несанкционированное открытие окон в браузере [not-a-virus:WebToolbar.Win32.Agent.bih, not-a-virus:WebToolbar.Win32.Agent.big ]

Добрый день!
Пользуюсь Mozila FireFox. При переходе по ссылке несанкционирванно открывается окно сайта livejournal.me. Окно которое хотел открыть по ссылке не открывается. Приходится открывать еще раз. Со второй попытки попадаю туда куда хотел.

Уважаемый(ая) [B]korki123[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

В AVZ выполните скрипт:

[code]
begin
ClearQuarantine;
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
TerminateProcessByName('c:\program files (x86)\vk downloader\utikznzho9.exe');
TerminateProcessByName('c:\windows\temp\29563\update2332.exe');
QuarantineFile('C:\Program Files (x86)\Microsoft Data\InstallAddons.exe','');
QuarantineFile('C:\Program Files (x86)\VK Downloader\UTikzNzHO9.exe','');
QuarantineFile('C:\Program Files (x86)\advPlugin\_NPzSTtn8u.exe','');
QuarantineFile('C:\Windows\TEMP\advPlugin_restartonfail_exe\advPlugin.exe','');
DelBHO('{7CE987D5-11B3-44FC-9C3D-03069360D462}');
DelBHO('{3C6CF3C0-D800-4B4D-A3D8-8ADE406523B6}');
QuarantineFile('C:\Program Files (x86)\VK Downloader\K_l9EtqEFc.dll','');
DelBHO('{1FE48F08-A2AC-44AC-A21C-0556D91C50DA}');
QuarantineFile('C:\Program Files (x86)\advPlugin\Toolbar32.dll','');
QuarantineFile('c:\windows\temp\29563\update2332.exe','');
QuarantineFile('c:\program files (x86)\vk downloader\utikznzho9.exe','');
DeleteFile('c:\program files (x86)\vk downloader\utikznzho9.exe','32');
DeleteFile('c:\windows\temp\29563\update2332.exe','32');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','uztsriyjsx');
DeleteFile('C:\Program Files (x86)\advPlugin\Toolbar32.dll','32');
DeleteFile('C:\Program Files (x86)\VK Downloader\K_l9EtqEFc.dll','32');
DeleteFile('C:\Windows\TEMP\advPlugin_restartonfail_exe\advPlugin.exe','32');
DeleteFile('C:\Windows\Tasks\Rerun service for advPlugin.job','64');
DeleteFile('C:\Program Files (x86)\advPlugin\_NPzSTtn8u.exe','32');
DeleteFile('C:\Windows\Tasks\Update Service for advPlugin.job','64');
DeleteFile('C:\Windows\Tasks\Update Service for advPlugin2.job','64');
DeleteFile('C:\Program Files (x86)\VK Downloader\UTikzNzHO9.exe','32');
DeleteFile('C:\Windows\Tasks\Update Service for VK Downloader.job','64');
DeleteFile('C:\Windows\Tasks\Update Service for VK Downloader2.job','64');
DeleteFile('C:\Program Files (x86)\Microsoft Data\InstallAddons.exe','32');
DeleteFile('C:\Windows\system32\Tasks\chrome5','64');
DeleteFile('C:\Windows\system32\Tasks\chrome5_logon','64');
DeleteFile('C:\Windows\system32\Tasks\Rerun service for advPlugin','64');
DeleteFile('C:\Windows\system32\Tasks\Update Service for advPlugin','64');
DeleteFile('C:\Windows\system32\Tasks\Update Service for advPlugin2','64');
DeleteFile('C:\Windows\system32\Tasks\Update Service for VK Downloader','64');
DeleteFile('C:\Windows\system32\Tasks\Update Service for VK Downloader2','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(3);
ExecuteWizard('TSW',2,2,true);
RebootWindows(true);
end.
[/code]



После перезагрузки

[code]
begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.
[/code]


Пришлите карантин [b]quarantine.zip[/b] по красной ссылке [B][COLOR="Red"][U]Прислать запрошенный карантин[/U][/COLOR][/B] вверху темы.
- [url="http://virusinfo.info/showthread.php?t=10025"]Очистите[/url] темп-папки, кэш проводников, cookies и корзину.

