Нортон постоянно блокирует атаку Web Attack: Malvertisement Website Redirect 9.

Добрый день! Нортон постоянно выдает сообщение о заблокированной атаке на компьютер Web Attack: Malvertisement Website Redirect 9. Видно иногда не срабатывает и браузер открывает какие-то левые сайты. Браузер из-за этого стал дико тупить. Сделала проверку нортоном в безопасном режиме -отловил парочку троянов, но проблема не пропала. Тогда воспользовалась утилитой AVP Tool, отловил еще 4 трояна, но атаки по прежнему продолжаются.
[COLOR=#333333][COLOR=#333333]Так как у меня 64-битная W8, то пункт 1 отсюда [/COLOR][/COLOR][COLOR=#333333]http://virusinfo.info/showthread.php?t=1235 не выполняла, соответственно прикрепляю 2 лога, а не три. [/COLOR][COLOR=#333333][COLOR=#333333]
Спасибо![/COLOR][/COLOR]

Уважаемый(ая) [B]Юля8[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[url="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/url]:[code]begin
TerminateProcessByName('c:\program files (x86)\application installer\servercore.exe');
QuarantineFile('C:\Users\G7-2255\AppData\Roaming\omiga-plus\UninstallManager.exe', '');
QuarantineFile('C:\Program Files (x86)\Application Installer\CoreWebServ.dll', '');
QuarantineFile('c:\program files (x86)\application installer\servercore.exe', '');
DeleteFile('c:\program files (x86)\application installer\servercore.exe', '32');
DeleteFile('C:\Program Files (x86)\Application Installer\CoreWebServ.dll', '32');
DeleteFile('C:\WINDOWS\Tasks\BlockAndSurf Update.job', '64');
DeleteFile('C:\WINDOWS\system32\Tasks\BlockAndSurf Update', '64');
DeleteFile('C:\Users\G7-2255\AppData\Roaming\omiga-plus\UninstallManager.exe', '32');
DeleteFile('C:\WINDOWS\system32\Tasks\{26AD86C5-6CC5-41AC-81E3-3719B28AA24E}', '64');
DeleteService('QMUdisk');
DeleteService('BAPIDRV');
DeleteFileMask('C:\Users\G7-2255\AppData\Roaming\omiga-plus', '*', true);
DeleteFileMask('c:\program files (x86)\application installer', '*', true);
DeleteDirectory('C:\Users\G7-2255\AppData\Roaming\omiga-plus');
DeleteDirectory('c:\program files (x86)\application installer');
ExecuteSysClean;
RebootWindows(true);
end.[/code]Компьютер перезагрузится.
Выполните в AVZ скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
В папке с AVZ появится архив карантина quarantine.zip, отправьте этот файл по ссылке "Прислать запрошенный карантин" над над первым сообщением в теме.

Выполните 2-й стандартный скрипт в AVZ и прикрепите к своему следующему сообщению файл virusinfo_syscheck.zip.

Сделайте лог [URL="http://virusinfo.info/showthread.php?t=146192&p=1041844&viewfull=1#post1041844"]AdwCleaner (by Xplode)[/URL].
Сделайте лог [URL="http://virusinfo.info/soft/tool.php?tool=checkbrowserlnk"]Check Browsers' LNK[/URL].

Вот логи:

Перетащите лог Check_Browsers_LNK.log на [url=http://virusinfo.info/soft/tool.php?tool=ClearLNK]утилиту ClearLNK[/url]. Отчёт о работе прикрепите.

апустите повторно [B]AdwCleaner (by Xplode) [/B](в [B]Windows Vista/7/8[/B] необходимо запускать через правую кнопку мыши [B]от имени администратора)[/B]), нажмите кнопку [B]Scan[/B], по окончании сканирования уберите галочки на вкладках [B]Folders[/B] и [B]Registry[/B] со всех пунктов, где упоминаются Mail.Ru [B]если используете соответствующие программы[/B].

Затем нажмите [B]Cleaning[/B] и по окончании удаления перезагрузите систему по требованию программы.

После входа в систему откроется отчёт AdwCleaner - файл AdwCleaner[S0].txt, прикрепите к своему следующему сообщению.

[URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кэш и cookies-файлы браузеров[/URL] и сообщите, что с проблемами.

