Не могу удалить расширение Хром "Акционные купоны" (ID: balhbiilgifenhadkgpaelhojcdkjndn)

Здравствуйте!


Расширение подменяет ссылки на рекламные. Установилось оно вместе с комплектом программ Mail.ru, когда я скачал шрифт вот с этого сайта: fonts4web.ru - там был exe архив, который при распаковке установил кучу программ. Все эти программы я удалил вручную, а вирусная программа в Хроме осталась. "Акционные купоны" (ID: balhbiilgifenhadkgpaelhojcdkjndn).


Отключить его невозможно, написано "Установлено в соответствии с корпоративным правилом."


Находил по ID папку, удалял, но она восстанавливается. Пытался по ID зачищать записи в реестре, но это тоже не помогает. Запускал adwcleaner_5.032, он находит его, пишет, что удалил, но расширение не удаляется.

Уважаемый(ая) [B]Денис Болвинов[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

[url]http://virusinfo.info/pravila.html[/url]

Все действия из инструкции проделал.
Добавил файлы во вложение к теме

Логи сделаны версией 4.43. Скачайте [URL="http://z-oleg.com/avz4.zip"]актуальную версию AVZ: 4.45[/URL], обновите базы и переделайте логи.

+ - Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.

+
[quote="Денис Болвинов;1355752"]Запускал adwcleaner_5.032[/quote]
лог также прикрепите.

К сожалению не получается загрузить карантинный файл через форму... постоянно сбрасывается связь..
Выложил его на яндекс-диск: [url]https://yadi.sk/d/OSH4mD_hoKCEp[/url]

элементы-яндекса-погода/omehaopbmkbpcpbgldgooblpgehpldfl
[url]https://chrome.google.com/webstore/detail/элементы-яндекса-погода/omehaopbmkbpcpbgldgooblpgehpldfl[/url]
Сами ставили?

Программы Mail.ru и Zona используете?

+ жду
[quote="regist;1355959"]Логи сделаны версией 4.43. Скачайте актуальную версию AVZ: 4.45, обновите базы и переделайте логи.[/quote]

Да яндекс-погоду и закладки сам ставил. Использую Облако mail.ru, больше ничего из их продуктов. Zona - использую.

Файл прикрепляю.

[LIST][*]Пожалуйста, запустите adwcleaner.exe[*]Нажмите [B]Uninstall[/B] ([B]Деинсталлировать[/B]).[*]Подтвердите удаление нажав кнопку: Да.[/LIST]

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку [B]Scan[/B].
После окончания сканирования будут созданы отчеты [B]FRST.txt[/B], [B]Addition.txt[/B], [B]Shortcut.txt[/B] в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Сделал, файлы во вложении

daum.net/ - этот сайт вам знаком?

[CODE]FF Extension: Поиск@Mail.Ru - C:\Users\Denis\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2016-01-31]
FF HKLM-x32\...\Firefox\Extensions: [[email protected]] - C:\Program Files (x86)\Adobe\Acrobat DC\Acrobat\Browser\WCFirefoxExtn
FF Extension: Adobe Acrobat DC - Create PDF - C:\Program Files (x86)\Adobe\Acrobat DC\Acrobat\Browser\WCFirefoxExtn [2016-01-15]
FF HKLM-x32\...\Firefox\Extensions: [[email protected]] - C:\Program Files (x86)\IVT Corporation\BlueSoleil\TransSend\FireFox\[email protected]
FF Extension: BlueSoleil Extension - C:\Program Files (x86)\IVT Corporation\BlueSoleil\TransSend\FireFox\[email protected] [2015-11-07] [not signed]
FF HKU\S-1-5-21-1615470295-1238710437-2371752756-1000\...\Firefox\Extensions: [[email protected]] - C:\Program Files (x86)\Download Master\distribution\bundles\[email protected]
FF Extension: Download Master Plugin - C:\Program Files (x86)\Download Master\distribution\bundles\[email protected] [2016-01-28]
FF HKU\S-1-5-21-1615470295-1238710437-2371752756-1000\...\Firefox\Extensions: [[email protected]] - C:\Program Files (x86)\Download Master\distribution\bundles\[email protected]
FF Extension: Download Master Media Monitor - C:\Program Files (x86)\Download Master\distribution\bundles\[email protected] [2016-01-28]
FF HKU\S-1-5-21-1615470295-1238710437-2371752756-1000\...\Firefox\Extensions: [[email protected]] - C:\Program Files (x86)\Download Master\distribution\bundles\[email protected]
FF Extension: Download Master Toolbar - C:\Program Files (x86)\Download Master\distribution\bundles\[email protected] [2016-01-28]
FF HKU\S-1-5-21-1615470295-1238710437-2371752756-1000\...\Firefox\Extensions: [[email protected]] - C:\Program Files (x86)\Download Master\distribution\bundles\[email protected]
FF Extension: Download Master Remote Download - C:\Program Files (x86)\Download Master\distribution\bundles\[email protected] [2016-01-28]

