Реклама в браузерах и самопроизвольная установка программ

Амиго вроде снёс сам, остальное не вышло. Из тех, что не смог - открывающиеся сайты в хроме и лисе. goinf и appbusy. Так же установились сами собой некоторые программы.
Полная проверка системы и проверка CureIt'ом ничего не дала
Два файла ибо 64bit

Уважаемый(ая) [B]OwO[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\Program Files (x86)\Torrent Search\Toolbar32.dll','');
DelBHO('{44627DAE-18B6-4ABC-8B22-13979EDFC56D}');
DelBHO('{05EB6920-D8AD-4350-BEF1-4F7107F70431}');
QuarantineFile('C:\Program Files (x86)\Google\chrome.bat','');
SetServiceStart('Update Service for Torrent Search', 4);
DeleteService('Update Service for Torrent Search');
TerminateProcessByName('c:\program files (x86)\torrent search\basement\extensionupdaterservice.exe');
QuarantineFile('c:\program files (x86)\torrent search\basement\extensionupdaterservice.exe','');
QuarantineFile('c:\users\Андрей\downloads\downloadyoutube.exe','');
TerminateProcessByName('c:\users\Андрей\appdata\local\c51e3058-1424532723-e311-a385-201a06f68bd6\bnsj448.exe');
QuarantineFile('c:\users\Андрей\appdata\local\c51e3058-1424532723-e311-a385-201a06f68bd6\bnsj448.exe','');
DeleteFile('c:\users\Андрей\appdata\local\c51e3058-1424532723-e311-a385-201a06f68bd6\bnsj448.exe','32');
DeleteFile('c:\program files (x86)\torrent search\basement\extensionupdaterservice.exe','32');
DeleteFile('C:\Program Files (x86)\Google\chrome.bat','32');
DeleteFile('C:\Users\Андрей\AppData\Local\Amigo\Application\ok.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','WinCheck');
DeleteFile('C:\Program Files (x86)\Torrent Search\Toolbar32.dll','32');
DeleteFile('C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe','32');
DeleteFile('C:\Windows\Tasks\APSnotifierPP1.job','64');
DeleteFile('C:\Windows\Tasks\APSnotifierPP2.job','64');
DeleteFile('C:\Windows\Tasks\APSnotifierPP3.job','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP1','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP2','64');
DeleteFile('C:\Windows\system32\Tasks\APSnotifierPP3','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Пофиксите в HiJack
[CODE]R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=d6699ea0bc9a0ee60d6711d2d6c63692&text={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=d6699ea0bc9a0ee60d6711d2d6c63692&text={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=d6699ea0bc9a0ee60d6711d2d6c63692&text=
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=d6699ea0bc9a0ee60d6711d2d6c63692&text=
O13 - DefaultPrefix: http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=d6699ea0bc9a0ee60d6711d2d6c63692&text=[/CODE]

Сделайте новые логи

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]

от AVZ карантин выслал
Что можете сказать об Advanced System Care Free? вроде бы и антивирусник, а скачался вместе с Амиго и прочей дрянью...

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Google Chrome по прежнему заражен...
С Firefox всё в порядке

[quote="OwO;1233666"]Что можете сказать об Advanced System Care Free?[/quote]Удалите

[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
GroupPolicy: Group Policy on Chrome detected <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
SearchScopes: HKU\S-1-5-21-207246901-3392940432-361761128-1000 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3C} URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=d6699ea0bc9a0ee60d6711d2d6c63692&text={searchTerms}
SearchScopes: HKU\S-1-5-21-207246901-3392940432-361761128-1000 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3C} URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=d6699ea0bc9a0ee60d6711d2d6c63692&text={searchTerms}
SearchScopes: HKU\S-1-5-21-207246901-3392940432-361761128-1000 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3D} URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=d6699ea0bc9a0ee60d6711d2d6c63692&text=
BHO-x32: No Name -> {8984B388-A5BB-4DF7-B274-77B879E179DB} -> No File
FF Extension: Advanced SystemCare Surfing Protection - C:\Users\Андрей\AppData\Roaming\Mozilla\Firefox\Profiles\qqs1axga.default\Extensions\[email protected] [2015-02-21]
CHR Extension: (Универсальный перевод для Chrome) - C:\Users\Андрей\AppData\Local\Google\Chrome\User Data\Default\Extensions\djflhoibgkdhkhhcedjiklpkjnoahfmg [2015-02-21]
2015-02-21 16:41 - 2015-02-21 16:41 - 00000000 __SHD () C:\Users\Андрей\AppData\Roaming\AnyProtectEx
2015-02-21 15:30 - 2015-02-21 15:30 - 00000000 ____D () C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Advanced SystemCare 8
2015-02-21 15:30 - 2015-02-21 15:30 - 00000000 ____D () C:\ProgramData\{BAF091CA-86C4-4627-ADA1-897E2621C1B0}
2015-02-21 15:30 - 2015-01-26 20:46 - 00338032 ____H (Mozilla Corporation) C:\firеfох.bаt.exe
2015-02-21 15:28 - 2015-02-21 16:11 - 00000000 ____D () C:\Users\Андрей\AppData\Local\Amigo
2015-02-21 19:08 - 2014-12-21 15:48 - 00000670 __RSH () C:\Users\Все пользователи\ntuser.pol
2015-02-21 19:08 - 2014-12-21 15:48 - 00000670 __RSH () C:\ProgramData\ntuser.pol
Advanced SystemCare 8 (HKLM-x32\...\Advanced SystemCare 8_is1) (Version: 8.1.0 - IObit)
Reboot:
[/code][*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]

В Хроме megogo вылазит...

