Всплывающая реклама после случайной загрузки IObit

Добрый день.

После случайной загрузки и установки программы IObit и набора побочных программ (Яндекс бар, Амиго и т.д.), появились всплывающие окна, при попытке зайти на какой-либо сайт, большое количество рекламы, а также на рабочем столе иногда выскакивают новостные извещения.

Начали медленнее загружаться страницы, немного стали подвисать, при наведении мыши на ссылку сайта, стрелка начинает подёргиваться.

Все вышеперечисленные программы были удалены, реестр почищен при помощи CCleaner, и Auslogics Boost Speed, а так же вручную все файлы содержащие в имени строку 'iobit' были удалены из реестра. На системном диске была проделана та же операция.

Но тем не менее ничего не изменилось. Использую браузер Google Chrome, пробовал отключить все расширения, но есть одна особенность, каждый раз после перезагрузки компьютера появляется расширение [COLOR=#303942][FONT=Segoe UI][B]Advatube[/B] во включенном состоянии, хотя я её неоднократно и выключал и удалял из расширений.

После всего случившегося, на компьютер был установлен антивирус Касперского 2015 (пробная версия, установленная с официального сайта).
Также было проведено сканирование при помощи утилиты Dr.Web Cureit.
На компьютер была установлена программа Adguard.
Проводил сканирование утилитами AVZ и Hijack This согласно Вашей инструкции.
Логи прилагаю.

[/FONT][/COLOR]

Уважаемый(ая) [B]19Dmitry_19[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте!

- Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFile('D:\Qt\Tools\QtCreator\bin\qml\QtQuick\Particles.2\particlesplugin.dll', '');
QuarantineFile('D:\Qt\5.4\msvc2010_opengl\bin\qmlscene.exe', '');
QuarantineFileF('C:\Users\Dmitry\AppData\Local\Hostinstaller', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js, *.tmp*', true, '', 0 , 0);
QuarantineFile('C:\Windows\system32\GroupPolicy\Machine\Registry.pol', '');
QuarantineFile('C:\Users\Dmitry\AppData\Local\Hostinstaller\1550319387_monster.exe', '');
QuarantineFileF('C:\Users\Dmitry\AppData\Local\epohbbbfeldaodfhfljalhiilifmneie\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js, *.tmp*', true, '', 0, 0);
DeleteFile('C:\Windows\system32\GroupPolicy\Machine\Registry.pol', '32');
DeleteFile('C:\Users\Dmitry\AppData\Local\Hostinstaller\1550319387_monster.exe', '32');
ExecuteFile('schtasks.exe', '/delete /TN "Uninstaller_SkipUac_Dmitry" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "ASC8_PerformanceMonitor" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "ASC8_SkipUac_Dmitry" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "Soft installer" /F', 0, 15000, true);
DeleteFileMask('C:\Users\Dmitry\AppData\Local\Hostinstaller', '*', true);
DeleteFileMask('C:\Users\Dmitry\AppData\Local\epohbbbfeldaodfhfljalhiilifmneie\', '*', true);
DeleteDirectory('C:\Users\Dmitry\AppData\Local\epohbbbfeldaodfhfljalhiilifmneie\');
DeleteDirectory('C:\Users\Dmitry\AppData\Local\Hostinstaller');
RegKeyParamDel('HKEY_CURRENT_USER', 'Software\Microsoft\Windows\CurrentVersion\Run', 'C');
BC_ImportALL;
ExecuteSysClean;
ExecuteRepair(3);
ExecuteRepair(4);
ExecuteWizard('SCU', 2, 3, true);
BC_Activate;
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[b]После перезагрузки:[/b]
- Выполните в АВЗ:
[CODE]begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.[/CODE]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

Проделал все описанные выше операции. Высылаю логи:

Переделайте логи из обычного режима.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

+ где ссылка? Это делать также из под обычного режима.
[quote="regist;1345606"]- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.[/quote]


+ [LIST][*]Скачайте [B][URL="https://toolslib.net/downloads/viewdownload/1-adwcleaner/"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Прилагаю файлы:
1) Отчёт AdwCleaner;
2) Логи из обычного режима (AVZ, HiJackThis);
3) Ссылка на отчет:
[URL="http://virusinfo.info/virusdetector/report.php?md5=7B0B87D0D08994591A5D874B3FA8B99A"]http://virusinfo.info/virusdetector/report.php?md5=7B0B87D0D08994591A5D874B3FA8B99A[/URL]
[URL="http://virusinfo.info/showthread.php?t=195082"]http://virusinfo.info/showthread.php?t=195082[/URL]

[CODE]C:\ProgramData\EmailNotifier[/CODE] вам знакомо?

Программы от Mail.Ru и Zona - используете.

Сайт hxxp://plarium.com/play/ru/ - вам знаком?

- выполните такой скрипт в AVZ
[code]
begin
ClearQuarantineEx(true);
QuarantineFileF('C:\ProgramData\EmailNotifier', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js, *.tmp*', true, '', 0, 0);
QuarantineFileF('C:\Program Files\dlsecuretb', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js, *.tmp*', true, '', 0, 0); CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
[/code]

- Файл [b][color=Red]quarantine.zip[/color][/b] из папки AVZ загрузите по ссылке [b][color=Red]Прислать запрошенный карантин[/color][/b] вверху темы.

Данный адрес на системном диске мне не знаком. Указанные программы я не использую, когда-то они были установлены, но позже - удалены. Сайт - не знаком.

