Реклама в браузерах. Много рекламы.

Printable View

03.04.2015, 21:42
Iron_Rat

Реклама в браузерах. Много рекламы.

Win 8.1
Браузеры: Chromе и Mozilla Firefox просто переполнены баннерами и страдают от ненужных редиректов.
В IE и портабельном Safari этого не происходит.

З.Ы. Кроме всех этих "прелестей" каким-то образом самоудалился MSE-антивирус...

Логи прикрепляю
03.04.2015, 21:44
Info_bot

Уважаемый(ая) [B]Iron_Rat[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
04.04.2015, 12:13
thyrex

Выполните скрипт в AVZ
[code]begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
then
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
end;
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
QuarantineFile('C:\Program Files (x86)\iWebar\cd2b61bd-49aa-43dd-9b13-87b00ccfc871-5.exe','');
QuarantineFile('C:\Program Files (x86)\SensePlus\ae92a452-5bac-4ee7-a64d-a71878b2b285-5.exe','');
QuarantineFile('C:\Program Files (x86)\CinePlus-1.2V04.12\7af0eb79-e46f-4a53-acb5-c6949ec0daac.exe','');
QuarantineFile('C:\Program Files (x86)\CinePlus-1.2V04.12\471d29d4-51a0-4672-8005-b59713a136b3-5.exe','');
QuarantineFile('C:\Users\Андрей\AppData\Roaming\Copy\CopyAgent.exe','');
QuarantineFile('C:\Windows\system32\drivers\wpnfd_1_10_0_4.sys','');
DeleteService('wpnfd_1_10_0_4');
DeleteFile('C:\Windows\system32\drivers\wpnfd_1_10_0_4.sys','32');
DeleteFile('C:\Program Files (x86)\CinePlus-1.2V04.12\471d29d4-51a0-4672-8005-b59713a136b3-5.exe','32');
DeleteFile('C:\Program Files (x86)\CinePlus-1.2V04.12\7af0eb79-e46f-4a53-acb5-c6949ec0daac.exe','32');
DeleteFile('C:\Program Files (x86)\SensePlus\ae92a452-5bac-4ee7-a64d-a71878b2b285-5.exe','32');
DeleteFile('C:\Program Files (x86)\iWebar\cd2b61bd-49aa-43dd-9b13-87b00ccfc871-5.exe','32');
DeleteFile('C:\Windows\Tasks\G3v7UKSlTbfB.job','64');
DeleteFile('C:\Windows\Tasks\GFFJ.job','64');
DeleteFile('C:\Windows\Tasks\IXOYHGS.job','64');
DeleteFile('C:\Windows\Tasks\JTWREEK.job','64');
DeleteFile('C:\Windows\Tasks\k8EAetnKbbtYGpw1r.job','64');
DeleteFile('C:\Windows\Tasks\NGfJh0rKaHt.job','64');
DeleteFile('C:\Windows\Tasks\nRYV8qKpmHbn44TXyWx.job','64');
DeleteFile('C:\Windows\Tasks\OBG.job','64');
DeleteFile('C:\Windows\Tasks\rI6PDdsBXNSeYylPSa6GRLP2f.job','64');
DeleteFile('C:\Windows\Tasks\TOPZSFA.job','64');
DeleteFile('C:\Windows\Tasks\TSKI.job','64');
DeleteFile('C:\Windows\Tasks\ueIDrWjOtTpDiJpJYN02TFlz.job','64');
DeleteFile('C:\Windows\Tasks\uhaUEtsg2djhTwjST.job','64');
DeleteFile('C:\Windows\Tasks\XIGVCFH.job','64');
DeleteFile('C:\Windows\Tasks\YXLCPU.job','64');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.[/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 2[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] над первым сообщением темы.

