Не удаляется расширение Smart Browser для Google Chrome

Printable View

19.01.2016, 15:15
Aqeee

Не удаляется расширение Smart Browser для Google Chrome

Доброго времени суток. Пару дней назад подхватил расширение Smart Browser и никак не могу от него избавиться. После перезагрузки расширение опять устанавливается и блокирует Adblock Plus. Проверял компьютер антивирусом, но безуспешно. [COLOR=#333333]Проблемы начались после запуска файла из скачанного архива, установились службы mail.ru, Kinoroom Browser, изменилась стартовая страница, на панели задач появились ярлыки для Вконтакте, Одноклассники и др. Система Windows8, 64-разрядная.[/COLOR]
19.01.2016, 15:17
Info_bot

Уважаемый(ая) [B]Aqeee[/B], спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
19.01.2016, 18:56
regist

Здравствуйте!

- Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFile('D:\HTTPAnalyzerFullV7\netFilterService.exe', '');
QuarantineFileF('c:\programdata\krb updater utility', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
QuarantineFileF('c:\program files (x86)\kinoroom browser', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
QuarantineFileF('c:\users\csmir_000\appdata\local\systemdir', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
QuarantineFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe', '');
QuarantineFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe', '');
QuarantineFile('C:\Users\csmir_000\AppData\Local\SystemDir\nethost.exe', '');
DeleteFile('C:\ProgramData\KRB Updater Utility\krbupdater.exe', '32');
DeleteFile('C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe', '32');
DeleteFile('C:\Users\csmir_000\AppData\Local\SystemDir\nethost.exe', '32');
ExecuteFile('schtasks.exe', '/delete /TN "KRB Updater Utility Service" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "KRBLNKRUN" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "nethost task" /F', 0, 15000, true);
DeleteFileMask('c:\programdata\krb updater utility', '*', true);
DeleteFileMask('c:\program files (x86)\kinoroom browser', '*', true);
DeleteFileMask('c:\users\csmir_000\appdata\local\systemdir', '*', true);
DeleteDirectory('c:\programdata\krb updater utility');
DeleteDirectory('c:\program files (x86)\kinoroom browser');
DeleteDirectory('c:\users\csmir_000\appdata\local\systemdir');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', 'KRB Updater Utility');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.

- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])

[LIST][*]Скачайте [B][URL="https://toolslib.net/downloads/viewdownload/1-adwcleaner/"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
19.01.2016, 21:31
Aqeee

Сделал всё по инструкции и прикрепил файлы. Расширение попрежнему установилось.
20.01.2016, 10:10
regist

ASPackage - деинсталируйте.

- [url=http://virusinfo.info/showthread.php?t=146192&p=1041864&viewfull=1#post1041864]Удалите в AdwCleaner[/url] всё кроме папок от mail.ru и Yandex - если программами от mail.ru и Yandex не пользуетесь, то их тоже удалите. Отчет после удаления прикрепите.

[url=http://virusinfo.info/showthread.php?t=121767][b]Сделайте полный образ автозапуска uVS[/b][/url], только программу скачайте [url=https://yadi.sk/d/6A65LkI1WEuqC]отсюда.[/url]
20.01.2016, 14:24
Aqeee

Службы ASPackage я не обнаружил. Сделал всё по инструкции и прикрепил отчеты.
20.01.2016, 15:06
regist

[LIST][*]Пожалуйста, запустите adwcleaner.exe[*]Нажмите [B]Uninstall[/B] ([B]Деинсталлировать[/B]).[*]Подтвердите удаление нажав кнопку: Да.[/LIST]

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку [B]Scan[/B].
После окончания сканирования будут созданы отчеты [B]FRST.txt[/B], [B]Addition.txt[/B], [B]Shortcut.txt[/B] в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
20.01.2016, 15:19
Aqeee

Вложений: 3

Готово
20.01.2016, 15:50
regist

[CODE]C:\Users\csmir_000\AppData\Roaming\Mozilla\Firefox\Profiles\ywntqott.default\Extensions\[email protected]
C:\Users\csmir_000\AppData\Roaming\Opera Software\Opera Stable\Extensions\mnodmjdgoadhalodifblaaikgcfgchfb[/CODE]
Заархивируйте в zip архив с паролем [COLOR="Red"]virus[/COLOR] и загрузите по ссылке [b][color=Red]Прислать запрошенный карантин[/color][/b] вверху темы.

