Printable View
Win7 x64, в каждом браузере при открытии сайта (yandex к примеру) появляется куча рекламы в пустых местах страницы, затем открываются новые окна с переходами на неизвестные ресурсы. Пробовал Dr.Web и антивирус, показывает что вылечил но при следующем заходе в интернет начинается всё по новой.
Даже логи приходится прикладывать с другого компьютера ибо на том невозможно.
Уважаемый(ая) [B]Evgenolog[/B], спасибо за обращение на наш форум!
Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте!
Закройте все программы, [URL="http://virusinfo.info/showthread.php?t=130828"][B]временно[/B] выгрузите антивирус, файрволл и прочее защитное ПО[/URL].
[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 AVZ запускайте через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в АВЗ[/URL] (Файл - Выполнить скрипт):
[CODE]
begin
ExecuteAVUpdate;
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.'+#13#10+'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(true);
end;
ClearQuarantine;
TerminateProcessByName('c:\program files (x86)\globalupdate\update\googleupdate.exe');
TerminateProcessByName('c:\program files (x86)\videos mediaplay-air\903811cc-f709-480b-a763-edf97ed51059-6.exe');
TerminateProcessByName('c:\program files (x86)\browsers apps\4ce7c924-ac8b-4fc5-ba58-f305c3db2757-4.exe');
QuarantineFile('C:\Windows\system32\drivers\{6fcd6092-9615-4f7f-8898-8df53980e5d2}Gw64.sys','');
QuarantineFile('C:\Program Files (x86)\NewPlayer\NewVideoPlayerUpdaterService.exe','');
QuarantineFile('c:\program files (x86)\globalupdate\update\googleupdate.exe','');
QuarantineFile('c:\program files (x86)\videos mediaplay-air\903811cc-f709-480b-a763-edf97ed51059-6.exe','');
QuarantineFile('c:\program files (x86)\browsers apps\4ce7c924-ac8b-4fc5-ba58-f305c3db2757-4.exe','');
DeleteFile('c:\program files (x86)\browsers apps\4ce7c924-ac8b-4fc5-ba58-f305c3db2757-4.exe','32');
DeleteFile('c:\program files (x86)\videos mediaplay-air\903811cc-f709-480b-a763-edf97ed51059-6.exe','32');
DeleteFile('C:\Program Files (x86)\globalUpdate\Update\GoogleUpdate.exe','32');
DeleteFile('C:\Windows\system32\drivers\{6fcd6092-9615-4f7f-8898-8df53980e5d2}Gw64.sys','32');
DeleteFile('C:\Windows\Tasks\4ce7c924-ac8b-4fc5-ba58-f305c3db2757-1.job','64');
DeleteFile('C:\Windows\Tasks\4ce7c924-ac8b-4fc5-ba58-f305c3db2757-11.job','64');
DeleteFile('C:\Windows\Tasks\4ce7c924-ac8b-4fc5-ba58-f305c3db2757-2.job','64');
DeleteFile('C:\Windows\Tasks\4ce7c924-ac8b-4fc5-ba58-f305c3db2757-3.job','64');
DeleteFile('C:\Windows\Tasks\4ce7c924-ac8b-4fc5-ba58-f305c3db2757-4.job','64');
DeleteFile('C:\Windows\Tasks\4ce7c924-ac8b-4fc5-ba58-f305c3db2757-5.job','64');
DeleteFile('C:\Windows\Tasks\4ce7c924-ac8b-4fc5-ba58-f305c3db2757-6.job','64');
DeleteFile('C:\Windows\Tasks\4ce7c924-ac8b-4fc5-ba58-f305c3db2757-7.job','64');
DeleteFile('C:\Windows\Tasks\903811cc-f709-480b-a763-edf97ed51059-1.job','64');
DeleteFile('C:\Windows\Tasks\903811cc-f709-480b-a763-edf97ed51059-11.job','64');
DeleteFile('C:\Windows\Tasks\903811cc-f709-480b-a763-edf97ed51059-2.job','64');
DeleteFile('C:\Windows\Tasks\903811cc-f709-480b-a763-edf97ed51059-3.job','64');
DeleteFile('C:\Windows\Tasks\903811cc-f709-480b-a763-edf97ed51059-4.job','64');
DeleteFile('C:\Windows\Tasks\903811cc-f709-480b-a763-edf97ed51059-5.job','64');
DeleteFile('C:\Windows\Tasks\903811cc-f709-480b-a763-edf97ed51059-6.job','64');
DeleteFile('C:\Windows\Tasks\903811cc-f709-480b-a763-edf97ed51059-7.job','64');
