Похоже, подхватил вирус, связанный с mail.ru

Скачивая торрент-файл, недоглядел и открыл файл .exe. Ну и потом полезла всякая дрянь - ссылки на рабочем столе, расширения в браузерах, установленные программы, левая реклама на сайтах, открытия левых страниц и т.д. Однажды так уже было, я поудалял всё лишнее и было нормально, сейчас же проблему в одно лицо устранить не получилось.

Программы деинсталлировал.
Расширения поудалял.
Куки и кэш почистил.
Авастом сканировал (в том числе и браузеры).
ADWCleaner'ом почистил.

Тем не менее, проблема остаётся. Заметил особенность - когда сейчас захожу в расширения, то ссылка из chrome://extensions/ автоматом меняется на chrome-extension://lbmokakipianlpbhcacgheileggjpmee/html/ch.html
ADWCleaner нашёл файлы и папки с таким же именем, поудалял, при скане компьютера после перезагрузки ничего не нашёл, но после запуска Хрома всё началось заново.
Плюс к этому проблема нарисовалась и на ноуте, где Хром синхронизирован, но там она исчерпывается вышеуказанной проблемой с ссылкой расширений и папкой, найденной ADWCleaner'ом, никаких новых расширений, программ или чего-то ещё не было.

И на ПК, и на ноуте Win 7, судя по всему, 64-разрядная, так как при выполнении первого пункта инструкции по оформлении запроса AVZ не закончил работу, отключившись (поэтому только два лога).

Буду благодарен за помощь.

Уважаемый(ая) [B]Виталий Винар[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[quote="Виталий Винар;1347163"]ADWCleaner нашёл[/quote]
лог прикрепите.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

- Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.


hitmanpro - удалите.

MBAM раз установили, то тоже прикрепите. Надеюсь ничего в нём не удаляли?

Лог ADWCleaner'а прикрепил.
Ссылка вот: [url]http://virusinfo.info/virusdetector/report.php?md5=4D49DD89610BD23E0475357923630C77[/url]

hitmanpro у меня нигде в расширениях нет - по-видимому, из-за того, что меняется ссылка на расширения Хрома, я его не вижу, только стандартные гуглорасширения и пара тех, которые стоят уже давно и в которых я уверен.

Что такое МВАМ, я не в курсе, но точно ничего не удалял, только ADWCleaner'ом удалял (на всякий случай прикрепил и первый лог, там было больше найденных вещей).

[quote="Виталий Винар;1347214"]Что такое МВАМ, я не в курсе,[/quote]
Malwarebytes Antimalware

Такое расширение себе устанавливали [url]https://chrome.google.com/webstore/detail/clixaddon/hjnhcgkngeeahimbfhejeaiijecekhba[/url] ?

[QUOTE=regist;1347235]Malwarebytes Antimalware[/QUOTE]

А, что-то такое припоминаю, вроде прошлый раз, когда была такая проблема, устанавливал, но потом снёс. Установил заново, проверил, лог прикрепил.

Что касается расширения, то оно:
1). стоит уже почти год;
2). отключено уже месяца три-четыре как;
3). сейчас удалил на всякий случай, но ничего не изменилось.

[quote="Виталий Винар;1347246"]устанавливал, но потом снёс.[/quote]
тем не менее у вас в системе до сих пор были от него хвосты.

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

MBAM деинсталируйте. Ещё пройдитесь этой утилитой https://forums.malwarebytes.org/index.php?/topic/122284-mbam-clean-removal-process/


[quote="Виталий Винар;1347246"]Что касается расширения, то оно:[/quote]
то именно его пытался и не мог удалить ADWCleaner.
Сделайте свежий лог AdwCleaner-а.

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку [B]Scan[/B].
После окончания сканирования будут созданы отчеты [B]FRST.txt[/B], [B]Addition.txt[/B], [B]Shortcut.txt[/B] в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

ADWCleaner'ом проверил заново, почистил, ребутнул - всё то же самое. Логи прикладываю.

Остальное тоже сделал.

