Открытие сторонних вкладок в браузере, запуск установки браузеров и автоматическая их установка [not-a-virus:AdWare.Win32.PriceGong.a, not-a-virus:AdWare.Win32.ConvertAd.wgr ]

Printable View

18.09.2015, 11:47
kpiok

Открытие сторонних вкладок в браузере, запуск установки браузеров и автоматическая их установка [not-a-virus:AdWare.Win32.PriceGong.a, not-a-virus:AdWare.Win32.ConvertAd.wgr ]

При работе на компьютере время от времени запускается установка браузеров Crossbrowser, Opera или обновления Windows(хотя установка обновления обычно выглядела не так + на компьютере установлены все последние обновления). Иногда они требуют участия пользователя(нажмите далее и т.д.), но часто браузеры устанавливаются моментально(либо в фоновом режиме) и запускают свое окно(одновременно закрывая открытое окно браузера, google chrome в моем случае). Также, при работе в браузере при переходам по гиперссылкам(либо элементам, содержащим гиперссылки), переход не осуществляется, а открывается новая вкладка с какими-то рекламными сайтами или поисковиками. И наконец, при запуске браузера открывается не пустая вкладка(как установлено), а какие то рекламные страницы. Прошу помочь.
18.09.2015, 11:48
Info_bot

Уважаемый(ая) [B]kpiok[/B], спасибо за обращение на наш форум!

Помощь в лечении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
18.09.2015, 12:03
mrak74

Здравствуйте !!!

[URL="http://virusinfo.info/showthread.php?t=130828"]отключите антивирусную программу [/URL]

[URL="http://virusinfo.info/showthread.php?t=4491"]Пофиксите в HijackThis:[/URL] (в Windows Vista/7/8 необходимо запускать через правую кнопку мыши Запуск от имени администратора)):
[CODE]O4 - HKLM\..\Run: [gmsd_ru_005010089] "C:\Program Files\gmsd_ru_005010089\gmsd_ru_005010089.exe"
O4 - Startup: SmartWeb.lnk = C:\Users\kukin_ra\AppData\Local\SmartWeb\SmartWebHelper.exe[/CODE]
[URL="http://virusinfo.info/showthread.php?t=7239"][B]Выполните скрипт в AVZ[/B]:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\program files\be722a00-1442470379-11e2-995c-8851fb6d882f\knso9433.tmp');
StopService('lexyfofi');
QuarantineFile('C:\Users\kukin_ra\appdata\local\smartweb\__u.exe','');
QuarantineFile('C:\Users\kukin_ra\appdata\local\smartweb\swhk.dll','');
QuarantineFile('C:\Users\kukin_ra\appdata\local\smartweb\smartwebapp.exe','');
QuarantineFile('C:\Users\kukin_ra\AppData\Roaming\WindowsUpdater\Updater.exe','');
QuarantineFile('C:\Program Files\LIS\lis.exe','');
QuarantineFile('C:\ProgramData\Browsers\browser0.bat','');
QuarantineFile('C:\Program Files\gmsd_ru_005010089\gmsd_ru_005010089.exe','');
QuarantineFile('c:\program files\be722a00-1442470379-11e2-995c-8851fb6d882f\knso9433.tmp','');
DeleteFile('C:\Users\kukin_ra\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk');
DeleteFile('C:\Program Files\BE722A00-1442470379-11E2-995C-8851FB6D882F\knso9433.tmp','32');
DeleteFile('C:\Program Files\gmsd_ru_005010089\gmsd_ru_005010089.exe','32');
DeleteFile('C:\Users\kukin_ra\AppData\Roaming\WindowsUpdater\Updater.exe','32');
DeleteFile('C:\Windows\system32\Tasks\WindowsUpdater','32');
DeleteFile('C:\Users\kukin_ra\appdata\local\smartweb\smartwebapp.exe','32');
DeleteFile('C:\Users\kukin_ra\appdata\local\smartweb\swhk.dll','32');
DeleteFile('C:\Users\kukin_ra\appdata\local\smartweb\__u.exe','32');
DeleteFile('C:\Users\kukin_ra\appdata\roaming\windowsupdater\updater.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','gmsd_ru_005010089');
DeleteService('lexyfofi');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteWizard('SCU',2,2,true);
RebootWindows(true);
end.[/CODE]

