Неудаляемое расширение в Chrome

Win7 32 Rus + MSE

После выхода с отпуска в браузере (Chrome) появились расширения:
Букет расширений от Mail.Ru (6 шт.)
Расширение "Просто скачать с ВК 1.2"
(ID: jkfaaimakmkeglfcdfakffbfnkiocolp)
([URL]https://chrome.google.com/webstore/detail/jkfaaimakmkeglfcdfakffbfnkiocolp?utm_source=chrome-app-launcher-info-dialog[/URL])
В последнем расширении галочка выключения расширения неактивна, а вместо кнопки удаления - надпись "установлено в соответствии с корпоративным правилом"
Во время работы браузера поверх загружаемых страниц демонстрируется видеореклама.
Штатными средствами избавится от расширения не удалось. Я выполнил по порядку:
- Сканирование Kaspersky VRT системного раздела (Выявлено 7 детектов, которые не могут влиять на работу браузера [типа not-a-virus:RemoteAdmin.Win32.RAdmin, который стоит давно и используется] типа либо явно неактивны [в архиве])
- Полный сброс настроек браузера
- Очистка автозагрузки от лишнего на мой взгляд
- Ручное удаление с диска и реестра всего, что содержит ID: jkfaaimakmkeglfcdfakffbfnkiocolp
- Использование утилиты от Google: chrome_cleanup_tool не выявило ничего
- AVZ скрипт №23 - удаление политик Google
- Удаление браузера с настройками через панель управления
- Удаление с системного раздела всех файлов и папок, содержащих в названии: Chrome, Google, Mail.ru, jkfaaimakmkeglfcdfakffbfnkiocolp

После всего установил Сhrome и все ненужные расширения в нем появились вновь.

Помогите избавится от них.

PS: Ручной карантин того, что могло стать первопричиной проблемы
[url]http://virusinfo.info/virusdetector/report.php?md5=9DC535FACA0A1C744E943923F0D38003[/url]

Уважаемый(ая) [B]EgerUa[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы в самое ближайшее время ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в [URL="http://virusinfo.info/pravila.html"]правилах оформления запроса о помощи[/URL].

[INFORMATION]Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом [URL="http://virusinfo.info/content.php?r=613-sub_pomogite"]Помогите+[/URL].[/INFORMATION]

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/content.php?r=113-virusinfo.info-donate"]поддержите проект[/URL].

Здравствуйте!

Закройте все программы

Отключите
- ПК от интернета/локалки.
[url=http://virusinfo.info/showthread.php?t=130828]- Антивирус и Файрвол[/url]

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в АВЗ[/url] -

[code]
begin
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
ClearQuarantineEx(true);
ExecuteFile('schtasks.exe', '/delete /TN "OfficeTelemetryAgentLogOn" /F', 0, 15000, true);
RegKeyParamDel('HKEY_LOCAL_MACHINE', 'SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\udkrfzphof', 'command');
RebootWindows(false);
end.
[/code]

[color=#FF0000]После выполнения скрипта компьютер перезагрузится.[/color]

[URL='http://rghost.ru/private/8qWxtkM2q/5c22d0cc90b92e1a6010b4d5aeabb07a']сделайте лог HiJackThis 2.0.6 Alfa 1.5[/URL]

[LIST][*]Скачайте [B][URL="https://toolslib.net/downloads/viewdownload/1-adwcleaner/"]AdwCleaner (by Xplode)[/URL][/B] и сохраните его на [B]Рабочем столе[/B].[*]Запустите его (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]) и дождитесь окончания сканирования.[*]Когда сканирование будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[S1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению.[/LIST]

Выполнено.

Только лог сохранился не по указанному Вами пути а в C:\Program Files\AdwCleaner\

Так же запустил CureIt на системном разделе. Может он что найдет после Kaspersky VRT...

