Зловред ссылающийся на datafastguru.info

Антивирусники ничего не выявили. Зловред поселился, похоже, в браузере (Chrome). Симптомы следующие: самопроизвольная перезагрузка браузера, самопроизвольное открытие поп-апов и переадресации куда попало, внедрение кучи расширений для браузера, в ряде случаев (особенно при попытке найти в поисковиках его "косяки") подмена поисковой выдачи с "подсовыванием" весьма подозрительного софта, внедрение в стартовую страницу Хрома картинки ведущей на app.datafastguru.info.

PS При первоначальной попытке прикрепить логи, был отправлен на AliExpress :(. Со второго раза всё получилось.

Уважаемый(ая) [B]fla18[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Предполагаю (не уверен на все 100%, сужу по времени проявления непонятной активности в /ProgramFiles) что внедрение зловредов прошло через закачивание учебных материалов от некой "Новой школы". "Допрос" ребёнка пока невозможен. Но название exe-шников от уроков уже напрягает - unins000.exe.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Прошу прощения за самодеятельность, но единственным подозреваемым в озвученных безобразиях случае стала служба со странным названием 38ad2d5b с описанием службы в диспетчере BorderlineFunc. Возможно виноват был файл BorderlineFunc.dll который располагался в папке ProgramFiles/BorderlineFunc. Временно, через "безопасный режим" я его оттуда убрал. Возможно и поможет. Если нужно для лечения верну на место.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Не помогло, блин. Зловред снова на месте.

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Games\Крёстный Отец\sw.exe','');
QuarantineFile('C:\Users\EFBB~1\AppData\Roaming\VOOUPD~1\UPDATE~1\UPDATE~1.EXE','');
DelBHO('{2cfc9d6c-984e-46cd-bb13-cae24345de5a}');
DelBHO('{38ae3689-592b-463d-8e46-3b896a03dcaa}');
DelBHO('{507ee7bd-8983-4188-a23c-6c35cb4cd99c}');
QuarantineFile('C:\Program Files\ISaver\IIWdvrbSBkXqye.dll','');
QuarantineFile('C:\Program Files\GreatSiave4oU\YGKnDWToq4ZnE6.dll','');
QuarantineFile('C:\Program Files\EixxsturaSavings\RbJiQ2kLcKh4Do.dll','');
QuarantineFile('C:\Program Files\iTVA\LoviVkontakte2\lvk2.exe','');
DeleteFile('C:\Program Files\iTVA\LoviVkontakte2\lvk2.exe','32');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','LoviVkontakte2');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','LoviVkontakte2');
DeleteFile('C:\Program Files\EixxsturaSavings\RbJiQ2kLcKh4Do.dll','32');
DeleteFile('C:\Program Files\GreatSiave4oU\YGKnDWToq4ZnE6.dll','32');
DeleteFile('C:\Program Files\ISaver\IIWdvrbSBkXqye.dll','32');
DeleteFile('C:\Users\EFBB~1\AppData\Roaming\VOOUPD~1\UPDATE~1\UPDATE~1.EXE','32');
DeleteFile('C:\Windows\system32\Tasks\Voo Update','32');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Пофиксите в HiJack
[CODE]R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.mystartsearch.com/?type=hp&ts=1423825530&from=wpc&uid=WDCXWD1600AAJS-22PSA0_WD-WMAP9658747387473
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.mystartsearch.com/web/?type=ds&ts=1423825530&from=wpc&uid=WDCXWD1600AAJS-22PSA0_WD-WMAP9658747387473&q={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.mystartsearch.com/web/?type=ds&ts=1423825530&from=wpc&uid=WDCXWD1600AAJS-22PSA0_WD-WMAP9658747387473&q={searchTerms}
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.mystartsearch.com/?type=hp&ts=1423825530&from=wpc&uid=WDCXWD1600AAJS-22PSA0_WD-WMAP9658747387473
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.mystartsearch.com/?type=hp&ts=1423825530&from=wpc&uid=WDCXWD1600AAJS-22PSA0_WD-WMAP9658747387473
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.mystartsearch.com/web/?type=ds&ts=1423825530&from=wpc&uid=WDCXWD1600AAJS-22PSA0_WD-WMAP9658747387473&q={searchTerms}
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.mystartsearch.com/web/?type=ds&ts=1423825530&from=wpc&uid=WDCXWD1600AAJS-22PSA0_WD-WMAP9658747387473&q={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.mystartsearch.com/?type=hp&ts=1423825530&from=wpc&uid=WDCXWD1600AAJS-22PSA0_WD-WMAP9658747387473[/CODE]

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showthread.php?t=53070&p=1104657&viewfull=1#post1104657"]полного сканирования МВАМ[/url]

Сделано. Зловред пока на месте.

