ]

Сами ставили активатор Windows?

IFEO\OSppSvc.exe: [Debugger] [email protected]
IFEO\SppExtComObj.exe: [Debugger] [email protected]

• Закройте и сохраните все открытые приложения.
• Скопируйте приведенный ниже текст в Блокнот и сохраните файл как fixlist.txt в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
  

  CreateRestorePoint:
  CloseProcesses:
  2017-01-18 00:21 - 2017-01-21 11:20 - 00000000 ____D C:\Users\manul.beast\AppData\Roaming\PBot
  2017-01-18 00:17 - 2017-01-18 00:54 - 00000000 ____D C:\Users\manul.beast\AppData\Roaming\urlopener
  2017-01-18 00:17 - 2017-01-18 00:17 - 00004266 _____ C:\WINDOWS\System32\Tasks\urlopener
  2017-01-18 00:14 - 2017-01-18 00:20 - 00000000 ____D C:\Users\manul.beast\AppData\Local\svshost
  2017-01-18 00:27 - 2017-01-18 00:27 - 0000000 _____ () C:\Users\manul.beast\AppData\Local\Temp\2cdyKbzdpvUV.exe
  2017-01-18 00:22 - 2017-01-18 00:22 - 0000000 _____ () C:\Users\manul.beast\AppData\Local\Temp\2tsDT0wzlOSJ.exe
  2017-01-18 00:14 - 2017-01-18 00:14 - 0829392 ____N () C:\Users\manul.beast\AppData\Local\Temp\7bTwUVOF70Bh.exe
  2017-01-18 00:12 - 2017-01-18 00:12 - 0000000 _____ () C:\Users\manul.beast\AppData\Local\Temp\AKVThqaUhtyO.exe
  2017-01-18 00:09 - 2017-01-18 00:09 - 3036376 ____N () C:\Users\manul.beast\AppData\Local\Temp\b4SqBFZYiQk6.exe
  2017-01-18 00:22 - 2017-01-18 00:22 - 0000000 _____ () C:\Users\manul.beast\AppData\Local\Temp\cKps8ijIdJWR.exe
  2017-01-18 00:17 - 2017-01-18 00:17 - 0000000 _____ () C:\Users\manul.beast\AppData\Local\Temp\cmPyXtCSUXbj.exe
  2017-01-18 00:10 - 2017-01-18 00:10 - 0024576 ____N (Ubar Plugin Soft) C:\Users\manul.beast\AppData\Local\Temp\coi1634.exe
  2017-01-18 00:32 - 2017-01-18 00:32 - 0000000 _____ () C:\Users\manul.beast\AppData\Local\Temp\CWeBYtTCF0Lf.exe
  2017-01-18 00:27 - 2017-01-18 00:27 - 0000000 _____ () C:\Users\manul.beast\AppData\Local\Temp\d9VgKUdM7Nq3.exe
  2017-01-18 00:12 - 2017-01-18 00:12 - 0000000 _____ () C:\Users\manul.beast\AppData\Local\Temp\dFy6ZXBQVYcI.exe
  2017-01-18 00:17 - 2017-01-18 00:17 - 0000000 _____ () C:\Users\manul.beast\AppData\Local\Temp\FjRM6hApJdTG.exe
  2017-01-18 00:12 - 2017-01-18 00:12 - 0000000 _____ () C:\Users\manul.beast\AppData\Local\Temp\fp50ExAVW9wy.exe
  2017-01-18 00:22 - 2017-01-18 00:22 - 0000000 _____ () C:\Users\manul.beast\AppData\Local\Temp\fvLanEtLIq1u.exe
  2017-01-18 00:22 - 2017-01-18 00:22 - 0000000 _____ () C:\Users\manul.beast\AppData\Local\Temp\GBcW7kNqr2UU.exe
  2017-01-18 00:11 - 2017-01-18 00:11 - 0646656 ____N (Bushehr Province) C:\Users\manul.beast\AppData\Local\Temp\gjiigDTVIkkx.exe
