Всем доброго времени суток.
На компьютере стоит 64-разрядная операционная система Windows 7. Столкнулся с такой проблемой: при использовании браузера Steam постоянно вылетает реклама. При клике в любое место. Особенно во время игры, где при нажатии shift+tab вылезает браузер steam. В браузере Яндекс периодически тоже выскакивают окна с рекламой при клике. В Chrome рекламы нет вообще, но, когда отключаю AdBlock, то реклама просто повсюду.
Прошу помощи.
Уважаемый(ая) [B]Justamigo[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Обновите базы AVZ.
Если базы не обновляются через меню Файл - Обновление баз,
скачайте архив баз [url]http://z-oleg.com/secur/avz_up/avzbase.zip[/url]
и распакуйте его в папку Base внутри папки AVZ, заменив имеющиеся файлы и перезапустите AVZ.
Запускайте HijackThis правой кнопкой мыши - "Запуск от имени Администратора".
Пофиксите в HijackThis только указанные строки [URL="http://virusinfo.info/showthread.php?t=4491"](как пофиксить)[/URL]:
[CODE]
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:13968
[/CODE]
Запускайте AVZ правой кнопкой мыши - "Запуск от имени Администратора".
Выполните скрипт в AVZ [URL="http://virusinfo.info/showthread.php?t=7239"](как выполнить)[/URL]:
[CODE]
begin
TerminateProcessByName('c:\users\amigo\appdata\local\daemonfat32net\daemonfat32net.exe');
TerminateProcessByName('c:\users\amigo\appdata\local\daemonfat32net\jreofficesymbolic.exe');
TerminateProcessByName('c:\program files (x86)\yawtix\updateyawtix.exe');
ClearQuarantine;
QuarantineFile('C:\Program Files (x86)\Common Files\Microsoft Shared\Ink\InputPersonalization.exe','');
QuarantineFile('C:\Program Files (x86)\Yawtix\Yawtixbho.dll','');
QuarantineFile('C:\Users\Amigo\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Goodgame Empire.lnk','');
QuarantineFile('C:\Windows\system32\drivers\wStLibG64.sys','');
QuarantineFile('C:\Users\Amigo\AppData\Local\c6470efe8afb5ad181fbba1a4072cb5c\c6470efe8afb5ad181fbba1a4072cb5c.exe','');
QuarantineFile('C:\Users\Amigo\AppData\Local\8856f4e0a744c11d5a07617d1929cd88\8856f4e0a744c11d5a07617d1929cd88.exe','');
QuarantineFile('C:\Users\Amigo\AppData\Local\eaeffacc2511ebed6226d13cdb9bda2f\66a1717b64ebb29.exe','');
QuarantineFile('C:\Program Files (x86)\GamesRS\GUpdater.exe','');
QuarantineFile('C:\Users\Amigo\AppData\Local\DaemonFAT32Net\RegFltrX64.sys','');
QuarantineFile('C:\Users\Amigo\AppData\Local\DaemonFAT32Net\QtNetwork4.dll','');
QuarantineFile('C:\Users\Amigo\AppData\Local\DaemonFAT32Net\QtCore4.dll','');
QuarantineFile('C:\Users\Amigo\AppData\Local\DaemonFAT32Net\libwinpthread-1.dll','');
QuarantineFile('C:\Users\Amigo\AppData\Local\DaemonFAT32Net\libstdc++-6.dll','');
QuarantineFile('C:\Users\Amigo\AppData\Local\DaemonFAT32Net\libgcc_s_dw2-1.dll','');
QuarantineFile('c:\program files (x86)\yawtix\updateyawtix.exe','');
QuarantineFile('c:\users\amigo\appdata\local\daemonfat32net\jreofficesymbolic.exe','');
QuarantineFile('c:\program files (x86)\isafe\isafesvc2.exe','');
QuarantineFile('c:\program files (x86)\isafe\isafesvc.exe','');
QuarantineFile('c:\program files (x86)\isafe\ipcdl.exe','');
