Самоустанавливающиеся расширения в Гугл Хром

Здравствуйте!

Последнее время в Хроме появляются расширения, которые вешают свою рекламу и "попандеры". После удаления, расширение само устанавливается примерно через сутки. Названия постоянно меняются.

Плюс ноут перестал автоматически уходить в спящий режим. Вместо этого экран становится черным, но при этом светится, а винт работает в довольно интенсивном режиме (словно инфу какую отправляет).

Стандартные проверки антивирусами и им подобными программами не дали результата.

Надеюсь, на вашу помощь :)

P.S. В прикрепленных два файла, т.к. система 64-битная и 1й пункт с логом [B]virusinfo_syscure.zip[/B], как я понял, выполнять не надо

Уважаемый(ая) [B]Grimmo[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

- Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.

Skype Click to Call - рекомендую деисталировать.

omiga-plus - если есть в установленных программах, то тоже деинсталируйте.

[LIST][*]Пожалуйста, запустите adwCleaninger.exe[*]Нажмите [B]Uninstall[/B] ([B]Удалить[/B]).[*]Подтвердите удаление нажав кнопку: Да.[/LIST]

Добрый день!

Ваши рекомендации выполнил.

omiga-plus не установлена.

Ссылка на карантин: [url]http://virusinfo.info/virusdetector/report.php?md5=7B24A3F8A8BEEA41FBD0CAE843BAFEBC[/url]

[LIST][*]Скачайте [B][URL="https://toolslib.net/downloads/viewdownload/1-adwcleaner/"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaninger\AdwCleaninger[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Скан выполнил.

Лог прикрепил.

[ProxyServer] - 151.252.106.61:80 - сами прописывали?
Программы от mail.ru используете?

Спасибо за оперативность!

Прокси в реестр я не прописывал. Видимо "пришло" с какой-то программой.

От mail.ru время от времени использую их Игровой центр, но не более

- [url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё кроме папок от mail.ru - если программами от mail.ru не пользуетесь, то их тоже удалите. Отчет после удаления прикрепите.


Если проблема останется, то

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочками также "Shortcut.txt".

Нажмите кнопку [B]Scan[/B].
После окончания сканирования будут созданы отчеты [B]FRST.txt[/B], [B]Addition.txt[/B], [B]Shortcut.txt[/B] в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Большое спасибо! Пару дней пронаблюдаю и отпишусь в топике

[QUOTE=regist;1266592]- [url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]
После окончания сканирования будут созданы отчеты [B]FRST.txt[/B], [B]Addition.txt[/B], [B]Shortcut.txt[/B] в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.[/QUOTE]

Добрый день!

Проблема, увы, не прошла. Логи сделал и прикрепил.

Небольшое добавление к симптомам: в режиме разработчика видно, что приложения загружаются по пути C:\Program Files\Google\Chrome\Application\Extensions\chrome\app\37.1329.5.10 . Но дело в том, что такого адреса на моем компьютере не существует. Папка \Google\ у меня находится в Program Files (x86), но в ней нет папки \Extensions\.

Правда, не знаю насколько эта информация полезна для решения моей проблемы :)