[url=http://virusinfo.info/showthread.php?t=4491]Профиксите[/url] в HijackThis

[CODE]O4 - MSConfig..HKLM: 2016/03/14 [CCleaner Monitoring] "C:\Program Files\CCleaner\CCleaner.exe" /MONITOR (no file)
O4 - MSConfig..HKLM: 2016/03/14 [Windows Mobile-based device management] %windir%\WindowsMobile\wmdcBase.exe (no file)
O4 - MSConfig..HKLM: 2016/03/14 [udkrfzphof] (no file)
O22 - ScheduledTask: (Ready) CCleanerSkipUAC - {root} - "C:\Program Files\CCleaner\CCleaner.exe" $(Arg0) (no file)
O22 - ScheduledTask: (Ready) hnbmxyi - {root} - C:\PROGRA~2\Mozilla\lmldrqf.exe -jhvyprn (no file)
[/CODE]

[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR] (в ОС [B]Windows Vista/Seven[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]), нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B])[*]По окончанию сканирования снимите галочки со следующих строк:
[CODE]Ключ Найдено : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\PokerStars.net
[/CODE][*] Нажмите кнопку [B]"Cleaning"[/B] ([B]"Очистка"[/B]) и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[C1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].

Что-то Вы опять напутали. У меня нет и не было в реестре.
[CODE]Ключ Найдено : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\PokerStars.net[/CODE]

Пофиксил то, что Вы написали в HijackThis.
Проблема НЕ решена

Проверил системный раздел при помощи CureIt - 0 детектов.

Кроме того занялся удалением всего ненужного на компьютере.
Вычистил много всякого...
В результате чего считаю необходимым повторно сделать все логи системы:

Так же занялся анализом первопричины заражения и с высокой долей вероятности выявил время заражения:
27.02.2016 17:09
Результат поиска файлов по системному разделу за 27.02.2016 16:00-23:59 во вложении.

Предполагаемый виновник заражения тут (был в папке Downloads в указанное время):
[url]https://www.virustotal.com/ru/file/95d70f4ed482d8c2ffeafee8cad1a1e526875cd3b987b05ec2ea5537883af495/analysis/[/url]
Так же я провел его анализ в песочницах. Результаты тут:
[url]https://anubis.iseclab.org/?action=result&task_id=1d4282c527f79918451123cca016c2fb4&format=html[/url]
[url]http://camas.comodo.com/cgi-bin/submit?file=95d70f4ed482d8c2ffeafee8cad1a1e526875cd3b987b05ec2ea5537883af495[/url]

[quote="EgerUa;1367043"]У меня нет и не было в реестре.[/quote]
да извиняюсь, в шаблон нечайно затесалось эта строка.

[LIST][*]Запустите повторно [COLOR="Blue"][B]AdwCleaner (by Xplode)[/B][/COLOR] (в ОС [B]Vista/Windows 7/8[/B] необходимо запускать через правую кн. мыши [B]от имени администратора[/B]).[*]В меню [b]Настройки[/b] отметьте:
[list][*]Сброс политик IE[*]Сброс политик Chrome[/list][*]Нажмите кнопку [B]"Scan"[/B] ([B]"Сканировать"[/B]), а по окончанию сканирования нажмите кнопку [B]"Cleaning"[/B] ([B]"Очистка"[/B]) и дождитесь окончания удаления.[*]Когда удаление будет завершено, отчет будет сохранен в следующем расположении: [B][COLOR="Blue"]C:\AdwCleaner\AdwCleaner[C1].txt[/COLOR][/B].[*]Прикрепите отчет к своему следующему сообщению[/LIST]
[B]Внимание: [COLOR="Red"]Для успешного удаления нужна [U]перезагрузка компьютера[/U]!!![/COLOR][/B].

[COLOR="silver"]- - - - -Добавлено - - - - -[/COLOR]

[quote="EgerUa;1367043"]Пофиксил то, что Вы написали в HijackThis.[/quote]
Эту строку фиксили или пропустили?
[CODE]O22 - ScheduledTask: (Ready) hnbmxyi - {root} - C:\PROGRA~2\Mozilla\lmldrqf.exe -jhvyprn (no file)
[/CODE]

Пофисьте её + свежий лог HijackThis


[quote="EgerUa;1367043"]Проблема НЕ решена[/quote]
а мы пока не закончили. Пока это вычистим, потом за оставшееся возьмёмся.

