GoSave: некоторые файлы имеют тип GoSave, в том числе файлы из папки Etc

Здравствуйте, у меня система Windows 7 64bit Ultimate, я вроде избавился от GoSave, везде его попереудалял: и в реестре, и в Хроме, и в Эксплорере, но, как я обнаружил сегодня, в папке Etc файлы имеют тип GoSave, что меня насторожило. Попробовал скачать оригинал папки, но уже при скачивании они автоматом стали такого же типа: GoSave. Я проверил на диске С, какие ещё файлы имеют тип GoSave, и их оказалось немало: в папке AdobePhotoshop CS2, Java, ABBYY FineReader, Adobe, P-CAD 2004.
Помимо этого есть небольшая проблема с открытием вкладок в Хроме. При запуске браузера выходит постоянно новая вкладка с адресом google.ru/?gfe_rd=cr&ei=neAXVcHnCMeCYKSvgdgK&gws_rd=ssl, никак не могу её убрать, всё уже перепробовал.

Сделал диагностику обеими программами [B]AVZ[/B] (у меня 64-разрядная система, поэтому приложу только файл syscheck.zip) и [B]HiJackThis[/B] (при диагностике это прогой вышло предупреждение на счет файла hosts, я так думаю, что это из-за того, что он имеет тип файла GoSave и никак не изменяется, то есть он пустой вообще, если его смотреть блокнотом).

Уважаемый(ая) [B]alekskent[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[URL="http://virusinfo.info/showthread.php?t=165835"]Пофиксите[/URL] следующие строчки в HiJackThis (некоторые строки могут отсутствовать).

[CODE]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=1fab8e01e6d30cd2f3a3e1ad91bdba33&text={searchTerms}
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=1fab8e01e6d30cd2f3a3e1ad91bdba33&text={searchTerms}
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.sweet-page.com/web/?type=ds&ts=1406492290&from=cor&uid=395049983_397234_587398E5&q={searchTerms}
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.sweet-page.com/web/?type=ds&ts=1406492290&from=cor&uid=395049983_397234_587398E5&q={searchTerms}
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=1fab8e01e6d30cd2f3a3e1ad91bdba33&text=
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=1fab8e01e6d30cd2f3a3e1ad91bdba33&text=
R3 - URLSearchHook: (no name) - {0633EE93-D776-472f-A0FF-E1416B8B2E3D} - (no file)
O2 - BHO: GoSave - {28c78dd2-6319-4a96-95ab-fb3691a5e5bd} - (no file)
O2 - BHO: (no name) - {D5FEC983-01DB-414a-9456-AF95AC9ED7B5} - (no file)
O3 - Toolbar: (no name) - {91397D20-1446-11D4-8AF4-0040CA1127B6} - (no file)
O4 - Startup: Core Temp.lnk = ?
O9 - Extra button: (no name) - {8DAE90AD-4583-4977-9DD4-4360F7A45C74} - (no file)
O9 - Extra button: (no name) - AutorunsDisabled - (no file) (HKCU)
O13 - DefaultPrefix: http://yamdex.net/?searchid=1&l10n=ru&fromsearch=1&imsid=1fab8e01e6d30cd2f3a3e1ad91bdba33&text=


[/CODE]

[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].

[LIST=1][*]Скачайте [url=http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk]CheckBrowserLnk[/url] и сохраните архив с утилитой на [b]Рабочем столе[/b][*]Распакуйте архив с утилитой в отдельную папку[*]Запустите [b]checkbrowserslnk.exe[/b][INDENT][SIZE="1"][B]Обратите внимание[/B], что утилиты необходимо запускать от имени Администратора. По умолчанию в [b]Windows XP[/b] так и есть. В [b]Windows Vista[/b] и [b]Windows 7[/b] администратор понижен в правах по умолчанию, поэтому, не забудьте нажать правой кнопкой на программу, выбрать [b]Запуск от имени Администратора[/b], при необходимости укажите пароль администратора и нажмите [b]Да[/b][/SIZE][/INDENT][*]После окончания работы программы в папке [b]Log[/b] будет сохранен отчет [b]CheckBrowserLnk.log[/b][*]Прикрепите этот отчет в вашей теме.[/LIST]