После перезагрузки выполните скрипт:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]

Загрузите quarantine.zip из папки AVZ по красной ссылке [B]вверху[/B] темы [COLOR="Red"]Прислать запрошенный карантин[/COLOR]
- Сделайте повторные логи по правилам п.2 и 3 раздела Диагностика.(virusinfo_syscheck.zip;hijackthis.log )
18.09.2015, 13:18
kpiok

Выполнил действия из предыдущего поста, файл запрошенный загрузил в карантин по ссылке вверху темы. Относительно программ - вроде не устанавливается ничего лишнего теперь, зато в браузере в разы чаще стали вылезать всякие посторонние окна + печально известный yxo.warmportrait.com открывается
18.09.2015, 13:37
mrak74

[URL="http://virusinfo.info/showthread.php?t=7239"][B]Выполните скрипт в AVZ[/B]:[/URL]
[CODE]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
TerminateProcessByName('c:\programdata\8wdsmanpro8\wdsmanpro.exe');
StopService('WdsManPro');
QuarantineFile('C:\Users\kukin_ra\appdata\local\smartweb\smartwebhelper.exe','');
QuarantineFile('c:\programdata\8wdsmanpro8\wdsmanpro.exe','');
DeleteFile('C:\ProgramData\8WdsManPro8\WdsManPro.exe','32');
DeleteFile('C:\Program Files\gmsd_ru_005010090\gmsd_ru_005010090.exe','32');
DeleteFile('C:\Users\kukin_ra\appdata\local\smartweb\smartwebhelper.exe','32');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','SmartWeb');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','gmsd_ru_005010090');
DeleteService('WdsManPro');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.[/CODE]

[LIST][*]Скачайте [B][URL="http://general-changelog-team.fr/en/downloads/finish/20-outils-de-xplode/2-adwcleaner"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[R0].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Подробнее читайте в [URL="http://virusinfo.info/showthread.php?t=146192"]этом руководстве[/URL].

+
Скачайте [url=http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/][b]Farbar Recovery Scan Tool[/b][/url] [img]http://i.imgur.com/NAAC5Ba.png[/img] и сохраните на Рабочем столе.

[b]Примечание[/b]: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
[list][*]Запустите программу двойным щелчком. Когда программа запустится, нажмите [b]Yes[/b] для соглашения с предупреждением.[*]Убедитесь, что под окном [b]Optional Scan[/b] отмечены [i]"List BCD"[/i], [i]"Driver MD5"[/i] и [i]"90 Days Files"[/i].[*]Нажмите кнопку [b]Scan[/b].[*]После окончания сканирования будет создан отчет ([b]FRST.txt[/b]) в той же папке, откуда была запущена программа. Пожалуйста, прикрепите отчет в следующем сообщении.[*]Если программа была запущена в первый раз, будет создан отчет ([b]Addition.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении.[/list]
[img]http://i.imgur.com/3munStB.png[/img]
18.09.2015, 14:02
kpiok

Выполнил действия, указанные в предыдущем посте. К сожалению, сначала ваше сообщение было без пункта "выполните скрипт в AVZ"(насколько я видел), поэтому выполнил процедуру с ADW и FRST 2 раза(выполнил, потом увидел скрипт, удалил программы и отчеты, выполнил скрипт, скачал программы и выполнил еще раз), с FRST 2 файла получились, а вот файл отчета ADW называется чуть по другому, чем в вашем сообщении. Но я думаю, ничего страшного не случилось
18.09.2015, 14:28
mrak74

[quote="kpiok;1315360"]К сожалению, сначала ваше сообщение было без пункта "выполните скрипт в AVZ"(насколько я видел)[/quote]
Все верно. Я не доглядел, поправлял сообщение.