[B][COLOR="Blue"]Сделайте новые логи по правилам[/COLOR][/B]

Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что в окне [b]Optional Scan[/b] отмечены [i]"List BCD"[/i] и [i]"Driver MD5"[/i].
[img]http://i.imgur.com/B92LqRQ.png[/img][*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
04.04.2015, 18:17
Iron_Rat

Скрипт выполнил, логи сделал
05.04.2015, 00:52
thyrex

Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку, откуда была запущена утилита Farbar Recovery Scan Tool:
[code]
CreateRestorePoint:
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
CHR HKU\S-1-5-21-3950700253-3024554477-2717811946-1001\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.mystartsearch.com/web/?type=ds&ts=1418752428&from=smt&uid=SAMSUNGXHD103SJ_S246J9CB125904&q={searchTerms}
HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.mystartsearch.com/web/?type=ds&ts=1418752428&from=smt&uid=SAMSUNGXHD103SJ_S246J9CB125904&q={searchTerms}
CHR Extension: (aapbdbdomjkkjkaonfhkkikfgjllcleb) - C:\Users\Андрей\AppData\Local\Google\Chrome\User Data\Profile 1\Extensions\aapbdbdomjkkjkaonfhkkikfgjllcleb [2015-04-03]
CHR Extension: (bpphkkgodbfncbcpgopijlfakfgmclao) - C:\Users\Андрей\AppData\Local\Google\Chrome\User Data\Profile 1\Extensions\bpphkkgodbfncbcpgopijlfakfgmclao [2015-04-03]
CHR Extension: (cfnpidifppmenkapgihekkeednfoenal) - C:\Users\Андрей\AppData\Local\Google\Chrome\User Data\Profile 1\Extensions\cfnpidifppmenkapgihekkeednfoenal [2015-04-02]
CHR Extension: (fhffefhdkeibnkdldinbncimlojchnie) - C:\Users\Андрей\AppData\Local\Google\Chrome\User Data\Profile 1\Extensions\fhffefhdkeibnkdldinbncimlojchnie [2015-04-04]
CHR Extension: (kkgjcknlnbcciacdklmnafmfcfjnpcja) - C:\Users\Андрей\AppData\Local\Google\Chrome\User Data\Profile 1\Extensions\kkgjcknlnbcciacdklmnafmfcfjnpcja [2015-04-01]
CHR Extension: (aapbdbdomjkkjkaonfhkkikfgjllcleb) - C:\Users\Андрей\AppData\Local\Google\Chrome\User Data\Profile 2\Extensions\aapbdbdomjkkjkaonfhkkikfgjllcleb [2015-04-03]
CHR Extension: (bpphkkgodbfncbcpgopijlfakfgmclao) - C:\Users\Андрей\AppData\Local\Google\Chrome\User Data\Profile 2\Extensions\bpphkkgodbfncbcpgopijlfakfgmclao [2015-04-03]
CHR Extension: (cfnpidifppmenkapgihekkeednfoenal) - C:\Users\Андрей\AppData\Local\Google\Chrome\User Data\Profile 2\Extensions\cfnpidifppmenkapgihekkeednfoenal [2015-04-02]
CHR Extension: (fhffefhdkeibnkdldinbncimlojchnie) - C:\Users\Андрей\AppData\Local\Google\Chrome\User Data\Profile 2\Extensions\fhffefhdkeibnkdldinbncimlojchnie [2015-04-04]
CHR Extension: (kkgjcknlnbcciacdklmnafmfcfjnpcja) - C:\Users\Андрей\AppData\Local\Google\Chrome\User Data\Profile 2\Extensions\kkgjcknlnbcciacdklmnafmfcfjnpcja [2015-04-01]
2015-04-04 11:16 - 2015-04-04 11:16 - 00001006 _____ () C:\Windows\Tasks\gzop0uo8.job
2015-04-04 11:15 - 2015-04-04 19:04 - 00001336 _____ () C:\Windows\Tasks\helper_king_notification_service.job
2015-04-04 11:15 - 2015-04-04 19:04 - 00000698 _____ () C:\Windows\Tasks\helper_king_updating_service.job
2015-04-04 11:15 - 2015-04-04 11:15 - 00004332 _____ () C:\Windows\System32\Tasks\helper_king_notification_service