[CODE]FF Extension: LastPass - C:\Users\navarra\AppData\Roaming\Mozilla\Firefox\Profiles\75fg4ug4.default\extensions\[email protected] [2016-01-02]
FF Extension: No Name - C:\Users\navarra\AppData\Roaming\Mozilla\Firefox\Profiles\75fg4ug4.default\extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [not found]
FF Extension: Домашняя страница Mail.Ru - C:\Users\navarra\AppData\Roaming\Mozilla\Firefox\Profiles\75fg4ug4.default\Extensions\[email protected] [2016-01-01]
FF Extension: Поиск@Mail.Ru - C:\Users\navarra\AppData\Roaming\Mozilla\Firefox\Profiles\75fg4ug4.default\Extensions\[email protected] [2016-01-01] [not signed]
FF Extension: Video DownloadHelper - C:\Users\navarra\AppData\Roaming\Mozilla\Firefox\Profiles\75fg4ug4.default\Extensions\{b9db16a4-6edc-47ec-a1f4-b86292ed211d}.xpi [2015-11-15]
FF HKLM\...\Firefox\Extensions: [[email protected]] - C:\Program Files\AVAST Software\Avast\WebRep\FF
FF Extension: Avast Online Security - C:\Program Files\AVAST Software\Avast\WebRep\FF [2015-12-10]

Chrome:
=======
CHR HomePage: Default -> hxxps://mail.ru/cnt/11956636
CHR StartupUrls: Default -> "hxxps://twitter.com/"
CHR Profile: C:\Users\navarra\AppData\Local\Google\Chrome\User Data\Default
CHR Extension: (Google Презентации) - C:\Users\navarra\AppData\Local\Google\Chrome\User Data\Default\Extensions\aapocclcgogkmnckokdopfmhonfmgoek [2015-08-14]
CHR Extension: (Документы Google) - C:\Users\navarra\AppData\Local\Google\Chrome\User Data\Default\Extensions\aohghmighlieiainnegkcijnfilokake [2015-08-14]
CHR Extension: (Диск Google) - C:\Users\navarra\AppData\Local\Google\Chrome\User Data\Default\Extensions\apdfllckaahabafndbhieahigkjlhalf [2015-10-21]
CHR Extension: (Boston Red Sox New Tab) - C:\Users\navarra\AppData\Local\Google\Chrome\User Data\Default\Extensions\bigfdkheojnojiejkdjgnnemahdfkomj [2015-12-31]
CHR Extension: (YouTube) - C:\Users\navarra\AppData\Local\Google\Chrome\User Data\Default\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo [2015-09-24]
CHR Extension: (Google Search) - C:\Users\navarra\AppData\Local\Google\Chrome\User Data\Default\Extensions\coobgpohoikkiipiblmjeljniedjpjpf [2015-10-27]
CHR Extension: (PEFL CrabVIP) - C:\Users\navarra\AppData\Local\Google\Chrome\User Data\Default\Extensions\dglciibfijekikkgonajponcenlichlf [2015-12-30]
CHR Extension: (Mail.Ru) - C:\Users\navarra\AppData\Local\Google\Chrome\User Data\Default\Extensions\eioddfaepdoeifbhjphfefgipcjcdieo [2016-01-02]
CHR Extension: (Google Таблицы) - C:\Users\navarra\AppData\Local\Google\Chrome\User Data\Default\Extensions\felcaaldnbdncclmgdcncolpebgiejap [2015-08-14]
CHR Extension: (Google*Документы офлайн) - C:\Users\navarra\AppData\Local\Google\Chrome\User Data\Default\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi [2015-11-18]
CHR Extension: (Avast Online Security) - C:\Users\navarra\AppData\Local\Google\Chrome\User Data\Default\Extensions\gomekmidlodglbbmalcneegieacbdmki [2015-11-02]
CHR Extension: (LastPass: Free Password Manager) - C:\Users\navarra\AppData\Local\Google\Chrome\User Data\Default\Extensions\hdokiejnpimakedhajhdlcegeplioahd [2015-10-27]
CHR Extension: (ClixAddon) - C:\Users\navarra\AppData\Local\Google\Chrome\User Data\Default\Extensions\hjnhcgkngeeahimbfhejeaiijecekhba [2016-01-04]
CHR Extension: (Визуальные Закладки Mail.Ru) - C:\Users\navarra\AppData\Local\Google\Chrome\User Data\Default\Extensions\iflppbjnpneiigcbdfjpnkebidmkjmoi [2016-01-02]
CHR Extension: (Точный прогноз погоды) - C:\Users\navarra\AppData\Local\Google\Chrome\User Data\Default\Extensions\ifoegajimhkofnmlhkdoomoinadohdjn [2015-12-09]
CHR Extension: (WhatFont) - C:\Users\navarra\AppData\Local\Google\Chrome\User Data\Default\Extensions\jabopobgcpjmedljpbcaablpmlmfcogm [2015-08-17]
CHR Extension: (Не хватает на Iphone?) - C:\Users\navarra\AppData\Local\Google\Chrome\User Data\Default\Extensions\lbmokakipianlpbhcacgheileggjpmee [2016-01-01]
CHR Extension: (Платежная система Интернет-магазина Chrome) - C:\Users\navarra\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda [2015-08-14]
CHR Extension: (Gmail) - C:\Users\navarra\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjkljhegncpnkpknbcohdijeoejaedia [2015-08-14]
CHR Extension: (Домашняя страница Mail.Ru) - C:\Users\navarra\AppData\Local\Google\Chrome\User Data\Default\Extensions\ppoilmfkbpckodoifdlkmkepcajfjmhl [2016-01-02]
CHR HKLM\...\Chrome\Extension: [eioddfaepdoeifbhjphfefgipcjcdieo] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [gomekmidlodglbbmalcneegieacbdmki] - C:\Program Files\AVAST Software\Avast\WebRep\Chrome\aswWebRepChrome.crx [2015-07-01][/CODE]