Сделал, как вы сказали. В приложении логи

[list][*]Скачайте [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]ClearLNK[/url] и сохраните архив с утилитой на рабочем столе.[*]Распакуйте архив с утилитой в отдельную папку.[*]Перенесите [B]Check_Browsers_LNK.log[/B] на ClearLNK как показано на рисунке

[img]http://dragokas.com/tools/move.gif[/img]
[*]Отчет о работе [b]ClearLNK-<Дата>.log[/b] будет сохранен в папке [b]LOG[/b].[*]Прикрепите этот отчет к своему следующему сообщению.[/list]

[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). Отчет после удаления прикрепите.

Сделал, как вы написали. С AdwCleaner не знал, какой лог вам именно прислать (R1 или S0 - они вроде одинаковы, просто размер документа немного разный), поэтому прислал оба.

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что под окном [b]Optional Scan[/b] отмечены [i]"List BCD"[/i], [i]"Driver MD5"[/i] и [i]"90 Days Files"[/i].[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]http://i.imgur.com/3munStB.png[/img]

Первый результат уже есть: при открытии браузера Хром не открывается больше новая вкладка.
В приложении 2 файла, как вы и просили

[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
CloseProcesses:
GroupPolicy: Group Policy on Chrome detected <======= ATTENTION
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.sweet-page.com/web/?type=ds&ts=1406492290&from=cor&uid=395049983_397234_587398E5&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.sweet-page.com/web/?type=ds&ts=1406492290&from=cor&uid=395049983_397234_587398E5&q={searchTerms}
BHO: ExplorerWnd Helper -> {10921475-03CE-4E04-90CE-E2E7EF20C814} -> No File
Toolbar: HKU\S-1-5-21-3952689921-417322613-2932575434-1001 -> No Name - {468CD8A9-7C25-45FA-969E-3D925C689DC4} - No File
CHR HKLM-x32\...\Chrome\Extension: [ajkpgdiejopejkllbihfkpcbmgclpkij] - https://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [iapdadaeaebaoigieglfababneoaifnf] - https://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pleoihkpdomoijdpaibdciidfoeedamm] - https://clients2.google.com/service/update2/crx
OPR Extension: (Everysale.Net) - C:\Users\Aleks\AppData\Roaming\Opera Software\Opera Stable\Extensions\iapdadaeaebaoigieglfababneoaifnf [2015-03-07]
OPR Extension: (vkSaver Plus) - C:\Users\Aleks\AppData\Roaming\Opera Software\Opera Stable\Extensions\inaenlllflboilfgkemmadfmionaggbc [2014-09-29]
OPR Extension: (Neiron Search Tools) - C:\Users\Aleks\AppData\Roaming\Opera Software\Opera Stable\Extensions\oehahoblpagnioelpmminjmlpnabnmok [2015-03-07]
OPR Extension: (PhoenixGuard - бесплатный антивирусный тулбар) - C:\Users\Aleks\AppData\Roaming\Opera Software\Opera Stable\Extensions\pleoihkpdomoijdpaibdciidfoeedamm [2015-03-07]
OPR Extension: (vkSaver Plus) - C:\Users\Aleks\AppData\Local\cpl\Opera\Opera Stable\ollojkkgpljbfmjahialmefnmbccnhpn\ [2015-03-07]
S3 36AAFA81; No ImagePath
S3 4CFF2789; No ImagePath
S3 4D8F9449; No ImagePath
S3 5E401153; No ImagePath
S3 AABDFA00; No ImagePath
S3 B6B35ACE; No ImagePath
2015-03-07 13:30 - 2015-03-07 13:30 - 00000000 ____D () C:\Users\Aleks\AppData\Roaming\phoenixguard
2015-03-07 13:30 - 2015-03-07 13:30 - 00000000 ____D () C:\Users\Aleks\AppData\Roaming\Neiron
EmptyTemp:
[/code][*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]

Fixlist после перезагрузки пропал. Fixlog в приложении

Что с проблемой?