DeleteFile('C:\Windows\Tasks\96690f87-9af5-42b3-9b24-e84a986f962e.job','64');
DeleteFile('C:\Windows\Tasks\APSnotifierPP1.job','64');
DeleteFile('C:\Windows\Tasks\APSnotifierPP2.job','64');
DeleteFile('C:\Windows\Tasks\APSnotifierPP3.job','64');
DeleteFile('C:\Windows\Tasks\Digital Sites.job','64');
DeleteFile('C:\Windows\Tasks\e6c455c3-d431-44a7-8c0b-07a7692d17bd.job','64');
DeleteFile('C:\Windows\Tasks\globalUpdateUpdateTaskMachineCore.job','64');
DeleteFile('C:\Windows\Tasks\globalUpdateUpdateTaskMachineUA.job','64');
DeleteFile('C:\Windows\system32\Tasks\4ce7c924-ac8b-4fc5-ba58-f305c3db2757-1','64');
DeleteFile('C:\Windows\system32\Tasks\4ce7c924-ac8b-4fc5-ba58-f305c3db2757-11','64');
DeleteFile('C:\Windows\system32\Tasks\4ce7c924-ac8b-4fc5-ba58-f305c3db2757-2','64');
DeleteFile('C:\Windows\system32\Tasks\4ce7c924-ac8b-4fc5-ba58-f305c3db2757-3','64');
DeleteFile('C:\Windows\system32\Tasks\4ce7c924-ac8b-4fc5-ba58-f305c3db2757-4','64');
DeleteFile('C:\Windows\system32\Tasks\4ce7c924-ac8b-4fc5-ba58-f305c3db2757-5','64');
DeleteFile('C:\Windows\system32\Tasks\4ce7c924-ac8b-4fc5-ba58-f305c3db2757-5_user','64');
DeleteFile('C:\Windows\system32\Tasks\4ce7c924-ac8b-4fc5-ba58-f305c3db2757-6','64');
DeleteFile('C:\Windows\system32\Tasks\4ce7c924-ac8b-4fc5-ba58-f305c3db2757-7','64');
DeleteFile('C:\Windows\system32\Tasks\903811cc-f709-480b-a763-edf97ed51059-1','64');
DeleteFile('C:\Windows\system32\Tasks\903811cc-f709-480b-a763-edf97ed51059-11','64');
DeleteFile('C:\Windows\system32\Tasks\903811cc-f709-480b-a763-edf97ed51059-2','64');
DeleteFile('C:\Windows\system32\Tasks\903811cc-f709-480b-a763-edf97ed51059-3','64');
DeleteFile('C:\Windows\system32\Tasks\903811cc-f709-480b-a763-edf97ed51059-4','64');
DeleteFile('C:\Windows\system32\Tasks\903811cc-f709-480b-a763-edf97ed51059-5','64');
DeleteFile('C:\Windows\system32\Tasks\903811cc-f709-480b-a763-edf97ed51059-5_user','64');
DeleteFile('C:\Windows\system32\Tasks\903811cc-f709-480b-a763-edf97ed51059-6','64');
DeleteFile('C:\Windows\system32\Tasks\903811cc-f709-480b-a763-edf97ed51059-7','64');
DeleteFile('C:\Windows\system32\Tasks\96690f87-9af5-42b3-9b24-e84a986f962e','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP1','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP2','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP3','64');
DeleteFile('C:\Windows\system32\Tasks\Digital Sites','64');
DeleteFile('C:\Windows\system32\Tasks\e6c455c3-d431-44a7-8c0b-07a7692d17bd','64');
DeleteFile('C:\Windows\system32\Tasks\globalUpdateUpdateTaskMachineCore','64');
DeleteFile('C:\Windows\system32\Tasks\globalUpdateUpdateTaskMachineUA','64');
DeleteFile('C:\Windows\system32\Tasks\LaunchSignup','64');
DeleteService('{6fcd6092-9615-4f7f-8898-8df53980e5d2}Gw64');
DeleteService('globalUpdatem');
DeleteService('globalUpdate');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 2, true);
BC_Activate;
RebootWindows(false);
end.
[/CODE]
[B]Внимание![/B] Будет выполнена перезагрузка компьютера. После перезагрузки компьютера [URL="http://virusinfo.info/showthread.php?t=7239"]выполните скрипт[/URL] в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Пришлите карантин согласно Приложения 2 правил по красной ссылке [B]Прислать запрошенный карантин[/B] вверху темы
[B][COLOR="#000080"]Важно![/COLOR][/B] на Windows Vista/7/8 запускайте HiJackThis через контекстное меню проводника от имени Администратора. [URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите[/URL] следующие строчки в HiJackThis если они у вас есть.
