Printable View
Стала вылезать реклама во всех браузерах. Например, в Одноклассниках перед любым видео; при наведении на картинки, картинка переворачивается и показывается реклама; при нажатии на страницу в любом месте открывается страница (обычно Казино Вулкан); на некоторых страницах постоянно появляются и исчезают всплывающие окна с рекламой того же казино в левом нижнем углу; в соц. сетях вставляет рекламу в ленту.
Уважаемый(ая) [B]ilkamoi[/B], спасибо за обращение на наш форум!
Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].
[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]
Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].
Здравствуйте!
- Проведите [url=http://virusinfo.info/content.php?r=290-virus-detector][b]эту[/b][/url] процедуру. Полученную ссылку после загрузки карантина [b]virusinfo_auto_имя_вашего_ПК.zip[/b] через [url=http://virusinfo.info/virusdetector/uploadform.php][b]данную форму[/b][/url] напишите в своём в сообщении здесь.
Закройте все программы
Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]
[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -
[code]
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
QuarantineFileF('C:\Program Files\ContentProtector\', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0, 0);
QuarantineFileF('c:\programdata\krb updater utility', '*.exe, *.dll, *.sys, *.bat, *.vbs, *.js*, *.tmp*', true, '', 0 , 0);
QuarantineFileF('c:\users\администратор\appdata\local\microsoft\extensions', '*', true, '', 0 , 0);
QuarantineFile('C:\Users\836D~1\AppData\Local\Temp\TasksWatch.exe', '');
QuarantineFile('C:\Program Files (x86)\iWebar\iWebar-updater.exe', '');
QuarantineFile('C:\ProgramData\KRB Updater Utility\krbupdater-utility.exe', '');
QuarantineFile('C:\Users\Администратор\AppData\Local\Microsoft\Extensions\extsetup.exe', '');
QuarantineFile('C:\Program Files (x86)\Common Files\Adobe\OOBA\PDApp\PPAPI\CF4DA53E-E7C6-4F12-874B-64F225724942.exe', '');
QuarantineFile('C:\Windows\system32\drivers\ContentProtectorDrv.sys', '');
DeleteFile('C:\Users\836D~1\AppData\Local\Temp\TasksWatch.exe', '32');
DeleteFile('C:\Program Files (x86)\iWebar\iWebar-updater.exe', '32');
DeleteFile('C:\ProgramData\KRB Updater Utility\krbupdater-utility.exe', '32');
DeleteFile('C:\Users\Администратор\AppData\Local\Microsoft\Extensions\extsetup.exe', '32');
ExecuteFile('schtasks.exe', '/delete /TN "iWebar-updater" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "KRB Updater Utility" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "extsetup" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "KRB Updater Utility Service" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "SafeBrowser" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "avastBCLRestartS-1-5-21-2644496669-1680244695-3235772995-500" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "iWebar-chromeinstaller" /F', 0, 15000, true);
ExecuteFile('schtasks.exe', '/delete /TN "AFB40D0DC-E662-4F8E-9A8F-3F81A0FB43FC" /F', 0, 15000, true);
DeleteFileMask('c:\programdata\krb updater utility', '*', true);
DeleteFileMask('c:\users\администратор\appdata\local\microsoft\extensions', '*', false);
DeleteDirectory('c:\programdata\krb updater utility');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run', 'AppDownloads');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SPDriver', 'command');
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\TasksWatch', 'command');
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1001', 1);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1004', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '2201', 3);
RegKeyIntParamWrite('HKCU', 'Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\', '1804', 1);
CreateQurantineArchive(GetAVZDirectory + 'quarantine.zip');
ExecuteSysClean;
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 3, true);
RebootWindows(true);
end.
[/code]
[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]
Файл [b]quarantine.zip[/b] из папки AVZ загрузите по ссылке "[color=Red][b]Прислать запрошенный карантин[/b][/color]" вверху темы.
- Сделайте повторные логи по [url=http://virusinfo.info/pravila.html]правилам[/url] п.2 и 3 раздела Диагностика.([color=Blue]virusinfo_syscheck.zip;hijackthis.log[/color])
[LIST][*]Скачайте [B][URL="https://toolslib.net/downloads/viewdownload/1-adwcleaner/"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]
По первому впечатлению, реклама осталась
[quote="regist;1361418"]- Проведите эту процедуру. Полученную ссылку после загрузки карантина virusinfo_auto_имя_вашего_ПК.zip через данную форму напишите в своём в сообщении здесь.[/quote]
где ссылка на отчёт?
Эти отчёты прикрепите
[QUOTE]C:\AdwCleaner\AdwCleaner[C1].txt - [6780 байт] - [19/02/2016 09:47:58]
C:\AdwCleaner\AdwCleaner[C2].txt - [1290 байт] - [19/02/2016 11:31:53]
C:\AdwCleaner\AdwCleaner[S1].txt - [6626 байт] - [19/02/2016 09:44:33]
C:\AdwCleaner\AdwCleaner[S2].txt - [1203 байт] - [19/02/2016 11:27:53][/QUOTE]
возможно что-то нужное удалили.