2015-04-04 11:15 - 2015-04-04 11:15 - 00003694 _____ () C:\Windows\System32\Tasks\helper_king_updating_service
2015-04-04 11:15 - 2015-04-04 11:15 - 00001006 _____ () C:\Windows\Tasks\WQwVQQCm.job
2015-04-04 11:15 - 2015-04-04 11:15 - 00000000 ____D () C:\Program Files (x86)\helper king
CHR Extension: (helper king) - C:\Users\Андрей\AppData\Local\Google\Chrome\User Data\Default\Extensions\obhekfgkiebcdiemikbpipliohcokogk [2015-04-04]
CHR Extension: (kin kon) - C:\Users\Андрей\AppData\Local\Google\Chrome\User Data\Profile 1\Extensions\jlinpflaifheoeohbdffhfnnpghdnlel [2015-04-03]
CHR Extension: (helper king) - C:\Users\Андрей\AppData\Local\Google\Chrome\User Data\Profile 1\Extensions\obhekfgkiebcdiemikbpipliohcokogk [2015-04-04]
CHR Extension: (kin kon) - C:\Users\Андрей\AppData\Local\Google\Chrome\User Data\Profile 2\Extensions\jlinpflaifheoeohbdffhfnnpghdnlel [2015-04-03]
CHR Extension: (kong games) - C:\Users\Андрей\AppData\Local\Google\Chrome\User Data\Profile 2\Extensions\pogchimbndbckepmhaagnapfmlfgnala [2015-04-03]
2015-04-03 18:49 - 2015-04-03 18:49 - 01577472 _____ () C:\Users\Андрей\AppData\Roaming\WQwVQQCm.exe
2015-04-03 18:49 - 2015-04-03 18:49 - 01224704 _____ () C:\Users\Андрей\AppData\Roaming\gzop0uo8.exe
2015-04-02 17:01 - 2015-04-02 17:01 - 00001040 _____ () C:\Windows\Tasks\1ryjndTXRPJml5XK45gWIuuwk.job
2015-04-02 00:01 - 2015-04-04 19:04 - 00000004 _____ () C:\Windows\SysWOW64\029B560A371F4E00AB32838EBC01B9E7
2015-03-31 13:14 - 2015-03-31 13:14 - 00005655 _____ () C:\Users\Андрей\AppData\Roaming\WQwVQQCm
2015-03-31 13:14 - 2015-03-31 13:14 - 00004387 _____ () C:\Users\Андрей\AppData\Roaming\gzop0uo8
2015-03-18 19:12 - 2014-12-12 17:45 - 00000000 ____D () C:\Users\Все пользователи\5667214970125394069
2015-03-18 19:12 - 2014-12-12 17:45 - 00000000 ____D () C:\ProgramData\5667214970125394069
Task: C:\Windows\Tasks\1ryjndTXRPJml5XK45gWIuuwk.job => C:\Users\эяэяэяэяэяэя\AppData\Roaming\1ryjndTXRPJml5XK45gWIuuwk.exe
Task: C:\Windows\Tasks\2c511d52-7693-4ed4-9079-996023e7571e-5_user.job => C:\Program Files (x86)\App Lid\2c511d52-7693-4ed4-9079-996023e7571e-5.exe <==== ATTENTION
Task: C:\Windows\Tasks\471d29d4-51a0-4672-8005-b59713a136b3-5_user.job => C:\Program Files (x86)\CinePlus-1.2V04.12\471d29d4-51a0-4672-8005-b59713a136b3-5.exe <==== ATTENTION
Task: C:\Windows\Tasks\747e7df7-282f-44e2-9f48-8b58b13b8d90.job => C:\Program Files (x86)\SmartSaver+ 15\747e7df7-282f-44e2-9f48-8b58b13b8d90.exe <==== ATTENTION
Task: C:\Windows\Tasks\7af0eb79-e46f-4a53-acb5-c6949ec0daac.job => C:\Program Files (x86)\CinePlus-1.2V04.12\7af0eb79-e46f-4a53-acb5-c6949ec0daac.exe <==== ATTENTION
Task: C:\Windows\Tasks\9eebd091-dd85-46a4-ad1e-cf52cc007fc6-5_user.job => C:\Program Files (x86)\SmartSaver+ 15\9eebd091-dd85-46a4-ad1e-cf52cc007fc6-5.exe <==== ATTENTION
C:\Program Files (x86)\CinePlus-1.2V04.12
Task: C:\Windows\Tasks\ae92a452-5bac-4ee7-a64d-a71878b2b285-5_user.job => C:\Program Files (x86)\SensePlus\ae92a452-5bac-4ee7-a64d-a71878b2b285-5.exe <==== ATTENTION
