Браузер выкидывает рекламные окна поверх основного

[AmZi]

Здравствуйте!
Произошла такая неприятность, поймал где то заразу в виде постоянно выскакивающих рекламных окон в браузерах(что в ИЕ, что в Фаерфоксе). Притом это не просто банер, а новое окно которое открывается по верх основного.
Система Win 7 Ultimate, антивирус - Касперский Кристал(автообновление), брандмауэр - стандартный Windows Defender. Еще стоит программка Returnil.
Интернет серфим через Фаерфокс с установленным No script и Adblock Plus.
Список рекламных сайтов которые выскакивают в окнах(вдруг пригодится): Малышография, онлайн игра Moscowar, календарь на 2011 год, Узнай секрет своей фамилии, и еще пара каких то, которые блокируются каспером.
Все сделал по инструкции, логи прикладываю.
Надеюсь на вашу помощь. Кроме всплывающих окон внешних проявлений червя не заметил, система вроде в порядке и функционирует нормально.

[AmZi]

1. Окна выскакивают хаотично при нажатии на любые гиперссылки на страницах. Примерно на каждый 10-20 клик, но иногда бывает и по 2-3 подряд. Сильно подвешивает браузер, секунд на 5-7.
2. Подозреваю что все началось после того, как я попытался установить графический фикс меню Пуск. На русской локализации есть глюк с прозрачной полоской. Вот его фиксил с помощью исполняемого файла .exe, скаченного с одного(как мне казалось) надежного сайта про win 7. В комментариях писали что есть там подозрение на троян, но многие отписались что поставили и у них все нормально. Сайту я доверял, т.к. давно оттуда софт беру и все было хорошо. Примерно в то же время скачал оттуда файл с установкой Aim3, установил.
3. У меня дома есть wifi точка, с нее сижу в интернете иногда с коммуникатора(система Android 2.2). Дело в том что в его браузере тоже стали вылетать окна с этой же рекламой так же хаотично. Возможно червь переполз через USB или wifi.
4. Провел полную проверку Касперским - ничего не обнаружил,
   Dr. Web CureIt(в безопасном режиме) - обнаружил один троян. Вроде удалил, но проблема не исчезла.(лог - Процесс в памяти: C:\Windows\System32\svchost.exe:1104;;Trojan.Eps.4 7768;Обезврежен.)
   Malwarebytes Antimalware - нашла 2 подозрительных файла которые относились к Aimp3, удалил, проблема не исчезла.

[regist]

Malwarebytes Antimalware - нашла 2 подозрительных файла которые относились к Aimp3, удалил, проблема не исчезла.

приложите к своему сообщению лог полного сканирования MBAM

[AmZi]

Проверку выполнил, лог прилагаю

[AmZi]

Почитал форум, многим наказывают обновить базы AVZ.
Обновил, сделал новые логи.

[regist]

AmZi, Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
- Антивирус и Файрвол
- Системное восстановление


Выполните скрипт в АВЗ -

begin
 DelCLSID('YDS shell extension');
 ExecuteRepair(1);
 ExecuteRepair(6);
 ExecuteRepair(8);
 ExecuteWizard('TSW', 2, 3, true);
 RegKeyIntParamWrite('HKLM', 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\NonEnum', '{BDEADF00-C265-11D0-BCED-00A0C90AB50F}', 1);
RebootWindows(false);
end.

После выполнения скрипта компьютер перезагрузится.

Сделайте новые логи virusinfo_syscheck.zip и hijackthis.log

[AmZi]

Сделал все по инструкции. Компьютер после перезагрузки не догружает систему.
Висит черный экран после логотипа виндоус около минуты, потом компьютер сам уходит в ребут и цикл повторяется. В безопасном режиме тоже самое.
Мои дальнейшие действия?
Сейчас пишу с другого ноутбука.
Еще момент...после того как 2й раз перезагрузился, выскочила ошибка, там было что то написано про экран приветствия. Не списал что было там конкретно написано, но после этого эта ошибка больше не выходит, просто ребут и все.

[Bratez]

Попробуйте через F8 при старте выбрать "последнюю удачную конфигурацию".
Если не поможет, выберите "отменить автоматическую перезагрузку" и сообщите код ошибки (STOP 0x000000??).

[AmZi]

К сожалению, ни "последняя удачная конфигурация", ни "отмена автоматической перезагрузки при отказе системы" не помогли, ребут на месте =) Так что код ошибки сообщить не смогу.
Есть образ чистой системы с драйверами, сделанный в Парагон Рековери. Если ничего уже нельзя сделать, могу попробовать откат с него.
И если вы поняли что это за вирус, подскажите как его можно на андроид 2.2 на коммуникаторе вылечить?
Так же хотел давно попробовать антивирус от Микрософта, теперь и повод есть =)

[Bratez]

К сожалению, ни "последняя удачная конфигурация", ни "отмена автоматической перезагрузки при отказе системы" не помогли, ребут на месте

Печально. Ситуация довольно странная, т.к. ошибок и опасных действий скрипт не содержал.