Ссылка: [url]http://virusinfo.info/virusdetector/report.php?md5=1A26A15C61787AC07E8B4E53DA12D673[/url]
[url=http://virusinfo.info/showthread.php?t=121767][b]Сделайте полный образ автозапуска uVS[/b][/url], только программу скачайте [url=https://yadi.sk/d/6A65LkI1WEuqC]отсюда.[/url]
Образ
[CODE]C:\USERS\АДМИНИСТРАТОР\APPDATA\LOCAL\DM\TINYDM.EXE[/CODE]
этот файл вам знаком?
[CODE]HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DAEEMBEEJEKGHKOPIABADONPMFPIGOJOK%26INSTALLSOURCE%3DONDEMAND%26UC[/CODE]
Визуальные Закладки Mail.Ru - сами ставили? И другие расширения от mail.ru используете?
[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url] и пришлите карантин
[CODE];uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
BREG
delall %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\LOCAL\MICROSOFT\EXTENSIONS\EXTSETUP.EXE
delref %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\LOCAL\AMIGO\APPLICATION\44.4.2403.3\DELEGATE_EXECUTE.EXE
dirzooex %SystemDrive%\PROGRAM FILES\CONTENTPROTECTOR
zoo %SystemDrive%\PROGRAM FILES\CONTENTPROTECTOR\CONTENTPROTECTORUPDATE.EXE
bl F918B05A5FC545E0C84887637859CC8A 257792
delall %SystemDrive%\PROGRAM FILES\CONTENTPROTECTOR\CONTENTPROTECTORUPDATE.EXE
zoo %Sys32%\DRIVERS\CONTENTPROTECTORDRV.SYS
bl 6BC08FD42DE19DC2151B0330C7813DF9 57272
delall %Sys32%\DRIVERS\CONTENTPROTECTORDRV.SYS
deldir %SystemDrive%\PROGRAM FILES\CONTENTPROTECTOR
zoo %SystemDrive%\PROG\OFFLINE EXPLORER 6.7.3994 ENTERPRISE PORTABLE СКАЧАТЬ САЙТ\APP\OFFLINEEXPLORER\OE.EXE
zoo %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\LOCAL\DM\TINYDM.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\IWEBAR\IWEBAR-CODEDOWNLOADER.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\IWEBAR\IWEBAR-FIREFOXINSTALLER.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\COMMON FILES\ADOBE\OOBA\PDAPP\PPAPI\CF4DA53E-E7C6-4F12-874B-64F225724942.EXE
delref %SystemDrive%\PROGRAM FILES (X86)\GOOGLE\CHROME\APPLICATION\38.0.2125.111\DELEGATE_EXECUTE.EXE
regt 27
czoo
restart[/CODE]
сделайте свежий образ автозапуска.
[QUOTE=regist;1361723][CODE]C:\USERS\АДМИНИСТРАТОР\APPDATA\LOCAL\DM\TINYDM.EXE[/CODE]
этот файл вам знаком?[/QUOTE]
Нет
[QUOTE]Визуальные Закладки Mail.Ru - сами ставили? И другие расширения от mail.ru используете?[/QUOTE]
Нет
Не могу добавить новый образ автозапуска - не хватает места, а старые вложения не могу понять, как удалить.
[quote="ilkamoi;1362293"]Не могу добавить новый образ автозапуска - не хватает места,[/quote]
закачайте архив на любой файлообменник, не требующий ввода капчи, например: [url=http://www.zippyshare.com/]Zippyshare[/url], [url=http://my-files.ru/]My-Files.RU[/url] и оставьте ссылку на скачивание.
[url]http://www118.zippyshare.com/v/ms0kKtkh/file.html[/url]
Как понимаю этот сайт сознательно стартовой не прописывали?
[CODE]HTTP://XTREME.WS/[/CODE]
[url=http://virusinfo.info/showthread.php?t=121769]Выполните скрипт в uVS[/url]
[CODE];uVS v3.87 [http://dsrt.dyndns.org]
;Target OS: NTv6.1
v385c
BREG
delref HTTP://MAIL.RU/CNT/10445?GP=801013
delref HTTP://XTREME.WS/
delall %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\PGAIDLFGJKMEENDHKNAFAHPPLLBNIEJM\3.0.2_0\ВИЗУАЛЬНЫЕ ЗАКЛАДКИ MAIL.RU
delall %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\AEEMBEEJEKGHKOPIABADONPMFPIGOJOK\6.0.1_1\ВИЗУАЛЬНЫЕ ЗАКЛАДКИ MAIL.RU
delall %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\EXTENSIONS\BGCIFLJFAPBHGIEHKJLCKFJMGEOJIJCB\6.0.1_1\ПОИСК MAIL.RU
zoo %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\LOCAL\DM\TINYDM.EXE
bl DF4BF0CE4AD9A64EF58B4F9556253806 288728
delall %SystemDrive%\USERS\АДМИНИСТРАТОР\APPDATA\LOCAL\DM\TINYDM.EXE
delall HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DAEEMBEEJEKGHKOPIABADONPMFPIGOJOK%26INSTALLSOURCE%3DONDEMAND%26UC
delall HTTPS://CLIENTS2.GOOGLE.COM/SERVICE/UPDATE2/CRX?RESPONSE=REDIRECT&PRODVERSION=38.0&X=ID%3DBGCIFLJFAPBHGIEHKJLCKFJMGEOJIJCB%26INSTALLSOURCE%3DONDEMAND%26UC
czoo
restart[/CODE]
сделайте свежий образ автозапуска и отпишитесь, что с проблемой
[QUOTE=regist;1362436]Как понимаю этот сайт сознательно стартовой не прописывали?