Chrome:
=======
CHR Extension: (Torrent Search) - C:\Users\Denis\AppData\Local\Google\Chrome\User Data\Default\Extensions\afbpdhiclgghnffhkinjikglgmolhpee [2015-09-07]
CHR Extension: (Документы Google) - C:\Users\Denis\AppData\Local\Google\Chrome\User Data\Default\Extensions\aohghmighlieiainnegkcijnfilokake [2015-09-08]
CHR Extension: (Диск Google) - C:\Users\Denis\AppData\Local\Google\Chrome\User Data\Default\Extensions\apdfllckaahabafndbhieahigkjlhalf [2015-10-21]
CHR Extension: (Акционные купоны.) - C:\Users\Denis\AppData\Local\Google\Chrome\User Data\Default\Extensions\balhbiilgifenhadkgpaelhojcdkjndn [2016-02-04]
CHR Extension: (Звонки Skype) - C:\Users\Denis\AppData\Local\Google\Chrome\User Data\Default\Extensions\blakpkgjpemejpbmfiglncklihnhjkij [2015-11-06]
CHR Extension: (YouTube) - C:\Users\Denis\AppData\Local\Google\Chrome\User Data\Default\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo [2015-09-24]
CHR Extension: (Nimbus Screenshot and Screencast) - C:\Users\Denis\AppData\Local\Google\Chrome\User Data\Default\Extensions\bpconcjcammlapcogcnnelfmaeghhagj [2015-12-09]
CHR Extension: (Adblock Plus) - C:\Users\Denis\AppData\Local\Google\Chrome\User Data\Default\Extensions\cfhdojbkjhnklbpkdaibdccddilifddb [2016-02-04]
CHR Extension: (Google Search) - C:\Users\Denis\AppData\Local\Google\Chrome\User Data\Default\Extensions\coobgpohoikkiipiblmjeljniedjpjpf [2015-10-27]
CHR Extension: (HTML Editor) - C:\Users\Denis\AppData\Local\Google\Chrome\User Data\Default\Extensions\dacmeeeegjoaddfondbeaaafohldgfof [2015-09-07]
CHR Extension: (Download Master) - C:\Users\Denis\AppData\Local\Google\Chrome\User Data\Default\Extensions\dljdacfojgikogldjffnkdcielnklkce [2015-09-07]
CHR Extension: (Fotor Extension) - C:\Users\Denis\AppData\Local\Google\Chrome\User Data\Default\Extensions\eicdknplohdampjgndodmhblklhhnkbn [2015-09-07]
CHR Extension: (Календарь Google) - C:\Users\Denis\AppData\Local\Google\Chrome\User Data\Default\Extensions\ejjicmeblgpmajnghnpcppodonldlgfn [2015-10-13]
CHR Extension: (Google Таблицы) - C:\Users\Denis\AppData\Local\Google\Chrome\User Data\Default\Extensions\felcaaldnbdncclmgdcncolpebgiejap [2015-09-07]
CHR Extension: (Редактирование файлов Office) - C:\Users\Denis\AppData\Local\Google\Chrome\User Data\Default\Extensions\gbkeegbaiigmenfmjfclcdgdpimamgkj [2016-01-04]
CHR Extension: (Pablo) - C:\Users\Denis\AppData\Local\Google\Chrome\User Data\Default\Extensions\gfpibnlcombjoeejlongmihndgkpnjjo [2015-12-18]
CHR Extension: (Google*Документы офлайн) - C:\Users\Denis\AppData\Local\Google\Chrome\User Data\Default\Extensions\ghbmnnjooekpmoecnnnilnnbdlolhkhi [2015-11-21]
CHR Extension: (Avast Online Security) - C:\Users\Denis\AppData\Local\Google\Chrome\User Data\Default\Extensions\gomekmidlodglbbmalcneegieacbdmki [2016-02-03]
CHR Extension: (YG Indices) - C:\Users\Denis\AppData\Local\Google\Chrome\User Data\Default\Extensions\hjoclfjgidmihcjlmimheopdnbppkdgi [2015-12-15]
CHR Extension: (VkOpt) - C:\Users\Denis\AppData\Local\Google\Chrome\User Data\Default\Extensions\hoboppgpbgclpfnjfdidokiilachfcbb [2015-09-21]
CHR Extension: (Facebook Invite All) - C:\Users\Denis\AppData\Local\Google\Chrome\User Data\Default\Extensions\inmmhkeajgflmokoaaoadgkhhmibjbpj [2015-11-09]
CHR Extension: (Download Facebook Album!) - C:\Users\Denis\AppData\Local\Google\Chrome\User Data\Default\Extensions\jcheapnmfbmcccnbjhhkmleoiljgpmkl [2016-02-04]
CHR Extension: (friGate CDN - доступ к сайтам) - C:\Users\Denis\AppData\Local\Google\Chrome\User Data\Default\Extensions\mbacbcfdfaapbcnlnbmciiaakomhkbkb [2015-12-16]
CHR Extension: (Платежная система Интернет-магазина Chrome) - C:\Users\Denis\AppData\Local\Google\Chrome\User Data\Default\Extensions\nmmhkkegccagdldgiimedpiccmgmieda [2015-09-07]
CHR Extension: (ColorPick Eyedropper) - C:\Users\Denis\AppData\Local\Google\Chrome\User Data\Default\Extensions\ohcpnigalekghcmgcdcenkpelffpdolg [2015-09-07]
CHR Extension: (Sidekick by HubSpot) - C:\Users\Denis\AppData\Local\Google\Chrome\User Data\Default\Extensions\oiiaigjnkhngdbnoookogelabohpglmd [2016-02-04]
CHR Extension: (Элементы Яндекса: Погода) - C:\Users\Denis\AppData\Local\Google\Chrome\User Data\Default\Extensions\omehaopbmkbpcpbgldgooblpgehpldfl [2016-02-04]
CHR Extension: (Визуальные закладки) - C:\Users\Denis\AppData\Local\Google\Chrome\User Data\Default\Extensions\pchfckkccldkbclgdepkaonamkignanh [2016-01-19]
CHR Extension: (Gmail) - C:\Users\Denis\AppData\Local\Google\Chrome\User Data\Default\Extensions\pjkljhegncpnkpknbcohdijeoejaedia [2015-09-08]
CHR Extension: (Простой Яндекс-переводчик) - C:\Users\Denis\AppData\Local\Google\Chrome\User Data\Default\Extensions\pngjopgaaomoofnpfhgfopkkegcpkjhc [2016-02-02]
CHR HKLM\...\Chrome\Extension: [cocpghbdppojfnfpjhmlcfkljjjfpika] - C:\Program Files (x86)\IVT Corporation\BlueSoleil\TransSend\Chrome\TS_Chrome.crx [2014-07-23][/CODE]