Логи повторите.
+ Сделайте лог [b][url=http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk]CheckBrowserLnk[/url][/b]

Высылаю лог.

И еще вопрос, в KIS включен родительский контроль, который показывает, что происходит посещение непонятных веб-сайтов. Это можно как нибудь исправить?

Новые логи по правилам где?

+ Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]

Извините, не сразу понял про какие логи шла речь. Прикреплю их сейчас.

[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
HKU\S-1-5-21-3673007735-2561427064-1353505016-1001\...\Run: [amigo] => [X]
GroupPolicy: Group Policy on Chrome detected <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
CHR HKU\S-1-5-21-3673007735-2561427064-1353505016-1001\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
BHO: advPlugin -> {1FE48F08-A2AC-44AC-A21C-0556D91C50DA} -> C:\Program Files (x86)\advPlugin\Toolbar64.dll [2015-02-27] ()
BHO: VK Downloader -> {3C6CF3C0-D800-4B4D-A3D8-8ADE406523B6} -> C:\Program Files (x86)\VK Downloader\lLcemzEZeK.dll [2015-03-06] ()
FF Extension: NetFilterPRO - C:\Users\Игорь\AppData\Roaming\Mozilla\Firefox\Profiles\oix5249h.default\Extensions\[email protected] [2015-02-28]
FF Extension: Currency calc - C:\Users\Игорь\AppData\Roaming\Mozilla\Firefox\Profiles\oix5249h.default\Extensions\{1B1F6171-E8D6-4F5F-9778-3009CC2748E2} [2015-03-21]
FF Extension: Currency calc - C:\Users\Игорь\AppData\Roaming\Mozilla\Firefox\Profiles\oix5249h.default\Extensions\{1FE48F08-A2AC-44AC-A21C-0556D91C50DA} [2015-02-28]
FF Extension: VK Downloader - C:\Users\Игорь\AppData\Roaming\Mozilla\Firefox\Profiles\oix5249h.default\Extensions\{3C6CF3C0-D800-4B4D-A3D8-8ADE406523B6} [2015-03-12]
CHR HKLM\...\Chrome\Extension: [dbhjdbfgekjfcfkkfjjmlmojhbllhbho] - https://chrome.google.com/webstore/detail/dbhjdbfgekjfcfkkfjjmlmojhbllhbho [Not Found]
CHR HKLM-x32\...\Chrome\Extension: [bopakagnckmlgajfccecajhnimjiiedh] - http://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [dbhjdbfgekjfcfkkfjjmlmojhbllhbho] - https://chrome.google.com/webstore/detail/dbhjdbfgekjfcfkkfjjmlmojhbllhbho [Not Found]
2015-03-10 00:07 - 2015-03-10 00:07 - 00000000 ____D () C:\Users\Марина\AppData\Roaming\VK Downloader
2015-03-08 10:12 - 2015-03-08 10:12 - 00000258 __RSH () C:\Users\Марина\ntuser.pol
2015-03-08 10:10 - 2015-03-08 10:10 - 00000258 __RSH () C:\Users\Игорь\ntuser.pol
2015-03-07 17:33 - 2015-03-07 17:33 - 00000626 __RSH () C:\Users\Все пользователи\ntuser.pol
2015-03-07 17:33 - 2015-03-07 17:33 - 00000626 __RSH () C:\ProgramData\ntuser.pol
2015-03-07 17:32 - 2015-03-21 09:53 - 00000000 ____D () C:\Program Files (x86)\VK Downloader
C:\Users\Игорь\Favorites\Links\Интернет.url
2015-02-28 18:43 - 2015-02-28 18:43 - 00000000 ____D () C:\Users\Игорь\AppData\Roaming\advPlugin
2015-02-28 16:42 - 2015-02-28 16:42 - 00000000 __SHD () C:\Users\Игорь\AppData\Local\EmieUserList
2015-02-28 16:42 - 2015-02-28 16:42 - 00000000 __SHD () C:\Users\Игорь\AppData\Local\EmieSiteList
2015-02-28 16:42 - 2015-02-28 16:42 - 00000000 __SHD () C:\Users\Игорь\AppData\Local\EmieBrowserModeList
2015-02-28 16:29 - 2015-03-21 07:00 - 00000000 ____D () C:\Program Files (x86)\advPlugin
2015-02-28 16:29 - 2015-02-28 16:29 - 00000001 _____ () C:\Users\Игорь\AppData\Roaming\smw_inst
2015-02-28 16:28 - 2015-03-18 07:04 - 00000000 ____D () C:\Program Files (x86)\Microsoft Data
2015-02-28 16:26 - 2015-02-28 17:30 - 00000000 ____D () C:\Users\Игорь\AppData\Local\SystemDir
2015-02-13 21:59 - 2015-02-13 21:59 - 0000000 ____H () C:\ProgramData\DP45977C.lfl
C:\Users\Игорь\AppData\Local\Temp\ttv.exe
C:\Users\Марина\AppData\Local\Temp\amigo_setup.exe
Task: {9B17E4DC-4765-4582-A4AF-752B5123B423} - \nethost task No Task File <==== ATTENTION
Task: {EE315F35-F33A-4436-90E0-2937CFFD3B99} - \chrome5 No Task File <==== ATTENTION
Task: {FAEFAC05-BD1D-416D-9636-7E4755F541DA} - \chrome5_logon No Task File <==== ATTENTION
Reboot:
[/code][*]Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]