  2017-01-18 00:16 - 2017-01-18 00:16 - 0415232 ____N (TODO: <Company name>) C:\Users\manul.beast\AppData\Local\Temp\gPSatmCjL3Yr.exe
  2017-01-18 00:27 - 2017-01-18 00:27 - 0000000 _____ () C:\Users\manul.beast\AppData\Local\Temp\KK3X5AtoMGOK.exe
  2017-01-18 00:17 - 2017-01-18 00:17 - 4624925 ____N () C:\Users\manul.beast\AppData\Local\Temp\NehYPchdO8lt.exe
  2017-01-18 00:17 - 2017-01-18 00:17 - 0000000 _____ () C:\Users\manul.beast\AppData\Local\Temp\PX3wN1MJVWQL.exe
  2017-01-18 00:32 - 2017-01-18 00:32 - 0000000 _____ () C:\Users\manul.beast\AppData\Local\Temp\QDAGoY3qDrYx.exe
  2017-01-18 00:22 - 2017-01-18 00:22 - 0000000 _____ () C:\Users\manul.beast\AppData\Local\Temp\s6vuiuyThnjb.exe
  2017-01-18 00:32 - 2017-01-18 00:32 - 0000000 _____ () C:\Users\manul.beast\AppData\Local\Temp\sRYLiQsJuFHN.exe
  2017-01-18 00:11 - 2017-01-18 00:11 - 1959138 ____N () C:\Users\manul.beast\AppData\Local\Temp\TOnVbcvGqIaw.exe
  2017-01-18 00:22 - 2017-01-18 00:22 - 0000000 _____ () C:\Users\manul.beast\AppData\Local\Temp\X3GETCxK3V8u.exe
  2017-01-18 00:21 - 2017-01-18 00:21 - 3846210 ____N () C:\Users\manul.beast\AppData\Local\Temp\xbIbFjfKgadq.exe
  2017-01-18 00:12 - 2017-01-18 00:12 - 0401128 ____N (Mail.Ru) C:\Users\manul.beast\AppData\Local\Temp\XxM6REC6daYX.exe
  2017-01-18 00:20 - 2017-01-18 00:20 - 0829392 ____N () C:\Users\manul.beast\AppData\Local\Temp\yf0q4TYojCU8.exe
  Task: {07382AE4-A0C5-40FB-ACEF-23B93C2884CB} - System32\Tasks\urlopener => Firefox.exe "hxxp://atraff-2.ru"
  HKU\S-1-5-21-2818430374-2308651812-3710643650-1001\...\StartupApproved\Run: => "PBot"
  Reboot:

• Запустите FRST и нажмите один раз на кнопку Fix и подождите.
• Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!
• Обратите внимание, что компьютер будет перезагружен.

[Dmitry Pljonkin]

Активатор - да, сам ставил.

После выполнения скрипта FRST, вроде, нормально всё стало. Пара перезагрузок - полет нормальный, само ничего не открывается.

Спасибо!

[SQ]

Запустите AdwCleaner и нажмите Деинсталлировать (Uninstall).

Удалите папку C:\FRST со всем содержимым.

Выполните рекомендации после лечения.

Удачи Вам!

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 7
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\program files (x86)\youtube adblock\ieef\o7hqqgb.exe - not-a-virus:AdWare.Win32.Agent.xxczkv
  2. c:\program files (x86)\youtube adblock\ieef\smdrbkku.dll - not-a-virus:AdWare.Win32.Agent.xxczkv
  3. c:\program files (x86)\youtube adblock\ieef\zrvikz.dll - not-a-virus:AdWare.Win32.Agent.xxczkv
  4. c:\users\manul.beast\appdata\local\fupdate\fupdate .exe - not-a-virus:AdWare.Win32.Agent.xxcysm