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Мда, опять просто из ниоткуда скачались новые программы... я ничего нигде не качал сейчас и сайтов никаких не открывал. Видимо это вирус в системе качает мне их. Делаю новые логи...

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
QuarantineFile('C:\supermegabest\run_setup.bat','');
TerminateProcessByName('c:\users\Андрей\appdata\local\mail.ru\mailruupdater.exe');
QuarantineFile('c:\users\Андрей\appdata\local\mail.ru\mailruupdater.exe','');
TerminateProcessByName('c:\users\Андрей\appdata\local\temp\68918\mailruhomesearchvbm.exe');
QuarantineFile('c:\users\Андрей\appdata\local\temp\68918\mailruhomesearchvbm.exe','');
DeleteFile('c:\users\Андрей\appdata\local\temp\68918\mailruhomesearchvbm.exe','32');
DeleteFile('c:\users\Андрей\appdata\local\mail.ru\mailruupdater.exe','32');
DeleteFile('C:\Users\Андрей\AppData\Local\Amigo\Application\ok.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','mailruhomesearchvbm');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','MailRuUpdater');
DeleteFile('C:\supermegabest\run_setup.bat','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\RunOnce','SuperMegaBest');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

[B]Сделайте новые логи по правилам[/B]

Сделайте новый лог FRST

Готово

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Насчет карантина - при загрузке пишет что я уже добавлял такой файл, т.е. получается АВЗ тот же самый файл в карантин занес

[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
FF HKLM\...\Firefox\Extensions: [jid1-n5ARdBzHkUEdAA@jetpack] - C:\Users\Андрей\AppData\Roaming\Mozilla\Extensions\jid1-n5ARdBzHkUEdAA@jetpack
FF Extension: SuperMegaBest.com - C:\Users\Андрей\AppData\Roaming\Mozilla\Extensions\jid1-n5ARdBzHkUEdAA@jetpack [2015-02-22]
FF HKLM-x32\...\Firefox\Extensions: [jid1-n5ARdBzHkUEdAA@jetpack] - C:\Users\Андрей\AppData\Roaming\Mozilla\Extensions\jid1-n5ARdBzHkUEdAA@jetpack
CHR HKLM-x32\...\Chrome\Extension: [aonedlchkbicmhepimiahfalheedjgbh] - https://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [nphbmanpfjfdngbaamhajooihmjacmfe] - https://clients2.google.com/service/update2/crx?response=redirect\\&x=id%3Dnphbmanpfjfdngbaamhajooihmjacmfe%26uc%26lang%3Den-US&prod=chrome"
OPR Extension: (Универсальный перевод для Chrome) - C:\Users\Андрей\AppData\Roaming\Opera Software\Opera Stable\Extensions\djflhoibgkdhkhhcedjiklpkjnoahfmg [2015-02-21]
Reboot:
[/code][*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]

надеюсь избавились...
__
чертов Хром не лечится, может снести его? и еще Эксплорер с Оперой которые я не использую.
А с Мозиллой всё в порядке

Сделайте лог [url="http://virusinfo.info/showpost.php?p=493610&postcount=1"]ComboFix[/url]

Кажется комбофикс что то удалил)

Обнови софт удалите через Установку программ

Скопируйте текст ниже в Блокнот и сохраните как файл с названием [B]CFScript.txt[/B] [B][COLOR="#0000CD"]в корень диска С[/COLOR][/B]
[code]KillAll::

File::
c:\windows\SysWow64\GroupPolicy
C:\firefox.bat

Driver::

Folder::
c:\users\Андрей\AppData\Roaming\Obnovi Soft

Registry::

FileLook::

DirLook::
c:\users\Андрей\AppData\Roaming\Steam
[/code]
После сохранения переместите [B]CFScript.txt[/B] на пиктограмму ComboFix.exe.
[img]http://i076.radikal.ru/1003/e5/554faea12baf.gif[/img]
Когда сохранится новый отчет [B]ComboFix.txt[/B], прикрепите его к сообщению.

Готово

Папку c:\users\Андрей\AppData\Roaming\Steam\CODEX удалите

Что с проблемой?

Кажется, полностью очистили) Хром даже заработал нормально, и я еще все папки поудалял от IOBit и всякой другой шняги и сами программы эти, так что теперь спокойно всё, Вам спасибо огромное :>
В скором времени может поддержу проект, закину пару сотен)

[url="http://virusinfo.info/showpost.php?p=500136&postcount=2"]Удалите ComboFix[/url]

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]