[CODE]CHR Extension: ([B]Google Презентации[/B]) - C:\Users\csmir_000\AppData\Local\Google\Chrome\User Data\Default\Extensions\aapocclcgogkmnckokdopfmhonfmgoek [2015-11-19]
CHR Extension: ([B]Диск Google[/B]) - C:\Users\csmir_000\AppData\Local\Google\Chrome\User Data\Default\Extensions\apdfllckaahabafndbhieahigkjlhalf [2015-11-19]
CHR Extension: ([B]YouTube[/B]) - C:\Users\csmir_000\AppData\Local\Google\Chrome\User Data\Default\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo [2015-11-19]
CHR Extension: ([B]Google Search[/B]) - C:\Users\csmir_000\AppData\Local\Google\Chrome\User Data\Default\Extensions\coobgpohoikkiipiblmjeljniedjpjpf [2015-11-19]
CHR Extension: ([B]AliExpress Tools (AliTools)[/B]) - C:\Users\csmir_000\AppData\Local\Google\Chrome\User Data\Default\Extensions\eenflijjbchafephdplkdmeenekabdfb [2016-01-16]
CHR Extension: ([B]Google Таблицы[/B]) - C:\Users\csmir_000\AppData\Local\Google\Chrome\User Data\Default\Extensions\felcaaldnbdncclmgdcncolpebgiejap [2015-11-19]
CHR Extension: ([B]VK inviz[/B]) - C:\Users\csmir_000\AppData\Local\Google\Chrome\User Data\Default\Extensions\ffniakoflaobbkjjcnlnmepodehaflkd [2015-12-09]
CHR Extension: ([B]LoungeDestroyer[/B]) - C:\Users\csmir_000\AppData\Local\Google\Chrome\User Data\Default\Extensions\ghahcnmfjfckcedfajbhekgknjdplfcl [2015-12-23]
CHR Extension: ([B]Google*Документы офлайн[/B]) - C:\Users\csmir_000\AppData\Local\Google\Chrome\User Data\Default\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi [2015-11-19]
CHR Extension: ([B]Платежная система Интернет-магазина Chrome[/B]) - C:\Users\csmir_000\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda [2015-11-19]
CHR Extension: ([B]VK Crazy Typing[/B]) - C:\Users\csmir_000\AppData\Local\Google\Chrome\User Data\Default\Extensions\ojiekkmilmanlipjocobbmboiganaphm [2015-12-25]
CHR Extension: ([B]Gmail[/B]) - C:\Users\csmir_000\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjkljhegncpnkpknbcohdijeoejaedia [2015-11-19]
CHR Extension: ([B]VK Audiopad[/B]) - C:\Users\csmir_000\AppData\Local\Google\Chrome\User Data\Default\Extensions\plclpmphdjmdgmdpfkcmdkmohgpfecip [2015-11-19][/CODE]
эти расширения не считая родных гугловских, все сами ставили?
А также в Опере
[CODE]OPR Extension: ([B]MarketQuick[/B]) - C:\Users\csmir_000\AppData\Roaming\Opera Software\Opera Stable\Extensions\emalgedpdlghbkikiaeocoblajamonoh [2016-01-18]
[/CODE]