QuarantineFile('c:\program files (x86)\gamesrs\gupdater.exe','');
QuarantineFile('c:\users\amigo\appdata\local\daemonfat32net\daemonfat32net.exe','');
DeleteFile('c:\users\amigo\appdata\local\daemonfat32net\daemonfat32net.exe','32');
DeleteFile('c:\users\amigo\appdata\local\daemonfat32net\jreofficesymbolic.exe','32');
DeleteFile('c:\program files (x86)\yawtix\updateyawtix.exe','32');
DeleteFile('C:\Users\Amigo\AppData\Local\DaemonFAT32Net\libgcc_s_dw2-1.dll','32');
DeleteFile('C:\Users\Amigo\AppData\Local\DaemonFAT32Net\libstdc++-6.dll','32');
DeleteFile('C:\Users\Amigo\AppData\Local\DaemonFAT32Net\libwinpthread-1.dll','32');
DeleteFile('C:\Users\Amigo\AppData\Local\DaemonFAT32Net\QtCore4.dll','32');
DeleteFile('C:\Users\Amigo\AppData\Local\DaemonFAT32Net\QtNetwork4.dll','32');
DeleteFile('C:\Users\Amigo\AppData\Local\DaemonFAT32Net\RegFltrX64.sys','32');
DeleteFile('C:\Users\Amigo\AppData\Local\eaeffacc2511ebed6226d13cdb9bda2f\66a1717b64ebb29.exe','32');
DeleteFile('C:\Users\Amigo\AppData\Local\8856f4e0a744c11d5a07617d1929cd88\8856f4e0a744c11d5a07617d1929cd88.exe','32');
DeleteFile('C:\Users\Amigo\AppData\Local\c6470efe8afb5ad181fbba1a4072cb5c\c6470efe8afb5ad181fbba1a4072cb5c.exe','32');
DeleteFile('C:\Program Files (x86)\Yawtix\Yawtixbho.dll','32');
DelBHO('{761497BB-D6F0-462C-B6EB-D4DAF1D92D43}');
DelBHO('{f9c8ce1b-66a0-4f45-af10-5f24ef19bc4e}');
DeleteService('RegFltrX64');
DeleteService('c6470efe8afb5ad181fbba1a4072cb5c.exe');
DeleteService('8856f4e0a744c11d5a07617d1929cd88.exe');
DeleteService('66a1717b64ebb29.exe');
DeleteService('DaemonFAT32Net.exe');
ExecuteSysClean;
RebootWindows(true);
end.
[/CODE]
Компьютер перезагрузится.
Загрузите quarantine.zip из папки AVZ по красной ссылке "Прислать запрошенный карантин" в шапке этой темы.
Сделайте заново лог virusinfo_syscheck.zip и лог HijackThis (пункты 2 и 3 раздела "Диагностика" [URL="http://virusinfo.info/pravila.html"]правил[/URL]) и приложите в теме.
Подготовьте лог AdwCleaner
[url]http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844[/url]
и приложите его в теме.
C:\Program Files (x86)\iSafe
Знакомо/сами устанавливали?
Добрый вечер. Всё сделал, как вы написали. Карантин загрузил. Что касается iSafe, то самой папки/файла не нашёл, однако что-то такое припоминаю, не могу точно сказать.
Здравствуйте!
Закройте все программы
Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]
[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -
[code]
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFile('C:\Windows\System32\drivers\wStLibG64.sys','');
QuarantineFile('C:\Users\Amigo\AppData\Local\PerlPublicWizard\RegFltrX64.sys','');
QuarantineFile('C:\Users\Amigo\AppData\Local\PerlPublicWizard\RegFltrX86.sys','');
QuarantineFile('c:\users\amigo\appdata\local\perlpublicwizard\perlpublicwizard.exe','');
QuarantineFileF('c:\users\amigo\appdata\local\perlpublicwizard\','*.exe, *.sys, *.dll', true,'',0 ,0);
DeleteFile('C:\Users\Amigo\AppData\Local\PerlPublicWizard\RegFltrX64.sys','32');
BC_ImportAll;
ExecuteSysClean;
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
BC_Activate;
RebootWindows(true);
end.