Указанный Вами скрипт выполнил, но загрузить файл quarantine.zip не получается т.к. ресурс выдаёт ошибку: "Ошибка загрузки. Данный файл уже был загружен". Если я немного изменю название файла, так пойдёт?

- [url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё кроме папок от mail.ru - если программами от mail.ru не пользуетесь, то их тоже удалите. Отчет после удаления прикрепите.

Отчёт AdwCleaner:

[LIST][*]Пожалуйста, запустите adwcleaner.exe[*]Нажмите [B]Uninstall[/B] ([B]Деинсталлировать[/B]).[*]Подтвердите удаление нажав кнопку: Да.[/LIST]


что с проблемой?

Нет, проблема по прежнему осталась.
Перезагрузил компьютер.
Расширение Advatube действительно удалилось.
Но, страницы при загрузке грузятся очень медленно, всё-равно появляются всплывающие окна, реклама, особенно часто при обновлении страницы выскакивает сайт Reimage Repair ([url]http://ru.reimageplus.com/land/slm/index1.php[/url] tracking=MS&banner=direct&adgroup=direct&ads_name=direct&keyword=direct&context=c63f4df3-db79-4e0a-acd2-245455f1e100), и другие так же, с рекламой.
Страницы часто обновляются, создаётся впечатление, что монитор всё время дёргается.

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку [B]Scan[/B].
После окончания сканирования будут созданы отчеты [B]FRST.txt[/B], [B]Addition.txt[/B], [B]Shortcut.txt[/B] в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Провёл сканирование, сетевой экран и антивирус не отключал.
Отчёты прилагаются:

1) [CODE][B]Auslogics BoostSpeed 5.5.1.0[/B] (19.01.2013) (HKLM\...\BoostSpeed_is1) (Version: 5.5.1.0 - l-rePack®)
[/CODE] деинсталируйте.

2) Rest Download - вам знакомо?

3) - выполните такой скрипт в AVZ
[code]
begin
ClearQuarantineEx(true);
QuarantineFile('C:\Users\Dmitry\AppData\Local\dIEatOahxv.yjm', '');
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
end.
[/code]

- Файл [b][color=Red]quarantine.zip[/color][/b] из папки AVZ загрузите по ссылке [b][color=Red]Прислать запрошенный карантин[/color][/b] вверху темы.

4) [code]start
CreateRestorePoint:
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
2015-12-23 23:57 - 2015-12-23 23:58 - 00000000 ____D C:\Users\Все пользователи\IObit
2015-12-23 23:57 - 2015-12-23 23:58 - 00000000 ____D C:\ProgramData\IObit
2015-12-23 23:57 - 2015-12-23 23:57 - 00000000 ____D C:\Users\Dmitry\AppData\Roaming\IObit
2015-12-23 23:57 - 2015-12-23 23:57 - 00000000 ____D C:\Users\Dmitry\AppData\LocalLow\IObit
2015-12-23 23:57 - 2015-12-23 23:57 - 00000000 ____D C:\ProgramData\ProductData
2015-12-23 23:57 - 2015-12-23 23:57 - 00000000 ____D C:\ProgramData\{BAF091CA-86C4-4627-ADA1-897E2621C1B0}
2015-12-23 23:57 - 2015-12-23 23:57 - 00000000 ____D C:\ProgramData\{BAF091CA-86C4-4627-ADA1-897E2621C1B0}
2015-12-23 23:55 - 2015-12-24 00:28 - 00000000 ____D C:\Users\Dmitry\AppData\Roaming\Calculator
2015-12-23 23:54 - 2015-12-24 00:32 - 00000000 ____D C:\Users\Dmitry\AppData\LocalLow\Unity
2015-12-23 23:54 - 2015-12-24 00:32 - 00000000 ____D C:\Users\Dmitry\AppData\Local\Unity
2015-12-23 23:54 - 2015-12-23 23:54 - 00000000 ____D C:\Users\Dmitry\AppData\Roaming\MailProducts
EmptyTemp:
Reboot:
end[/code]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. [U]При сохранении выберите кодировку [B]Юникод[/B]![/U]
Отключите до перезагрузки антивирус, запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Auslogics Boot Speed деинсталировал.
Rest Download - не знакомо.
Файл quarantine.zip загрузить не получается, об этом я уже писал выше. Появляется сообщение: "Ошибка загрузки. Данный файл уже был загружен".
Файл Fixlog.txt прилагаю:

[CODE]C:\Users\Dmitry\AppData\Local\dIEatOahxv.yjm[/CODE]такой файл есть?
Если да, то заархивируйте в zip архив с паролем [COLOR="Red"]virus[/COLOR] и загрузите по ссылке [b][color=Red]Прислать запрошенный карантин[/color][/b] вверху темы.

Что с проблемой?

Архив отправил.
Всё по прежнему, проблема осталась. По прежнему появляются всплывающие окна, реклама.

[URL="http://www.opera-usb.com/ru/"]скачайте отсюда Оперу[/URL] и проверьте проблему в ней.

Постоянно выскакивает окно "Проблема безопасности. " При каждой попытке зайти на новую страницу появляется сообщение браузера: "Проблема безопасности. Цепочка сертификатов сервера неполная, и подписанты не зарегистрированы. Принять?" и просит "Принять" или "Отвергнуть".

Из этого делаю вывод, что проблема осталась.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

По видимому, я не правильно запустил данную Opera. Нужно было с флешки, а я запустил с жесткого диска. Да, сейчас вроде проблема исчезла, всплывающих окон пока нет. Но что делать с остальными браузерами? Неужели эта проблема решается таким способом?