Сделал.

Что с проблемой?

Похоже, что проблема разрешилась!!! Спасибо!

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

При входе под аккаунтом Марина - снова выскочил livejournal.me.
Под аккаунтом Игорь - такого не наблюдается.

Сделайте логи Farbar из проблемного аккаунта

Из проблемного аккаунта farbar запускался первый раз, поэтому приложил еще addition

[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
HKLM-x32\...\Run: [] => [X]
HKU\S-1-5-21-3673007735-2561427064-1353505016-1001\Software\Microsoft\Internet Explorer\Main,Search Page = http://hi.ru/search/?q={searchTerms}
HKU\S-1-5-21-3673007735-2561427064-1353505016-1004\Software\Microsoft\Internet Explorer\Main,Start Page Redirect Cache = http://www.msn.com/ru-ru/?ocid=iehp
FF Extension: LinkExtend - C:\Users\Игорь\AppData\Roaming\Mozilla\Firefox\Profiles\oix5249h.default\Extensions\{cf47767d-5f3a-4e32-9fce-5d79565c9702}.xpi [2015-03-21]
2015-03-22 11:09 - 2015-03-22 11:09 - 00000008 __RSH () C:\Users\Марина\ntuser.pol
2015-03-22 10:06 - 2015-03-22 10:06 - 00000008 __RSH () C:\Users\Игорь\ntuser.pol
2015-03-22 10:06 - 2015-03-22 10:06 - 00000008 __RSH () C:\Users\Все пользователи\ntuser.pol
2015-03-22 10:06 - 2015-03-22 10:06 - 00000008 __RSH () C:\ProgramData\ntuser.pol
2015-03-22 10:06 - 2015-03-22 10:06 - 00000000 __SHD () C:\Users\Игорь\AppData\Local\EmieUserList
2015-03-22 10:06 - 2015-03-22 10:06 - 00000000 __SHD () C:\Users\Игорь\AppData\Local\EmieSiteList
2015-03-22 10:06 - 2015-03-22 10:06 - 00000000 __SHD () C:\Users\Игорь\AppData\Local\EmieBrowserModeList
Reboot:
[/code][*]Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]

Сделал. Буду следить.

Проблема в аккаунте Марина осталась. Если удалить этого пользователя и завести его заново проблема исчезнет?

Пробуйте

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]7[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\program files (x86)\advplugin\toolbar32.dll - [B]not-a-virus:WebToolbar.Win32.Agent.bgn[/B][*] c:\program files (x86)\vk downloader\k_l9etqefc.dll - [B]not-a-virus:WebToolbar.Win32.Agent.big[/B][*] c:\program files (x86)\vk downloader\utikznzho9.exe - [B]not-a-virus:WebToolbar.Win32.Agent.bih[/B][*] c:\windows\temp\advplugin_restartonfail_exe\advplugin.exe - [B]not-a-virus:WebToolbar.Win32.Agent.bsi[/B][*] c:\windows\temp\29563\update2332.exe - [B]not-a-virus:WebToolbar.Win32.Agent.bsi[/B][/LIST][/LIST]