Task: C:\Windows\Tasks\bd90c08e-56e0-4989-b76d-4f26704ac822-5_user.job => C:\Program Files (x86)\SmartSaver+ 15\bd90c08e-56e0-4989-b76d-4f26704ac822-5.exe <==== ATTENTION
Task: C:\Windows\Tasks\be209302-6c5f-4a2d-9dab-303f0af33366.job => C:\Program Files (x86)\SmartSaver+ 15\be209302-6c5f-4a2d-9dab-303f0af33366.exe <==== ATTENTION
Task: C:\Windows\Tasks\cd2b61bd-49aa-43dd-9b13-87b00ccfc871-5_user.job => C:\Program Files (x86)\iWebar\cd2b61bd-49aa-43dd-9b13-87b00ccfc871-5.exe <==== ATTENTION
Task: C:\Windows\Tasks\f72568d9-a3ec-45be-93e0-9f4ce730882b.job => C:\Program Files (x86)\App Lid\f72568d9-a3ec-45be-93e0-9f4ce730882b.exe <==== ATTENTION
C:\Program Files (x86)\SmartSaver+ 15
C:\Program Files (x86)\SensePlus
Task: C:\Windows\Tasks\gzop0uo8.job => C:\Users\эяэяэяэяэяэя\AppData\Roaming\gzop0uo8.exe
C:\Users\эяэяэяэяэяэя\AppData\Roaming\gzop0uo8.exe
C:\Users\эяэяэяэяэяэя\AppData\Roaming\WQwVQQCm.exe
C:\Program Files (x86)\iWebar
Task: C:\Windows\Tasks\helper_king_notification_service.job => C:\Program Files (x86)\helper king\helper_king_notification_service.exeз/url='http:/cdn.selectbestopt.com/notf_sys/index.html' /crregname='helper king' /appid='73143' /srcid='2913' /bic='aa6c270f76d6d2405eb75414721ae127' /verifier='9ecd46084651592c5321f1d4bbf3d2d7' /installerversion='1.50.3.10' /statsdomain='http:/stats.buildomserv.com/data.gif?' /errorsdomain='http:/stats.buildomserv.com/data.gif?' /monetizationdomain='http:/logs.buildomserv.com/monetization.gif?' /installationtime='1428128155' /runfrom='task' /brwtype='notbg' /postponedhours='6'.POR
Task: C:\Windows\Tasks\helper_king_updating_service.job => C:\Program Files (x86)\helper king\helper_king_updating_service.exe¬ /campid=2913 /verid=1 /url=http:/cdn.buildomserv.com/txt/@CAMPID@/@VER@/file.txt /appid=73143 /taskname=helper_king_updating_service /funurl=http:/stats.buildomserv.com
Task: C:\Windows\Tasks\helper_king_notification_service.job => C:\Program Files (x86)\helper king\helper_king_notification_service.exeз/url='http:/cdn.selectbestopt.com/notf_sys/index.html' /crregname='helper king' /appid='73143' /srcid='2913' /bic='aa6c270f76d6d2405eb75414721ae127' /verifier='9ecd46084651592c5321f1d4bbf3d2d7' /installerversion='1.50.3.10' /statsdomain='http:/stats.buildomserv.com/data.gif?' /errorsdomain='http:/stats.buildomserv.com/data.gif?' /monetizationdomain='http:/logs.buildomserv.com/monetization.gif?' /installationtime='1428128155' /runfrom='task' /brwtype='notbg' /postponedhours='6'.POR
Task: C:\Windows\Tasks\helper_king_updating_service.job => C:\Program Files (x86)\helper king\helper_king_updating_service.exe¬ /campid=2913 /verid=1 /url=http:/cdn.buildomserv.com/txt/@CAMPID@/@VER@/file.txt /appid=73143 /taskname=helper_king_updating_service /funurl=http:/stats.buildomserv.com
Task: {8DA73FCE-1B71-43F1-AFD1-FA56EC1439CC} - System32\Tasks\helper_king_updating_service => C:\Program Files (x86)\helper king\helper_king_updating_service.exe [2015-04-04] ()
Reboot:
[/code]
[list][*]Запустите FRST, нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]
05.04.2015, 04:04
Iron_Rat