Проблема частично решена.
Пропало расширение ВК
Остались расширения от МаилРу 6 шт.

Они неактивны и легко удаляются штатными средствами Хрома
НО!
При переустановке Хром или при создании нового пользователя (профиля) в Хром - они автоматически устанавливаются.
Значит в системе есть еще какая-то зараза, которая их устанавливает...
На таком компьютере страшно вводить пароли...

[LIST][*]Пожалуйста, запустите adwcleaner.exe[*]Нажмите [B]Uninstall[/B] ([B]Деинсталлировать[/B]).[*]Подтвердите удаление нажав кнопку: Да.[/LIST]

Скачайте [URL="http://www.bleepingcomputer.com/download/farbar-recovery-scan-tool/"]Farbar Recovery Scan Tool[/URL] и сохраните на Рабочем столе.

Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.
Запустите программу. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
Отметьте галочкой также "Shortcut.txt".

Нажмите кнопку [B]Scan[/B].
После окончания сканирования будут созданы отчеты [B]FRST.txt[/B], [B]Addition.txt[/B], [B]Shortcut.txt[/B] в той же папке, откуда была запущена программа. Прикрепите отчеты к своему следующему сообщению.

Выполнено.

Логи прилагаю

PS: Если в логах обнаружите еще какие-то критические угрозы безопасности ПК или что-то подозрительное кроме основной проблемы - сообщите пожалуйста.

[CODE]Shortcut: C:\Users\Pochta\#\PG.lnk -> C:\Users\Pochta\Documents\pages\[B]run.bat[/B] ()
[/CODE]этот батник вам знаком?

Откройте Блокнот (Старт =>Программы => Стандартные => Блокнот). Скопируйте в него следующий код:
[code]start
CreateRestorePoint:
CHR HomePage: Default -> mail.ru/cnt/11956636?rciguc__PARAM__
CHR DefaultSearchURL: Default -> hxxp://go.mail.ru/search?q={searchTerms}&fr=chxtn7.0.2__PARAM__
CHR DefaultSearchKeyword: Default -> mail.ru
CHR DefaultSuggestURL: Default -> hxxp://suggests.go.mail.ru/chrome?q={searchTerms}
CHR Extension: (Mail.Ru) - C:\Users\Pochta\AppData\Local\Google\Chrome\User Data\Default\Extensions\bgcifljfapbhgiehkjlckfjmgeojijcb [2016-03-15]
CHR Extension: (Mail.Ru) - C:\Users\Pochta\AppData\Local\Google\Chrome\User Data\Default\Extensions\ilamgbdaebkbpkkmfmmfbnaamkhijdek [2016-03-15]
CHR Extension: (Домашняя страница Mail.Ru) - C:\Users\Pochta\AppData\Local\Google\Chrome\User Data\Default\Extensions\lbjjfiihgfegniolckphpnfaokdkbmdm [2016-03-15]
CHR Extension: (Визуальные Закладки Mail.Ru) - C:\Users\Pochta\AppData\Local\Google\Chrome\User Data\Default\Extensions\oelpkepjlgmehajehfeicfbjdiobdkfj [2016-03-15]
CHR Extension: (Домашняя страница Mail.Ru) - C:\Users\Pochta\AppData\Local\Google\Chrome\User Data\Default\Extensions\ofdgafmdegfkhfdfkmllfefmcmcjllec [2016-03-15]
CHR Extension: (Визуальные Закладки Mail.Ru) - C:\Users\Pochta\AppData\Local\Google\Chrome\User Data\Default\Extensions\pnooffjhclkocplopffdbcdghmiffhji [2016-03-15]
CHR HKLM\...\Chrome\Extension: [bgcifljfapbhgiehkjlckfjmgeojijcb] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [ilamgbdaebkbpkkmfmmfbnaamkhijdek] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [lbjjfiihgfegniolckphpnfaokdkbmdm] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [oelpkepjlgmehajehfeicfbjdiobdkfj] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [ofdgafmdegfkhfdfkmllfefmcmcjllec] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM\...\Chrome\Extension: [pnooffjhclkocplopffdbcdghmiffhji] - hxxps://clients2.google.com/service/update2/crx
ShortcutWithArgument: C:\Users\Pochta\AppData\Local\Microsoft\Start Menu\Вoйти в Интeрнeт.lnk -> C:\Windows\explorer.exe (Microsoft Corporation) -> "hxxp://opatolo.ru/?utm_source=startlink03&utm_term=D01B1EFDF7922ECB842A4F8D9B5AEBC3&utm_d=20160227"
AlternateDataStreams: C:\Users\Pochta\Desktop\Рисунок (12).jpg:3or4kl4x13tuuug3Byamue2s4b [93]
AlternateDataStreams: C:\Users\Pochta\Desktop\Рисунок (12).jpg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0]
EmptyTemp:
Reboot:
end[/code]
и сохраните как fixlist.txt в папку с Farbar Recovery Scan Tool. [U]При сохранении выберите кодировку [B]Юникод[/B]![/U]
Отключите до перезагрузки антивирус, запустите FRST, нажмите [B]Fix[/B] и подождите. Программа создаст лог-файл (Fixlog.txt). Прикрепите его к своему следующему сообщению.
Компьютер будет перезагружен автоматически.