[/code]
[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.
[url=http://virusinfo.info/showthread.php?t=4491]Профиксите[/url] в HijackThis
[CODE]R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:29540[/CODE]
[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR] (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B], а по окончанию сканирования нажмите кнопку [B]"Clean"[/B] и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].
[url=http://virusinfo.info/showthread.php?t=121767][b]Сделайте полный образ автозапуска uVS[/b][/url] только программу скачайте [url=http://yadi.sk/d/3KwxKzRHJMq4U]отсюда[/url]
Карантин прислал, всё, что вы написали, сделал.
[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url] и пришлите карантин
[CODE];uVS v3.82.8 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
delref 1HTTP=127.0.0.1:24991
dirzooex %SystemDrive%\PROGRAM FILES (X86)\GAMESRS
dirzooex %SystemDrive%\USERS\AMIGO\APPDATA\LOCAL\D3D5547B515D59A1EBF83E65175EF4F6
deldir %SystemDrive%\USERS\AMIGO\APPDATA\LOCAL\D3D5547B515D59A1EBF83E65175EF4F6
zoo %SystemDrive%\PROGRAM FILES (X86)\GAMESRS\GUPDATER.EXE
delref %SystemDrive%\USERS\AMIGO\APPDATA\LOCAL\YANDEX\UPDATER\YUPDATE-EXECUTOR.EXE
delref HTTP://WWW.YANDEX.RU/?WIN=130&CLID=1200402
delref HTTP=127.0.0.1:30914
deltmp
czoo
restart
[/CODE]
Скрипт выполнил, карантин прислал.
новый образ автозапуска сделайте и заодно отпишитесь, что с проблемой?
Проблема вроде бы как решена. По крайней мере рекламы я больше нигде не встречаю, где до этого она была. В любом случае, могу уже вас поблагодарить. Спасибо вам всем!
Образ автозапуска не могу прикрепить, поскольку не хватает места в менеджере вложений. А как удалить прошлые файлы, мне не удалось понять.
в моей подписи ссылка, на список частых вопросов. Вот ответ на ваш [URL="http://virusinfo.info/showthread.php?t=130567"]Как удалить вложения?[/URL]
либо загрузите сюда [url]http://rghost.ru/[/url] и выложите ссылку на скачивание.
Благодарю. Вот, собственно, образ:
Выполните скрипт uVS и пришлите карантин
[CODE];uVS v3.82.8 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
regt 14
delall %SystemDrive%\USERS\AMIGO\APPDATA\LOCAL\D3D5547B515D59A1EBF83E65175EF4F6\C0CBA27BDF1D0D1.EXE
zoo %SystemDrive%\USERS\AMIGO\APPDATA\LOCAL\DOCKICONPROGRAM\DOCKICONPROGRAM.EXE
zoo %SystemDrive%\USERS\AMIGO\APPDATA\LOCAL\DOCKICONPROGRAM\DEFAULTFROZENWIN32.EXE
zoo %SystemDrive%\PROGRAM FILES (X86)\GAMESRS\GUPDATER.EXE
delall %SystemDrive%\USERS\AMIGO\APPDATA\LOCAL\PERLPUBLICWIZARD\PERLPUBLICWIZARD.EXE
delref HTTP=127.0.0.1:33974
delref 1HTTP=127.0.0.1:30914
czoo
restart[/CODE]
свежий образ автозапуска прикрепите.
[COLOR="silver"]- - - Добавлено - - -[/COLOR]
+ проверьте на вирустотал файлы
[CODE]C:\PROGRAM FILES (X86)\GAMESRS\GUPDATER.EXE
C:\USERS\AMIGO\APPDATA\LOCAL\DOCKICONPROGRAM\DOCKICONPROGRAM.EXE
C:\USERS\AMIGO\APPDATA\LOCAL\DOCKICONPROGRAM\DEFAULTFROZENWIN32.EXE[/CODE]
ссылки на результат проверки напишите здесь.
+ - Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.