Выполнил, лог прикрепляю.

Вопрос: в приведенном ниже фрагменте нет ошибки?

[QUOTE]Task: C:\Windows\Tasks\gzop0uo8.job => C:\Users\[U]эяэяэяэяэяэя[/U]\AppData\Roaming\gzop0uo8.exe
C:\Users\\[U]эяэяэяэяэяэя[/U]\AppData\Roaming\gzop0uo8.exe
C:\Users\\[U]эяэяэяэяэяэя[/U]\AppData\Roaming\WQwVQQCm.exe[/QUOTE]
05.04.2015, 11:05
thyrex

Взято из Вашего лога.

Что с проблемой?
05.04.2015, 11:22
Iron_Rat

[QUOTE=thyrex;1256508]Что с проблемой?[/QUOTE]

Баннеров стало ощутимо меньше, в FF.
В Chrome все по прежнему....
05.04.2015, 11:54
thyrex

Новый лог FRST сделайте
05.04.2015, 12:42
Iron_Rat

[QUOTE=thyrex;1256545]Новый лог FRST сделайте[/QUOTE]

Прикрепляю
05.04.2015, 16:36
thyrex

Отключите все установленные расширения для браузеров (в Хроме у Вас целых три профиля, отключать во всех) и проверьте проблему
05.04.2015, 19:19
Iron_Rat

[QUOTE=thyrex;1256662]Отключите все установленные расширения для браузеров (в Хроме у Вас целых три профиля, отключать во всех) и проверьте проблему[/QUOTE]
В Хроме, вроде, после отключения ВСЕХ расширений стало все нормально.
В FF по прежнему - баннеры и редиректы... (
05.04.2015, 19:48
thyrex

Так а в Firefox отключали расширения?

В Хроме включайте расширения по одному и найдете проблемное. Его имя нам сообщите, а само расширение под снос.
У меня подозрения на helper king, fun4us, miss sunshine, kong games
06.04.2015, 13:06
Iron_Rat

[QUOTE=thyrex;1256765]Так а в Firefox отключали расширения?

В Хроме включайте расширения по одному и найдете проблемное. Его имя нам сообщите, а само расширение под снос.
У меня подозрения на helper king, fun4us, miss sunshine, kong games[/QUOTE]

Отключал везде, вышеперечисленные были снесены вручную ещё в процессе сканирования, от них в системе остались только упоминания.
Зараза, думаю, где-то глубже в системе прячется..
После очередной перезагрузки в IE и FF в качестве "Домашней" страницы вдруг возник гаджетбокссерч.ком
Перезапуск без дополнений (безопасный режим) в FF так же ничего не дал... (

Начинаю коситься на Java.... ;)
В рейтингах по количеству "дыр" они с FF в лидерах, блиин.
06.04.2015, 23:10
thyrex

Сделайте лог [url="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]Check Browsers' LNK[/url]
07.04.2015, 01:40
Iron_Rat

[QUOTE=thyrex;1257228]Сделайте лог [url="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]Check Browsers' LNK[/url][/QUOTE]

Прикрепляю
08.04.2015, 01:04
Iron_Rat

Вот такие вот сообщения получаю, периодически, при закрытии вкладок в браузерах..
Особенно в IE.
08.04.2015, 18:11
thyrex

Скачайте [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]ClearLNK[/url] и сохраните архив с утилитой на Рабочем столе.
[list][*]Распакуйте архив с утилитой в отдельную папку.[*]Перенесите [B]Check_Browsers_LNK.log[/B] на ClearLNK как показано на рисунке

[img]http://dragokas.com/tools/move.gif[/img]
[*]Отчет о работе [b]ClearLNK-<Дата>.log[/b] будет сохранен в папке [b]LOG[/b].[*]Прикрепите этот отчет к своему следующему сообщению.[/list]

Попробуйте переустановить Firefox
08.04.2015, 18:21
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]1[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]