[quote="kpiok;1315360"]Но я думаю, ничего страшного не случилось[/quote]
Все нормально.

[url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё, кроме папок с названиями программ которыми вы пользуетесь (если ничем из перечисленного в логе не пользуетесь, то удалите всё). [B]Отчет после удаления прикрепите[/B].

[list][*]Скопируйте приведенный ниже текст в Блокнот и сохраните файл как [b]fixlist.txt[/b] в ту же папку откуда была запущена утилита Farbar Recovery Scan Tool:

[CODE]CreateRestorePoint:
CloseProcesses:
SearchScopes: HKU\S-1-5-21-1177238915-789336058-682003330-25351 -> DefaultScope {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/search?q={SearchTerms}&fr=ntg&gp=blackbear13
SearchScopes: HKU\S-1-5-21-1177238915-789336058-682003330-25351 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/search?q={SearchTerms}&fr=ntg&gp=blackbear13
StartMenuInternet: IEXPLORE.EXE - C:\Program Files\Internet Explorer\iexplore.exe hxxp://www.oursurfing.com/?type=sc&ts=1441722203&z=df5c4e75ee3a8cc2cec4e5agdz0zcg6m1oaobo0e0o&from=eit&uid=WDCXWD5000AAKX-60U6AA0_WD-WCC2EFH4045840458
CHR Extension: (CinemaP-1.9cV17.09) - C:\Users\kukin_ra\AppData\Local\Google\Chrome\User Data\Profile 1\Extensions\lkadffjmnaiokkdncgdlecdegajoiemi [2015-09-17]
CHR HKLM\...\Chrome\Extension: [ilamgbdaebkbpkkmfmmfbnaamkhijdek] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [ofdgafmdegfkhfdfkmllfefmcmcjllec] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [pnooffjhclkocplopffdbcdghmiffhji] - hxxps://clients2.google.com/service/update2/crx
StartMenuInternet: Google Chrome - C:\Program Files\Google\Chrome\Application\chrome.exe http://www.istartsurf.com/?type=sc&ts=1442566711&z=d489469ab6919fb7e262737g9zfz5oewaqbqdwdzez&from=face&uid=WDCXWD5000AAKX-60U6AA0_WD-WCC2EFH4045840458
EmptyTemp:[/CODE][*]Запустите FRST и нажмите один раз на кнопку [b]Fix[/b] и подождите. Программа создаст лог-файл ([b]Fixlog.txt[/b]). Пожалуйста, прикрепите его в следующем сообщении![*]Обратите внимание, что компьютер будет [b]перезагружен[/b].[/list]
18.09.2015, 15:39
kpiok

Результат выполненных действий. Google chrome "сломался", пришлось удалить и установить заново, в IE все равно наблюдаются посторонние вкладки при запуске(хотя начальную страницу ставлю пустую)
21.09.2015, 10:06
mrak74

[URL="http://virusinfo.info/showthread.php?t=121767"][B]Сделайте полный образ автозапуска uVS[/B][/URL]
23.09.2015, 08:44
kpiok