[CODE]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.istartsurf.com/?type=hp&ts=1408282285&from=tugs&uid=WDCXWD3200BPVT-80JJ5T0_WD-WX31EB1VYC42VYC42
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.istartsurf.com/?type=hp&ts=1408282285&from=tugs&uid=WDCXWD3200BPVT-80JJ5T0_WD-WX31EB1VYC42VYC42
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.istartsurf.com/web/?type=ds&ts=1408282285&from=tugs&uid=WDCXWD3200BPVT-80JJ5T0_WD-WX31EB1VYC42VYC42&q={searchTerms}
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.istartsurf.com/web/?type=ds&ts=1408282285&from=tugs&uid=WDCXWD3200BPVT-80JJ5T0_WD-WX31EB1VYC42VYC42&q={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.istartsurf.com/?type=hp&ts=1408282285&from=tugs&uid=WDCXWD3200BPVT-80JJ5T0_WD-WX31EB1VYC42VYC42
O2 - BHO: Спутник@Mail.Ru - {8984B388-A5BB-4DF7-B274-77B879E179DB} - (no file)
O2 - BHO: Визуальные закладки - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - (no file)
[/CODE]
Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].
[QUOTE=mike 1;1154837]Здравствуйте! [/QUOTE]
Доброе утро! Всё сделал.
[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.
+ Spybot - Search & Destroy 2 - деинсталируйте.
+ Повторите последний набор логов.
[QUOTE=regist;1154973]+ Spybot - Search & Destroy 2 - деинсталируйте.
+ Повторите последний набор логов.[/QUOTE]
Включая карантин?
[quote="Evgenolog;1154980"]Включая карантин?[/quote]
нет, просто сделайте и прикрепите свежие логи, после того как [QUOTE]- [url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё кроме папок от mail.ru - если программами от mail.ru не пользуетесь, то их тоже удалите.[/QUOTE]
[QUOTE=regist;1154982]нет, просто сделайте и прикрепите свежие логи, после того как[/QUOTE]
Готово, что то прям где то глубоко засело, всё удалил в Adw но баннеры так в лисичке и сидят :) ужс
Удалите файл[CODE]C:\Users\Kudryavtseva\AppData\Roaming\Mozilla\Firefox\Profiles\hw9l3z7f.default\prefs.js[/CODE]и проверьте результат.
+ отчёт с удалением в AdwCleaner прикрепите. Скорее всего он будет находится [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S0].txt[/COLOR][/B]
[QUOTE=Vvvyg;1155000]Удалите файл[CODE]C:\Users\Kudryavtseva\AppData\Roaming\Mozilla\Firefox\Profiles\hw9l3z7f.default\prefs.js[/CODE]и проверьте результат.[/QUOTE]
Удалил его (вместе с его бэкапом, там рядом валялся) и всё равно баннеры вылезли, в итоге удалил профили полностю и создал новый, пока вроде баннеров нет
[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]
[QUOTE=regist;1155003]+ отчёт с удалением в AdwCleaner прикрепите. Скорее всего он будет находится [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S0].txt[/COLOR][/B][/QUOTE]
Вроде сейчас всё хорошо, нужно ли сделать ещё какие то сканы-логи?
[quote="Evgenolog;1155008"]роде сейчас всё хорошо, нужно ли сделать ещё какие то сканы-логи?[/quote]
это не скан, а отчёт об удалённом вами ранее. Хочется понять почему утилита не до конца всё удалила, а для этого нужен этот отчёт.
[QUOTE=regist;1155067]это не скан, а отчёт об удалённом вами ранее. Хочется понять почему утилита не до конца всё удалила, а для этого нужен этот отчёт.[/QUOTE]
Блин к сожалению босс (это его ноут) после лечения радостно ускакал с ним, попытаюсь добиться от него сканов
Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]4[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files (x86)\browsers apps\4ce7c924-ac8b-4fc5-ba58-f305c3db2757-4.exe - [B]not-a-virus:AdWare.NSIS.Adwapper.ai[/B] ( BitDefender: Gen:Variant.Adware.Kazy.433849 )[*] c:\program files (x86)\videos mediaplay-air\903811cc-f709-480b-a763-edf97ed51059-6.exe - [B]not-a-virus:AdWare.NSIS.Adwapper.ai[/B][/LIST][/LIST]