К сожалению, проблема осталась - атаки продолжаются :(

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочками также "Shortcut.txt".

Нажмите кнопку Scan.
После окончания сканирования будут созданы отчеты FRST.txt, Addition.txt, Shortcut.txt в той же папке, откуда была запущена программа.
Прикрепите эти три файла к своему следующему сообщению (можно все в одном архиве).

Прикрепляю:

Сделайте аппаратный сброс настроек роутера кнопкой reset, настройте заново, смените пароль на веб-интерфейс роутера на сложный.

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:[CODE]CreateRestorePoint:
CloseProcesses:
HKLM-x32\...\Run: [HP Software Update] => C:\Program Files (x86)\HP\HP Software Update\HPWuSchd2.exe [96056 2013-05-30] (Hewlett-Packard)
HKLM-x32\...\Run: [] => [X]
HKLM-x32\...\Run: [ServerCore] => C:\Program Files (x86)\Application Installer\ServerCore.exe
HKLM-x32\...\Run: [gmsd_ru_120] => [X]
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => No File
FF Plugin: @iqiyi.com/npWebPlayer -> D:\IQIYI Video\LStyle\npWebPlayer.dll No File
S2 fizywiqu; C:\Users\G7-2255\AppData\Roaming\VOPackage\nspF18E.tmpfs [X]
Task: {67C8D529-E5E2-43F8-84F8-D37B54889D71} - System32\Tasks\avastBCLRestartS-1-5-21-3498349981-940308973-3666689066-1001 => Chrome.exe
Task: {D376BDA9-6EDD-4EBF-84F7-376FBD21EEA7} - \{26AD86C5-6CC5-41AC-81E3-3719B28AA24E} No Task File <==== ATTENTION
CMD: ipconfig /flushdns
EmptyTemp:
Reboot:[/CODE]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool.
Отключите до перезагрузки антивирус, запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл ([B]Fixlog.txt[/B]). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Cообщите, что с проблемой.

Всё выполнила согласно Ваших рекомендаций, но проблема осталась.

Скачайте программу [URL="https://yadi.sk/d/6A65LkI1WEuqC"]Universal Virus Sniffer[/URL] и [url=http://virusinfo.info/showthread.php?t=121767]сделайте полный образ автозапуска uVS[/url].

Сделала:

[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS:[/url][code];uVS v3.85.17 [http://dsrt.dyndns.org]
;Target OS: NTv6.3
v385c
unload %SystemDrive%\PROGRAM FILES (X86)\OPERA\28.0.1750.51\OPERA.EXE
del %SystemDrive%\USERS\G7-2255\APPDATA\ROAMING\BROWSERS\EXE.EMORHC.BAT
del %SystemDrive%\USERS\G7-2255\APPDATA\ROAMING\BROWSERS\EXE.EROLPXEI.BAT
del %SystemDrive%\USERS\G7-2255\APPDATA\ROAMING\BROWSERS\EXE.REHCNUALTOW.BAT
delref %SystemDrive%\USERS\G7-2255\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\GIGHMMPIOBKLFEPJOCNAMGKKBIGLIDOM\39.0_0\ADBLOCK
deldir C:\Users\G7-2255\AppData\Roaming\Opera Software\Opera Stable\Extensions\aobdicepooefnbaeokijohmhjlleamfj
delref %SystemDrive%\PROGRAM FILES (X86)\DRIVERTOOLKIT\DRIVERTOOLKIT.EXE
delref %SystemDrive%\PROGRAM FILES\AVAST SOFTWARE\AVAST\AVASTUI.EXE
deltmp
restart[/code]Компьютер перезагрузится.

Сообщите, что с проблемой.

Выполнила скрипт, карантин не сформировался. Но во время выполнения скипта обратила внимание, что утилита прогоняет только Хром и Эксплорер, а Оперу не трогает. В Хроме проблема решилась, в Опере осталась. Но и это уже радует ) Буду пользоваться Хромом

Отключите в Opera незнакомые расширения, может быть AdBlock поддельный.

Спасибо большое! Теперь и в Опере проблема решена:) Оказалось было установлено два AdBlock, один из них оказался поддельным.

Удалите папку C:\FRST со всем содержимым.

Выполните [url="http://virusinfo.info/showthread.php?t=121902"]рекомендации после лечения[/url].

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]3[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]