[CODE]HTTP://XTREME.WS/[/CODE]
[/QUOTE]
Не прописывали
[url]http://www63.zippyshare.com/v/x2VCsuUl/file.html[/url]
Ушли все проблемы, кроме рекламы на левой полосе в Одноклассниках
[quote="ilkamoi;1362585"]Ушли все проблемы, кроме рекламы на левой полосе в Одноклассниках[/quote]
В каком браузере? И только на одноклассниках?
- [URL="http://virusinfo.info/showthread.php?t=128635"]Очистите кеш и куки браузеров[/URL]
Проверяйте работу в Интернете
Вышел из одноклассников.
Куки и кеш почистил
Реклама осталась
В Google Chrom и FireFox - на левой и на правой колонке. Только в одноклассниках
[URL="http://www.opera-usb.com/ru/"]скачайте отсюда Оперу[/URL] и проверьте проблему в ней.
Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.
Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".
Нажмите кнопку [B]Scan[/B].
После окончания сканирования будут созданы отчеты [B]FRST.txt[/B], [B]Addition.txt[/B], [B]Shortcut.txt[/B] в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.
Отчет Sortcut не создался.
[code]start
CreateRestorePoint:
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => No File
CHR HKU\S-1-5-21-2644496669-1680244695-3235772995-500\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
SearchScopes: HKU\S-1-5-21-2644496669-1680244695-3235772995-500 -> DefaultScope {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={SearchTerms}&product_id=%7B94F0F29A-97FB-4504-85DB-E70EB4237AAE%7D&gp=811006
SearchScopes: HKU\S-1-5-21-2644496669-1680244695-3235772995-500 -> {A55F9C95-2BB1-4EA2-BC77-DFAAB78832CE} URL = hxxp://search.qip.ru/search?query={searchTerms}&utm_source=ieb&utm_medium=cpc&utm_campaign=browsers
SearchScopes: HKU\S-1-5-21-2644496669-1680244695-3235772995-500 -> {FFEBBF0A-C22C-4172-89FF-45215A135AC7} URL = hxxp://go.mail.ru/distib/ep/?q={SearchTerms}&product_id=%7B94F0F29A-97FB-4504-85DB-E70EB4237AAE%7D&gp=811006
CHR RestoreOnStartup: Default -> "hxxp://mail.ru/cnt/10445?gp=801013"
OPR Extension: (Smart Browser™) - C:\Users\Администратор\AppData\Roaming\Opera Software\Opera Stable\Extensions\nlipoenfbbikpbjkfpfillcgkoblgpmj [2015-12-02]
Task: {0C189CBD-3D0B-4A6C-92A2-66191DE726A5} - \Microsoft\SafeBrowser -> No File <==== ATTENTION
Task: {13878513-FC7E-4FAF-82F9-521FD6F7B1CA} - \Microsoft\Windows\AFB40D0DC-E662-4F8E-9A8F-3F81A0FB43FC -> No File <==== ATTENTION
Task: {197FB04A-861B-4622-88C7-2F54E29A1C5C} - \Microsoft\Windows\FB40D0DC-E662-4F8E-9A8F-3F81A0FB43FC -> No File <==== ATTENTION
Task: {8485C2CB-2C7C-4016-8F9B-63E8D50A8853} - System32\Tasks\Microsoft\KRBUUS\KRB Updater Utility Service => C:\ProgramData\KRB Updater Utility\krbupdater-utility.exe
Task: {A6E33C15-11FA-4C54-BDD9-98EC7740573D} - \Microsoft\Windows\SafeBrowser -> No File <==== ATTENTION
Task: {E09C31A8-528D-4F37-9518-257F4A5235F8} - \Microsoft\Windows\extsetup -> No File <==== ATTENTION
Task: {F1FE39E8-72F3-42BC-8762-0AF995D0E280} - \Microsoft\extsetup -> No File <==== ATTENTION
ShortcutWithArgument: C:\Users\Администратор\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk -> C:\Windows\explorer.exe (Microsoft Corporation) -> "hxxp://nyunasty.ru/?utm_source=startlink03&utm_term=E781C8EBAC89AA7594BE5264D7AF6913"
AlternateDataStreams: C:\ProgramData\sdpsenv.dat:naughtypirates
AlternateDataStreams: C:\Users\Все пользователи\sdpsenv.dat:naughtypirates
EmptyTemp:
Reboot:
end[/code]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. [U]При сохранении выберите кодировку [B]Юникод[/B]![/U]
Отключите до перезагрузки антивирус, запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.