Все эти расширения вам знакомы? От mail.ru понятно, что не сами ставили, а остальные?

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

1) Auslogics BoostSpeed - деинсталируйте.

2) Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:
[code]start
CreateRestorePoint:
Shortcut: C:\Users\navarra\AppData\Roaming\Microsoft\Windows\Start Menu\Mail.Ru Агент.lnk -> C:\Users\navarra\AppData\Roaming\Mail.Ru\Agent\magent.exe (No File)
Shortcut: C:\Users\navarra\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Mail.Ru Агент.lnk -> C:\Users\navarra\AppData\Roaming\Mail.Ru\Agent\magent.exe (No File)
Shortcut: C:\Users\navarra\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\StartMenu\Mail.Ru Агент.lnk -> C:\Users\navarra\AppData\Roaming\Mail.Ru\Agent\magent.exe (No File)
InternetURL: C:\Users\navarra\Favorites\Mail.Ru Агент - используй для общения!.url -> hxxp://agent.mail.ru
InternetURL: C:\Users\navarra\Favorites\Mail.Ru.url -> hxxp://www.mail.ru
InternetURL: C:\Users\navarra\Favorites\Интернет.url -> hxxp://unzanat.ru/?utm_source=favorites03&utm_content=2fd46ee710c744ce18ac82bc534e12ba
HKU\S-1-5-21-1836813603-2433853083-1799857709-1000\...\Run: [MAgent] => C:\Users\navarra\AppData\Roaming\Mail.Ru\Agent\magent.exe -CU
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Restriction <======= ATTENTION
SearchScopes: HKU\S-1-5-21-1836813603-2433853083-1799857709-1000 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={SearchTerms}&product_id=%7B5B4BA775-02ED-46C2-9478-7FC9361D062B%7D&gp=801935
FF Extension: No Name - C:\Users\navarra\AppData\Roaming\Mozilla\Firefox\Profiles\75fg4ug4.default\extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [not found]
FF Extension: Домашняя страница Mail.Ru - C:\Users\navarra\AppData\Roaming\Mozilla\Firefox\Profiles\75fg4ug4.default\Extensions\[email protected] [2016-01-01]
FF Extension: Поиск@Mail.Ru - C:\Users\navarra\AppData\Roaming\Mozilla\Firefox\Profiles\75fg4ug4.default\Extensions\[email protected] [2016-01-01] [not signed]
CHR HomePage: Default -> hxxps://mail.ru/cnt/11956636
CHR Extension: (Mail.Ru) - C:\Users\navarra\AppData\Local\Google\Chrome\User Data\Default\Extensions\eioddfaepdoeifbhjphfefgipcjcdieo [2016-01-02]
CHR Extension: (ClixAddon) - C:\Users\navarra\AppData\Local\Google\Chrome\User Data\Default\Extensions\hjnhcgkngeeahimbfhejeaiijecekhba [2016-01-04]
CHR Extension: (Визуальные Закладки Mail.Ru) - C:\Users\navarra\AppData\Local\Google\Chrome\User Data\Default\Extensions\iflppbjnpneiigcbdfjpnkebidmkjmoi [2016-01-02]
CHR Extension: (Не хватает на Iphone?) - C:\Users\navarra\AppData\Local\Google\Chrome\User Data\Default\Extensions\lbmokakipianlpbhcacgheileggjpmee [2016-01-01]
CHR Extension: (Домашняя страница Mail.Ru) - C:\Users\navarra\AppData\Local\Google\Chrome\User Data\Default\Extensions\ppoilmfkbpckodoifdlkmkepcajfjmhl [2016-01-02]
CHR HKLM\...\Chrome\Extension: [eioddfaepdoeifbhjphfefgipcjcdieo] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [iflppbjnpneiigcbdfjpnkebidmkjmoi] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [ppoilmfkbpckodoifdlkmkepcajfjmhl] - hxxps://clients2.google.com/service/update2/crx
2016-01-01 16:03 - 2016-01-01 16:05 - 00000000 ____D C:\Users\navarra\AppData\LocalLow\Unity
2016-01-01 16:03 - 2016-01-01 16:05 - 00000000 ____D C:\Users\navarra\AppData\Local\Unity
2016-01-01 16:03 - 2016-01-01 16:03 - 00000000 ____D C:\Users\navarra\AppData\Roaming\MailProducts
2016-01-01 16:02 - 2016-01-01 16:02 - 00000000 ____D C:\Users\navarra\AppData\Local\CXInstaller-fx
EmptyTemp:
Reboot:
end[/code]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. [U]При сохранении выберите кодировку [B]Юникод[/B]![/U]
Отключите до перезагрузки антивирус, запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