Поместите в карантин МВАМ все, [B]кроме[/B]
[CODE]Riskware.Crack, C:\Program Files\Portrait Professional Studio 10\PortraitProfessionalStudio.exe, , [5661d34d77138caa8d6591d5e22030d0],
PUP.PassView, C:\totalcmd_IT\Utilites\WebBrowserPassView\WebBrowserPassView.exe, , [2a8df12f4941bb7b99b59ef306fa3ac6],
PUP.Adware.MediaGet, C:\Users\?????±N???\Downloads\MediaGet_id1872315ids1s.exe, , [387f6bb55832152174ed4ebad828619f],
PUP.Optional.OpenCandy, C:\Users\?????±N???\Downloads\FreemakeAudioConverterSetup.exe, , [288fde427911fb3b3b425fa2a75c7c84],
PUP.Optional.Softonic, C:\Users\?????±N???\Downloads\SoftonicDownloader_for_ifunbox.exe, , [6552c759c3c78ea8e6dd0d4d26da1ce4],
PUP.Optional.LoadMoney, C:\Users\?????±N???\Downloads\torrent.zip, , [a80f9e824842f93de1b5be398f72e41c],
PUP.Optional.Solimba, C:\Users\?????±N???\Downloads\RSAS14.rar.exe, , [87304ed24a4067cf802dc59dea16718f],
Riskware.Crack, C:\Users\?????±N???\Downloads\Portrait Professional Studio v10.9.5 Final + Portable ML_RUS\Cracked\PortraitProfessionalStudio.exe, , [3e79e7396b1fd660ce2480e6bc462ad6],
Trojan.Dropped, D:\Program Files\LClock\hidcon.exe, , [1c9b43dd6f1b92a47b5d79cb837fcf31],
Trojan.Dropped, D:\WINDOWS.0\I386\Svcpack\DX9U.EXE, , [b7009090ccbe3ef813c50e36dc2638c8],
Trojan.Dropped, D:\WINDOWS.0\I386\Svcpack\MSXML.EXE, , [f6c1d64a1872231355833c08d42e25db],
Trojan.Dropped, D:\WINDOWS.0\I386\Svcpack\setcd.exe, , [f2c59a8618725cdac0181c28df23dd23],
Trojan.Dropped, D:\WINDOWS.0\I386\Svcpack\SOUNDVISTA.exe, , [5b5cd749e9a176c029af370d06fcc937], [/CODE]

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]

Выполнено.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Пока полные непонятки. При ручной перезагрузке хрома упорно, раз за разом, устанавливается расширение SAvELootS. Убиваешь расширение и до следующей перезагрузки браузера всё выглядит неплохо.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

И вновь прошу прощения за самодеятельность. AdwCleaner похоже решил проблему! Если косяки вновь продолжаться, то непременно отпишусь. Огромное спасибо хэлперам вирусинфо за поддержку и круглосуточный труд!

Логи FRST сделаны до самодеятеольности или после?

До. Свежие логи во вложении.

[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => No File
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION
ProxyEnable: [.DEFAULT] => Internet Explorer proxy is enabled.
ProxyServer: [.DEFAULT] => http=127.0.0.1:8080
HKU\S-1-5-21-2568379565-4118651681-1223779459-1000\Software\Microsoft\Internet Explorer\Main,Start Page Redirect Cache = http://ru.msn.com/?ocid=iehp
Toolbar: HKU\.DEFAULT -> No Name - {D4027C7F-154A-4066-A1AD-4243D8127440} - No File
BHO: Adobe PDF Link Helper -> {18DF081C-E8AD-4283-A596-FA578C2EBDC3} -> C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll No File
CHR dev: Chrome dev build detected! <======= ATTENTION
CHR StartupUrls: Default -> "hxxp://mail.ru/cnt/7993/", "hxxp://www.mystartsearch.com/?type=hp&ts=1423825530&from=wpc&uid=WDCXWD1600AAJS-22PSA0_WD-WMAP9658747387473"
CHR DefaultSuggestURL: Default -> {google:baseSuggestURL}search?{google:searchFieldtrialParameter}client={google:suggestClient}&gs_ri={google:suggestRid}&xssi=t&q={searchTerms}&{google:inputType}{google:cursorPosition}{google:currentPageUrl}{google:pageClassification}{google:searchVersion}{google:sessionToken}{google:prefetchQuery}sugkey={google:suggestAPIKeyParameter}
CHR HKLM\...\Chrome\Extension: [cncgohepihcekklokhbhiblhfcmipbdh] - No Path
CHR HKLM\...\Chrome\Extension: [gehngeifmelphpllncobkmimphfkckne] - No Path
CHR HKLM\...\Chrome\Extension: [pchfckkccldkbclgdepkaonamkignanh] - No Path
dict cc (HKLM\...\{AD11DADE-C597-45D9-D8C5-1D2EB0B89613}) (Version: - ) <==== ATTENTION
AlternateDataStreams: C:\ProgramData\TEMP:07BF512B
AlternateDataStreams: C:\Users\Все пользователи\TEMP:07BF512B
Reboot:
[/code][*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]

Сделано.

На этом всё

Мои комплименты. В очередной раз - спасибо команде virusinfo.info в целом и уважаемому [B]thyrex[/B], в частности!

Удалите МВАМ

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]12[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]