Выполнено
23.09.2015, 09:44
mrak74

Выполните скрипт в uVS [URL="http://virusinfo.info/showthread.php?t=121769"]Как выполнить скрипт в uVS[/URL]
[CODE];uVS v3.86.4 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
OFFSGNSAVE
delref %SystemDrive%\USERS\KUKIN_RA\APPDATA\LOCAL\TEMP\AMISETUP1660__11947.EXE
delref %SystemDrive%\USERS\KUKIN_RA\APPDATA\LOCAL\TEMP\AMISETUP5404__13749.EXE
delref %SystemDrive%\USERS\KUKIN_RA\APPDATA\LOCAL\TEMP\AMISETUP9398__13749.EXE
zoo %SystemDrive%\PROGRAMDATA\BROWSERS\BROWSER6.BAT
delall %SystemDrive%\PROGRAMDATA\BROWSERS\BROWSER6.BAT
delref %SystemDrive%\USERS\KUKIN_RA\APPDATA\LOCAL\TEMP\{E9513610-F218-4DDA-B954-2C7E6BA7CABB}\IDRIVER.NONELEVATED.EXE
delall %SystemDrive%\USERS\KUKIN_RA\APPDATA\ROAMING\MICROSOFT\INTERNET EXPLORER\QUICK LAUNCH\USER PINNED\TASKBAR\INTERNET EXPLORER.LNK
delref %SystemDrive%\USERS\KUKIN_RA\APPDATA\LOCAL\TEMP\WINDOWSUPDATEKB12695__7428_IL310451.EXE
zoo %SystemDrive%\PROGRAM FILES\GOOGLE\CHROME\APPLICATION\45.0.2454.93\RESOURCES.PAK
zoo %SystemDrive%\PROGRAMDATA\BROWSERS\BROWSER0.BAT
delall %SystemDrive%\PROGRAMDATA\BROWSERS\BROWSER0.BAT
deltmp
regt 28
restart
czoo[/CODE]

Сделайте новый полный образ автозапуска uVS. Если не будет хватать места для вложений на форуме, закачайте образ на файлообменник [url]http://rghost.ru/[/url] ссылку с результатом загрузки опубликуйте в следующем сообщении.
23.09.2015, 12:35
kpiok

Выполнил скрипт, сделал снова полный образ автозапуска, вот ссылка [url]http://rghost.ru/8yYKTkqhh[/url]
P.S. после выполнения скрипта появился архив ZOO_...., не пустой, прикреплять ли его? В инструкции "как выполнить скрипт в UVS" сказано, что его надо прислать по ссылке "прислать запрошенный карантин", но у меня не получилось, ругается на расширение архива(доступно для загрузки только .zip)
23.09.2015, 13:46
mrak74

Обойдемся без карантина.

- Откройте файл [URL="http://df.ru/~kad/ScanVuln.txt"][B]ScanVuln.txt[/B][/URL]. Выполните из этого файла скрипт в AVZ. В результате работы скрипта будет создан файл - avz_log.txt.
Пройдитесь по ссылкам из файла avz_log.txt и установите все рекомендуемые обновления(если таковые будут).
Перезагрузите компьютер.
Снова выполните этот скрипт и убедитесь, что уязвимости устранены.

Что с проблемой ?
24.09.2015, 09:22
kpiok

Выполнил скрипт, в логе было 3 ссылки (IE, MSMXL, Java), все установил и перезагрузил компьютер.
Выполнил скрипт снова, нового файла лога не было создано, но результат в AVZ отображается не совсем корректно - вместо сообщения, в появляющемся текстбоксе много знаков вопроса(примерно выглядит ?????? ??????????? ?? ??????). Я думаю, это проблема кодировки и там скорее всего написано, что уязвимостей не найдено.
По проблемам: в IE теперь все в порядке, никаких "левых" страниц, начальная страница грузится, как выставлено в настройках. В google chrome пока тоже не удалось обнаружить каких-либо отклонений. Посторонние программы(opera, crossbrowser) больше не устанавливаются.
24.09.2015, 09:28
mrak74

Лечение завершено.

[URL="http://virusinfo.info/showthread.php?t=121902"][B]Советы и рекомендации после лечения компьютера[/B][/URL]
24.09.2015, 09:38
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]23[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\users\kukin_ra\appdata\local\smartweb\smartwebapp.exe - [B]not-a-virus:AdWare.Win32.PriceGong.a[/B] ( DrWEB: Adware.Shopper.845 )[*] c:\users\kukin_ra\appdata\local\smartweb\swhk.dll - [B]not-a-virus:AdWare.Win32.PriceGong.a[/B] ( DrWEB: Adware.Shopper.845, AVAST4: Win32:BHO-AOK [Adw] )[/LIST][/LIST]