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:
[code]start
CreateRestorePoint:
SearchScopes: HKU\S-1-5-21-327186868-265728257-1691418173-1001 -> DefaultScope {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={SearchTerms}&product_id=%7B33623CBE-883C-42AE-B5ED-8100537BB52B%7D&gp=801510
SearchScopes: HKU\S-1-5-21-327186868-265728257-1691418173-1001 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={SearchTerms}&product_id=%7B33623CBE-883C-42AE-B5ED-8100537BB52B%7D&gp=801510
BHO-x32: IEInspector Browser Helper -> {9B43B7B1-BF56-4708-81D2-332D708B0DD9} -> D:\HTTPAnalyzerFullV7\IEInspectorBHO.dll => No File
FF Plugin-x32: @ieinspector.com/ha_plugin -> D:\HTTPAnalyzerFullV7\firefox\Components [No File]
FF Extension: No Name - C:\Users\csmir_000\AppData\Roaming\Mozilla\Firefox\Profiles\ywntqott.default\extensions\[email protected] [not found]
FF Extension: No Name - C:\Users\csmir_000\AppData\Roaming\Mozilla\Firefox\Profiles\ywntqott.default\extensions\[email protected] [not found]
FF Extension: SmartBrowser™ - C:\Users\csmir_000\AppData\Roaming\Mozilla\Firefox\Profiles\ywntqott.default\Extensions\[email protected] [2016-01-18] [not signed]
CHR StartupUrls: Default -> "hxxp://mail.ru/cnt/10445?gp=801010"
CHR DefaultSearchURL: Default -> hxxp://go.mail.ru/search?q={searchTerms}&fr=xtn11
CHR DefaultSearchKeyword: Default -> mail.ru
CHR DefaultSuggestURL: Default -> hxxp://suggests.go.mail.ru/chrome?q={searchTerms}
OPR Extension: (Smart Browser™) - C:\Users\csmir_000\AppData\Roaming\Opera Software\Opera Stable\Extensions\mnodmjdgoadhalodifblaaikgcfgchfb [2016-01-13]
Task: {5E96EFC1-92E2-4F4F-B031-1D2283311CBF} - \Microsoft\SafeBrowser -> No File <==== ATTENTION
Task: {77AA9840-8729-4392-A702-77B703D7EDD5} - System32\Tasks\Microsoft\KRBUUS\KRB Updater Utility Service => C:\ProgramData\KRB Updater Utility\krbupdater.exe
Task: {7C776392-3735-4FF7-BCF9-782F401FCDEE} - System32\Tasks\Microsoft\KRBUUS\KRBLNKRUN => C:\Program Files (x86)\Kinoroom Browser\krbrowser.exe
Task: {96BAF90C-60F8-44B4-92C5-9302E1320358} - \Microsoft\Windows\SafeBrowser -> No File <==== ATTENTION
Task: {D48DBB05-050B-409F-BACC-4EC9000E4988} - \Microsoft\Windows\extsetup -> No File <==== ATTENTION
Task: {DC4CE5A8-A428-4837-8844-F8A221C29FB1} - \Microsoft\extsetup -> No File <==== ATTENTION
Task: {E2CDF269-BF00-4D6D-A596-FBB00806F096} - \Microsoft\Windows\A86BB7F75-CCC7-4557-8ECA-2621F526F553 -> No File <==== ATTENTION
EmptyTemp:
Reboot:
end[/code]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. [U]При сохранении выберите кодировку [B]Юникод[/B]![/U]
Отключите до перезагрузки антивирус, запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.
20.01.2016, 18:00
Aqeee

Вложений: 1

В хроме расширения сам ставил. Оперу даже не устанавливал, она появилась вместе со всеми другими программами и расширениями.
20.01.2016, 18:44
regist

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:
[code]start
CreateRestorePoint:
OPR Extension: (MarketQuick) - C:\Users\csmir_000\AppData\Roaming\Opera Software\Opera Stable\Extensions\emalgedpdlghbkikiaeocoblajamonoh [2016-01-18]
EmptyTemp:
Reboot:
end[/code]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. [U]При сохранении выберите кодировку [B]Юникод[/B]![/U]
Отключите до перезагрузки антивирус, запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

что с проблемой?
20.01.2016, 19:07
Aqeee

Вложений: 1

Расширение больше не устанавливается. Лишних программ пока не обнаружил.
20.01.2016, 19:54
regist

Удалите папку C:\FRST со всем содержимым.

Выполните скрипт в AVZ при наличии доступа в интернет:

[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]
20.01.2016, 20:59
Aqeee

Уязвимостей не было найдено.
20.01.2016, 21:09
CyberHelper

Итог лечения

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]3[/B][*]Обработано файлов: [B]21[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]