Скрипт выполнил, карантин прислал. Образ автозапуска ниже прикрепил.
Ссылки на результаты проверки вирустотал:
[url]https://www.virustotal.com/ru/file/9595261b675619562b8b82cb93dbb7fd7c4c81efd20c4059ca2626918a74c7e3/analysis/1404158883/[/url]
[url]https://www.virustotal.com/ru/file/5e8455b113c1fcff134aad9be36776cb04623d97e91866e77601741017388fc6/analysis/1404158991/[/url]
[url]https://www.virustotal.com/ru/file/2a293cee5e20188ea178c57eccc3112a329fcba8f3298846379e0625a838c2ca/analysis/1404159030/[/url]
И вот две ссылки, полученные после загрузки второго карантина:
[url]http://virusinfo.info/virusdetector/report.php?md5=4EB1B3C68858D0833F948DDD95A96D72[/url]
[url]http://virusinfo.info/showthread.php?t=162344[/url]
[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url]
[code]
;uVS v3.82.5 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
OFFSGNSAVE
breg
unload %SystemDrive%\USERS\AMIGO\APPDATA\LOCAL\DOCKICONPROGRAM\DEFAULTFROZENWIN32.EXE
unload %SystemDrive%\USERS\AMIGO\APPDATA\LOCAL\DOCKICONPROGRAM\DOCKICONPROGRAM.EXE
unload %SystemDrive%\PROGRAM FILES (X86)\GAMESRS\GUPDATER.EXE
exec "C:\Program Files (x86)\eDealsPop\unins000.exe"
deldir %SystemDrive%\USERS\AMIGO\APPDATA\LOCAL\DOCKICONPROGRAM
deldir %SystemDrive%\PROGRAM FILES (X86)\GAMESRS
delref 1HTTP=127.0.0.1:33974
delref HTTP=127.0.0.1:16313
deltmp
delnfr
restart
[/code]
В процессе выполнения скрипта будет предложено деинсталлировать программу. Согласитесь. Компьютер перезагрузится. Сделайте логи RSIT.
Всё, как вы сказали, сделал.
Логи RSIT:
Добавьте лог HiJackThis. Лог RSIT получился неполным.
Добавил
[list=1][*]Скачайте [url=http://oldtimer.geekstogo.com/OTM.exe]OTM by OldTimer[/url] или с [url=http://www.geekstogo.com/forum/files/file/402-otm-oldtimers-move-it/]зеркала[/url] и сохраните на рабочий стол.[*]Запустите [B]OTM by OldTimer[/B] (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B])[*][url=http://virusinfo.info/showthread.php?t=130828]временно выключите антивирус, firewall и другое защитное программное обеспечение[/url]. Выделите и скопируйте текст ниже (Ctrl+C)
[code]
:Processes
:Services
DockIconProgram.exe
:Files
C:\Users\Amigo\AppData\Local\DockIconProgram\DockIconProgram.exe
C:\Users\Amigo\AppData\Local\DockIconProgram
C:\Users\Amigo\AppData\Local\DaemonFAT32Net
C:\Users\Amigo\AppData\Local\eaeffacc2511ebed6226d13cdb9bda2f
C:\Users\Amigo\AppData\Local\8856f4e0a744c11d5a07617d1929cd88
C:\Users\Amigo\AppData\Local\c6470efe8afb5ad181fbba1a4072cb5c
c:\users\amigo\appdata\local\perlpublicwizard
:Reg
:Commands
[purity]
[emptytemp]
[Reboot]
[/code][*]В OTM под панелью [b]"Paste Instructions for Items to be Moved"[/b] (под [color=yellow][b]желтой[/b][/color] панелью) вставьте скопированный текст и нажмите кнопку [b]"MoveIt!"[/b]. [*][B][I]Компьютер перезагрузится.[/I][/B][*]После перезагрузки откройте папку [b]"C:\_OTM\MovedFiles"[/b], найдите последний .log файл (лог в формате [b]mmddyyyy_hhmmss.log[/b]), откройте и прикрепите его в следующее сообщение.[/list]
Вот