[QUOTE=regist;1367245][CODE]Shortcut: C:\Users\Pochta\#\PG.lnk -> C:\Users\Pochta\Documents\pages\[B]run.bat[/B] ()
[/CODE]этот батник вам знаком?[/QUOTE]
Знаком. Самописная программа...

Выполнено.

[CODE]AlternateDataStreams: C:\Users\Pochta\Desktop\Рисунок (12).jpg:3or4kl4x13tuuug3Byamue2s4b [93]
AlternateDataStreams: C:\Users\Pochta\Desktop\Рисунок (12).jpg:{4c8cc155-6c1e-11d1-8e41-00c04fb9386d} [0][/CODE]

Это стримы, которые цепляет к каждому отсканированному документу стандартная программа "Факсы и сканирование Windows" (%windir%\system32\WFS.exe). Сканер: EPSON perfection scaner V10. Драйвер сканера от 2k-xp. (под 7 нету)

Это нормально?

что с проблемой?

Проблема решена.

СПАСИБО!

А по стримам выскажете Ваше мнение?

[quote="EgerUa;1367291"]А по стримам выскажете Ваше мнение?[/quote]а что говорит? Раз это добавляет легальная программа, то ничего плохого в них нет.

папку C:\FRST удалите.


Выполните скрипт в AVZ при наличии доступа в интернет:

[CODE]var
LogPath : string;
ScriptPath : string;

begin
LogPath := GetAVZDirectory + 'log\avz_log.txt';
if FileExists(LogPath) Then DeleteFile(LogPath);
ScriptPath := GetAVZDirectory +'ScanVuln.txt';

if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 1) then ExecuteScript(ScriptPath) else begin
if DownloadFile('http://dataforce.ru/~kad/ScanVuln.txt', ScriptPath, 0) then ExecuteScript(ScriptPath) else begin
ShowMessage('Невозможно загрузить скрипт AVZ для обнаружения наиболее часто используемых уязвимостей!');
exit;
end;
end;
if FileExists(LogPath) Then ExecuteFile('notepad.exe', LogPath, 1, 0, false)
end.[/CODE]

После его работы, если будут найдены уязвимости, в блокноте откроется файл avz_log.txt со ссылками на обновления системы и критичных к безопасности программ, которые нужно загрузить и установить. В первую очередь это относится к Java Runtime Environment, Adobe Reader и Adobe Flash Player, это программы, уязвимостями в которых наиболее часто пользуются для внедрения зловредов в систему.

[url=http://virusinfo.info/showthread.php?t=121902]Советы и рекомендации после лечения компьютера[/url]