О, вроде как прорвало - наконец-то осталась нормальная ссылка для расширений (при запуске Хром спросил, хочу ли я запустить отключенное мной расширение Mail.ru, я ответил, что нет), я там удалил весь невидимый до этого левак, и теперь пока что ни рекламы, ни каких-то новых расширений. ADWCleaner тоже молчит.
Огромное спасибо вам!

P.S. Два вопроса:

1. В чём в итоге была проблема-то, чтобы в дальнейшем попробовать подобный путь, а то у меня и ребёнок 5-летний за компом иногда сидит и нажимает чёрти что.
2. Auslogics можно обратно установить?

1) [quote="Виталий Винар;1347319"]чтобы в дальнейшем попробовать подобный путь[/quote]
опять создать тему на форуме и выложить логи.

2) [quote="Виталий Винар;1347319"]Auslogics можно обратно установить?[/quote]
это потенциально нежелательная программа, так что не рекомендую использовать. От неё могут быть проблемы с работой системы. Можете сами поискать по фразе "Auslogics BoostSpeed (Program.Unwanted.539)"

3) папку C:\FRST удалите.

4) Выполните скрипт в AVZ при наличии доступа в интернет:

[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]

[QUOTE=regist;1347330]1)
опять создать тему на форуме и выложить логи.[/QUOTE]

Да не хотелось по мелочам беспокоить, если опять то же самое (тем более, что финансово отблагодарить не имею возможности), но раз уж настаиваете...

А какую программу тогда посоветуете вместо Auslogics, чтобы чистить компьютер без особых заморочек (т.к. уровень пользователя у меня достаточно низкий, Auslogics был удобен тем, что там только 1 кнопку нажать нужно было)? Уж извините за назойливость.

[quote="Виталий Винар;1347458"]Да не хотелось по мелочам беспокоить, если опять то же самое[/quote]
внешне может выглядеть также, а там быть совсем другое. Да и набор программ и т.д. у вас может измениться.
[quote="Виталий Винар;1347458"]А какую программу тогда посоветуете вместо Auslogics, чтобы чистить компьютер без особых заморочек (т.к. уровень пользователя у меня достаточно низкий, Auslogics был удобен тем, что там только 1 кнопку нажать нужно было)? Уж извините за назойливость.[/quote]
Чистить от чего и для чего?

[QUOTE=regist;1347499]Чистить от чего и для чего?[/QUOTE]
Ну от "хвостов" программ, как вы выразились насчёт MBAM, от остаточных файлов, от ошибок в реестре и т.д.
Чтобы улучшить производительность системы.

[quote="Виталий Винар;1347534"]как вы выразились насчёт MBAM[/quote]
в подобных случаях только специальный деинсталятор поможет (либо вручную надо разбираться там вычищать, автоматические чистильщики этого не вычистят).
[quote="Виталий Винар;1347534"]Чтобы улучшить производительность системы.[/quote]
На производительность системы автоматическая чистка реестра в основном не влияет, вот такой популярный миф ;).
Если очень хочется поставить какой-нибудь чистильщик, то лучше поставьте CCleaner, только при установке обращайте внимание на галочки.