CHR Extension: ([B]Google Drive[/B]) - C:\Users\Кудло\AppData\Local\Google\Chrome\User Data\Default\Extensions\apdfllckaahabafndbhieahigkjlhalf [2015-04-03]
CHR Extension: ([B]ZenMate Security & Privacy VPN[/B]) - C:\Users\Кудло\AppData\Local\Google\Chrome\User Data\Default\Extensions\fdcgdnkidjaadafnichfpabhfomcebme [2015-04-29]
CHR Extension: ([B]Bookmark Manager[/B]) - C:\Users\Кудло\AppData\Local\Google\Chrome\User Data\Default\Extensions\gmlllbghnfkpflemihljekbapjopfjik [2015-04-09]
CHR Extension: ([B]Hedgehog in the fog[/B]) - C:\Users\Кудло\AppData\Local\Google\Chrome\User Data\Default\Extensions\haocganpkafanhkfldbbmhcpaelmkejg [2015-04-21]
CHR Extension: ([B]LastPass: Free Password Manager[/B]) - C:\Users\Кудло\AppData\Local\Google\Chrome\User Data\Default\Extensions\hdokiejnpimakedhajhdlcegeplioahd [2015-04-03]
CHR Extension: ([B]Clipular! Research, save & share screenshot[/B]) - C:\Users\Кудло\AppData\Local\Google\Chrome\User Data\Default\Extensions\jmjbgcjbgmcfgbgikmbdioggjlhjegpp [2015-04-03]
CHR Extension: ([B]Chrome Hotword Shared Module[/B]) - C:\Users\Кудло\AppData\Local\Google\Chrome\User Data\Default\Extensions\lccekmodgklaepjeofjdjpbminllajkg [2015-04-27]
CHR Extension: ([B]Speed Dial 3(Web)[/B]) - C:\Users\Кудло\AppData\Local\Google\Chrome\User Data\Default\Extensions\lceefillmbhhileboicaeakgcikdocmm [2015-04-21]
CHR Extension: ([B]Application Launcher for Drive (by Google)[/B]) - C:\Users\Кудло\AppData\Local\Google\Chrome\User Data\Default\Extensions\lmjegmlicamnimmfhcmpkclmigmmcbeh [2014-11-07]
CHR Extension: ([B]Tabsbook[/B]) - C:\Users\Кудло\AppData\Local\Google\Chrome\User Data\Default\Extensions\mchbdiagjpehpcfldofefibcblcjkomd [2015-04-03]
CHR Extension: ([B]Google Wallet[/B]) - C:\Users\Кудло\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda [2015-04-29]
CHR Extension: ([B]Chrome Apps & Extensions Developer Tool[/B]) - C:\Users\Кудло\AppData\Local\Google\Chrome\User Data\Default\Extensions\ohmmkhmmmpcnpikjeljgnaoabkaalbgc [2015-04-20]
CHR HKU\S-1-5-21-8351431-3240390930-1839658417-1000\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [apdfllckaahabafndbhieahigkjlhalf] - C:\Users\21FA~1\AppData\Local\Google\Drive\user_default\apdfllckaahabafndbhieahigkjlhalf_live.crx [2015-04-03]

Что из этих расширений вам знакомо?

[quote="Grimmo;1266537"]Прокси в реестр я не прописывал.[/quote]
А в мозилле? [QUOTE]FF NetworkProxy: "http", "127.0.0.1"
FF NetworkProxy: "http_port", 4444
FF NetworkProxy: "ssl", "127.0.0.1"
FF NetworkProxy: "ssl_port", 4445[/QUOTE]

[QUOTE=regist;1267241]

Что из этих расширений вам знакомо?
[/QUOTE]

Знакомо все, кроме "CHR Extension: (Chrome Hotword Shared Module) - C:\Users\Кудло\AppData\Local\Google\Chrome\User Data\Default\Extensions\lccekmodgklaepjeofjdjpbmin llajkg [2015-04-27]"

В Мозилле как-то игрался с прокси и забыл вернуть все в дефолтное состояние)

Создайте текстовый файл [B]fixlist.txt[/B] в папке с Farbar Recovery Scan Tool, скопируйте в него текст из окна "код" ниже и сохраните.
[code]start
CreateRestorePoint:
FF NetworkProxy: "http", "127.0.0.1"
FF NetworkProxy: "http_port", 4444
FF NetworkProxy: "ssl", "127.0.0.1"
FF NetworkProxy: "ssl_port", 4445
FF NetworkProxy: "type", 1
CHR Extension: (Chrome Hotword Shared Module) - C:\Users\Кудло\AppData\Local\Google\Chrome\User Data\Default\Extensions\lccekmodgklaepjeofjdjpbminllajkg [2015-04-27]
EmptyTemp:
Reboot:
end[/code]
Отключите до перезагрузки антивирус, запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

проверьте проблему.

[QUOTE=regist;1267248]
Отключите до перезагрузки антивирус, запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

проверьте проблему.[/QUOTE]

Спасибо. Лог выполнил.

Пару дней пронаблюдаю компьютер и отпишусь.

P.S. С праздником Вас. Спасибо, что тратите свое время)

[quote="Grimmo;1267409"]Пару дней пронаблюдаю компьютер и отпишусь.[/quote]
ок,

[quote="Grimmo;1267409"]С праздником Вас.[/quote]
Вас тоже :)

+
Выполните скрипт в AVZ при наличии доступа в интернет:

[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]

[QUOTE=regist;1267412]

Выполните скрипт в AVZ при наличии доступа в интернет:
[/QUOTE]

Что я могу сказать. Уже несколько дней полет нормальный. Новых проявлений проблемы не замечаю. Уязвимости устранил.

Большое спасибо лично вам и всему проекту)

Тему можно закрывать