Есть образ чистой системы с драйверами, сделанный в Парагон Рековери. Если ничего уже нельзя сделать, могу попробовать откат с него.

Если такой вариант Вас устраивает, а время поджимает, сделайте так, это должно решить проблему. Но хотелось бы понять, что же произошло.

Посмотрите, появилась ли в папке с AVZ подпапка Backup?
Если да - запакуйте ее в zip и прикрепите сюда.

[AmZi]

Такой вариант меня не очень устраивает, т.к. заново придется тонну программ устанавливать.
Я и сам бы очень хотел узнать что это за червь, т.к. образ системы то хранится на диске D. Если вирус переполз на коммуникатор, то диск D вероятно тоже уже заражен, и откат не особенно поможет.
Время мне не сильно жмет, щас постараюсь с Live CD какого нибудь загрузится, сделать архив и выложить сюда.

[AmZi]

Прикрепляю.
Теперь, зная что это за вирус, есть только 2 вопроса: как оживить систему и как удалить этот вирус (касперский со всеми последними обновлениями на максимально глубоком анализе ничего так и не нашел) =)

[Bratez]

Что-то не нахожу в этих бэкапах ничего путного...

Попробуйте воспользоваться встроенными средствами восстановления Windows 7.
Вот тут немного об этом: http://system-administrators.info/?p=3376.

как удалить этот вирус

Я таки не видел у Вас никакого вируса...

[AmZi]

С помощью инструментов я уже попытался восстановить загрузку, не помогло...
Вирус точно наличествует, т.к. сижу с другого ноута и никаких проблем со всплывающими окнами не наблюдаю. (сначала я думал что это просто скрипты на сайтах открывают окна, а не вирус)
Попробую сделать откат через Парагон Рековери. Только боюсь что эта проблема снова вылезет, а полностью весь винт форматировать я не могу, да и данные некуда скидывать. Отпишусь по результатам.

[AmZi]

Восстановление запустил
Еще раз обращаю внимение на то что вирус работает и в Андроид 2.2, что ж мне с ним то сделать, на нем backup`а у меня нет

Добавлено через 2 часа 11 минут

Откатился нормально, проблему пока не наблюдаю. Тестирую...

Добавлено через 4 часа 0 минут

Война с браузерами продолжается...после отката снова выползают эти вкладки. И самое плохое, что на втором ноуте они тоже стали выползать. Толи я их через флешку как то перенес, толи...я вот подумал, может ли быть виноват АДСЛ модем или Wi Fi точка? Просто я на откат винды ходил к другу делал, у него в нете сидел и ничего не выползало, как домой пришел и подключился через вафлю, опять та же петруха...или это бред и такого быть не может? Очень жду вашего мнения.

Добавлено через 17 минут

Wi-fi точку исключил, подключал модем напрямую, все тоже самое, окна выскакивают. Остается либо модем, либо вирус снова жив и здоров. Могу записать видео того как это происходит, если это как то поможет разобраться в ситуации. Завтра схожу с модемом к другу еще раз, посмотрю что будет у него показывать комп.

Добавлено через 3 часа 6 минут

Похоже вирус действительно был в модеме. Сделал хард-ресет, перенастроил, проблема пока не повторялась. Возмжно поэтому в логах и не было ничего, т.к. вирус был в модеме, и каким то образом эмулировал запросы браузера на рекламные страницы. Сейчас установил пароль на вход в биос модема. Стоял видимо стандартный. Этой меры будет достаточно? Если кому интересно вот топик, найденный в гугле по этой теме http://forum.surnet.ru/topic22871.html

[Bratez]

Похоже вирус действительно был в модеме.

Вирус в модеме это наверно все-таки фантастика. Возможно, злоумышленник сумел получить удаленный доступ к его настройкам и прописал туда "троянский" DNS. Пароль на вход в "админку" модема обязательно должен быть, и вход туда снаружи должен быть запрещен.

[AmZi]

Вы правы. Проверил антивирусом еще раз, не обнаружил ничего, значит вируса не было. А как снаружи доступ к модему закрыть? У меня Zyxel 600.

[Bratez]

как снаружи доступ к модему закрыть?

Обычно он закрыт по умолчанию. Но проверить не лишне.
Смотрите в настройках что-то вроде Advanced Setup - Remote Management.