эти расширения все вам знакомы? Сами ставили и используете?

daum.net - да, это daum-плеер, корейский проигрыватель видео.

FF Extension:

Поиск@Mail.Ru - это установилось с вирусом
BlueSoleil - по всей видимости от драйвера блютуз, но я его сам не ставил
Download Master - я использую как программу в хроме

CHR Extension:

Акционные купоны. - это вредоносное расширение

Google Search, Платежная система Интернет-магазина Chrome - эти не ставил, но, судя по всему, они встроенные
BlueSoleil - это от драйвера блютуза

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

Остальное всё ставил сам

7-Zip 9.20 - надо бы обновить.

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:
[code]start
CreateRestorePoint:
GroupPolicy: Restriction - Chrome <======= ATTENTION
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
CHR HKU\S-1-5-21-1615470295-1238710437-2371752756-1000\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
FF Extension: No Name - C:\Users\Denis\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\extensions\{d720d64d-c71a-4316-b59e-8a41b860178f} [not found]
FF Extension: No Name - C:\Users\Denis\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\extensions\[email protected] [not found]
FF Extension: No Name - C:\Users\Denis\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\extensions\{a38384b3-2d1d-4f36-bc22-0f7ae402bcd7} [not found]
FF Extension: Поиск@Mail.Ru - C:\Users\Denis\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2016-01-31]
CHR Extension: (Акционные купоны.) - C:\Users\Denis\AppData\Local\Google\Chrome\User Data\Default\Extensions\balhbiilgifenhadkgpaelhojcdkjndn [2016-02-04]
OPR Extension: (Quick Searcher) - C:\Users\Denis\AppData\Roaming\Opera Software\Opera Stable\Extensions\cagkfnokdfofofnblbpfjnapdojmoffn [2016-01-31]

EmptyTemp:
Reboot:
end[/code]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. [U]При сохранении выберите кодировку [B]Юникод[/B]![/U]
Отключите до перезагрузки антивирус, запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

Проверьте проблему.

Расширение пропало! Ура! Большое спасибо!
Лог прикрепляю!

Удалите папку C:\FRST со всем содержимым.


Выполните скрипт в AVZ при наличии доступа в интернет:

[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]