В браузере перестала открываться новая страница с google.com, но файлы так и остались типа GoSave

[QUOTE=alekskent;1254552]В браузере перестала открываться новая страница с google.com, но файлы так и остались типа GoSave[/QUOTE]
Скриншот сделайте, а то непонятно о чем идет речь.

Приложил 2 скрина с поиском по диску С файлов с типом GoSave и как наглядный пример - файлы на рабочем столе в папке backups и файлы в папке Etc

P.S. в Хроме при открытии стала появляться в Панели закладок закладка с названием Addons и безымянная закладка с изображением папки

[LIST=1][*]Скачайте архив с утилитой [URL="http://download.bleepingcomputer.com/steelwerx/regsearch.zip"][B]Registry Search[/B][/URL] и распакуйте его в отдельную папку на рабочем столе.[*]Запустите утилиту.[*]В верхнем окне, предназначенном для поиска введите:
[CODE]
GoSave
[/CODE][*]Нажмите кнопку "[B]OK[/B]".[*]В блокноте откроется текст, скопируйте его и вставьте в следующее сообщение.[/LIST]

[CODE]Windows Registry Editor Version 5.00

; Registry Search 2.0 by Bobbi Flekman © 2005
; Version: 2.0.6.0

; Results at 01.04.2015 23:00:28 for strings:
; 'gosave'
; Strings excluded from search:
; (None)
; Search in:
; Registry Keys Registry Values Registry Data
; HKEY_LOCAL_MACHINE HKEY_USERS


[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.]
@="GoSave"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\..9]
@="GoSave"

[HKEY_USERS\S-1-5-21-3952689921-417322613-2932575434-1001\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.\OpenWithProgids]
; Contents of value:
; !"$%&$#!%&$#!$#%!&$#&%!$#%$"!DF!CXY!DWCER"!
"GoSave"=hex(0):

; End Of The Log...[/CODE]

[LIST=1]Создайте новую точку восстановления[LIST][*]Нажмите [B]Пуск - Программы – Стандартные – Служебные – Восстановление системы[/B], выберите [B]Создать точку восстановления[/B], нажмите [B]Далее[/B], введите имя точки восстановления и нажмите [B]Создать[/B].[/LIST]

[*]Скачайте [B]Windows Repair (all in one)[/B] с [URL="http://www.tweaking.com/files/setups/tweaking.com_windows_repair_aio_setup.exe"]этой страницы[/URL][*]Установите программу и запустите ее.[*]Перейдите на вкладку [B]Repairs[/B][*]На этой вкладке щелкните по кнопке [B]Open Repairs[/B][*]В левой части окна отметьте галочками следующие пункты и затем кнопку [B]Start Repairs[/B][CODE]
Repair File Associations
[/CODE][*][B][COLOR="Red"]НЕ ИСПОЛЬЗУЙТЕ[/COLOR][/B] компьютер пока идет сканирование.[*]После процедуры восстановления может [B]потребоваться перезагрузка[/B].[/LIST]

Сделал, как вы написали. Ничего не поменялось. Но в этой программе я отметил галочкой именно этот пункт, а все остальные галочки снял. Так и надо было? Или нужно было выделить [B]Repair File Assotiations[/B] помимо уже выделенных?

Помимо этого появилась ещё вот такая проблемка (в приложении скрин). Этот файл обнаруживается антивирусом при каждом запуске. При поиске вручную по этой директории оказывается, что папки на диске С вообще нет

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что под окном [b]Optional Scan[/b] отмечены [i]"List BCD"[/i], [i]"Driver MD5"[/i] и [i]"90 Days Files"[/i].[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]http://i.imgur.com/3munStB.png[/img]

Addition и FRST в приложении